A reunião dentro do perímetro da sua empresa.

Este guia diz o que o atta Enterprise entrega hoje, o que exige contrato e como configurar cada parte: bucket S3 próprio, login único, retenção legal, auditoria para o SIEM, proxy e instalação silenciosa no Windows.

Os três níveis

Os recursos do nível 1 vêm no plano Empresa e no Enterprise. Cada um é ligado por um administrador da organização em Configurações → Organização, sem intervenção da Accist. A equipe da plataforma nunca vê o conteúdo das reuniões: tudo é cifrado com uma chave exclusiva da sua organização.

Bucket S3 próprio

Gravações novas (áudio, vídeo e capturas de tela) passam a ser escritas no seu bucket, ainda cifradas com a chave da organização. O que já estava na plataforma continua sendo lido de lá; apagar limpa nos dois lugares. As falas transcritas e a ata ficam no banco da plataforma, também cifradas.

O que você precisa

Campo	AWS S3	MinIO / compatível	Google Cloud Storage
Endpoint	https://s3.us-east-1.amazonaws.com (sua região)	https://minio.empresa.com	https://storage.googleapis.com
Região	us-east-1, sa-east-1…	auto (ou a configurada)	auto
Estilo caminho	desmarcado	marcado	desmarcado
Credencial	Access key de um usuário IAM com a política abaixo	Access key / secret do MinIO	Chave HMAC de uma conta de serviço

Permissões mínimas (AWS IAM)

{ "Version": "2012-10-17", "Statement": [
  { "Effect": "Allow", "Action": ["s3:PutObject","s3:GetObject","s3:DeleteObject"], "Resource": "arn:aws:s3:::SEU-BUCKET/atta/*" },
  { "Effect": "Allow", "Action": ["s3:ListBucket"], "Resource": "arn:aws:s3:::SEU-BUCKET", "Condition": { "StringLike": { "s3:prefix": ["atta/*"] } } }
] }

Use a pasta (atta, no exemplo) no campo Pasta da configuração. Ao salvar, o atta grava, lê e apaga um objeto de prova; se qualquer passo falhar, nada é salvo e a mensagem diz o quê.

Login único (OpenID Connect)

Quem tem e-mail de um domínio da empresa entra pelo provedor de identidade, sem senha no atta. Com entrada automática, a pessoa vira membro na primeira vez; com obrigatório, a senha deixa de valer para os membros.

Endereço de retorno para cadastrar no provedor: https://atta.work/api/auth/sso/callback

Microsoft Entra ID

Entra ID → Registros de aplicativo → Novo registro (tipo Web, URI de redirecionamento acima) → crie um segredo em Certificados e segredos. No atta: issuer https://login.microsoftonline.com/ID-DO-TENANT/v2.0, Client ID = ID do aplicativo, segredo = o valor criado. Em Permissões de API, deixe openid, email e profile.

Google Workspace

Google Cloud Console → APIs e serviços → Credenciais → ID do cliente OAuth (aplicativo da Web) com o URI de redirecionamento acima. Issuer https://accounts.google.com.

Okta, Keycloak e outros

Qualquer provedor OpenID Connect com descoberta (/.well-known/openid-configuration) e tokens RS256 funciona. Issuer = o endereço do realm ou do domínio (ex.: https://empresa.okta.com, https://sso.empresa.com/realms/empresa).

Para ligar o obrigatório, o e-mail de quem está ligando precisa pertencer a um dos domínios informados; isso evita o administrador se trancar para fora. O master da plataforma nunca entra por SSO numa organização que não é dele.

Retenção legal

Com a retenção legal ligada, nada da organização é apagado: nem pela política de retenção do plano, nem pela exclusão manual de uma reunião. Fica registrado na auditoria quem ligou e quem desligou. Use em litígios, auditorias e investigações internas.

Auditoria para o SIEM

Todo evento (login, gravação, acesso a reunião, consulta por IA, mudança de configuração, exportação) fica na auditoria. Um administrador baixa em JSON Lines, uma linha por evento, para o Splunk, Sentinel, Elastic ou outro coletor:

GET /api/org/audit/export?after=0            # primeira carga
GET /api/org/audit/export?after=184233       # continua do último id visto (cabeçalho x-atta-last-id)
GET /api/org/audit/export?since=2026-10-01&until=2026-10-31

Cada linha traz id, at, actor (user, device, master, mcp, system), action, target, meta, ip e o e-mail de quem agiu. A própria exportação gera um evento. Hoje a chamada usa a sessão de um administrador; uma chave de serviço para coleta automática entra no nível 2.

Windows: Intune, GPO e proxy

Instalação silenciosa

O instalador é um único atta-setup.exe, por usuário (sem administrador), que se atualiza sozinho. Para distribuir em massa:

atta-setup.exe --silent          # instala sem janela; o app sobe no próximo logon
atta-setup.exe --uninstall --silent

No Intune, cadastre como aplicativo Win32 com contexto de instalação Usuário, comando de instalação atta-setup.exe --silent e regra de detecção pelo arquivo %LOCALAPPDATA%\Programs\Atta\atta.exe. Em GPO, um script de logon com o mesmo comando. A versão atual está em /download/windows.json.

Proxy

O gravador usa, nesta ordem: a variável ATTA_PROXY; proxy no arquivo %LOCALAPPDATA%\Atta\settings.json (ex.: {"proxy":"http://proxy.empresa.com:8080"}); as variáveis HTTPS_PROXY/HTTP_PROXY; e por fim o proxy das Opções da Internet do Windows. Só precisa de saída HTTPS para atta.work (e atta.accist.cloud).

Pareamento

Cada pessoa conecta o app à própria conta uma vez, com um código de 6 letras mostrado na bandeja e aprovado em Dispositivos. Um administrador vê e revoga dispositivos a qualquer momento.

Sua IA

Em Configurações → IA das atas, a organização aponta o próprio endpoint (Azure OpenAI ou qualquer API compatível com a da OpenAI) e a própria chave. A transcrição, a separação de vozes e a ata passam a ser geradas pelo provedor que a sua empresa contratou; o custo fica com ela e a chave é guardada cifrada.

O que fica onde

Dado	Plataforma	Com bucket próprio (nível 1)	Gateway (nível 2)
Áudio, vídeo, capturas	R2, cifrado por organização	Seu bucket, cifrado	Seu bucket, na sua rede
Falas, ata, decisões, tarefas	D1, cifrado por organização	D1, cifrado por organização	Postgres na sua rede
Chave de criptografia	Chave da organização, protegida pela chave da plataforma	Idem	Seu KMS / Key Vault
Transcrição e IA	Provedor da plataforma	Seu provedor (opcional)	Seu provedor ou modelo local
Identidade	E-mail e senha	Seu IdP (OIDC)	Seu IdP

Falar com a gente sobre o Enterprise →