Política de Segurança da Informação e Governança de Dados Pessoais

O objetivo desta Política é estabelecer diretrizes para preservar a confidencialidade, a integridade, a disponibilidade, a autenticidade e a rastreabilidade das informações tratadas pela CUSTEC.

A CUSTEC busca reduzir riscos de acesso indevido, perda, alteração, indisponibilidade, destruição, vazamento ou utilização não autorizada de informações.

Esta Política também orienta a prevenção, identificação, comunicação, tratamento e recuperação de incidentes de segurança.

Os controles adotados deverão ser proporcionais à criticidade do ambiente, à natureza das informações tratadas, ao plano contratado, às obrigações legais e aos riscos envolvidos em cada operação.

Esta Política aplica-se às informações e recursos utilizados pela CUSTEC, independentemente do formato, origem ou local de armazenamento.

Estão abrangidos, entre outros:

• ✓aplicações e APIs
• ✓bancos de dados
• ✓serviços em nuvem
• ✓repositórios de código
• ✓pipelines de implantação
• ✓credenciais, chaves e certificados
• ✓arquivos e documentos
• ✓dispositivos corporativos
• ✓logs e registros de auditoria
• ✓integrações com clientes e fornecedores
• ✓ambientes de desenvolvimento, homologação e produção
• ✓acessos realizados por colaboradores, prestadores, parceiros ou clientes.

Quando determinada operação estiver sujeita a contrato, proposta, SLA, política interna ou exigência específica de um cliente, esses documentos deverão ser interpretados em conjunto com esta Política.

A atuação da CUSTEC será orientada pelos seguintes princípios:

Confidencialidade

As informações deverão ser acessadas somente por pessoas, sistemas ou serviços devidamente autorizados.

O acesso deverá estar relacionado à necessidade profissional, técnica, contratual ou legal de cada usuário.

Integridade

As informações deverão ser protegidas contra alteração, exclusão, corrupção ou manipulação não autorizada.

Mudanças em sistemas, configurações, permissões e dados críticos deverão seguir processos controlados e rastreáveis.

Disponibilidade

Os sistemas e informações deverão permanecer disponíveis conforme a criticidade operacional e os níveis de serviço aplicáveis.

A CUSTEC poderá utilizar mecanismos de redundância, monitoramento, backup, escalabilidade e recuperação para reduzir impactos decorrentes de falhas.

Rastreabilidade

Eventos relevantes deverão ser registrados de forma suficiente para apoiar auditorias, investigações, suporte técnico e prestação de contas.

Menor privilégio

Cada usuário, serviço ou componente deverá possuir apenas os acessos necessários para executar suas atividades.

A concessão de acessos administrativos deverá ser restrita e controlada.

Segurança por desenho e por padrão

Novos sistemas, funcionalidades, integrações e ambientes deverão considerar requisitos de segurança desde sua concepção.

As configurações iniciais deverão priorizar a proteção das informações e a restrição de acessos.

Zero Trust

A CUSTEC poderá adotar o princípio de que nenhum acesso deve ser considerado confiável apenas por sua origem.

Identidade, perfil, tenant, escopo, permissão, horário, dispositivo e contexto poderão ser avaliados antes da liberação de acesso.

As informações poderão ser classificadas conforme seu nível de sensibilidade.

As informações públicas são aquelas que podem ser divulgadas sem risco relevante para a CUSTEC, seus clientes ou parceiros.

As informações internas são destinadas às atividades da empresa e não deverão ser divulgadas externamente sem autorização.

As informações confidenciais exigem acesso restrito e incluem dados de clientes, propostas, contratos, projetos, informações financeiras, configurações e documentos não públicos.

As informações restritas incluem credenciais, segredos, chaves, certificados, códigos sensíveis, dados pessoais sensíveis, informações estratégicas e outros conteúdos cuja divulgação possa gerar impacto significativo.

A classificação deverá orientar a forma de armazenamento, compartilhamento, transmissão, retenção e descarte.

As soluções da CUSTEC poderão operar em infraestrutura Microsoft Azure, utilizando uma arquitetura compatível com o produto e o ambiente contratado.

