SEGURANÇA DA INFORMAÇÃO

01Objetivo e escopo

A G. M. Cardoso Desenvolvimento de Sistemas Ltda. (Pedreiros de Bit, CNPJ 43.402.838/0001-14) protege a confidencialidade, a integridade e a disponibilidade de todos os dados que trata, incluindo dados de clientes, usuários finais e plataformas de terceiros integradas.

Esta política se aplica a todos os sistemas, aplicações, infraestrutura e pessoas que tratam dados em nome da Pedreiros de Bit. Isso inclui nossos produtos SaaS, ferramentas internas, ambientes de desenvolvimento e quaisquer prestadores de serviço que trabalhem para a empresa.

02Papéis e responsabilidades

Guilherme Muniz Cardoso, fundador e sócio-administrador, é o Responsável pela Segurança da Informação. O Responsável aprova esta política, concede e revoga acessos e lidera a resposta a incidentes.

Todo colaborador ou prestador de serviço que ingressar na empresa deve ler e aceitar esta política antes de receber acesso a sistemas de produção ou a dados de clientes.

03Classificação e minimização de dados

Classificamos os dados em três níveis e protegemos cada um de acordo:

Dados de plataformas de terceiros. Quando um usuário conecta uma conta de uma plataforma de terceiros (por exemplo, o TikTok Shop) via OAuth, nós:

• solicitamos apenas os escopos de API necessários para as funcionalidades que o usuário efetivamente utiliza;
• usamos os dados exclusivamente para fornecer essas funcionalidades ao usuário que as autorizou;
• nunca vendemos, alugamos ou compartilhamos os dados com terceiros, e nunca os usamos para publicidade ou para treinar modelos de machine learning;
• seguimos os termos de desenvolvedor e as políticas de dados de cada plataforma, que prevalecem quando forem mais rigorosos que esta política.

04Controle de acesso e autenticação

• Privilégio mínimo: pessoas e serviços recebem apenas os acessos de que precisam, e o acesso é removido assim que deixa de ser necessário.
• Autenticação multifator (MFA) é obrigatória em todas as contas da empresa: provedores de nuvem, repositórios de código, registrador de domínios, e-mail e portais de desenvolvedor.
• Contas individuais: credenciais nunca são compartilhadas. As senhas são geradas e armazenadas em um gerenciador de senhas.
• Acesso à produção é restrito ao Responsável pela Segurança. O acesso a bancos de dados de produção é registrado em log.
• Autenticação de usuários: nossas aplicações autenticam usuários via OAuth 2.0 ou por um provedor de identidade gerenciado e nunca armazenam senhas de plataformas de terceiros.
• Revisão de acessos: todas as contas e permissões são revisadas pelo menos a cada seis meses.

05Criptografia e gestão de segredos

• Em trânsito: todo o tráfego de e para nossas aplicações e APIs utiliza TLS 1.2 ou superior. Requisições HTTP são redirecionadas para HTTPS.
• Em repouso: bancos de dados, backups e armazenamento de arquivos são criptografados com a criptografia gerenciada dos nossos provedores de nuvem (AES-256).
• Tokens OAuth recebem uma camada adicional de criptografia na aplicação antes de serem armazenados, e os tokens de atualização são rotacionados conforme suportado por cada plataforma.
• Segredos (chaves de API, segredos de aplicativos, credenciais de banco de dados) são armazenados em variáveis de ambiente ou em um cofre de segredos gerenciado. Nunca são versionados no código-fonte, impressos em logs ou enviados por chat ou e-mail.
• Rotação: um segredo é rotacionado imediatamente se houver suspeita de exposição e sempre que alguém com acesso a ele deixar a empresa.

