Confiança, registrada por escrito.
O Elido é hospedada na UE por padrão, compatível com o RGPD e construída com trilhas de auditoria integradas. Abaixo separamos o que já existe hoje do que está planejado ou em andamento, e identificamos cada item.
- Região da UEEUEU-residency · padrão
Onde o banco de dados principal, o armazenamento de análise e os backups estão hoje, para todos os espaços de trabalho.
- Leste dos EUAUSPlanejada
Planejada. Não implementada: hoje não é possível fixar espaços de trabalho aqui.
- Ásia-PacíficoAPACPlanejada
Planejada. Não implementada: hoje não é possível fixar espaços de trabalho aqui.
O que «confiança» significa em termos de produto
O que queremos dizer com confiança
Cada pilar corresponde a algo concreto no produto, no DPA ou no log de auditoria.
EU-residency, por padrão
O banco de dados, a análise e os backups estão hospedados na UE. Os nós de redirecionamento nos EUA (Ashburn) e em Singapura processam pedidos de visitantes. A fixação por espaço de trabalho no Leste dos EUA ou Ásia-Pacífico ainda não está disponível.
Trilha de auditoria em tudo
Configurações de workspace, alterações de função, rotações de chaves, criações de links, exclusões, exportações. Cada evento tem um quem, quando e o quê - exportável.
Apenas leitura por padrão para AI
As integrações de AI recebem chaves com escopo definido e rotativas. O acesso de escrita/exclusão é uma configuração de workspace explícita e auditada - não um padrão.
Chaves gerenciadas pelo cliente (planejado)
A criptografia com chave própria (BYOK) ainda não está disponível. Os backups do banco de dados são criptografados antes de saírem dos nossos servidores.
Pipeline anti-abuso
Cada link passa por um scanner composto (URLhaus + Google Safe Browsing + heurísticas) na criação e novamente em um worker de re-scan rotativo.
Transparência de subprocessadores
Lista completa, localização e finalidade. Nos comprometemos com um aviso de 30 dias sobre novas adições.
Log de auditoria append-only
Cada mudança de estado é registrada.
A aplicação apenas acrescenta entradas à tabela de auditoria (não existe caminho de atualização) e cada entrada está encadeada por hash à anterior, por isso a adulteração é detectável por meio de um endpoint de verificação de administrador. Isto é no nível da aplicação, não uma restrição de permissões do banco de dados. As entradas mais antigas do que a janela de retenção são excluídas diariamente: 730 dias por padrão, configurável por espaço de trabalho a partir de 30 dias (por exemplo, 6 anos para espaços de trabalho HIPAA).
- Identidade do atorID do usuário ou service principal, além de IP de origem e request ID
- Diff antes/depoisDiff JSON estruturado da linha alterada - não uma simples linha de log textual
- Firehose para SIEMWebhook assinado com HMAC para Splunk / Datadog / ELK em tempo real
- À prova de adulteraçãoEntradas encadeadas por hash com um endpoint de verificação da cadeia
{ "domain": "go.acme.eu",- "status": "pending_dns",+ "status": "verified",- "tls_mode": "none",+ "tls_mode": "on_demand",+ "verified_at": "2026-05-08T11:42:18Z", "workspace_id": "ws_8a2f" }Pedidos de acesso do titular dos dados
Direitos do titular via API.
Envie pedidos de acesso e exclusão para [email protected]; a nossa equipe registra cada um e acompanha o prazo de 30 dias. Ainda não existe autoatendimento nem API pública para pedidos de titulares de dados. Um pacote de acesso é um zip de arquivos CSV: registro da conta, participação em espaços de trabalho, espaços de trabalho próprios, links, entradas do log de auditoria em que o titular é o ator, e sessões. A exclusão anonimiza atualmente o e-mail e o nome da conta e termina as sessões; os eventos de clique (que incluem endereços IP de visitantes) ainda não são exportados nem apagados automaticamente. Não existe nível acelerado.
- Passo 1
Pedido do titular
Usuário final → controlador (você)O titular entra em contato com você. Você o autentica no seu produto, não no Elido.
- Passo 2
Pedido registrado
Envie o pedido por e-mail com o e-mail da conta e o tipo de pedido (export / erase); a nossa equipe o registra e verifica a identidade.
- Passo 3
Pacote do workspace
zip · CSVConta, participação em espaços, espaços de trabalho próprios, links, entradas do log de auditoria em que o titular é o ator, sessões. Os eventos de clique ainda não estão incluídos.
- Passo 4
SLA
30 diasPrazo de um mês do RGPD, acompanhado em cada pedido e em todos os planos.
Treze subprocessadores, listados publicamente
Treze fornecedores. Listados publicamente.
A lista completa nomeada, com localização do fornecedor, finalidade do tratamento, categorias de dados e URL de referência do DPA, fica em /legal/subprocessors. Adicionar ou substituir um subprocessador dispara um aviso de 30 dias para cada admin do workspace via banner in-app e e-mail, antes do início do tratamento, para que os clientes possam se opor.