A arquitetura poderá incluir Azure Application Gateway, Web Application Firewall, App Services, Azure SQL, Virtual Network, Private Link, Azure Key Vault, Managed Identity, Application Insights, Azure DevOps e infraestrutura como código.

A estrutura busca reduzir a exposição direta dos serviços, centralizar os controles de proteção na camada de entrada, separar os componentes de front-end e API e restringir o acesso aos recursos internos.

A comunicação entre usuários, aplicações, APIs, bancos de dados e serviços de terceiros deverá ocorrer por meios controlados e compatíveis com os requisitos de segurança aplicáveis.

A CUSTEC poderá utilizar ambientes compartilhados ou dedicados.

Nos ambientes compartilhados, serão aplicados mecanismos de isolamento lógico entre os clientes.

Nos ambientes dedicados, poderão ser disponibilizados recursos exclusivos, conforme o plano, a proposta ou o contrato.

O tráfego destinado às aplicações poderá ser recebido por uma camada de entrada protegida, responsável por encaminhar apenas as requisições consideradas válidas para os serviços internos.

Os controles poderão incluir:

• ✓comunicação obrigatória por HTTPS/TLS
• ✓Web Application Firewall
• ✓regras de proteção baseadas em padrões reconhecidos
• ✓bloqueio de requisições maliciosas
• ✓filtragem por endereço IP
• ✓listas de permissão
• ✓restrições geográficas
• ✓segmentação de rede
• ✓endpoints privados
• ✓redução da exposição pública de bancos, storages e serviços internos.

Detalhes internos de arquitetura, endereçamento, regras, credenciais ou configurações sensíveis não deverão ser divulgados publicamente.

O acesso aos sistemas deverá ser realizado por credenciais individuais.

O compartilhamento de contas ou senhas não será permitido, salvo em situações técnicas excepcionais, devidamente controladas e autorizadas.

A autenticação poderá ser realizada por meio de Microsoft Entra ID, SSO, LDAP ou outro provedor compatível.

A autenticação multifator poderá ser aplicada conforme a configuração do ambiente, o plano contratado ou a política do cliente.

As permissões poderão ser definidas por usuário, grupo, perfil, tenant, relatório, menu, integração, recurso ou escopo de dados.

A CUSTEC poderá aplicar bloqueio temporário após tentativas inválidas, limitação da duração da sessão, restrição por horário, origem, país, endereço IP ou rede corporativa.

O acesso administrativo deverá ser concedido somente às pessoas que necessitem dessa permissão para executar suas atividades.

A criação, alteração, suspensão e remoção de usuários deverá seguir processo controlado.

Quando o acesso estiver integrado ao provedor de identidade da empresa contratante, a desativação do usuário no ambiente corporativo poderá impedir novos acessos à Plataforma.

Quando essa integração não existir, a contratante deverá comunicar admissões, mudanças de função, afastamentos e desligamentos que exijam alteração de acesso.

A revisão periódica de usuários e permissões deverá ser realizada de acordo com a criticidade do ambiente e a necessidade operacional.

Nos ambientes SaaS multi-tenant, a CUSTEC deverá adotar controles destinados a impedir o acesso transversal entre clientes.

Cada operação sensível poderá considerar informações como tenant, perfil, grupo, permissão e escopo funcional antes de permitir a consulta ou a alteração de dados.

A segregação poderá ocorrer por banco de dados, estrutura dedicada ou modelo lógico controlado.

O Power Insight também poderá utilizar workspaces, relatórios, modelos semânticos e regras de acesso do Microsoft Power BI para complementar o isolamento das informações.

O acesso administrativo a dados de clientes deverá ser restrito, necessário, justificado e auditável.

A CUSTEC poderá utilizar criptografia em trânsito e em repouso, conforme os recursos suportados pelos serviços utilizados.

Dados, arquivos, logs, credenciais e demais informações deverão ser protegidos conforme sua classificação.

A CUSTEC deverá limitar o tratamento ao necessário para a prestação dos serviços, suporte, segurança, cumprimento de contratos e atendimento de obrigações legais.

