Uma empresa, um espaço
Cada cliente tem o próprio subdomínio e os próprios dados. Nenhuma consulta cruza a fronteira da empresa.
Segurança e privacidade Cada empresa vê
Cada empresa vê
só o que é dela
Esta página conta o que o bFocus faz para proteger os seus dados e os do seu cliente — sem selo inventado e sem promessa que a gente não cumpre hoje.
- Isolamento por empresa
- Identidade verificada por assinatura
- Exportação de dados por usuário
Acesso Quem entra, e
Quem entra, e
até onde vai
Login sem senha
Acesso por código enviado no e-mail ou no WhatsApp, com sessão de 30 dias. Senha que ninguém guarda é senha que ninguém vaza.
Papéis e departamentos
Cinco papéis e visibilidade por departamento definem quem vê a fila inteira, quem vê só a sua e quem administra. Na Mesa, a área põe primeiro o que é de cada um, sem esconder o resto.
Autorizações confirmadas
Aprovar ou rejeitar um pedido exige um código enviado na hora, e uma rejeição basta para barrar.
Registro do que mudou
Eventos do chamado, da tarefa e das autorizações ficam gravados com autor e horário.
Comentário confidencial
Conteúdo sensível só aparece depois de a pessoa confirmar com código, mesmo já estando logada.
Pedir o código não revela quem tem conta
A tela de entrada mostra o selo da Cloudflare antes de pedir o código de acesso. A resposta é a mesma com conta ou sem conta, inclusive no tempo de espera: ninguém descobre por tentativa quais endereços entram na sua empresa.
Identidade verificada O seu servidor diz
O seu servidor diz
quem é quem
É o mecanismo que impede o cliente A de ver o chamado do cliente B no widget, no app nativo e nas SDKs. Simples de implementar e difícil de burlar.
- O seu backend assina o par usuário + empresa com uma chave secreta (HMAC)
- A assinatura é conferida a cada requisição e vale 7 dias — o seu servidor gera outra quando vence
- Trocar o segredo invalida as assinaturas antigas, com 7 dias de transição para você acertar o seu lado
- Assinatura inválida é recusada. Com a opção “exigir identidade verificada” ligada, sessão sem assinatura não entra — quem cria o widget hoje já começa com ela ligada
- Vale igual nos widgets web, nos pacotes nativos e nas chamadas de servidor
- A chave pública só abre o widget; com a identidade verificada ligada, ela não lê nada sem a assinatura do seu servidor
- A chave de servidor tem escopos por recurso, lista de IPs opcional e revogação imediata
Como fazer
O guia de identidade verificada mostra o cálculo da assinatura v2 em Node, Python, PHP e outras linguagens, com exemplo pronto para copiar.
A porta pública O widget é aberto,
O widget é aberto,
o que passa por ele não
A chave publicável fica no HTML do seu site. Estas travas valem mesmo quando a sessão chega sem assinatura.
Sem assinatura, cada navegador vê só o dele
A sessão sem assinatura mostra os chamados e as conversas que aquele navegador abriu, e só. Quem quer a lista inteira da pessoa liga a identidade verificada.
Sem assinatura, o cadastro só nasce
O que a página manda cria cliente e pessoa que ainda não existem. Não renomeia cadastro existente nem troca a pessoa de empresa.
Anexo só o que subiu pelo widget
O chamado aceita o arquivo que o próprio widget enviou, da mesma empresa e do mesmo usuário. O nome, o tipo e o endereço saem do que nós gravamos.
Teto por IP e por empresa
Abertura de chamado, comentário, chat, upload e resposta da IA têm limite por usuário, por IP e por empresa. Inventar um usuário novo a cada chamada não fura o teto.
O domínio raiz cobre os subdomínios
O navegador informa o endereço da página, então o widget só abre nos domínios que você cadastrar. Cadastre o domínio raiz e os subdomínios vêm junto: https://cliente.com.br já libera app.cliente.com.br e loja.cliente.com.br. O esquema precisa bater — https não cobre http — e a porta também, quando você declara uma.
A chave secreta fica no seu servidor
A API de integração é de servidor para servidor e não confere domínio: numa chamada de servidor não existe origem para conferir. A chave secreta nunca vai para o navegador. Se o seu front precisa dos dados, quem chama a API é o backend da sua empresa.
Prova de navegador humano
O widget que atende na porta do seu site passa por um desafio da Cloudflare (Turnstile) que o visitante não vê — a caixinha só aparece se a Cloudflare desconfiar. Quem passa ganha uma sessão curta, presa à sua empresa e com teto de uso, para ninguém resolver um desafio e reaproveitá-lo num robô. Quem não apresenta a prova é recusado com 403 — e se a Cloudflare estiver fora do ar, o pedido passa de propósito, para um terceiro não derrubar o seu login.
