Não emprestamos.
A Advanta origina, verifica e acompanha. Não empresta, não define o preço, não decide o crédito nem guarda o dinheiro.
Facto · company.role
Segurança, evidência e dados, tal como são.
Como a plataforma protege os dados, guarda evidência que o seu auditor pode recalcular e se mantém disponível. Cada afirmação vem do nosso registo de factos.
Cada afirmação desta página vem do nosso registo de factos e é verificada na plataforma em produção antes de cada versão.
[01] Quem somos
A Advanta é software. Não empresta.
[02] Segurança
Regras que a base de dados impõe, não o ecrã.
Segurança ao nível da linha em todas as tabelas.
Todas as tabelas da base de dados da plataforma têm segurança ao nível da linha. Os dois papéis que um navegador pode usar só escrevem numa tabela onde uma regra ao nível da linha o permite, e nenhuma função de gatilho pode ser chamada de fora. Uma autoverificação noturna pede à base de dados as exceções e não pode encontrar nenhuma.
Facto · security.least_privilege
Autenticação de dois fatores para financiadores.
Um financiador entra com uma palavra-passe e uma app autenticadora. A base de dados recusa dados de financiador a uma sessão que não introduziu um código, e as funções do servidor que agem por um financiador verificam o mesmo, perguntando à base de dados em nome de quem chama.
Facto · security.mfa
Regras de financiamento na base de dados.
As regras de financiamento aplicam-se em todos os caminhos da app, da API e da consola da equipa. Nenhum ecrã e nenhuma chamada à API as contornam.
Facto · gate.db_session
Cada financiador vê só os seus pedidos.
Um financiador vê só os pedidos encaminhados para ele ou em que já agiu. É segurança ao nível da linha em pedidos, propostas, faturas e certificados, não um filtro no ecrã.
Facto · funder.isolation
[03] Onde estão os seus dados
Na UE, na Irlanda.
Cada subcontratante, o que faz e onde, está na nossa página de subcontratantes; como usamos dados pessoais está na nossa política de privacidade.
Alojado na UE.
Todos os dados da plataforma estão guardados na UE: Supabase na AWS, na Irlanda (eu-west-1), com os dados de cada empresa separados por segurança ao nível da linha.
Facto · hosting.region
[04] Evidência
Registos que o seu auditor pode recalcular.
As raízes publicadas e os seus carimbos temporais estão na página de evidência.
Um registo de evidência encadeado por hash.
Cada entrada do registo de evidência das cessões leva o SHA-256 do seu próprio conteúdo e o hash da entrada anterior. O seu auditor pode recalcular a cadeia inteira.
Facto · evidence.cession_chain
Selado todas as noites.
Todas as noites as entradas do dia são seladas numa raiz que leva a raiz do dia anterior, todos os dias desde 17 de setembro de 2026.
Facto · evidence.cession_anchors
Também o programa de comprador.
O registo de auditoria do programa de comprador também é encadeado por hash, uma cadeia por comprador, e selado todas as noites numa raiz que leva a do dia anterior.
Facto · evidence.buyer_audit_log · evidence.buyer_anchors
Carimbo temporal de duas autoridades externas.
Todos os dias as raízes seladas nesse dia são publicadas, sem dados de empresas nem dados pessoais, e recebem um carimbo temporal da DigiCert e da Sectigo (RFC 3161). Qualquer pessoa pode verificar um token com openssl ts -verify.
Facto · evidence.external_timestamp
Certificados só de leitura.
Os certificados de aceitação são só de leitura para vendedores, compradores e financiadores: nenhum caminho na plataforma insere, edita ou apaga um certificado. O seu estado só muda com o ciclo da notificação, e cada mudança fica escrita no registo de evidência.
Facto · evidence.certificates_read_only
[05] Resiliência
Ensaiado, vigiado e registado.
Um restauro completo, ensaiado.
