O que protegemos hoje, sem enfeite.
Onde ficam os seus dados, como fazemos backup, quem acessa o quê e o que não temos. Atualizado em 14/10/2026.
Dados em São Paulo
A base de produção fica em São Paulo. As exceções são a IA, a Meta (WhatsApp e Instagram), o push e a Cloudflare (DNS, proxy do site e retransmissão das chamadas de voz), listadas abaixo.
Diário, com cópia imutável
Todo dia uma cópia do banco vai para um cofre em São Paulo, cifrada e travada: até o prazo de guarda vencer, ninguém altera nem apaga. A última restauração completa foi ensaiada em 05/10/2026.
9 papéis
Cada pessoa vê só o que o papel dela permite. A sua empresa dá 7 deles a quem convida; o de proprietário fica com quem criou a conta, e o de suporte é exclusivo da equipe da CCX.
Trilha de auditoria
Convites, trocas de papel, exportações, chaves de API e outras ações de administração ficam registrados com autor e horário. Quem tem permissão consulta no painel, e a entrada do suporte da CCX na sua conta também fica registrada.
O que protege o dado hoje.
Tudo nesta lista está funcionando em produção. O que não existe está dito mais abaixo.
Criptografia em trânsito e em repouso
O painel e a API só respondem em HTTPS. O disco do banco e os backups são cifrados, e segredos de webhook e senhas de SMPP ficam guardados cifrados com AES-256-GCM.
Sessão de 15 minutos
O acesso ao painel vale 15 minutos e se renova sozinho enquanto você usa. Sair, trocar a senha ou ser suspenso ou removido da organização derruba a sessão na hora, e nenhuma sessão passa de 30 dias.
Nove papéis de acesso
Do proprietário ao somente leitura, cada pessoa entra com o mínimo de que precisa para o trabalho.
Senha e MFA
Senhas guardadas com Argon2id. MFA por aplicativo autenticador: cada pessoa ativa na própria conta, e a organização pode exigir de todos.
Chaves de API com escopo
Cada chave declara o que pode fazer, e ninguém cria uma chave com mais poder do que tem. Ela aparece uma única vez e fica guardada só como hash.
Webhooks assinados
Todo webhook que a CCX envia leva assinatura HMAC-SHA256 com carimbo de hora, para o seu sistema conferir a origem.
Nenhuma chave fixa na nuvem
Os nossos aplicativos não guardam chave de acesso da AWS: cada um recebe credenciais temporárias, presas a ele.
Trilha de auditoria
Ações administrativas no painel ficam registradas com autor e horário.
Backup que a gente já restaurou.
Todo dia uma cópia do banco vai para um cofre em São Paulo, cifrada com chave própria e travada contra exclusão: até o prazo de guarda vencer, ninguém apaga a cópia, nem os nossos próprios aplicativos.
Em 05/10/2026 restauramos o banco inteiro a partir desse cofre, como ensaio, sem nenhuma falha. E se a cópia do dia não chega, um monitor externo avisa a equipe.
Quem processa dados com a gente, e onde.
O padrão é São Paulo. As exceções estão declaradas abaixo.
Você é o controlador. Nós somos o operador.
Os dados dos seus clientes são seus. A gente trata por conta e ordem sua, para prestar o serviço contratado.
Pedidos e dúvidas sobre dados pessoais vão para o encarregado de dados: dpo@ccxmessages.com
Papéis e auditoria, no painel.
Quem pode o quê, e o registro do que foi feito.
O que não temos.
Dito com todas as letras, para a sua análise de segurança não precisar descobrir.
Certificações
A CCX não tem certificação ISO 27001 nem relatório SOC 2. Se isso mudar, esta página diz, com a data e o relatório.
Divulgação responsável
Achou uma falha? Escreva para o nosso canal de segurança. Confirmamos o recebimento em até 5 dias úteis e mantemos você informado até a correção. Não processamos quem pesquisa de boa-fé seguindo a política.
Status
Não publicamos disponibilidade nem histórico de incidentes. A página de status mostra do que a plataforma é feita e um endereço de saúde que o seu monitor pode consultar.
O que o jurídico e a TI perguntam
Mande o questionário de segurança e a gente responde com o que está no ar hoje.
Onde os dados ficam hospedados?
Em São Paulo: aplicação, banco de dados em três réplicas, arquivos, cache, fila, envio de e-mail e backups. As exceções declaradas são a entrega pela Meta no WhatsApp e no Instagram, o processamento de IA nos Estados Unidos, as notificações push pela Apple, pelo Google e pelos navegadores, e a rede da Cloudflare no DNS, no proxy do site e no áudio das chamadas. Cada uma está na lista de subprocessadores desta página.
A CCX tem ISO 27001 ou SOC 2?
Não. A CCX não tem certificação ISO 27001 nem relatório SOC 2. Esta página lista o que protege o seu dado hoje, e só fala de certificação quando houver uma.
É criptografado de ponta a ponta?
Não. As mensagens são criptografadas em trânsito e em repouso, e a plataforma lê o conteúdo para entregar, guardar e mostrar no seu inbox. Quando o suporte da CCX precisa entrar na sua conta, o acesso exige um motivo por escrito e fica registrado no seu audit log.
A IA aprende com as minhas conversas?
Não. A CCX não treina modelo com as suas conversas, e a sua base serve só para a IA buscar contexto na hora de responder. O uso e a retenção do conteúdo pelos suboperadores de IA estão na Política de Privacidade.
O que acontece quando eu saio?
Você avisa com 30 dias de antecedência, sem multa de rescisão, e exporta o que precisar antes de sair.
Como mando o questionário de segurança da minha empresa?
Mande para comercial@ccxmessages.com ou fale com o time comercial. A gente responde com o que está no ar hoje e diz com clareza o que não temos.
Ficou alguma pergunta de segurança?
Criando a conta pelo site, você ganha R$ 10 de crédito de teste.