ForgeTrack armazena o material bruto de declarações fiscais de R&D, pacotes de diligência para investidores e documentação de substanciação de engenharia. Esses dados devem resistir à retenção por múltiplos anos, auditorias adversariais e ao eventual escrutínio de terceiros que não presenciaram sua criação. A arquitetura abaixo descreve como isso é realizado.
Cada camada é independente. Um comprometimento em uma camada não se propaga para as demais.
O isolamento multi-tenant é arquitetural, não apenas configuracional. Cada linha em cada tabela possui um identificador de tenant, cada consulta traz um predicado escopado, e cada exportação é delimitada no nível SQL — não no nível da aplicação. Um erro de classificação em um tenant não pode vazar dados para outro.
Controle de acesso baseado em funções com quatro papéis definidos: proprietário, administrador, membro e visualizador. O nível Enterprise adiciona SSO/SAML com Azure AD, Okta e Google Workspace. Os tokens de sessão têm curta duração, a renovação é auditada e as alterações de permissões são registradas como eventos no mesmo repositório append-only utilizado para Evidence.
O event log GAAIM é, por construção, append-only. A exclusão de um evento não é uma operação suportada; a correção implica registrar um novo evento que referencia o evento corrigido. Cada entrada do log é assinada com um hash de conteúdo SHA-256. Alterações posteriores são detectáveis pela cadeia de hashes.
Cada AI provider opera sob uma credencial por tenant. Não há chaves compartilhadas, nem pool de conexões entre tenants, nem vazamento de prompts entre contextos. As respostas dos AI providers são hashadas e armazenadas como eventos de primeira classe — não como logs de chamadas de API, mas como artefatos de Evidence autônomos.
A tenancy padrão é Azure US. Clientes Enterprise podem solicitar EU (Frankfurt, Dublin) ou UK South durante o onboarding. Todos os dados em repouso são criptografados com chaves gerenciadas pelo cliente no nível Enterprise; níveis inferiores utilizam chaves gerenciadas pela Microsoft com criptografia de envelope por tenant.
Relatórios de segurança são encaminhados para security@forgetrack.io e triados em até 24 horas. Publicamos comunicados para qualquer questão que afete a integridade dos relatórios, isolamento de dados ou autenticação. Cronogramas de divulgação coordenada são negociados caso a caso.
ForgeTrack está em beta público. SOC 2 Type I está em andamento com uma firma de auditoria estabelecida; SOC 2 Type II e ISO 27001 estão no roadmap de compliance para o primeiro ano completo de disponibilidade geral.
HIPAA não está no escopo do produto de disponibilidade geral; clientes do setor de saúde devem tratar ForgeTrack como uma ferramenta não-PHI. Clientes Enterprise com requisitos regulatórios específicos podem definir uma postura customizada em contrato — incluindo BAAs, restrições de residência e infraestrutura dedicada.