O HEFLO é um software BPM seguro?

O HEFLO hospeda dados na Amazon Web Services em data centers regionais. Os seus dados de processo (os modelos, formulários, documentos e anexos com que suas equipes trabalham, mais o banco de dados que os armazena) ficam na sua região: AWS Irlanda (eu-west-1) para a União Europeia e São Paulo para a América Latina. O isolamento vai além do banco de dados. Os serviços de aplicação, dados e relatórios são implantados de forma independente em cada região, de modo que a execução dos processos acontece onde os dados residem e não é roteada para um ponto central. Os backups seguem a mesma regra: os pontos de recuperação da UE são copiados para Frankfurt e permanecem dentro da UE. Um conjunto definido de serviços de apoio (conta e login, envio de e-mails, indexação de busca, recursos de IA e telemetria) roda a partir de outras regiões da AWS, de modo que uma quantidade limitada de dados é processada fora da sua região, sob cláusulas contratuais padrão. A pergunta sobre transferências, abaixo, traz o quadro completo.

O HEFLO protege os dados em três níveis. Dentro da região, a camada de banco de dados é replicada em três zonas de disponibilidade distintas, de modo que perder uma zona não significa perder o serviço nem os seus dados. O Aurora realiza backups diários com recuperação para um ponto no tempo em uma janela de 35 dias, permitindo restaurar o banco para um momento específico, e não apenas para o último snapshot. Além disso, o AWS Backup copia diariamente os pontos de recuperação para uma segunda região, em um cofre travado que os protege de exclusão acidental ou maliciosa. No caso dos clientes europeus, essas cópias vão da Irlanda para Frankfurt, de modo que os backups nunca saem da UE. Os seus dados de processo e os backups deles seguem a mesma regra regional, ponto em que muitas plataformas de nuvem silenciosamente descumprem a própria promessa. Um plano de continuidade de negócios construído sobre essa arquitetura de backup está em implementação; clientes que precisam de objetivos formais de recuperação podem consultar seu status atual com a equipe de segurança.

Sim, todo cliente pode. Além dos backups do próprio HEFLO, você pode ativar um stream contínuo de dados que consolida seus dados do Aurora e do DynamoDB em um banco de dados relacional (MySQL) dedicado ao seu ambiente. Use-o para criar seu próprio BI e relatórios, mantê-lo como um backup independente ou pedir que o HEFLO envie um export diário direto para o seu próprio bucket Amazon S3, usando a sua própria chave de API. Uma cópia MySQL completa e pronta para importar dos seus dados de processo chega, todos os dias, a uma infraestrutura que você controla. A réplica é criptografada e não é acessível publicamente e, no caso dos clientes europeus, permanece na UE, de acordo com a residência de dados. É a resposta direta ao aprisionamento de fornecedor: seus dados nunca ficam presos dentro do HEFLO.

Testes de segurança de aplicação estáticos e dinâmicos (SAST/DAST) são executados no pipeline de CI/CD, de modo que o código é verificado em busca de vulnerabilidades antes de ir para produção. Em produção, o Amazon Inspector examina continuamente a camada de computação do HEFLO (servidores, contêineres e funções serverless) em busca de vulnerabilidades conhecidas, um firewall de aplicação web filtra o tráfego na borda e toda atividade administrativa é registrada no AWS CloudTrail.

Sim. A HEFLO contrata testes de intrusão realizados por uma empresa de segurança independente, paga para invadir, e não a própria equipe do HEFLO. É um teste adversarial, feito por quem não tem nenhum incentivo em considerar a plataforma segura, e é o que separa uma postura de segurança real de uma autoavaliação. Um resumo do teste mais recente está disponível para clientes e potenciais clientes sob NDA, para que a sua equipe de segurança leia os achados por conta própria.

Sim. A HEFLO apoia a conformidade com a LGPD e o RGPD por meio de residência de dados na UE, um Acordo de Tratamento de Dados (DPA) nos termos do artigo 28, cláusulas contratuais padrão para qualquer transferência, um Encarregado de Proteção de Dados designado (dpo@corp.heflo.com), registro de atividades de tratamento e suporte ao direito à eliminação. Esses mecanismos permitem que suas equipes jurídicas e o DPO documentem como os dados pessoais são tratados e protegidos.

Sim, para um conjunto definido e limitado de serviços de apoio, e cada uma delas é documentada. Os seus dados de processo (modelos, formulários, documentos, anexos, o banco de dados e seus backups) permanecem na sua região. O que é processado em outra região é: dados de conta e de login, replicados entre regiões para que seus usuários possam entrar de qualquer lugar e para que o serviço sobreviva à perda de uma região; envio de e-mails; indexação de busca; recursos opcionais de IA, que recebem documentação de processos e configurações de automação, e nenhum dado pessoal; e telemetria operacional, como logs, métricas e traces, mantidos por um período curto de retenção. Todas essas transferências são cobertas pelo Acordo de Tratamento de Dados e pelas cláusulas contratuais padrão da HEFLO, e constam do registro de atividades de tratamento, que o seu DPO pode solicitar. Se a sua organização exigir processamento estrito em uma única região, a HEFLO oferece implantação em nuvem privada e on-premises.

A HEFLO utiliza um conjunto pequeno e documentado de suboperadores: AWS para hospedagem, Crisp para mensageria com clientes, Google para serviços de apoio e OpenAI para recursos opcionais de IA. Todos os suboperadores são cobertos pelo Acordo de Tratamento de Dados da HEFLO, e os clientes são notificados antes de qualquer mudança na lista, para avaliar o impacto.

A HEFLO está preparando seu SGSI em alinhamento com a norma ISO/IEC 27001. O sistema de gestão já governa criptografia, controle de acesso, hospedagem, resiliência e resposta a incidentes usando o referencial ISO/IEC 27001 como modelo de referência. A HEFLO não reivindica certificação formal no momento, e esta página será atualizada caso esse status mude.

Não. A HEFLO não usa dados de clientes para treinar modelos de IA. Os recursos de IA seguem a minimização de dados, são opcionais e podem ser desativados. Assim, as equipes podem adotar os recursos de IA do HEFLO sem expor seus dados de processos ao treinamento de modelos.

Sim. O HEFLO oferece integração com SSO e SIEM via webhooks, exportação de logs em CSV, lista de permissão de IPs e backups de propriedade do cliente, gravados no próprio bucket S3 do cliente. Para organizações com requisitos mais rígidos, a HEFLO oferece opções de implantação em nuvem privada e on-premises. As equipes de compras e de risco de fornecedores podem solicitar o pacote de segurança completo para concluir sua avaliação.