Segurança e privacidade

Esta página é mantida pela Artista Jurídico para responder dúvidas comuns sobre segurança, privacidade e tratamento de dados no nosso sistema. O conteúdo descreve controles atualmente ativos e não substitui certificação ou auditoria independente.

A operação segue um modelo de responsabilidade compartilhada entre a Artista Jurídico (aplicação e processos internos), a plataforma de hospedagem (infra, rede, banco gerenciado) e os artistas e parceiros que utilizam o portal (uso responsável das credenciais).

• Login por e-mail e senha, com opção de Google.
• Senhas armazenadas com hash forte pelo provedor de autenticação; nunca em texto puro.
• Chaves de acesso (passkeys) baseadas em WebAuthn/FIDO2 — cada usuário pode cadastrar até 5 chaves vinculadas ao dispositivo (biometria, PIN ou chave física). Obrigatórias para a equipe administrativa e recomendadas para artistas. Resistentes a phishing, sem senha para vazar e sem aplicativo autenticador para instalar. Não usamos SMS como segundo fator.
• Papéis (admin, equipe, artista) gerenciados em tabela dedicada e validados no servidor a cada requisição — nunca confiamos em informação enviada pelo navegador.
• Operações financeiras sensíveis (PIX, aprovação de pagamentos) exigem OTP e ficam registradas em log de auditoria.

Tratamos dados cadastrais de artistas e autores (nome, documento, contato, dados bancários para pagamento), metadados de obras musicais e relatórios de royalties recebidos de coletivas e plataformas digitais. Não vendemos dados pessoais e não os usamos para perfilamento publicitário.

Todo o tráfego com o sistema usa HTTPS/TLS. Segredos sensíveis (tokens de API, credenciais de integração, chaves de webhook) ficam em armazenamento de segredos gerenciado pela plataforma e nunca aparecem no código do cliente.

O banco usa políticas de acesso por linha (Row-Level Security) em 100% das tabelas de dados: cada artista enxerga apenas os próprios dados no portal. Endpoints administrativos exigem papel de equipe ou admin, validado no servidor a cada requisição. Endpoints públicos de webhook e cron validam um segredo dedicado por domínio antes de executar qualquer ação, e endpoints públicos por token (aceite de proposta, atualização de cadastro) passam por limitador de taxa por IP e por token.

Tarefas automáticas — incluindo o despacho periódico de obras aprovadas internamente para as entidades parceiras — rodam apenas durante a janela configurada e registram cada execução em log de auditoria. Em caso de erro persistente, a equipe é notificada automaticamente para investigação.

Utilizamos serviços de terceiros para hospedagem, banco de dados, envio de e-mails transacionais, assinatura eletrônica de contratos, pagamentos via PIX e enriquecimento de catálogo musical. Cada integração é acessada com credenciais dedicadas e escopo mínimo necessário. Posso compartilhar a lista atualizada mediante solicitação pelo canal de contato.

Cadastros enviados à Abramus Digital passam também por uma caixa dedicada de monitoramento (subdomínio isolado gerido pela nossa operação), usada apenas para receber automaticamente a confirmação de cadastro e sinalizar pedidos de correção. O acesso a essa caixa exige assinatura criptográfica em cada mensagem e serve exclusivamente ao fluxo interno de acompanhamento; nenhum dado de artista é encaminhado para terceiros nesse processo.

A integração via API com a Abramus costuma aprovar cadastros e devolver códigos oficiais (Abramus e Ecad) em até 3 dias úteis — o cadastro manual tradicional pode levar semanas. O código ISWC é emitido pelo Ecad em conjunto com a CISAC e pode demorar mais, já que depende da filiação de todos os titulares. Nosso sistema reconsulta o ISWC de forma espaçada (15 dias, 30, 2 meses, 4, 8 e depois anualmente) sem custo extra para o titular.

Para direitos fonomecânicos digitais, geramos automaticamente a planilha oficial da Abramus Digital a partir dos dados do cadastro e enviamos por caixa dedicada. O formato é definido pela Abramus Digital; o preenchimento é 100% automatizado no nosso lado, sem edição manual. Metadados de referência (identificadores, intérpretes) são conferidos contra Spotify e Beatport antes do envio para reduzir divergência.

• Relatórios técnicos de erro do cliente e capturas de tela de feedback são retidos por até 7 dias e então apagados automaticamente.
• Execuções de processamento em lote são retidas por até 90 dias para auditoria.
• Obras excluídas do catálogo ficam por 30 dias em uma lixeira interna, com possibilidade de restauração. Depois desse prazo, um processo automático remove os dados em definitivo, preservando os lançamentos financeiros já atribuídos.
• Dados contábeis e fiscais são mantidos pelo prazo legal aplicável.
• Solicitações de exclusão de dados pessoais podem ser feitas pelo canal de contato abaixo.

Operamos em conformidade com a Lei Geral de Proteção de Dados (LGPD). Detalhes sobre finalidades, bases legais e direitos do titular estão na nossa Política de Privacidade e no Portal do Titular.

Suspeitas de vulnerabilidade ou incidente de segurança devem ser comunicadas pelo nosso canal de contato. Investigamos cada relato e, quando aplicável, notificamos os titulares afetados e a ANPD nos prazos exigidos pela LGPD.