O Power Insight não substitui os sistemas de origem da contratante.

Os relatórios, modelos semânticos e dados corporativos poderão permanecer no ambiente Microsoft definido pelo cliente.

A EasyAPI poderá processar dados provenientes de APIs, arquivos, bancos de dados e outros sistemas conforme as configurações definidas pela contratante.

Credenciais técnicas, certificados, chaves e segredos deverão ser armazenados e utilizados de forma segura.

Sempre que aplicável, a CUSTEC poderá utilizar Azure Key Vault, Managed Identity, Service Connections ou mecanismos equivalentes.

Segredos não deverão ser mantidos em código-fonte, documentos públicos ou canais de comunicação não autorizados.

O acesso a credenciais deverá ser restrito, registrado e revogado quando deixar de ser necessário.

A rotação de credenciais poderá ocorrer periodicamente ou quando houver suspeita de comprometimento.

O desenvolvimento das aplicações deverá observar boas práticas de versionamento, revisão, teste e implantação.

Alterações poderão ser registradas em repositórios Git e submetidas a revisão antes de serem incorporadas ao código principal.

As pipelines poderão executar compilação, empacotamento, validações e geração de artefatos versionados.

A implantação em produção poderá depender de aprovação, janela planejada e validação pós-deploy.

Falhas críticas, vulnerabilidades e dependências desatualizadas deverão ser avaliadas e tratadas conforme o risco.

A CUSTEC poderá utilizar Azure DevOps para controlar repositórios, builds, releases e implantações.

O processo poderá incluir:

• ✓branches
• ✓Pull Requests
• ✓revisão de alterações
• ✓pipeline de integração contínua
• ✓deploy em ambiente de validação
• ✓aprovação para produção
• ✓registro de versão
• ✓histórico de execução
• ✓health check pós-implantação
• ✓possibilidade de rollback.

A infraestrutura poderá ser criada e atualizada por meio de Terraform ou outra ferramenta de infraestrutura como código.

Esse modelo reduz a dependência de configurações manuais e permite a reconstrução controlada dos ambientes.

A CUSTEC poderá utilizar Application Insights, métricas de infraestrutura, logs técnicos, health checks e alertas para acompanhar o funcionamento dos serviços.

O monitoramento poderá abranger:

• ✓disponibilidade do portal e da API
• ✓tempo de resposta
• ✓erros de aplicação
• ✓falhas de dependência
• ✓eventos de autenticação
• ✓bloqueios do WAF
• ✓comportamentos suspeitos
• ✓consumo de recursos
• ✓desempenho do banco
• ✓falhas de integração.

Os alertas poderão ser classificados de acordo com sua criticidade e encaminhados às equipes responsáveis por suporte, operação ou segurança.

A CUSTEC poderá registrar eventos relevantes para fins de segurança, suporte, auditoria e investigação.

Os registros poderão incluir:

• ✓login com sucesso
• ✓falha de autenticação
• ✓logout
• ✓expiração de sessão
• ✓bloqueio por tentativas
• ✓origem do acesso
• ✓acesso negado
• ✓criação ou alteração de usuários
• ✓mudança de perfil
• ✓alteração de permissões
• ✓mudanças em tenant, relatórios, menus e integrações
• ✓alterações administrativas
• ✓eventos de infraestrutura
• ✓bloqueios e alertas de segurança.

Quando tecnicamente disponível, os registros poderão indicar o usuário executor, o recurso afetado, a data e hora, o endereço IP, a situação anterior, a nova situação e o resultado da operação.

A retenção dos logs dependerá da finalidade, do ambiente, do plano contratado e das obrigações legais ou contratuais.

A estratégia de backup poderá abranger bancos de dados, arquivos, configurações, artefatos técnicos, evidências operacionais e componentes necessários à continuidade dos serviços.

O Azure SQL poderá utilizar backups automáticos e restauração point-in-time, conforme o plano e a configuração aplicável.

Storages poderão utilizar redundância, versionamento e políticas de retenção.

