Penpot

Visão geral

A plataforma Penpot aproxima design e desenvolvimento por meio de formatos baseados em padrões web como SVG, CSS, Flexbox, Grid, JSON e formatos inspecionáveis, com opção SaaS ou self-hosted e menor lock-in. É uma plataforma web open-source para design de interfaces, prototipação, design systems e colaboração entre designers, desenvolvedores e agentes de IA.

Destaques

• Editor vetorial
• Flex Layout
• Grid Layout
• Componentes
• Variantes
• Design tokens
• Limite de tokens
• Bibliotecas e templates
• Prototipação
• Colaboração
• Inspect mode
• Code output
• Exportação de ativos
• Formato .penpot
• Backup portátil
• Migração Figma
• Papéis de equipe
• Organizações Enterprise
• SSO
• Autenticação self-host
• SCIM
• MFA
• Administração
• Plugins
• Governança de plugins
• API
• Webhooks
• MCP
• MCP remoto
• MCP local
• Casos de IA
• Risco de IA
• Limitações de experiência
• Roadmap

Contratação

Preço sob consulta.

Pedir proposta de Penpot

Requisitos

Navegador moderno; Conectividade estável; Hardware adequado; Domínio/e-mail; IdP quando aplicável; Políticas de conteúdo/compartilhamento; Linux; Docker e Docker Compose; DNS; Proxy e HTTPS; Kubernetes e opções gerenciadas (também documentados); Aplicação Penpot; PostgreSQL; Armazenamento de objetos/arquivos (filesystem ou S3 compatível)

Perguntas frequentes

O que é Penpot?

Uma plataforma web open-source para design de interfaces, protótipos, design systems e colaboração entre design e desenvolvimento.

É gratuito?

Há Professional cloud e self-host gratuitos. Planos pagos adicionam capacidade, histórico, suporte e governança. Infraestrutura e operação self-host nunca são custo zero.

Qual é a licença?

O repositório principal usa MPL-2.0. Recursos comerciais Enterprise, marca e serviços seguem seus próprios termos.

Pode substituir o Figma?

Pode em cenários adequados, mas não automaticamente. É obrigatório testar migração, desempenho, bibliotecas, plugins, handoff, colaboração e adoção.

Qual é o maior diferencial?

A combinação de código aberto, self-hosting, formatos abertos, Flex/Grid, design systems e MCP bidirecional.

Funciona no Brasil?

O cloud é acessível globalmente e self-host pode ser implantado no país; entidade local, cobrança em BRL, suporte PT-BR e canal não foram confirmados.

Os dados ficam no Brasil?

Não no cloud padrão conforme evidência consultada. Self-host permite região escolhida; Enterprise cloud cita escolha de região, que deve ser contratada.

É compatível com LGPD?

Pode apoiar conformidade, mas não a garante. São necessários contrato, DPA, papéis, transferência, retenção, segurança e governança.

A Penpot é SOC 2 certificada?

Não há evidência pública suficiente para afirmar isso. “SOC2 capable/compatible” em self-host não equivale a relatório SOC 2 da Penpot.

É HIPAA compliant ou FedRAMP authorized?

Não afirmar. A documentação fala em implantação compatível/capaz no ambiente do cliente e informa que o cloud não possui autorização FedRAMP.

Qual é o SLA?

Não foi localizado SLA público verificável. Disponibilidade, créditos, suporte, RTO/RPO e exclusões são gates contratuais.

Tem SSO?

Sim, recursos comerciais citam SAML SSO e self-host suporta OIDC/LDAP. Confirmar protocolo e escopo por plano/deployment.

Tem SCIM?

A evidência pública é inconsistente: não aparece claramente na matriz oficial, embora blog do fabricante o mencione. Exigir demonstração e contrato.

Tem MFA/2FA?

Pode herdar MFA do IdP; 2FA nativo self-host aparece como “coming soon”. Não vender como recurso GA.

Quais papéis existem?

Viewer, Editor, Admin e Owner, com capacidades progressivas; Enterprise adiciona organizações e permissões avançadas.

É acessível?

O guia de desenvolvimento prescreve boas práticas WCAG/semântica, mas não foi localizado VPAT/ACR público. Teste WCAG 2.2 AA é obrigatório.

Como migrar do Figma?

Por exporter oficial e processos de importação; espere ajustes. Faça inventário, piloto representativo, validação e rollback.

O arquivo é realmente aberto?

O .penpot é um ZIP com JSON legível e ativos, e a plataforma usa padrões web. Isso aumenta portabilidade, mas não elimina conversões.

Gera código pronto?

Fornece CSS/SVG, propriedades e assets para handoff; código de produção ainda exige arquitetura, componentes, testes e revisão.

Como funcionam design tokens?

Tokens, referências, sets e themes estruturam decisões de design e seguem o draft DTCG. A API de tokens em plugins ainda requer revalidação.

Existe API pública estável?

Há acesso programático, tokens e webhooks, mas a documentação também chama a interface de interna/RPC. Validar estabilidade e suporte antes de uso crítico.

Plugins são seguros?

Não por padrão. São terceiros hospedados externamente e recebem permissões. Usar allowlist, revisão, inventário e monitoramento.

O que é Penpot MCP?

Uma ponte para agentes de IA lerem e modificarem arquivos Penpot, componentes, tokens e layouts.

A Penpot treina IA com os designs?

O MCP conecta o agente/modelo escolhido; o risco depende desse provedor e configuração. Confirmar termos, retenção e treinamento do modelo utilizado.

MCP pode alterar arquivos?

Sim. É bidirecional. Usar cópias, backup, escopo mínimo, ambiente não produtivo e revisão humana.

Self-host é fácil?

A instalação inicial via Docker é direta para equipe técnica; produção exige arquitetura, TLS, backups, monitoramento, upgrades, segurança e DR.

Qual plano escolher?

Professional/Unlimited para piloto; Enterprise cloud para gestão terceirizada; Enterprise self-host para soberania/governança; Private Server para dedicação gerenciada.

Quanto custa o Enterprise self-host?

A documentação pública diverge entre US$25/usuário/mês com mínimo de US$950 e US$950 flat. Somente cotação escrita deve orientar proposta.

O cloud tem região brasileira?

Não foi confirmado. A página cita escolha de região no Enterprise; exigir local exato, backups, logs e subprocessadores.

Como provar ROI?

Meça TCO, retrabalho de handoff, lead time, reutilização, tempo de migração, usuários ativos, disponibilidade e custo operacional contra baseline.

Há programa de parceiros no Brasil?

Não foi localizado programa comercial público. Obter autorização, margem, proteção de oportunidade, suporte e regras de renovação antes de vender.

Qual deve ser o papel da NexxusTECH?

Parceiro de transformação e operação: assessment, migração, arquitetura, self-host, segurança, design systems, integrações, IA e adoção.

Quais são os principais riscos?

Preço Enterprise divergente, SLA/SCIM/acessibilidade pouco claros, operação self-host, ecossistema menor, migração, adoção e governança de plugins/MCP.

Como começar?

Discovery de 2 semanas, piloto de 8–12 semanas, due diligence paralela, métricas antes/depois e decisão por gates.

Qual é a recomendação final?

Homologação seletiva, com foco em soberania e design infrastructure, condicionada a evidência formal e piloto bem-sucedido.