Acordo de
processamento
de dados

Anexo B – Medidas técnicas e organizacionais

A Empresa implementa e mantém medidas de segurança técnicas e organizacionais para proteger dados pessoais. Confira abaixo uma visão geral das medidas que empregamos para manter nossa plataforma e os seus dados pessoais em segurança.

Disposições gerais

• A Empresa mantém uma política de segurança da informação documentada e alinhada com os padrões do setor, revisada e atualizada anualmente. O desenvolvimento e a manutenção dessa política são gerenciados por profissionais especializados na área de segurança da informação.
• Todos os computadores da equipe devem ter um software de antivírus atualizado ou mecanismos de proteção semelhantes.

Treinamento e pessoal

• Toda a equipe da Empresa passa por um programa de treinamento em segurança da informação pelo menos uma vez a cada ano civil.
• Em caso de desligamento, nenhum colaborador poderá reter chaves de acesso, códigos ou privilégios semelhantes de acesso a dados pessoais ou às instalações da Empresa.

Controle de acesso

• As políticas de segurança da informação da Empresa estabelecem etapas razoáveis para evitar o acesso não autorizado ou a perda de dados pessoais.
• A Empresa designará um administrador de sistema para restringir o acesso de outros colaboradores aos dados pessoais, de acordo com estas Medidas Técnicas e Organizacionais. As permissões de acesso serão revisadas anualmente.
• A Empresa exige um processo de autenticação para todo e qualquer acesso (incluindo acesso remoto) realizado por sua equipe, podendo consistir em senhas fortes, autenticação de dois fatores ou outros mecanismos que impeçam acessos não autorizados.
• Acessos, inserções, exclusões e modificações de dados são registrados em logs, incluindo marcações de data e hora.

Segurança física

• A Empresa garante a segurança física de suas instalações e monitora todo o acesso ou entrada em seus estabelecimentos.
• A Empresa exige que toda a sua equipe evite reter cópias físicas de dados sensíveis por mais tempo do que o necessário, de acordo com as políticas internas.
• O acesso de visitantes às instalações da Empresa é monitorado, restrito e gerenciado por uma equipe dedicada.
• Todos os dados pessoais são hospedados e armazenados em servidores localizados em instalações com medidas ambientais adequadas, tais como controle de temperatura, sistemas de combate a incêndio, detectores de fumaça, entre outros.

Integridade

• A Empresa realiza backups regulares de seus sistemas e compromete-se a revisar softwares para identificar e corrigir vulnerabilidades de segurança durante a implementação inicial e após quaisquer modificações ou atualizações significativas.
• A Empresa é submetida a testes de intrusão pelo menos uma vez a cada ano civil e corrige quaisquer vulnerabilidades encontradas de acordo com suas políticas internas.
• A Empresa compromete-se a alterar todas as configurações de acesso padrão e chaves de autenticação de contas antes da implementação de novos sistemas a partir da data de vigência deste acordo.
• Todos os notebooks da equipe são gerenciados pela Empresa e monitorados regularmente.
• A Empresa não armazenará dados pessoais fora de seus ambientes monitorados, a menos que estejam protegidos por criptografia forte.

Exclusão

• A Empresa compromete-se a excluir todos os dados pessoais em conformidade com o APD.
• A Empresa mantém práticas de backup automático de dados pessoais, os quais são excluídos em intervalos predefinidos.

Gestão de riscos de terceiros

Antes de contratar um novo provedor de serviços terceirizado que vá ter acesso a dados pessoais, a empresa realiza uma avaliação de risco de suas práticas de segurança da informação.

Política para solicitações de autoridades policiais e judiciais

• Um dos valores fundamentais mais importantes da Empresa é o respeito aos direitos humanos. Por isso, ela garante que todas as solicitações de dados recebidas de órgãos policiais, governamentais, reguladores e judiciais sejam válidas e feitas de acordo com os procedimentos legais aplicáveis.
• Qualquer divulgação de dados pessoais a autoridades será realizada em estrita conformidade com este APD.