Aplicações poderão ser restauradas por novo deploy a partir de artefatos versionados.

A infraestrutura poderá ser recriada por meio de código, reduzindo a dependência de configurações manuais.

A CUSTEC não assumirá a função de backup dos sistemas de origem da contratante, salvo quando isso estiver expressamente previsto na contratação.

A arquitetura poderá utilizar escalabilidade horizontal, auto scaling, alta disponibilidade, redundância geográfica, health checks e monitoramento contínuo.

Esses mecanismos buscam reduzir os impactos causados por falhas, manutenção, picos de acesso ou indisponibilidade regional.

Os objetivos de recuperação, os tempos de atendimento e os níveis de disponibilidade dependerão do produto, do ambiente e do SLA contratado.

A CUSTEC deverá acompanhar e tratar vulnerabilidades de forma proporcional ao risco.

O processo poderá incluir atualização de componentes, correção de falhas, revisão de dependências, aplicação de patches, análise de alertas e priorização de vulnerabilidades críticas.

Testes de segurança realizados por clientes, auditores ou terceiros dependerão de autorização formal e definição prévia de escopo, período, ambiente e responsabilidades.

Um incidente de segurança é qualquer evento que possa comprometer a confidencialidade, integridade, disponibilidade ou rastreabilidade das informações e serviços.

Quando um incidente for identificado, a CUSTEC poderá adotar medidas de contenção, investigação, correção, recuperação e acompanhamento.

As evidências técnicas relevantes poderão ser preservadas para apoiar a análise, a prestação de contas e o cumprimento de obrigações legais.

A prioridade de atendimento dependerá do impacto, da extensão, dos sistemas afetados e do risco aos clientes ou titulares.

Quando um incidente puder afetar um cliente, a CUSTEC poderá comunicar a natureza do evento, os serviços atingidos, os riscos identificados, as medidas adotadas e as orientações de mitigação disponíveis.

A comunicação será realizada pelos canais oficiais e poderá ser atualizada à medida que novas informações forem confirmadas.

Quando houver dados pessoais envolvidos e a CUSTEC atuar como operadora, a comunicação inicial será direcionada ao cliente controlador, conforme os documentos da contratação.

A CUSTEC deverá adotar controles compatíveis com os riscos e com os serviços prestados.

Compete à CUSTEC restringir acessos, proteger credenciais, manter processos de monitoramento, tratar incidentes, controlar versões, preservar evidências, manter confidencialidade e cumprir suas obrigações legais e contratuais.

A CUSTEC deverá buscar a melhoria contínua de seus controles, considerando evolução tecnológica, novos riscos, incidentes, auditorias e mudanças na arquitetura.

Os clientes e usuários deverão proteger credenciais, utilizar autenticação multifator quando exigida, revisar permissões, comunicar desligamentos e informar incidentes ou comportamentos suspeitos.

Também deverão manter seus dispositivos, redes, sistemas de origem, licenças e integrações em condições adequadas de segurança.

Não será permitido tentar contornar controles, compartilhar acessos, explorar vulnerabilidades ou utilizar a Plataforma de forma ilícita.

A segurança da solução depende da atuação conjunta da CUSTEC, dos fornecedores tecnológicos e da empresa contratante.

Fornecedores e parceiros que tenham acesso a informações ou ambientes poderão estar sujeitos a obrigações de confidencialidade, proteção de dados, segurança e comunicação de incidentes.

A CUSTEC poderá avaliar a necessidade, o risco, a capacidade técnica e as práticas de segurança dos terceiros envolvidos em operações relevantes.

O acesso deverá ser limitado ao necessário e revogado quando o relacionamento ou a atividade forem encerrados.

A CUSTEC poderá promover ações de conscientização relacionadas a segurança da informação, privacidade, phishing, engenharia social, proteção de credenciais, compartilhamento de dados e comunicação de incidentes.

Colaboradores e prestadores deverão conhecer as políticas aplicáveis às suas atividades.

Treinamentos específicos poderão ser exigidos para pessoas com acesso administrativo, dados sensíveis, infraestrutura ou processos críticos.

