A sua equipa de compliance vai agradecer
Última actualização: Março 2026
Construímos software com assistência de IA — e governamos como as indústrias reguladas exigem. Cada alteração requer aprovação humana antes de chegar a produção. Definimos fronteiras claras para os dados, aplicamos permissões de menor privilégio e adicionamos controlos específicos de IA: defesa contra injeção de prompts, prevenção de alucinações e observabilidade completa. Tudo alinhado com SOC 2, RGPD, HIPAA e o Regulamento Europeu de IA.
Governança
Revisão humana em cada ponto
Nenhum código chega a produção sem aprovação humana. Cada acção de alto impacto — commits de código, alterações de infraestrutura, migrações de dados — requer aprovação explícita de um engenheiro sénior. Mantemos trilhos de auditoria completos para cada decisão.
Isto aplica-se a todo o output assistido por IA: código gerado por modelos de linguagem, configurações sugeridas por agentes, documentação produzida a partir de prompts estruturados. A ferramenta não importa — o ponto de controlo é o mesmo.
Princípio
Menor privilégio em cada camada
Cada permissão no nosso processo de entrega é delimitada ao mínimo necessário para a tarefa — e revogada quando a tarefa termina. Isto aplica-se uniformemente em toda a stack.
Infraestrutura
Roles de deployment podem escrever num bucket de armazenamento específico e invalidar uma distribuição CDN específica. Mais nada. Usamos federação OIDC para CI/CD — sem chaves de acesso de longa duração.
Pipelines CI/CD
Pipelines de build têm acesso de leitura ao código-fonte e acesso de escrita aos alvos de deployment. Não podem modificar políticas IAM, aceder a bases de dados de produção, nem ler segredos não relacionados.
APIs e endpoints
Cada endpoint aceita apenas os métodos HTTP e formatos de input necessários. Validação estrita server-side aplica tipos de campo, comprimentos e caracteres permitidos — exigido pelo PCI DSS e reforçado por controlos SOC 2 Type II.
Ferramentas de IA
Quando ferramentas de IA se ligam aos seus sistemas, cada ligação é individualmente autorizada e restrita a recursos específicos. Uma ferramenta que analisa o esquema da sua base de dados não pode aceder ao seu pipeline de CI. Permissões são delimitadas à tarefa e limitadas no tempo.
Acesso a dados
Engenheiros e ferramentas acedem a dados do cliente com base na necessidade de conhecer. Dados pessoais são classificados e tratados de acordo com o contexto de conformidade do projecto — RGPD, HIPAA ou PCI DSS conforme aplicável.
Fundação
DevSecOps do build ao deploy
Controlos específicos de IA não substituem os fundamentais — constroem sobre eles. A nossa pipeline de entrega standard inclui segurança em cada fase.
Análise de vulnerabilidades em dependências
Cada build executa uma auditoria automatizada contra bases de dados de CVEs conhecidas. Vulnerabilidades críticas ou de alta severidade bloqueiam o deployment. Fixamos versões major, mantemos dependências de runtime ao mínimo, e verificamos diffs no lock file em cada alteração.
Cabeçalhos de segurança
Cada resposta HTTP inclui HSTS, Content Security Policy, X-Frame-Options DENY, Referrer-Policy estrita e uma Permissions-Policy que desactiva APIs de browser não utilizadas. Validamos com scanners externos antes do lançamento.
Validação de input server-side
Todo o input de utilizador é validado server-side. Removemos HTML e caracteres de controlo, aplicamos limites de comprimento por campo, rejeitamos dados malformados e usamos campos honeypot para detecção de bots. A validação client-side nunca é considerada suficiente.
Gestão de segredos
Chaves de API, credenciais e tokens são armazenados em configuração encriptada ou serviços dedicados de gestão de segredos. Nada é commitado no controlo de versões. Segredos de infraestrutura usam configuração encriptada em repouso com gestão de chaves ao nível do fornecedor.
Análise estática e linting
O código é verificado para questões de qualidade e segurança antes do merge. Aplicamos padrões consistentes que reduzem a superfície de ataque para vulnerabilidades comuns — injecção, confusão de tipos, tratamento inseguro de dados.
Confidencialidade
Os seus dados ficam dentro de limites definidos
Quando usamos IA na entrega, definimos limites claros de dados antes do início do projecto.
Fluxos de dados controlados
Informação de contacto — nomes, emails, telefones — é processada nos nossos próprios serviços e nunca chega a fornecedores externos de IA. Código-fonte e lógica de negócio do cliente não são enviados para serviços de IA terceiros sem acordo contratual explícito.
Classificação e tratamento de dados pessoais
Classificamos dados pessoais de acordo com o contexto regulatório do projecto: categorias de titulares do RGPD para projectos na UE, definições de PHI do HIPAA para saúde, âmbito de dados de cartão do PCI DSS para sistemas de pagamento.
Sem dados pessoais em logs
Os logs de aplicação nunca contêm conteúdo completo de utilizador, prompts ou dados pessoais. Registamos apenas metadados — comprimento da mensagem, identificador de sessão, tempo de resposta, tipo de erro. Isto suporta o princípio de minimização do RGPD e controlos de logging SOC 2.
Residência de dados na UE
Toda a infraestrutura funciona na UE. Dados de observabilidade e monitorização ficam em serviços alojados na UE. Quando a residência de dados de um serviço terceiro não cumpre os seus requisitos, sinalizamos durante o scoping — não depois do trabalho feito.
Modelos de IA
Como lidamos com ferramentas de IA no seu projecto
Cada projecto é diferente. Adaptamos as ferramentas de IA aos requisitos de governação de dados do cliente, oferecendo três modelos que mantêm os dados proprietários sob o seu controlo.
