George El-Hage
Resumindo: uma plataforma segura de cartão de visita digital deve apresentar um relatório SOC 2 Type II, criptografar dados em repouso e em trânsito, oferecer suporte a login único via SAML e provisionamento SCIM, além de assinar um DPA (Acordo de Processamento de Dados) para o GDPR. Cada compartilhamento de cartão é um ponto de contato de dados (nome, telefone, e-mail, cargo, empresa) que passa por uma plataforma de terceiros. Por isso, trate o fornecedor como qualquer outro sistema que armazena dados de clientes. Se você estiver avaliando cartões de visita digitais seguros para a sua empresa, coloque isso como o primeiro item do seu checklist, e não como uma preocupação secundária.
Neste guia, vou mostrar exatamente o que perguntar aos fornecedores, quais sinais de alerta observar e como é uma plataforma verdadeiramente segura. Já participei de dezenas dessas avaliações do outro lado da mesa, então sei com o que as equipes de TI realmente se importam — e onde a maioria das plataformas deixa a desejar.
- Checklist de segurança: 8 perguntas que toda equipe de TI deve fazer antes de escolher um fornecedor
- Navegador vs. aplicativo: Por que a arquitetura importa mais do que promessas de marketing
- Sinais de alerta: Indícios de que um fornecedor não é tão seguro quanto diz
- Requisitos por setor: O que equipes financeiras, de saúde, jurídicas e de seguros precisam especificamente
Por que a segurança dos cartões de visita digitais deve estar no radar da sua TI
Algo que ouço com frequência de diretores de TI é: "É só um cartão de visita — qual o risco?"
Mais arriscado do que você imagina. Um cartão de visita digital não é um arquivo de imagem estático. É uma troca de dados em tempo real — informações de contato, métricas, integrações com CRM, diretórios de funcionários — tudo passando pela infraestrutura de um fornecedor. Em uma empresa de 500 pessoas, são centenas de interações de dados por semana trafegando por uma plataforma que a sua equipe de segurança talvez nunca tenha avaliado.
De acordo com o relatório Cost of a Data Breach 2024 da IBM, o custo médio global de uma violação de dados passou de US$ 4,88 milhões. Esse número sobe ainda mais em setores regulamentados, como saúde e serviços financeiros. Você não precisa de uma violação catastrófica para isso se tornar um problema — até mesmo um pequeno desvio no tratamento de dados pode gerar dores de cabeça de conformidade que levam meses para serem resolvidas.
💡 Pela minha experiência: No final de 2024, uma empresa de serviços financeiros me pediu o relatório completo do nosso SOC 2 Type II antes mesmo de iniciar um teste. Eles haviam tido uma péssima experiência com um fornecedor anterior que prometia "segurança de nível bancário" no site, mas não conseguiu apresentar nenhuma auditoria independente. Essa conversa foi a grande inspiração para este guia.
O problema? A maioria das plataformas diz ser "segura" no marketing sem ter certificações comprovadas para sustentar isso. Um ícone de cadeado no site não significa muita coisa. Então, vamos ao que você realmente deveria perguntar.
Checklist de segurança para compradores corporativos (8 perguntas para fazer)
Reuni as 8 perguntas que eu faria se estivesse do seu lado da mesa. Imprima esta lista, leve para a próxima reunião com o fornecedor e não assine nada antes de obter respostas claras para todas elas. 📋
- O fornecedor possui certificação SOC 2 Type II?
Não basta dizer "em conformidade com SOC 2" — essa expressão não garante nada. SOC 2 Type II significa que um auditor independente verificou os controles ao longo de um período contínuo (geralmente de 6 a 12 meses). Peça para ver o relatório real. - Quais padrões de criptografia são utilizados?
Você deve procurar criptografia AES-256 em repouso e TLS 1.2 ou superior em trânsito (o TLS 1.3 é o padrão atual). Se o fornecedor não souber especificar os padrões de criptografia utilizados, acenda o sinal de alerta. - Como funciona a autenticação?