O descumprimento desta Política poderá resultar em bloqueio de acesso, suspensão, medidas disciplinares, encerramento contratual e responsabilização civil, administrativa ou criminal, conforme a gravidade do caso.

A CUSTEC poderá comunicar autoridades competentes quando houver indício de prática ilícita.

Esta Política poderá ser revisada periodicamente ou sempre que houver alteração relevante na legislação, na arquitetura, nos produtos, nos riscos ou nos processos internos.

A versão vigente deverá ser disponibilizada nos canais definidos pela CUSTEC.

Dúvidas, alertas ou comunicações relacionadas à segurança da informação poderão ser encaminhadas para:

O objetivo desta Política é estabelecer regras para que o tratamento de dados pessoais seja realizado de forma lícita, transparente, segura e compatível com a finalidade informada.

A CUSTEC busca assegurar que os dados sejam utilizados somente quando necessários, mantidos pelo período adequado, protegidos contra acessos indevidos e tratados conforme as responsabilidades de cada parte.

Esta Política também orienta a identificação das bases legais, a gestão de fornecedores, o atendimento aos titulares, a resposta a incidentes, o uso de inteligência artificial e a documentação das atividades de tratamento.

Esta Política aplica-se às operações realizadas pela CUSTEC em seus sites, plataformas, sistemas internos, contratos, canais de atendimento, processos comerciais, recursos humanos, faturamento, suporte e serviços em nuvem.

Também abrange o Power Insight, a EasyAPI e demais soluções tecnológicas disponibilizadas pela empresa.

Deverão observar esta Política os sócios, administradores, colaboradores, prestadores, fornecedores e parceiros que realizem ou apoiem atividades envolvendo dados pessoais.

A CUSTEC deverá observar os princípios previstos na legislação de proteção de dados.

O princípio da finalidade exige que o tratamento possua um objetivo legítimo, específico e informado.

O princípio da adequação exige compatibilidade entre o tratamento realizado e a finalidade apresentada.

O princípio da necessidade determina que sejam tratados somente os dados indispensáveis para cada atividade.

O princípio do livre acesso assegura ao titular a possibilidade de obter informações sobre o tratamento.

O princípio da qualidade dos dados busca manter as informações corretas, claras, relevantes e atualizadas.

O princípio da transparência exige comunicação acessível sobre as práticas de tratamento.

Os princípios da segurança e da prevenção exigem medidas destinadas a reduzir riscos de incidentes.

O princípio da não discriminação impede a utilização de dados para fins discriminatórios ilícitos ou abusivos.

O princípio da responsabilização e prestação de contas exige demonstração das medidas adotadas para cumprir a legislação.

A CUSTEC poderá atuar como controladora ou operadora, dependendo da operação realizada.

CUSTEC como controladora

A CUSTEC atuará como controladora quando definir as finalidades e os principais meios do tratamento.

Isso poderá ocorrer em atividades como cadastro de clientes e fornecedores, elaboração de propostas, gestão de contratos, faturamento, suporte, segurança, marketing, recrutamento, gestão de colaboradores e cumprimento de obrigações legais.

Nessas situações, a CUSTEC será responsável por definir a base legal, limitar a coleta, informar os titulares, proteger os dados e atender os direitos previstos na legislação.

CUSTEC como operadora

A CUSTEC poderá atuar como operadora quando tratar dados pessoais de acordo com as instruções de uma empresa contratante.

Isso poderá ocorrer no processamento de usuários, permissões, logs, dados integrados pela EasyAPI, conteúdos exibidos no Power Insight, informações enviadas por APIs ou dados utilizados em recursos de inteligência artificial.

Nessas operações, a empresa contratante normalmente será a controladora, pois será responsável por definir a finalidade, os dados utilizados, os titulares envolvidos e a base legal aplicável.

A CUSTEC deverá tratar os dados dentro dos limites da contratação, das instruções documentadas, da arquitetura da solução e das obrigações legais.

Suboperadores

A CUSTEC poderá utilizar fornecedores para apoiar atividades de hospedagem, infraestrutura, autenticação, comunicação, monitoramento, suporte, processamento, armazenamento ou inteligência artificial.

