Como o Symmi protege sua empresa.

• Quatro camadas de permissão

  Piso do Symmi, política da sua empresa, limites do agente e confiança por ação. O proibido em qualquer camada vence.

• A trava de aprovação está no código

  Uma ação que precisa de aprovação fica parada até alguém aprovar. O agente nunca aprova ações sensíveis (código, permissões, configuração) nem algo que a pessoa ainda não viu.

• Quem dá confiança é uma pessoa, e ela cai sozinha

  Toda ação começa em Pergunta antes. Só um admin a eleva, nunca acima do teto da empresa, e se ela falha ou alguém recusa, volta para Pergunta antes.

• Orçamentos com teto

  Cada agente tem um orçamento: avisa em 75% e 90%, e para em 100%.

• Aprovadores nomeados, exigidos

  Cada aprovação só pode ser dada pelas pessoas nomeadas no agente.

• Segundo fator por valor

  Acima do valor que sua empresa define, aprovar pede segundo fator.

• O que é externo chega marcado

  Tudo o que uma ferramenta devolve chega ao modelo marcado como dado não confiável, e é escaneado em busca de instruções injetadas, texto oculto e letras disfarçadas.

• Com conteúdo externo à vista, volta a perguntar

  Se o agente tem no contexto algo que veio de fora, as ações que faria sozinho voltam a pedir aprovação.

• Respostas sem segredos

  Cada resposta é revisada antes de sair, e bloqueada se levar um token ou uma chave.

• Testes e sombra sem efeitos

  Enquanto o juiz testa um agente ou ele roda na sombra, suas escritas são registradas em vez de executadas.

• Separação por empresa no código

  Dados, memória, ferramentas, conexões e trabalhos em segundo plano são filtrados por empresa em cada consulta. O banco não entrega nada à chave pública do aplicativo.

• Suíte de isolamento contra produção

  Duas empresas de teste tentam ler e escrever uma na outra em produção, com segundo fator. A última execução, em 23 de setembro, passou 92 de 92.

• Contas pessoais privadas

  As contas que cada pessoa conecta são usadas só pelos agentes dela; nem a TI nem o time do Symmi podem lê-las.

• Chaves de criptografia por empresa

  Cada empresa tem a própria chave para criptografar seus dados.

• Sem senhas

  Cada acesso usa um código ou link de uso único, e cada sessão é verificada pela assinatura.

• Segundo fator obrigatório

  TOTP para entrar. Sem segundo fator, a API não responde.

• Lista de acesso que falha fechada

  Se você não está na lista, ou se a lista não pode ser lida, não entra.

• Papéis

  Leitura, operador e administrador. Leitura não muda nada; só um admin muda a política, dá confiança ou exporta o registro.

• SSO e SCIM

  Login com Entra ID, Google Workspace ou Okta (SAML ou OIDC), e pessoas por SCIM.

• Eventos de segurança por empresa

  Injeções detectadas, ações proibidas, escalonamentos e mudanças de política, com severidade. Só um admin os marca como verificados.

• Mudanças de política com autor e motivo

  Cada mudança guarda como estava, como ficou, quem fez, com que papel e por quê.

• Quem aprovou cada ação

  Cada aprovação guarda quem aprovou e quando.

• Exportar o registro

  Um admin baixa até 365 dias em CSV ou JSON, e a exportação também fica registrada.

• Envio para o seu SIEM

  O registro chega ao vivo no seu SIEM.

• Retenção sob medida

  Sua empresa escolhe por quanto tempo o registro é guardado.

• Banco de dados

  Um banco de dados gerenciado, no oeste dos Estados Unidos.

• Aplicativo

  Uma nuvem gerenciada, na região oeste dos Estados Unidos.

• HTTPS em todo o tráfego

  Toda conexão com o Symmi é criptografada com TLS.

• Criptografia em repouso

  O banco de dados é criptografado em repouso (AES-256).

• Cópias do banco

  Cópias automáticas do banco, todos os dias.

• Credenciais

  Os tokens que o Symmi guarda são criptografados no aplicativo com uma chave que pode ser trocada. Os acessos OAuth aos seus apps ficam com um provedor de conexões, não com o Symmi.

• Escolher a região

  Sua empresa escolhe em que região ficam os dados.

• Nos seus servidores, com suas chaves

  O mesmo Symmi instalado na sua infraestrutura, com suas próprias chaves de API.

• Apagar ou exportar tudo

  Um admin apaga ou exporta todos os dados da empresa pelo console.

• Logs sem conteúdo de clientes

  Os logs técnicos não guardam trechos de mensagens nem endereços de e-mail.

• Um pool de provedores

  Vários provedores, pelas APIs. O Symmi escolhe o modelo de cada passo entre os que sua empresa permite, e a memória usa os embeddings de um deles.

• Provedores permitidos por empresa

  Sua empresa escolhe quais provedores podem ser usados.

• Sem retenção nos provedores

  Com os provedores que oferecem, acordos de retenção zero de dados.

O nome de cada provedor, com o contrato e a região, vai no acordo de tratamento de dados que assinamos com você.

• Questionários de segurança

  Respondemos com esta página e com a arquitetura.

• Acordo de tratamento de dados

  Assinamos um acordo de tratamento de dados com cada cliente.

• SOC 2 e ISO 27001, a caminho

  Auditorias externas dos nossos controles.

• Testes de invasão externos, a caminho

  Um time externo ataca o Symmi, e compartilhamos o resumo com cada cliente.