No nível corporativo, é indispensável ter integração SSO — Okta, Azure AD, Google Workspace — além de suporte a MFA. Se os funcionários precisarem de mais uma senha isolada, você acabou de criar uma brecha de shadow IT. - A plataforma funciona no navegador ou por aplicativo?
Isso importa muito mais do que a maioria imagina. Vou detalhar isso na próxima seção, mas resumindo: baseada em navegador = menos vetores de ataque e zero permissões de aplicativo para gerenciar. - É possível provisionar e desprovisionar usuários de forma centralizada?
Quando alguém sai da empresa na sexta-feira, você consegue revogar o acesso ao cartão até a tarde do mesmo dia? Importação em massa via Excel/CSV e desligamento imediato não são mimos — são requisitos essenciais de segurança. - Quais certificações de conformidade o fornecedor possui?
Além do SOC 2, a conformidade com o GDPR com um DPA assinado é o que a maioria das equipes exige. Alguns setores também pedem conformidade com a ISO 27001 ou HIPAA; por isso, confira o que as suas políticas internas exigem. - O fornecedor oferece domínios personalizados (white-label)?
Hospedar os cartões no seu próprio subdomínio (cartao.suaempresa.com, em vez de fornecedor.me/seunome) mantém a sua marca em cada link compartilhado pelos colaboradores. - Você pode solicitar relatórios de auditoria e documentação de resposta a incidentes?
Qualquer fornecedor que valha a pena considerar deve fornecer o plano de resposta a incidentes, o DPA e a política de notificação de violações sem hesitar. Se hesitarem, descarte.
Recomendo pontuar cada fornecedor nesses oito itens. Pode parecer trabalhoso, mas vai poupar uma migração traumática no futuro. Se você gerencia cartões de visita digitais para equipes, este checklist é ainda mais crítico — afinal, você é responsável pelos dados de cada colaborador.
Navegador vs. aplicativo: a diferença de segurança de que ninguém fala
Esta é a parte em que vou dar uma opinião bem direta. 😬
A maioria das plataformas de cartão de visita digital exige um aplicativo móvel. Esse aplicativo pede permissões: acesso aos contatos, câmera, localização, armazenamento. Cada permissão é um vetor de ataque. Cada permissão é algo que a sua equipe de TI precisa aprovar, gerenciar e monitorar.
Já as plataformas baseadas em navegador funcionam de forma diferente. O cartão existe como uma página da web. Quem o recebe abre direto no navegador padrão — sem download, sem instalação e sem pedidos de permissão. O sandbox do navegador isola a sessão do restante do dispositivo.
Veja por que isso faz toda a diferença para a segurança corporativa:
- Sem aplicativo para invadir: Vulnerabilidades das lojas de apps, explorações a nível de aplicativo e engenharia reversa são completamente eliminadas
- Sem excesso de permissões: Uma página no navegador não precisa de acesso aos seus contatos, câmera ou localização
- Aprovação de TI mais simples: Sem aplicativo, não há configuração de MDM, processo de aprovação em lojas de apps nem gestão de versões
- Conformidade mais tranquila com o GDPR: Menos pontos de coleta de dados significam menos itens para declarar na sua política de privacidade
💡 Pela minha experiência: Uma equipe de TI da área da saúde me contou que a implementação mais demorada deles foi a de um aplicativo de cartões que solicitava acesso total aos contatos — algo inaceitável para um hospital que lida com dados de pacientes. Um cartão que abre diretamente no navegador elimina essa barreira para quem o recebe.
A integração com a Apple Wallet adiciona outra camada importante aqui. Cartões salvos na Apple Wallet aproveitam a segurança nativa do iOS — armazenamento criptografado e desbloqueio biométrico — sem depender de nenhum app de terceiros. É o melhor dos dois mundos: acesso offline com a segurança nativa do dispositivo.