- Computação & hospedagemISO 27001Infraestrutura principal de app + edgeEU · Alemanha + Finlândia
- Computação de edgeISO 27001 · SOC 2Nós de redirecionamento (recebem endereços IP de visitantes)EUA (Ashburn) + Singapura
- Entrega de e-mailE-mail transacionalUE + EUA
- PagamentosPagamentos com cartão (Paddle fora da Ucrânia, monobank na Ucrânia)Reino Unido / UE / UA
- CDN + WAFISO 27001 · SOC 2DNS, proxy e CAPTCHA; os fornecedores de chat ao vivo, IA, SSO e reputação de URLs constam da lista completaGlobal · roteamento EU
Postura de conformidade
Onde estamos nos frameworks que os clientes perguntam.
Cada linha indica o que já existe hoje e o que ainda está em andamento.
ISO 27001
Não certificada. Estamos trabalhando para obter a ISO 27001; não foi emitido nenhum certificado e não há data de auditoria pública.
SOC 2 Type II
Preparação da auditoria em andamento; o período de observação está previsto para o final de 2026 a 2027. Ainda não foi emitido nenhum relatório SOC 2.
GDPR
DPA com SCCs padrão disponível mediante solicitação, lista pública de subprocessadores. Nem todos os fluxos de dados são exclusivamente na UE: consulte a política de privacidade.
HIPAA-ready
BAA disponível no Business+; log de auditoria e controles de acesso implementados. Os termos legais constam do próprio BAA.
EU residency
O banco de dados principal, a análise e os backups estão na UE. Os nós de redirecionamento nos EUA e em Singapura processam pedidos de visitantes, por isso ocorrem transferências para fora da UE.
Encryption
TLS em trânsito; backups externos criptografados. O BYOK ainda não está disponível.
FAQ de conformidade
As perguntas que procurement não para de nos enviar.
Vocês assinam um DPA?
Sim. O nosso DPA padrão inclui as SCCs da UE. Ainda não pode ser baixado nem é aceito no checkout: solicite uma cópia assinada a [email protected]. Redlines personalizados estão disponíveis em Business e Enterprise.
Quantos subprocessadores vocês usam?
Treze, nem todos sediados na UE: hospedagem (UE e EUA), edge de redirecionamento (EUA, Singapura), backups, e-mail transacional, pagamentos (Paddle, monobank, Coinbase opcional), chat ao vivo, IA, SSO, CAPTCHA/DNS, reputação de URLs e um conjunto de dados de geolocalização offline. A lista completa nomeada com localização e finalidade está em /legal/subprocessors.
O pinning de região está disponível em todos os planos?
Ainda não. Todos os espaços de trabalho são servidos pela mesma infraestrutura (principal na UE, com nós de redirecionamento também nos EUA e em Singapura). A fixação por espaço de trabalho no Leste dos EUA ou Ásia-Pacífico está planejada, não implementada, e hoje não é oferecida em nenhum plano.
Qual o prazo de DSAR?
30 dias em todos os planos (um mês do RGPD). Os pedidos são enviados para [email protected] e tratados pela nossa equipe; não existe nível acelerado nem API pública para pedidos. Os pacotes de acesso são um zip de arquivos CSV; os eventos de clique ainda não estão incluídos.
Como funcionam os BAAs para HIPAA?
BAA apenas no Business+. O log de auditoria e os controles de acesso são os mesmos do nível padrão. Escreva para [email protected] para começar.
Existe opção self-host?
Existe um chart Helm para Kubernetes no repositório. Os termos de licença e o modelo de self-hosting suportado são definidos por contrato; entre em contato com [email protected] antes de contar com self-hosting.
Como vocês notificam mudanças de subprocessadores?
Adicionar ou substituir um subprocessador implica um aviso de 30 dias por meio de banner no aplicativo e e-mail a cada administrador do espaço de trabalho. Os clientes podem se opor antes de o tratamento começar. As alterações são refletidas em /legal/subprocessors.
Onde vocês publicam incidentes e uptime?
Estado ao vivo, incidentes recentes e post-mortems completos em /status. As violações de dados pessoais são notificadas aos clientes afetados conforme exigido pelo RGPD e pelo DPA.
Onde olhar a seguir
Comece aqui se você está nos avaliando para uma decisão de procurement.
Com quem compartilhamos dados, onde estão e por quê.
Assine antes de processar dados pessoais da UE.
O que recolhemos (incluindo endereços IP de visitantes), onde fica armazenado, retenção.
Arquitetura e práticas de segurança.
Uptime ao vivo, incidentes recentes, post-mortems.
Contato
Tem uma questão de segurança?
[email protected] para relatórios de vulnerabilidade (PGP disponível). [email protected] para SOC 2 / ISO / DPA. Procuramos responder em um dia útil.
Segurança
Relatórios de vulnerabilidades, security.txt, chave PGP mediante solicitação. Procuramos responder em um dia útil.
[email protected]Compliance
Solicitações SOC 2 / ISO, contra-assinatura de DPA, avisos de subprocessadores, processo BAA para HIPAA.
[email protected]Sales
Compras enterprise, questionários de segurança e pedidos de termos personalizados.
[email protected]Prontos quando procurement estiver.
DPA mediante solicitação, lista pública de subprocessadores, log de auditoria em todos os planos. Comece grátis ou fale com as vendas para um questionário de segurança.