Proteções principais
Criptografia em trânsito e em repouso
Todo documento trafega por TLS e é armazenado com criptografia AES-256 (chaves gerenciadas pelo provedor de infraestrutura). Tanto o banco de dados quanto o armazenamento são criptografados em repouso, e o acesso aos arquivos é controlado por segurança em nível de linha por escritório e por links assinados com prazo de expiração.
IA e dados sensíveis
Formulários como W-2, 1099 e documentos de identidade são lidos com o AWS Textract. O arquivo é enviado diretamente para processamento e não fica armazenado em nossa conta AWS, e essa conta está com a exclusão (opt-out) ativada para que a AWS não use o conteúdo dos clientes para desenvolver ou melhorar seus serviços de IA. Quando texto é enviado ao Claude (API da Anthropic) para ler extratos, ler notificações ou redigir rascunhos, os SSNs são totalmente ocultados e números de conta longos ficam só com os quatro últimos dígitos. SSNs e TINs lidos dos documentos são selados com AES-256-GCM, exibidos de forma mascarada e revelados por completo só após a verificação em duas etapas, com registro de auditoria.
Verificação de identidade na assinatura remota (KBA)
Somente quando o escritório ativa a verificação de identidade (KBA) em uma assinatura remota do Formulário 8879, abre-se uma janela do nosso fornecedor BoldSign. O cliente responde ali a perguntas baseadas no histórico de crédito e assina; a BoldSign recebe o nome em inglês e o e-mail do signatário e o documento a assinar. As respostas não passam pelos servidores da TaxPin, e guardamos apenas o resultado (aprovado ou não) e o registro de verificação. Após 3 falhas, a assinatura passa para uma visita presencial ou papel.
Limpeza de arquivos enviados e verificação de vírus
Fotos e PDFs enviados pelos clientes são salvos novamente pelo servidor como arquivos novos. As fotos perdem dados de localização e do aparelho; os PDFs perdem JavaScript, anexos e ações executadas ao abrir. Se o resultado parecer diferente do original, o original é mantido. Depois, todos os arquivos (inclusive os enviados pelo escritório) são verificados com o AWS GuardDuty, e um arquivo enviado pelo escritório só fica visível ao cliente após a verificação. Se houver ameaça, o arquivo é colocado em quarentena, só resta uma página de aviso e o escritório é avisado.
Isolamento total entre escritórios (RLS)
O isolamento multilocatário é imposto pelo Row-Level Security do PostgreSQL, não pelo código da aplicação. Toda consulta em toda tabela é restrita ao escritório, então os dados de outro escritório simplesmente não são retornados. Não só as leituras: as gravações (INSERT/UPDATE) também ficam vinculadas à relação escritório↔cliente.
Links assinados que expiram
Não existem URLs públicas permanentes. Toda visualização e todo download passam por um link assinado que expira em poucos minutos, e o caminho de armazenamento é validado nos segmentos do escritório e do cliente.
Autenticação em dois fatores (MFA · aal2)
A MFA com aplicativo autenticador está disponível tanto para preparadores quanto para clientes. O ponto é o banco de dados, não a interface — depois que um fator é cadastrado, o banco exige uma sessão aal2, então só a senha não dá acesso a nenhum dado.
Log de auditoria à prova de adulteração
Uploads, downloads, exclusões, alterações de perfil, mudanças na equipe, mudanças de consentimento e notas internas são registrados automaticamente. O log é somente de inclusão (append-only) e não pode ser editado nem apagado pela aplicação.
Saída automática
As sessões terminam após 30 minutos de inatividade, para que nada fique aberto em um computador compartilhado ou público.
Nenhum documento por e-mail
Os e-mails de notificação nunca levam anexos — apenas “confira seu portal”. Mesmo uma caixa de entrada comprometida não expõe nenhum documento.
Cabeçalhos de segurança de transporte
Content-Security-Policy, HSTS, X-Frame-Options (proteção contra clickjacking) e nosniff são aplicados em todas as rotas. Segredos exclusivos do servidor (chaves de serviço, SMTP, tokens de SMS) nunca são enviados ao navegador.
O caminho de um único documento
Upload
O cliente tira uma foto; o navegador a envia por TLS. O tipo e o tamanho do arquivo (25MB) são validados, e o caminho de armazenamento fica vinculado àquele cliente e àquele escritório.
Armazenamento criptografado
Armazenado com AES-256. Nenhuma URL pública é criada.
Notificação
O preparador recebe um alerta de “novo documento” — sem anexo, apenas um link para o portal.
Acesso
Somente usuários autorizados o abrem, por um link assinado que expira em minutos. Visualizações e downloads ficam registrados no log de auditoria.
Exclusão
Ao excluir, o documento some para os dois lados, e a própria exclusão fica registrada no log de auditoria.
Quem pode ver o quê
Postura de conformidade
Como o TaxPin atende aos controles exigidos pelas regulamentações de dados fiscais dos EUA.
O guia do IRS para profissionais de impostos sobre a proteção de dados de contribuintes. O sistema dá suporte aos requisitos centrais: criptografia, autenticação multifator, controles de acesso, bloqueio automático e registro de acessos.
Exige controles de acesso, criptografia, autenticação multifator, monitoramento de atividades e gestão de mudanças — atendidos por controle de acesso com RLS, criptografia em trânsito/em repouso, MFA e logs de auditoria.
Nossa Política de Privacidade inclui o aviso de privacidade GLBA.
O TaxPin cobre os controles técnicos do Plano Escrito de Segurança da Informação (WISP) do escritório (criptografia, controle de acesso, MFA, registro de logs), ajudando seu escritório a montar o plano.
Um limite honesto — responsabilidade compartilhada
Se você tiver dúvidas sobre segurança ou precisar de materiais de due diligence, fale conosco a qualquer momento.