06Desenvolvimento seguro e infraestrutura

• Ambientes separados: desenvolvimento, testes e produção são isolados. Dados de produção nunca são copiados para desenvolvimento; os testes utilizam contas sandbox ou de teste fornecidas por cada plataforma.
• Controle de versão: todo o código fica em repositórios privados com a branch principal protegida. Mudanças em produção passam por revisão antes do deploy.
• Dependências são monitoradas com varredura automatizada de vulnerabilidades, e atualizações de segurança críticas são aplicadas em até 7 dias.
• Código seguro: validamos todas as entradas, usamos consultas parametrizadas ao banco de dados, nos protegemos contra as vulnerabilidades web mais comuns (OWASP Top 10) e verificamos a assinatura de todo webhook recebido.
• Logs e monitoramento: as aplicações registram eventos de autenticação, erros e acessos a operações sensíveis. Os logs nunca contêm tokens, segredos ou dados pessoais completos, e são mantidos por 90 dias.
• Backups: bancos de dados de produção têm backup diário e criptografado, e a restauração é testada periodicamente.
• Dispositivos: computadores de trabalho usam criptografia de disco completo, bloqueio automático de tela e sistema operacional atualizado.

07Segurança de rede

Não operamos redes físicas nem servidores locais (on-premise). Nossa infraestrutura roda em plataformas de nuvem gerenciadas, sob um modelo de responsabilidade compartilhada: os provedores protegem a rede e os hosts subjacentes, e nós protegemos nossa configuração, aplicações e dados.

Segregação de rede

• Desenvolvimento, testes e produção rodam em ambientes isolados, com credenciais, redes e bancos de dados separados.
• Os bancos de dados de produção não são acessíveis pela internet pública. Eles aceitam conexões apenas dos nossos servidores de aplicação, por rede privada ou listas de IPs permitidos.
• Apenas HTTPS (porta 443) é exposto publicamente. Todo o restante do tráfego de entrada é bloqueado por padrão.

Detecção e prevenção de intrusões

• Todo o tráfego público passa por uma rede de borda com Web Application Firewall (WAF), mitigação de DDoS, proteção contra bots e limitação de requisições (rate limiting), que detectam e bloqueiam requisições maliciosas antes que cheguem às nossas aplicações.
• Utilizamos apenas provedores de nuvem que executam detecção de intrusões em nível de rede e de host em sua infraestrutura e possuem certificação SOC 2 ou ISO 27001.
• Qualquer servidor autogerenciado deve executar prevenção de intrusões no host (como CrowdSec ou Fail2ban), permitir SSH apenas com autenticação por chave a partir de IPs permitidos e receber atualizações de segurança automaticamente.

Monitoramento

• Monitoramos eventos de autenticação, taxas de erro e tráfego anômalo, com alertas automáticos enviados ao Responsável pela Segurança da Informação.
• As regras de firewall e WAF são revisadas pelo menos a cada seis meses e após qualquer incidente.

08Segurança de endpoints e requisitos mínimos diários

Todo computador usado para trabalho da empresa, incluindo os de prestadores de serviço, deve atender a estes requisitos antes de acessar sistemas ou dados da empresa:

• Proteção de endpoint: antivírus e antimalware nativos, com varredura em tempo real e atualizações automáticas (XProtect e Gatekeeper no macOS, ou Microsoft Defender), permanecem ativados.
• Atualizações: a instalação automática de atualizações do sistema operacional, do navegador e de segurança está ativada.
• Criptografia de disco: a criptografia de disco completo (FileVault ou BitLocker) está ativada.
• Bloqueio de tela: a tela é bloqueada automaticamente após 5 minutos de inatividade e exige senha para desbloquear. Os usuários bloqueiam a tela sempre que se afastam.
• Senhas: as senhas têm no mínimo 14 caracteres, são únicas por serviço e são geradas e armazenadas em um gerenciador de senhas.
• Autenticação multifator está ativada em todas as contas que a suportam.
• Mesa limpa e tela limpa: credenciais e dados de clientes nunca são anotados em papel, deixados visíveis na tela ou consultados e discutidos em locais públicos. A tela não é compartilhada em chamadas enquanto houver dados confidenciais visíveis.
• Dispositivos perdidos ou roubados são comunicados imediatamente ao Responsável pela Segurança da Informação, e todas as sessões e credenciais do dispositivo são revogadas.

