A pergunta que mais aparece em avaliações de segurança não é "vocês têm 2FA?", mas sim "quem consegue exportar os dados de contagem depois de autenticado?". A autenticação de dois fatores protege a porta de entrada, mas o valor real para times de compliance está no que acontece depois do login — nos registros de acesso, na granularidade de permissões e na forma como a plataforma analítica trata dados que, no caso de contagem de pessoas bem projetada, nem sequer identificam indivíduos.
Há duas leituras válidas, e vale separá-las. A primeira é a análise habilitada pelo 2FA: dashboards de varejo, contagem de visitantes e métricas de conversão que exigem segundo fator para acesso. A segunda é a análise sobre o próprio 2FA: relatórios de tentativas de login, falhas de fator, dispositivos registrados e padrões de acesso anômalos. Para diretores de TI, ambas importam. Você quer que os painéis de negócio estejam protegidos por segundo fator e, ao mesmo tempo, quer visibilidade sobre quem tentou entrar e como.
Boa pergunta, e a resposta desmonta um mal-entendido comum. A contagem de pessoas feita corretamente — como a da Vemco — não identifica indivíduos: exclui funcionários, entrega apenas números agregados e foi desenhada para conformidade com a LGPD e o GDPR. Mesmo assim, o agregado tem valor comercial e operacional considerável. Fluxo por hora, taxa de conversão por loja, comparativos entre unidades: isso é inteligência competitiva. O 2FA não protege dados pessoais nesse caso — protege dados de negócio. E, para times de compliance, o segundo fator continua sendo exigência de políticas de acesso a sistemas corporativos independentemente da classificação do dado.
A ordem de preferência, na maioria das implementações corporativas, é:
Observação de quem já implementou: o gargalo raramente é técnico. É o cadastro em lote de dezenas de gerentes de loja que trocam de aparelho com frequência. Planeje um fluxo de recuperação de conta antes de ativar o 2FA obrigatório, ou seu help desk vai passar as duas primeiras semanas resetando fatores.
Não, e confundi-los custa caro em auditorias. SSO (login único, geralmente via SAML ou OIDC) centraliza a identidade; o 2FA adiciona o segundo fator a essa identidade. O cenário ideal para o comprador corporativo é que a plataforma analítica delegue a autenticação ao seu provedor de identidade — assim o segundo fator, a política de senhas e o desligamento de contas ficam sob seu controle, não do fornecedor. Verifique com o fornecedor se há suporte a SSO/SAML antes de assumir que existe; nem toda plataforma de varejo oferece isso de forma nativa.
Um checklist mínimo para o time de segurança avaliar qualquer fornecedor:
A capacidade de exportar para o SIEM é o que separa um recurso decorativo de um controle auditável. Sem isso, seus registros de 2FA ficam presos ao fornecedor e inúteis em uma investigação.
Residência e retenção de dados são as perguntas que procurement esquece de fazer até o contrato estar assinado. A Vemco oferece implantação em nuvem hospedada ou em nuvem privada, com integração aos sistemas de TI existentes — o que dá margem para alinhar a solução às suas exigências de localização de dados. Especifique no contrato o local de armazenamento e os prazos de retenção dos logs de acesso. Confirme diretamente com o fornecedor os detalhes de residência, retenção e quaisquer certificações relevantes antes de decidir; não presuma.
Diretamente, não. O 2FA controla quem entra; a precisão da contagem depende de sensores, iluminação, layout da loja e comportamento dos visitantes. Vale ser honesto sobre isso: a Vemco trabalha com um mínimo contratual de 96% de precisão, chegando tipicamente a 98–99% quando as condições permitem. Nenhum fornecedor sério promete um número fixo garantido em toda situação. O ponto de convergência entre segurança e precisão é a integridade dos dados: acesso mal controlado abre espaço para alterações não rastreadas, e aí a acurácia do sensor deixa de importar porque você não confia mais no que está no relatório.
Escala impõe disciplina. Uma empresa que atende mais de 2.000 clientes em mais de 95 países desde 2005 lida com regimes regulatórios diferentes ao mesmo tempo. Isso muda a conversa: você não está avaliando um recurso isolado de 2FA, mas se o fornecedor entende que controle de acesso, privacidade e integração com seus sistemas de identidade são parte do mesmo problema. Para o comprador corporativo, essa maturidade operacional pesa mais do que qualquer lista de funcionalidades.