Seus documentos são seus.Seu sigilo profissional também.

A Temis usa o Google Vertex AI (Gemini) com as credenciais do nosso projeto no Google Cloud. Neste serviço, o Google não retém entradas nem saídas para treinar seus modelos — é uma garantia contratual do Google Cloud, não uma promessa nossa.

Na prática: o manual de operações, o contrato de franquia ou o modelo financeiro que sua equipe enviar não vai aparecer em nenhum modelo público, nem em versões futuras do Gemini.

Os arquivos que sua equipe envia ficam em buckets dedicados do Google Cloud Storage, com versionamento ativo, acesso uniforme no nível do IAM e políticas de ciclo de vida (Nearline → Coldline → arquivamento). O backend acessa esses buckets com identidades de serviço do Google Cloud, sem chaves armazenadas; as demais credenciais da plataforma ficam no GCP Secret Manager.

Isolamento por linha no banco de dados. O backend se conecta com um papel sujeito ao Row Level Security do PostgreSQL, sem privilégio para contorná-lo. Documentos e seus trechos indexados, chats e mensagens, processos, pastas, documentos gerados e revisões tabulares retornam apenas as linhas de quem está com a sessão aberta, mesmo que uma consulta da aplicação omita o filtro.

Você pode entrar com OAuth2 (Google, Microsoft ou Apple) ou com e-mail e senha. A sessão é um JWT assinado com validade de 15 minutos, renovado por um token de atualização de 7 dias, com um limite absoluto de 90 dias antes de você se autenticar de novo. Dez tentativas seguidas sem sucesso bloqueiam o acesso a partir desse cliente por 15 minutos.

Cada sessão corresponde a um dispositivo, e o servidor a verifica em cada solicitação. Sair encerra a sessão no servidor, não só no navegador. Trocar a senha encerra as sessões dos seus outros dispositivos, e remover alguém da organização encerra todas as sessões dessa pessoa na solicitação seguinte.

Se sua equipe entra com Google ou com Microsoft, o segundo fator que sua organização já exige é aplicado no seu provedor de identidade. A Temis ainda não tem segundo fator próprio nem SSO via SAML — os dois estão no capítulo 8.

Dentro de uma organização, as permissões se dividem em três papéis (proprietário, administrador e membro) e são verificadas no servidor em cada chamada, não só na interface. A organização pode limitar o acesso aos domínios de e-mail do escritório, definir até onde vão os links públicos de conversa e conectar seu provedor de identidade via SCIM 2.0 para incluir e remover membros.

Cada acesso a um documento fica registrado: envio, abertura, pré-visualização, download, renomeação, movimentação, exclusão e os links públicos criados, revogados ou consultados, com usuário, data, IP e navegador. O registro guarda o acesso, nunca o conteúdo: não tem coluna para nomes de arquivo nem texto. Ainda não há uma tela para consultá-lo no app.

As ações sobre uma organização — convites, inclusão e remoção de membros, mudanças de papel e de assento, mudanças de política, provisionamento via SCIM e movimentações da assinatura — ficam gravadas em um registro próprio, que os administradores consultam via API em JSON ou CSV. Esse registro, o de acessos a documentos e o registro de quem recebe ou perde permissões de superusuário na Temis são protegidos pelo banco de dados com um trigger: as linhas são adicionadas e não podem ser editadas nem excluídas, nem mesmo pela aplicação.

Os eventos de conta — logins bem-sucedidos e malsucedidos com o IP, saída, troca de senha, chaves de API, exportação de dados e encerramento da conta — ficam no registro do usuário.

Os logs de auditoria da infraestrutura e do banco de dados (pgAudit) são retidos por 400 dias no Google Cloud Logging. Os logs da aplicação são retidos por 30 dias.

VPC privada com sub-redes dedicadas (backend / banco de dados / conector). Cloud Armor (WAF) com as regras pré-configuradas do OWASP Top 10 e limites de taxa por IP: 600 solicitações por minuto em geral, 300 na API e 20 nos endpoints de credenciais. Binary Authorization ativo: nossas imagens só são implantadas em produção se tiverem a assinatura que nosso pipeline de CI aplica em cada build. O backend só recebe tráfego do balanceador de carga, e o banco de dados não tem IP público.

Point-in-Time Recovery ativo: restauramos o banco para qualquer ponto dos últimos 7 dias. 14 backups automáticos retidos, instância regional com alta disponibilidade e versionamento ativo em todos os buckets de documentos.

Para que você decida com informação completa, isto é o que ainda não temos:

SOC 2 e ISO 27001: hoje não temos nenhuma das duas, nem uma auditoria em andamento.

Segundo fator próprio e SSO corporativo (SAML 2.0 e OIDC contra o seu diretório corporativo): em desenvolvimento. Hoje o segundo fator vem do seu provedor de identidade quando sua equipe entra com Google ou com Microsoft.

CMEK (chaves gerenciadas pelo cliente): não disponível. O banco de dados e os documentos são criptografados com chaves que o Google administra.

Residência de dados no Brasil: todos os dados de clientes ficam em us-central1 (Estados Unidos), e a inferência usa o endpoint global do Vertex AI, que não fixa a região onde cada solicitação é processada. Ainda não operamos uma região no Brasil.

Meu cliente pode saber que usei a Temis?

A decisão profissional é sua. Lembre que os .docx gerados pela Temis podem trazer «Temis» como autor nas propriedades do arquivo.

O que acontece se um terceiro pedir acesso às minhas informações?

Solicitações legítimas exigem ordem judicial fundamentada. Avisamos você antes de responder, quando a lei permitir.

Quem na Temis pode ver meus documentos?

Ninguém, de forma rotineira. A aplicação acessa o banco de dados com um papel sujeito ao isolamento por linha; a manutenção usa uma credencial separada, e cada permissão de superusuário concedida ou retirada fica registrada.

Se eu cancelar, o que acontece com meus documentos?

Cancelar corta o acesso, não exclui. A exclusão de uma conta alcança seus documentos, seus trechos indexados, suas conversas e os arquivos no armazenamento; nas configurações, você a confirma com sua senha. Se sua organização cancelar, excluímos o conteúdo dela mediante solicitação e entregamos um certificado de destruição assinado, que diz o que foi excluído e até quando cada cópia pode ser recuperada: 14 dias nos backups do banco de dados e até 90 no versionamento dos buckets.

Vocês têm política de privacidade?

Sim, publicada e vigente em /br/privacidade.