09Gestão de vulnerabilidades

Identificamos e corrigimos vulnerabilidades pelo seguinte processo:

• Detecção: a varredura automatizada de dependências (GitHub Dependabot) roda em todos os repositórios. Também acompanhamos os alertas de segurança dos nossos provedores de nuvem e das plataformas com as quais nos integramos.
• Priorização: cada vulnerabilidade é classificada pela gravidade, usando a pontuação CVSS quando disponível, e por afetar ou não código ou dados em produção.
• Prazos de correção:

• Verificação: as correções são testadas e revisadas antes do deploy, e o fechamento da vulnerabilidade é confirmado.
• Comunicação: qualquer pessoa pode reportar uma vulnerabilidade para security@pedreirosdebit.com. O recebimento é confirmado em até 3 dias úteis.

10Retenção, exclusão de dados e direitos dos titulares

Cumprimos a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) e mantemos dados pessoais apenas pelo tempo necessário para a finalidade para a qual foram coletados.

• Desconexão: quando um usuário revoga o acesso ou desconecta uma conta de terceiros, interrompemos imediatamente todas as chamadas de API e excluímos os tokens relacionados. Os dados obtidos dessa conta são excluídos em até 30 dias, salvo quando a lei exigir sua guarda.
• Exclusão de conta: os usuários podem solicitar a exclusão de sua conta e de seus dados a qualquer momento. As solicitações são concluídas em até 15 dias.
• Direitos dos titulares: os usuários podem solicitar acesso, correção ou uma cópia de seus dados pessoais pelo e-mail privacy@pedreirosdebit.com.
• Backups que contenham dados excluídos expiram pela rotação normal de backups em até 35 dias.

11Fornecedores terceiros

Utilizamos provedores de nuvem consolidados para hospedagem, bancos de dados e envio de e-mails. Antes de adotar um fornecedor que vá tratar dados restritos ou confidenciais, verificamos se ele:

• criptografa os dados em trânsito e em repouso;
• possui certificações de segurança reconhecidas (como SOC 2 ou ISO 27001) ou publica documentação de segurança equivalente;
• oferece termos de tratamento de dados compatíveis com a LGPD.

Mantemos uma lista interna dos fornecedores que tratam dados pessoais e a compartilhamos com plataformas parceiras mediante solicitação.

12Resposta a incidentes

Um incidente de segurança é qualquer evento que comprometa, ou possa comprometer, a confidencialidade, a integridade ou a disponibilidade dos dados. O Responsável pela Segurança trata cada incidente em cinco etapas:

1. 1Conter: revogar credenciais e tokens expostos, bloquear acessos suspeitos e isolar os sistemas afetados.
2. 2Avaliar: identificar quais dados, usuários e plataformas foram afetados.
3. 3Notificar: informar os usuários afetados e as plataformas parceiras envolvidas (como o TikTok Shop) sem demora injustificada, em até 72 horas após a confirmação ou antes, se os termos do parceiro exigirem. Quando a LGPD exigir, a Autoridade Nacional de Proteção de Dados (ANPD) também é notificada.
4. 4Corrigir: eliminar a causa raiz e restabelecer a operação normal.
5. 5Revisar: documentar o incidente, sua causa e as ações tomadas, e atualizar esta política se necessário.

Vulnerabilidades ou incidentes podem ser reportados para security@pedreirosdebit.com.

13Revisão da política e contato

O Responsável pela Segurança revisa esta política pelo menos uma vez por ano e sempre que houver mudança significativa em nossos produtos, infraestrutura ou na legislação aplicável. A versão vigente está sempre publicada em https://pedreirosdebit.com/security.