A 26 de setembro de 2026 restaurámos uma cópia completa da base de dados de produção num contentor isolado, sem rede. Demorou 7,1 segundos, as 284 tabelas coincidiram todas com a origem, e as duas cadeias de evidência verificaram-se na cópia. O ensaio está agendado para se repetir no dia 1 de cada mês.
Facto · ops.restore_drill
Cada serviço verificado a cada 5 minutos.
8 verificações cobrem a app de empresas, o portal do financiador, as páginas dos devedores, as notificações de cessão, a API para financiadores e o site. Duas verificações falhadas seguidas abrem um incidente e alertam a nossa equipa de operações; a página de estado pública mostra 6 componentes e o histórico de incidentes.
Facto · ops.monitoring
Cada interruptor, com quem e porquê.
A nossa equipa de operações vê todos os interruptores da plataforma numa só página, com quem mudou cada um pela última vez, quando e porquê. Uma mudança feita aí exige um motivo escrito e fica registada na cadeia de evidência.
Facto · ops.switches_board
[06] Privacidade
Uma regra de retenção para cada registo pessoal.
Retenção por regra.
Um motor de retenção tem 63 políticas, que cobrem todos os tipos de registo com dados pessoais, e um teste falha se uma tabela com dados pessoais não tiver nenhuma. Registos técnicos, sessões, dados de análise e ficheiros temporários são apagados no prazo definido, e o que chega à caixa de faturas de uma empresa é apagado 90 dias depois de chegar.
Facto · privacy.retention
Retenção legal e apagamento.
Uma retenção legal impede qualquer apagamento. Um pedido de apagamento mantém só os registos que a lei exige, para a prevenção do branqueamento de capitais e para a contabilidade, com acesso restrito.
Facto · privacy.retention
[07] Verificação de conformidade
Verificado nas listas oficiais, todos os dias.
Verificação de sanções, atualizada todos os dias.
Cada empresa, o seu representante e os beneficiários efetivos, os devedores dos seus pedidos e os fornecedores de um programa de comprador são verificados nas listas oficiais de sanções da UE, da ONU, do Reino Unido e dos EUA (4 listas), descarregadas todos os dias para a nossa própria base de dados. Uma lista não atualizada há 48 horas conta como indisponível, por isso a verificação falha de forma fechada, e uma possível correspondência trava o encaminhamento, as propostas e o financiamento até uma pessoa decidir com um motivo escrito.
Facto · kyc.sanctions_screening
Os documentos de identidade ficam com pessoas.
Os documentos de identidade e as selfies nunca são enviados a um fornecedor de IA: uma pessoa na Advanta verifica-os. Os documentos da empresa são lidos por um modelo de IA para ajudar quem revê, que decide.
Facto · kyc.identity_documents_not_ai
O crédito e o preço nunca são decididos pela IA.
A Advanta não decide o crédito nem define preços, e a sua IA também não. Cada fatura e cada processo de empresa são verificados automaticamente e explicados; o que levanta dúvidas vai para uma pessoa, e a aprovação fica sempre com uma pessoa.
Facto · company.role · engine.autonomous_ops
Cada pontuação indica a sua versão.
Cada pontuação guardada regista a versão do modelo que a produziu, e cada versão regista quem a aprovou e porquê.
Facto · score.versioned
[09] Pacote DORA do fornecedor
O pacote do fornecedor, para a sua equipa de risco.
Um pacote de due diligence tecnológica para a equipa de risco de um financiador: o pacote DORA de fornecedor terceiro, que cobre o fornecedor, os serviços e os dados, os subcontratantes, os controlos de segurança, a resiliência, os incidentes, a auditoria e a saída, e um extrato do registo de informação, com cada afirmação marcada com o seu estado. Disponível para a equipa de risco de um financiador, a pedido, sob NDA.
Facto · security.dd_pack · company.contact
Pedir o pacote →
Ou escreva para diogo@advanta.pt. O pacote é enviado à equipa de risco de um financiador; não é um download público.