Não estou dizendo que aplicativos são ruins por definição. Mas, se a sua equipe de segurança precisa avaliar a superfície de ataque, uma plataforma baseada em navegador oferece uma exposição muito menor. Isso é pura lógica técnica, não discurso de marketing. Para ver uma análise detalhada de como plataformas baseadas em navegador e em aplicativo se comparam, detalhei isso separadamente. Veja também a nossa comparação com a V1CE para ver um exemplo prático de plataforma sem certificação SOC 2.
Como é, de fato, uma plataforma corporativa segura
E o que acontece quando uma plataforma realmente cumpre todos os requisitos dessa lista? Vou mostrar o que construímos no Wave Connect — não para vender, mas porque acho útil ver como é "cumprir todos os requisitos" na prática. 🔐
Estrutura de conformidade: O Wave Connect possui atestado SOC 2 Type II que cobre segurança, disponibilidade e confidencialidade, está listado no registro STAR da Cloud Security Alliance no Nível 1 e está em conformidade com o GDPR, com DPA (Data Processing Agreement) disponível. Auditorias de segurança independentes são realizadas pelo menos uma vez por ano, e compartilhamos nosso relatório SOC 2 mediante solicitação.
Criptografia e hospedagem: Criptografia AES-256 em repouso e TLS 1.3 em trânsito. Os dados dos clientes ficam hospedados no Google Cloud nos Estados Unidos, e as informações de cada organização são isoladas logicamente, com controle de acesso baseado em funções para impedir o acesso entre diferentes contas.
Autenticação: SSO via SAML com Okta, Azure AD ou Google, além de provisionamento automatizado por SCIM no plano Enterprise. Seus colaboradores usam as credenciais que já possuem.
Provisionamento de usuários: A importação em massa via Excel permite implementar centenas de cartões em minutos. Quando alguém sai da empresa, você desativa o usuário diretamente no painel de administração: o cartão é desativado imediatamente e os contatos coletados permanecem na sua organização. Sem contas órfãs ativas por aí.
💡 Pela minha experiência: Um administrador de TI corporativo me contou que a importação em massa substituiu o que costumava ser uma implementação de meses na plataforma anterior, que exigia a instalação de um aplicativo e configuração manual para cada usuário.
Domínios personalizados: seus cartões podem ficar no seu próprio subdomínio (cartao.suaempresa.com) em vez do nosso, garantindo que todo link compartilhado pela sua equipe leve a sua marca. Além disso, o Wave Connect nunca aborda as pessoas com quem sua equipe compartilha cartões, evitando que seus contatos virem leads de terceiros.
Arquitetura baseada em navegador: Nenhum aplicativo para passar por avaliação de TI, nenhuma permissão de app para gerenciar e nenhuma vulnerabilidade de lojas de aplicativos para monitorar. Quem recebe o cartão não precisa baixar nada — nunca.
Se você está avaliando as diferenças entre planos gratuitos e pagos entre as plataformas, lembre-se de que muitos fornecedores restringem recursos de segurança apenas aos planos Enterprise. Verifique o que realmente está incluído antes de comparar preços.
Sinais de alerta: quando descartar um fornecedor
Sejamos sinceros: nem toda plataforma que diz ser "segura" na página inicial realmente é. Veja ao que você deve ficar atento. 🚩
- "Conformidade com SOC 2", mas sem relatório disponível: O SOC 2 Type II é uma auditoria específica com um relatório detalhado. Se a empresa não puder apresentar o relatório, ela simplesmente não tem essa certificação. Ponto final.
- O aplicativo solicita permissões desnecessárias: Acesso total aos contatos, rastreamento de localização e câmera para um cartão de visita? Isso é coleta excessiva de dados, não funcionalidade.
- Sem Data Processing Agreement (DPA): Se eles não conseguem fornecer um DPA, não levaram o GDPR a sério. Fuja.
- Sem plano de recuperação de desastres: Pergunte como fazem o backup dos dados e como se recuperam de uma interrupção.