Esses fornecedores poderão atuar como suboperadores quando processarem dados em nome da CUSTEC ou dos clientes.

A contratação de fornecedores relevantes deverá considerar obrigações de segurança, confidencialidade, proteção de dados, incidentes, retenção e subprocessamento.

A CUSTEC poderá manter inventário das operações relevantes envolvendo dados pessoais.

O inventário poderá indicar:

• ✓finalidade do tratamento
• ✓categorias de titulares
• ✓categorias de dados
• ✓base legal
• ✓sistemas utilizados
• ✓áreas responsáveis
• ✓fornecedores envolvidos
• ✓prazo de retenção
• ✓compartilhamentos
• ✓transferências internacionais
• ✓medidas de segurança
• ✓papel da CUSTEC.

O inventário deverá ser atualizado sempre que houver mudanças relevantes nos processos, sistemas ou fornecedores.

A CUSTEC poderá tratar dados cadastrais, profissionais, técnicos, contratuais, financeiros e de autenticação.

Entre os dados cadastrais poderão estar nome, e-mail, telefone, cargo, empresa, departamento, CPF quando necessário e informações de representantes legais.

Os dados de autenticação poderão incluir identificador de usuário, perfil, grupo, tenant, endereço IP, data e hora de acesso, registros de login e identificadores do Microsoft Entra ID.

Os dados comerciais poderão incluir propostas, planos, contratos, pedidos, notas fiscais, cobranças, contatos administrativos e histórico de atendimento.

Os dados técnicos poderão abranger navegador, dispositivo, sistema operacional, logs, erros, métricas, eventos de segurança e uso de funcionalidades.

Quando a CUSTEC atuar como operadora, a natureza dos dados processados dependerá das fontes, integrações e funcionalidades definidas pela empresa contratante.

A CUSTEC deverá evitar o tratamento de dados pessoais sensíveis quando não forem necessários.

Quando houver necessidade legítima, o tratamento deverá observar base legal adequada, controles reforçados, limitação de acesso e medidas específicas de segurança.

A empresa contratante deverá informar a CUSTEC quando utilizar a Plataforma para processar dados sensíveis que exijam tratamento diferenciado.

Dados pessoais sensíveis não deverão ser inseridos em recursos de inteligência artificial ou ferramentas externas sem autorização, necessidade e avaliação prévia.

Toda operação de tratamento deverá estar associada a uma hipótese legal adequada.

A CUSTEC poderá utilizar, conforme o contexto:

• ✓execução de contrato
• ✓procedimentos preliminares relacionados à contratação
• ✓cumprimento de obrigação legal ou regulatória
• ✓exercício regular de direitos
• ✓legítimo interesse
• ✓consentimento
• ✓proteção do crédito
• ✓prevenção à fraude
• ✓outras bases previstas na legislação.

A escolha da base legal deverá considerar a finalidade, a natureza dos dados, a relação com o titular e os riscos envolvidos.

O consentimento deverá ser utilizado somente quando for livre, informado, específico e adequado à operação.

Os dados deverão ser tratados somente para finalidades legítimas, específicas e compatíveis com a relação estabelecida.

A CUSTEC deverá limitar a coleta ao mínimo necessário para executar cada atividade.

Dados excessivos, desnecessários ou incompatíveis com a finalidade não deverão ser solicitados ou mantidos.

Sempre que possível, a CUSTEC poderá utilizar anonimização, pseudonimização, agregação ou outras medidas destinadas a reduzir a exposição dos titulares.

A CUSTEC deverá fornecer informações claras sobre suas atividades de tratamento.

Essas informações poderão ser apresentadas em Política de Privacidade, avisos específicos, contratos, formulários, termos de aceite ou comunicações diretas.

A comunicação deverá informar, conforme aplicável, quais dados são tratados, para quais finalidades, com quem são compartilhados, por quanto tempo são mantidos e como o titular poderá exercer seus direitos.

