Política de segurança de dados

Objetivo

Esta política descreve as práticas de segurança adotadas por Plss Assessoria e Consultoria LTDA, inscrita no CNPJ 27.652.496/0001-34, com sede em [endereço completo], Pato Branco/PR ("Flow") para proteger os dados tratados na plataforma. Ela se aplica ao ambiente do Flow, aos nossos colaboradores e aos fornecedores que atuam nesse ambiente.

As práticas seguem três princípios: confidencialidade (só quem precisa acessa), integridade (os dados não são alterados sem autorização) e disponibilidade (os dados estão acessíveis quando você precisa).

Infraestrutura

Todo o ambiente do Flow é hospedado na Oracle Cloud Infrastructure (OCI), nuvem corporativa usada para cargas críticas e grandes volumes de dados. Os dados ficam armazenados em data centers localizados no Brasil.

A infraestrutura física e de rede da Oracle segue certificações internacionais de segurança, como ISO/IEC 27001 e SOC 2. A arquitetura completa está descrita no documento de arquitetura de infraestrutura.

Criptografia

• Dados em trânsito protegidos com TLS 1.3 em todas as comunicações.
• Dados em repouso criptografados com AES-256 no data warehouse e nos backups.
• Chaves de criptografia gerenciadas em serviço dedicado, com rotação periódica.

Isolamento de dados

• Os dados de cada cliente ficam segregados dos demais clientes no data warehouse.
• Os ambientes de produção e de homologação são separados, e não usamos dados reais fora da produção.

Identidade e controle de acesso

• Perfis de acesso por função, seguindo o princípio do menor privilégio.
• Autenticação em dois fatores (MFA) e login único (SSO) disponíveis para os usuários.
• O acesso da equipe Flow aos dados do cliente é restrito ao suporte autorizado e fica registrado em log.

Pessoas e acessos internos

• Colaboradores e fornecedores com acesso ao ambiente assinam termo de confidencialidade.
• O time recebe orientação periódica sobre segurança e proteção de dados.
• Os acessos internos são revistos a cada [periodicidade] e removidos no mesmo dia do desligamento.

[Confirmar essas práticas com o time técnico e de pessoas.]

Integrações

• A entrada de dados acontece pelo Flow DW, por um gateway criptografado que valida a origem por autenticação mútua e encaminha os dados apenas para servidores autorizados.
• Solicitamos ao cliente um usuário somente leitura, limitado às tabelas necessárias.
• A saída de dados pelo Flow API acontece só para destinos configurados e autorizados pelo cliente, com autenticação por credencial ou token e registro de cada envio.

Monitoramento e auditoria

• Logs de acesso e de auditoria mantidos desde o gateway.
• Monitoramento contínuo de disponibilidade e desempenho, com alertas automáticos.
• Testes de intrusão e varreduras de vulnerabilidade periódicos, com correção priorizada por criticidade.

Backup e continuidade

• Backups automáticos com retenção definida e testes periódicos de restauração.
• Infraestrutura distribuída em mais de uma zona de disponibilidade e escalabilidade horizontal automática.
• Metas de recuperação (RPO e RTO) definidas e documentadas. [Informar os valores de RPO e RTO.]

Retenção e descarte

• Backups mantidos por [prazo] e depois descartados de forma segura.
• Logs de acesso mantidos por no mínimo 6 meses, como exige o Marco Civil da Internet. [Confirmar o prazo adotado.]
• Ao fim do contrato, e depois do prazo de exportação, os dados do cliente são excluídos da produção em até [prazo] e deixam de existir nos backups ao fim do ciclo de retenção.

Inteligência artificial

• O Flow I.A. e os Flow Agentes operam sobre os dados do próprio cliente, sem cruzamento com dados de outros clientes.
• Dados de clientes não são usados para treinar modelos de terceiros.
• A autonomia de cada agente é definida pelo cliente, e toda ação fica registrada com o motivo da decisão.

Gestão de incidentes

Um incidente de segurança é qualquer evento, confirmado ou suspeito, que comprometa a confidencialidade, a integridade ou a disponibilidade dos dados. Mantemos um plano de resposta a incidentes que prevê identificação, contenção, correção e registro.

Se um incidente afetar dados do cliente, o cliente é comunicado em até [48 horas] após a confirmação, com o que aconteceu, os dados envolvidos e as medidas tomadas, para que possa cumprir as obrigações dele perante a ANPD e os titulares.

Responsabilidade compartilhada

Recomendações aos usuários

• Use senhas fortes, diferentes das usadas em outros serviços, e troque a senha se suspeitar de vazamento.
• Ative a autenticação em dois fatores quando estiver disponível para a sua empresa.
• Não acesse o Flow em computadores públicos e saia da conta ao terminar.
• Desconfie de e-mails ou mensagens que peçam a sua senha. O Flow nunca solicita senha por e-mail, telefone ou WhatsApp.
• Se o celular com o app do Flow for perdido ou roubado, avise o administrador da sua empresa para bloquear o acesso.

Relato de vulnerabilidades

Se você encontrou uma possível falha de segurança no Flow, escreva para [e-mail de segurança] com a descrição e os passos para reproduzi-la. Respondemos ao relato em até [prazo].

Pedimos que você não acesse dados de terceiros, não prejudique o funcionamento da plataforma e não divulgue a falha antes da correção.

Contato

Para dúvidas sobre segurança ou para relatar uma suspeita de incidente, escreva para [e-mail de segurança]. Para os demais assuntos, use atendimento@emflow.com.br.