Segurança e Acesso de Suporte

Em conformidade com a LGPD Art. 7 e Art. 9, toda solicitação da equipe de suporte para acessar seu workspace passa por um workflow de consentimento explícito.

## Modos de consent

• per_request (padrão, recomendado): a cada solicitação você recebe notificação e pode aprovar/negar. Sessão tem hard timeout (max 4h).
• always_allow: apenas para contratos Enterprise — suporte pode iniciar sessão sem confirmação (ainda auditado).
• never_without_emergency: acesso só via emergency override (requer 2 super_admins + justificativa ≥50 chars).

## O que a equipe de suporte NÃO pode fazer durante impersonation

• 🔴 Iniciar Smart Campaigns
• 🔴 Gerar ou aprovar templates Meta (permanentes)
• 🔴 Mudar limites de tokens
• 🔴 Exportar contatos/mensagens
• 🔴 Deletar dados
• 🔴 Resetar senhas
• 🔴 Desativar emergency_stop

## O que é rastreado

• IP origin, user-agent, horário de início e fim
• Cada leitura e escrita com before/after state
• Chamadas IA em nome do tenant (não debitadas da quota)
• Acesso fora do scope aprovado → auto-revoga sessão e alerta security@

Todos os eventos ficam em security_audit_log (append-only, imutável, retido 7 anos). Você pode exportar o log completo em Settings → Segurança.

A tabela security_audit_log é append-only por design. Triggers de banco de dados bloqueiam UPDATE e DELETE mesmo via service_role. Isso garante que:

1. 1Nenhuma ação pode ser "apagada" do histórico
2. 2PII crua nunca é armazenada — apenas payload_hash (SHA256) para verificação de integridade
3. 3Particionamento mensal mantém performance mesmo com milhões de entradas
4. 4Retenção mínima de 7 anos (LGPD Art. 16) — partições antigas vão para cold storage

## Anomaly detection (hourly)

Um worker varre o log a cada hora e sinaliza:

• D1 Engenheiro acessou >5 tenants/h
• D2 Acesso noturno (00-06 UTC) sem ticket de plantão
• D3 Mesmo IP em >3 tenants
• D4 Volume anormal (>10x baseline)
• D5 Acesso fora de scope aprovado → auto-revoga sessão
• D6 Export massivo (>10k registros)
• D7 Chamada IA durante impersonation

Eventos flagged vão para revisão semanal de segurança.