Os titulares poderão exercer os direitos previstos na legislação, incluindo solicitar confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio, eliminação, portabilidade, informação sobre compartilhamentos, revogação do consentimento, oposição e revisão de decisões automatizadas.

A CUSTEC poderá solicitar informações adicionais para confirmar a identidade do solicitante e proteger os dados contra acesso indevido.

Quando atuar como operadora, a CUSTEC poderá encaminhar a solicitação ao cliente controlador, que será responsável pela decisão sobre o atendimento.

As solicitações deverão ser recebidas por canal oficial e registradas para acompanhamento.

O processo poderá incluir:

A CUSTEC deverá buscar o atendimento dentro dos prazos legais e das condições aplicáveis.

Solicitações abusivas, repetitivas ou tecnicamente inviáveis poderão ser avaliadas conforme a legislação e devidamente justificadas.

Os dados pessoais deverão ser mantidos pelo período necessário para cumprir a finalidade que justificou seu tratamento.

A retenção também poderá considerar obrigações legais, prazos prescricionais, exercício de direitos, prevenção a fraudes, segurança e instruções da empresa controladora.

Após o encerramento da finalidade, os dados poderão ser eliminados, anonimizados, devolvidos, bloqueados ou mantidos de forma restrita quando houver obrigação legal ou interesse legítimo permitido.

O descarte deverá ocorrer de forma compatível com o nível de sensibilidade da informação.

A CUSTEC deverá aplicar medidas técnicas e administrativas proporcionais aos riscos.

Essas medidas poderão incluir criptografia, controle de acesso, autenticação multifator, segregação por tenant, menor privilégio, Web Application Firewall, filtragem por IP, monitoramento, logs, backup, Azure Key Vault, Managed Identity, Azure DevOps e infraestrutura como código.

O acesso aos dados deverá ser limitado às pessoas e sistemas que necessitem dessas informações para executar suas atividades.

A empresa contratante também deverá adotar controles sobre seus usuários, dispositivos, redes, sistemas de origem e integrações.

Novos produtos, funcionalidades e processos deverão considerar a proteção de dados desde a fase de planejamento.

A análise poderá abranger finalidade, necessidade, base legal, segurança, retenção, compartilhamento, transparência, atendimento aos titulares e riscos de tratamento.

As configurações iniciais deverão, sempre que possível, limitar o acesso e a exposição dos dados.

Quando houver incidente de segurança com possível envolvimento de dados pessoais, a CUSTEC deverá adotar medidas para conter, investigar, corrigir e avaliar o evento.

A análise deverá considerar a natureza dos dados, a quantidade de titulares, a possibilidade de uso indevido, as medidas de proteção existentes e os impactos potenciais.

Quando atuar como operadora, a CUSTEC deverá comunicar a empresa controladora de acordo com os documentos da contratação.

Quando atuar como controladora, a CUSTEC deverá avaliar a necessidade de comunicação aos titulares e à autoridade competente.

A CUSTEC poderá elaborar Relatório de Impacto à Proteção de Dados quando a natureza do tratamento representar risco elevado ou quando houver exigência legal, contratual ou regulatória.

O relatório poderá descrever os tipos de dados tratados, a metodologia utilizada, os riscos identificados, as medidas de segurança e os mecanismos de mitigação.

A elaboração será considerada especialmente em operações envolvendo dados sensíveis, monitoramento relevante, decisões automatizadas, grande volume de dados ou tecnologias emergentes.

O uso de inteligência artificial deverá observar finalidade legítima, minimização, segurança, transparência e responsabilidade humana.

A CUSTEC deverá avaliar os tipos de dados enviados a modelos, os fornecedores utilizados, a retenção, a transferência internacional e os riscos de respostas incorretas ou discriminatórias.

Os usuários deverão evitar o envio de informações pessoais, confidenciais ou sensíveis para ferramentas não autorizadas.

Resultados gerados por inteligência artificial deverão ser revisados antes de decisões relevantes.

Quando houver decisão automatizada com impacto significativo sobre o titular, deverão ser considerados mecanismos de transparência e revisão, conforme a legislação.