Quem foi recusado entra numa fila
Domínio recusado no widget, ou endereço recusado numa chave de API, vira uma linha em Empresa › Integrações › Autorizações: o endereço exatamente como chegou, quantas tentativas e quando foi a última. Liberar é um clique, sem digitar — acaba o www cadastrado no lugar do apex. Só administrador libera, e a tela avisa que o endereço apareceu sozinho, sem recomendar nenhum.
Operação O que segura
O que segura
quando algo dá errado
Backup é promessa fácil de fazer e difícil de conferir. Aqui está o que roda hoje, com a data do último ensaio.
Cópia diária fora da DigitalOcean
Uma vez por dia, um pg_dump do banco sai cifrado em AES-256-GCM, em streaming, direto para um armazenamento S3-compatível de outro provedor. Ficam guardados 30 dias. O backup do banco gerenciado mora na mesma conta do banco; esta cópia é a que sobra se a conta cair.
Restaurar já foi ensaiado
Sem a chave de cifra, nada sobe — e falha na rotina vira alerta para quem administra a plataforma. O script que decifra é versionado junto com o código, e o ensaio de restauração foi feito em 21 de setembro de 2026: arquivo decifrado e lido pelo pg_restore.
As rotinas rodam longe dos seus chats
SLA, WhatsApp, IA, relatórios e a cópia do banco rodam num processo separado da API. Se uma rotina pesada estourar a memória, cai esse processo, que sobe de novo — e não a API com todos os chats abertos.
Monitoramento que não leva os seus dados
Os erros vão para o Sentry sem corpo de requisição, sem dados pessoais e sem as variáveis locais do código: chega a exceção, a pilha e a rota. E uma verificação profunda responde erro quando o processo das rotinas para de bater.
LGPD Dados pessoais,
Dados pessoais,
tratados como tal
A empresa que contrata é a controladora dos dados dos clientes dela; o bFocus é o operador. O que oferecemos para você cumprir o seu papel:
- Exportação dos dados de um usuário pelo administrador, com registro; exclusão a pedido, pelo suporte
- Artigos gerados a partir de chamados saem com dados sensíveis mascarados
- E-mail de entrada endurecido: remetente conferido, resposta só de quem participa do chamado e anexo executável barrado
- Medição de audiência neste site só depois do seu aceite — e nada de rastreio dentro do widget
- Painel de conformidade com o que o SAC e a LGPD exigem, incluindo prazos e acesso a humano
Onde os dados ficam
Infraestrutura da DigitalOcean nos Estados Unidos (região de São Francisco), com banco gerenciado, backup e conexão cifrada. A transferência internacional está prevista em contrato, como a LGPD exige.
IA e os seus dados A conversa vai para
A conversa vai para
o provedor que você escolheu
A chave é sua
O bFocus não fornece IA. O texto enviado ao modelo trafega sob o contrato que a sua empresa tem com o provedor dela.
Não treinamos modelos
Nós não treinamos nenhum modelo com os seus dados, nem usamos o conteúdo de uma empresa para responder à outra.
Teto antes do gasto
Os limites em reais são verificados antes da chamada. Batendo o teto, o atendimento segue com gente.
Nada de IA por nossa conta
Toda chamada de IA sai da chave da sua empresa: a conversa, o resumo, a classificação e também os vetores da busca por significado na base. O bFocus não fornece IA, sem asterisco. Sem uma chave que gere vetores, a base continua com a busca por texto.
Perguntas sobre segurança
Vocês olham os dados da minha empresa?
Só quando você pede ajuda e autoriza, para investigar um problema específico. Não há varredura de conteúdo.
Vocês têm certificação ISO ou SOC 2?
Ainda não. Preferimos dizer isso com todas as letras a exibir selo que não temos. O que existe hoje está descrito nesta página, e a página muda quando a realidade mudar.
Consigo apagar tudo se eu sair?
Sim. Ao encerrar, a conta é desativada e os dados são excluídos a pedido. Antes, você pode tirar relatórios e levar os dados pela API.
O widget usa cookies?
Não usa cookie de rastreio. Ele guarda a sessão da conversa no armazenamento local do navegador do seu cliente, e isso serve só para ele não perder o histórico ao recarregar a página.
Ficou alguma dúvida de segurança?
Se a sua área de tecnologia precisa de detalhes, a gente responde com o nível técnico que ela pedir.