- Sem painel de administração centralizado: Se você não consegue gerenciar os usuários em um só lugar, também não consegue garantir a segurança deles de forma centralizada.
- Prazos vagos para exclusão de dados: O Artigo 17 do GDPR garante o direito ao esquecimento. Se o fornecedor leva mais de 30 dias para processar exclusões, isso é um risco de conformidade.
- Sem plano de resposta a incidentes: Peça a política de notificação de violação de dados. Se não houver um documento formal, a empresa não está pronta para o mercado corporativo.
Já vi fornecedores apresentarem vários desses problemas e ainda assim fecharem contratos porque o comprador não sabia o que perguntar. É exatamente por isso que escrevi este guia. Equipes de médio porte que estão avaliando sua primeira plataforma podem começar com o Wave for Teams e fazer upgrade para o Enterprise à medida que as exigências de conformidade aumentarem.
Requisitos de segurança específicos por setor
Nem todo setor tem o mesmo nível de exigência de segurança. Veja o que mais importa nos segmentos com os quais trabalho com frequência:
Serviços financeiros
O SOC 2 Type II é o mínimo indispensável. Você também precisará de alinhamento com a MiFID II se operar na Europa, SSO obrigatório (sem MFA opcional — deve ser mandatório) e uma plataforma que não force a aprovação de um app pelo processo de TI do seu banco. Pela minha experiência, implementações baseadas em navegador passam pelas análises de conformidade com muito mais rapidez.
Saúde
Estar em conformidade com a HIPAA é inegociável. Mesmo que um cartão de visita em si não contenha informações de saúde protegidas (PHI), a infraestrutura da plataforma precisa atender aos padrões da HIPAA por lidar com dados de colaboradores dentro de uma entidade coberta. Pergunte em quanto tempo o fornecedor notifica os clientes em caso de incidente e compare com suas próprias políticas e com os padrões do framework NIST que sua equipe de segurança segue.
Setor jurídico
O sigilo profissional entre advogado e cliente abrange qualquer elemento que possa identificar uma relação com clientes. O direito à exclusão de dados de clientes que encerram o contrato é fundamental. Domínios white-label são praticamente obrigatórios: o cartão de um escritório de advocacia deve residir em seu próprio domínio, reforçando a confiança e a soberania dos dados.
Seguros
O SOC 2, somado a regulamentações regionais e setoriais, cria um conjunto complexo de exigências. Isso inclui proteção dos dados dos segurados, verificação de licenças de corretores e provisionamento centralizado para que os responsáveis pelo compliance possam auditar a qualquer momento quem possui cartões ativos.
💡 Pela minha experiência: Já trabalhei com empresas em todos esses quatro setores. A maior economia de tempo de todas? Ter a documentação de auditoria pronta antes da primeira conversa com o fornecedor. Todo cliente de setor regulamentado que atendi pediu nosso relatório SOC 2 nas primeiras 48 horas. Se um fornecedor não puder entregá-lo de imediato, ele não está pronto para o mercado corporativo.
Perguntas frequentes: segurança de cartões de visita digitais para o mercado corporativo
Pronto para implementar cartões de visita digitais seguros?
Certificação SOC 2 Type II e conformidade com o GDPR, com SSO via SAML, provisionamento por SCIM e domínios personalizados. Veja como o Wave Connect Enterprise atende a todos os critérios da sua análise de segurança.
Conheça as soluções EnterpriseSobre o autor: George El-Hage é o fundador da Wave Connect, uma plataforma de captura de leads em eventos com cartão de visita digital completo e integrado, usada por mais de 200.000 profissionais e equipes. Com mais de 6 anos de experiência desenvolvendo infraestrutura de segurança corporativa para cartões de visita digitais, George trabalha diretamente com diretores de TI e CISOs na implementação de soluções em conformidade para os setores financeiro, de saúde, jurídico e de seguros. A Wave Connect tem certificação SOC 2 Type II e oferece suporte a SSO via SAML com Okta, Azure AD e Google. Conecte-se com George no LinkedIn.