Modelo A
As suas licenças corporativas de IA
Trabalhamos dentro das suas subscrições existentes — GitHub Copilot, Claude, OpenAI Codex, ou outras. Ajudamos a afinar configurações, gerir alocação de lugares e controlar custos para que a equipa retire o máximo valor das ferramentas que já paga.
Modelo B
LLM on-premise no seu datacentre
Ajudamos a correr LLMs na sua própria infraestrutura. Configuramos o modelo, treinamo-lo numa mistura curada do código existente e das melhores práticas da indústria, e garantimos que nada sai da sua rede. Capacidade de air-gap total quando necessário.
Modelo C
As nossas licenças geridas de IA
Usamos as nossas próprias subscrições de LLM com garantias contratuais: os seus dados não são partilhados com outros clientes, não são usados para treinar modelos e não podem ser divulgados. Aplicamos acordos de retenção zero com as APIs e fornecemos trilhos de auditoria completos a pedido.
Camada IA
Controlos específicos de IA
Sobre a base de DevSecOps standard, aplicamos controlos desenhados para os riscos que as ferramentas de IA introduzem.
Defesa contra injecção de prompts
Validamos todos os inputs contra blocklists de padrões de injecção em inglês e português. Para scripts não-latinos, traduzimos primeiro para inglês e depois validamos — para que ataques que exploram filtros de segurança enviesados por idioma não contornem o nosso perímetro.
Prevenção de alucinações
Os modelos respondem apenas a partir de fichas de factos aprovadas. Quando o modelo não tem a informação, diz que não sabe e encaminha para um humano. Não permitimos que modelos usem dados de treino para afirmações específicas sobre a empresa ou o cliente.
Observabilidade de LLM
Cada interacção é rastreada numa plataforma de observabilidade: prompts, completions, uso de tokens, latência e pontuação de risco de alucinação. Revisamos traces para anomalias e fornecemos logs de auditoria completos a pedido — suportando requisitos de trilho de auditoria SOC 2 Type II.
Controlos de orçamento e consumo
Limitamos tokens por resposta, sessões de conversação, e aplicamos tetos de gastos mensais ao nível do fornecedor. Se o orçamento de IA se esgota ou a API do fornecedor falha, recorremos a respostas estáticas — sem falhas silenciosas, sem custos descontrolados.
Operações
Monitorização, logging e resposta a incidentes
A segurança não pára no deployment. Monitorizamos em produção e respondemos ao que a monitorização revela.
Web Application Firewall
Implementamos regras WAF como camada de perímetro em frente a APIs e endpoints de aplicação. Regras baseadas em rate limitam abusos automatizados. Conjuntos de regras geridas bloqueiam padrões de ataque conhecidos. O WAF complementa a validação ao nível da aplicação — pára tráfego volumétrico antes de chegar ao seu código.
Logging estruturado e enriquecimento de logs
Os logs de aplicação são estruturados, timestamped, e enriquecidos com metadados contextuais: identificadores de sessão, tipos de pedido, tempos de resposta e categorias de erro. Logs enriquecidos alimentam regras de alertas e tornam a investigação de incidentes mais rápida.
Monitorização activa e passiva
A monitorização activa verifica disponibilidade e correcção de respostas periodicamente. A monitorização passiva observa logs de produção para anomalias: picos de invocações, aumentos de taxa de erro, consumo incomum de tokens ou padrões geográficos inesperados.
Resposta a incidentes
Quando a monitorização detecta uma anomalia, temos caminhos de escalação definidos. Endpoints com rate limit devolvem respostas de erro claras. Orçamentos de IA esgotados activam modos de fallback. Cada incidente produz um trilho de logs para análise post-mortem e reporte regulatório.
Frameworks com que trabalhamos diariamente
Não listamos frameworks apenas — aplicamos controlos específicos de cada um. Estas são as normas com que trabalhamos nos nossos projectos.
RGPD
Protecção de dados e privacidade para projectos na UE. Direitos dos titulares, base legal, minimização de dados e notificação de violações.
ISO 27001
Gestão de segurança da informação. Avaliação de riscos, controlos de acesso, gestão de incidentes e melhoria contínua.
AI Act da UE
Governança de IA e classificação de risco. Obrigações para sistemas de alto risco aplicáveis a 2 de Agosto de 2026. Transparência, documentação e supervisão humana.
SOC 2 Type II
Controlos de segurança, disponibilidade e confidencialidade. Trilhos de auditoria, gestão de acessos, controlo de mudanças e monitorização contínua.
PCI DSS
Protecção de dados de cartão de pagamento. Validação de input, encriptação, controlo de acessos e segmentação de rede para ambientes com dados de cartão.
HIPAA
Salvaguardas para informação de saúde protegida. Controlos administrativos, físicos e técnicos para tratamento de dados de saúde.
Também: HITECH, FDA 21 CFR Part 11, FCA, Directiva ePrivacy, CCPA/CPRA, WCAG 2.2 AA, UK GDPR, Data Protection Act 2018, OWASP Top 10 for LLM Applications, OWASP Top 10 for Agentic Applications.
O seu código, a sua propriedade
A revisão humana de todo o output assistido por IA estabelece autoria clara e elegibilidade de direitos de autor. Mantemos a proveniência do código — quem gerou, quem reviu, quando foi enviado — desde a primeira linha até ao deployment em produção.
Construímos este website ~85% com assistência de IA sob estes mesmos controlos. As análises de dependências, os cabeçalhos de segurança, a validação de input, os pontos de revisão humana, o enriquecimento de logs, o IAM de menor privilégio — cada controlo nesta página foi aplicado para construir esta página.