Construído como um banco exigiria

O ponto mais importante desta página: você nunca recebe os documentos de identidade dos seus usuários, e nós também não. Fotos de passaportes e selfies ficam com a empresa de verificação que as capturou. Nós guardamos o resultado da conferência, um número de referência e uma impressão digital de cada documento — o bastante para provar que a conferência aconteceu, e não o bastante para expor alguém em caso de vazamento.

Isso não é só uma posição de privacidade. É a diferença entre um incidente que custa um pedido de desculpas e outro que custa uma comunicação ao regulador.

Os controles por trás disso

• Chaves com uma única função. Cada produto ganha sua própria chave de API, limitada ao que precisa, e clientes maiores podem exigir que toda requisição seja assinada, de modo que roubar a chave não baste.
• Restrito à sua rede. Limite uma conta para que ela só aceite requisições dos endereços dos seus próprios servidores.
• Uma trilha de auditoria que não dá para editar em silêncio. Cada entrada é encadeada à anterior, então quem receber uma exportação pode conferir se houve adulteração — inclusive um regulador.
• Um botão de bloqueio. A equipe de compliance pode suspender uma conta imediatamente, com as evidências anexadas ao registro.
• Controles antiabuso. Limites de cadastro, agrupamento por aparelho compartilhado e acesso que só aumenta após uma verificação limpa.
• Exclusão programada. Defina por quanto tempo os dados pessoais ficam guardados e eles são removidos no prazo, sem quebrar a integridade da trilha de auditoria.

Onde os dados ficam: uma única região documentada para todos os clientes. Residência de dados por cliente não é algo que oferecemos hoje, e preferimos dizer isso aqui do que num questionário de segurança mais adiante.

Revisores de segurança: peçam o nosso brief de controlos institucionais sob NDA — não é publicado com a documentação pública para programadores.