A transferência internacional poderá ocorrer em razão do uso de serviços de nuvem, autenticação, monitoramento, suporte, comunicação ou inteligência artificial.

A CUSTEC deverá observar os mecanismos permitidos pela legislação brasileira.

A avaliação poderá considerar a localização do fornecedor, as medidas de segurança, as cláusulas contratuais, os padrões aplicáveis e os direitos dos titulares.

Antes de contratar fornecedor que trate dados pessoais, a CUSTEC poderá avaliar sua capacidade técnica, suas práticas de segurança, o local do processamento, a retenção, o subprocessamento e a resposta a incidentes.

Os contratos poderão incluir obrigações relacionadas a confidencialidade, proteção de dados, limitação de finalidade, comunicação de incidentes, auditoria e eliminação.

O acesso concedido a fornecedores deverá ser limitado ao necessário e revogado ao término da atividade.

Os contratos da CUSTEC poderão definir os papéis de controlador, operador e suboperador.

Também poderão estabelecer finalidade, categoria de dados, instruções, medidas de segurança, incidentes, retenção, eliminação, transferência internacional, auditoria e responsabilidades.

Quando necessário, a CUSTEC poderá celebrar Acordo de Tratamento de Dados específico.

Na ausência de contrato específico, serão aplicadas as regras previstas na Política de Privacidade, nos Termos de Uso, no Termo de Adesão e nesta Política.

A CUSTEC poderá manter registros destinados a demonstrar conformidade e prestação de contas.

Esses registros poderão incluir inventários, bases legais, políticas, contratos, logs, incidentes, solicitações de titulares, treinamentos, avaliações de risco, revisões de acesso e evidências de segurança.

O acesso a esses documentos deverá ser restrito às pessoas autorizadas.

A Direção da CUSTEC deverá apoiar a governança de dados e disponibilizar recursos compatíveis com os riscos da operação.

As áreas de tecnologia e segurança deverão manter controles, logs, acessos, monitoramento e resposta a incidentes.

A área jurídica, de compliance ou responsável equivalente deverá apoiar a definição das bases legais, revisão de contratos, atendimento aos titulares e avaliação de riscos.

Colaboradores e prestadores deverão cumprir as políticas, proteger os dados, respeitar os limites de acesso e comunicar incidentes ou suspeitas.

A CUSTEC deverá manter um canal de comunicação para titulares, clientes, fornecedores e autoridades.

O encarregado ou responsável pelo canal deverá apoiar o atendimento aos titulares, receber comunicações e orientar as áreas internas.

Os dados do canal são:

A CUSTEC poderá realizar treinamentos periódicos relacionados à LGPD, privacidade, segurança da informação, incidentes, phishing, compartilhamento de dados e uso de inteligência artificial.

Pessoas que atuem em processos de maior risco poderão receber orientações específicas.

A participação em treinamentos poderá ser registrada para fins de governança e prestação de contas.

A conformidade com esta Política poderá ser avaliada por auditorias, revisões de acesso, análise de incidentes, testes de segurança, revisão de contratos e avaliação de fornecedores.

Falhas ou oportunidades de melhoria deverão gerar ações corretivas proporcionais ao risco.

As políticas, processos e controles deverão evoluir de acordo com mudanças legais, tecnológicas e operacionais.

O descumprimento desta Política poderá resultar em medidas disciplinares, bloqueio de acesso, revisão contratual, rescisão e responsabilização civil, administrativa ou criminal.

Quando necessário, a CUSTEC poderá comunicar autoridades competentes.

Esta Política possui caráter institucional e de governança.

A Política de Privacidade é o documento destinado a informar os titulares sobre como seus dados poderão ser tratados.

Em caso de conflito, deverão ser observados a legislação, o contrato aplicável, o Acordo de Tratamento de Dados e os documentos específicos da operação.

Esta Política entra em vigor na data de sua aprovação e permanecerá válida por prazo indeterminado.

Ela deverá ser revisada periodicamente ou sempre que houver alteração legal, mudança relevante nos serviços, nova tecnologia, novo fornecedor, incidente relevante ou necessidade identificada pela CUSTEC.