Nota de Medidas de Segurança Corporativas

Versão 5.0

Data de vigência: 22 de julho de 2026

Este documento é um extrato operacional do Anexo II do Adendo de Tratamento e Proteção de Dados (DPA) v.5.0. As medidas aplicam-se conforme o Produto, risco, arquitetura e Contrato Aplicável e não constituem garantia de invulnerabilidade.

1. Programa de segurança e governança

A Provedora manterá programa de segurança compatível com seu porte, riscos e Produtos, incluindo papéis e responsabilidades, políticas internas, avaliação periódica de riscos, gestão de incidentes e supervisão executiva ou técnica adequada.

2. Pessoal e confidencialidade

A Provedora adotará deveres de confidencialidade, treinamento periódico, gestão de acessos e procedimentos de desligamento para pessoas com acesso a sistemas ou dados relevantes. Acesso será concedido por necessidade e revogado quando deixar de ser necessário.

3. Inventário, classificação e minimização

A Provedora manterá inventário razoável de ativos relevantes, classificará informações conforme sensibilidade, aplicará minimização e restringirá cópias locais ou impressas. Mídias e dispositivos serão descartados ou reutilizados mediante processo seguro.

4. Identidade e controle de acesso

A Provedora utilizará identificadores individuais quando apropriado, privilégio mínimo, segregação de funções, revisões periódicas, autenticação reforçada para acessos administrativos e multifator para acessos privilegiados ou remotos quando suportado e adequado ao risco.

Contas de serviço, chaves e tokens serão geridos de forma a limitar escopo, duração e exposição. Senhas e segredos não serão armazenados em texto aberto em repositórios de código.

5. Criptografia e gestão de segredos

Dados em trânsito serão protegidos por protocolos criptográficos de mercado, normalmente TLS 1.2 ou superior. Dados em repouso serão criptografados quando suportado pela infraestrutura e apropriado à natureza do Serviço. Chaves, credenciais e segredos serão protegidos por mecanismos de gestão e acesso restrito.

6. Segregação e arquitetura

A Provedora adotará controles lógicos para separar organizações, ambientes e permissões. Ambientes de desenvolvimento, teste e produção serão segregados de forma apropriada. Dados de produção não deverão ser copiados para desenvolvimento sem necessidade, autorização e proteção adequada.

7. Segurança de rede, endpoint e nuvem

Serão utilizados, conforme o Serviço, controles como firewalls, grupos de segurança, segmentação, proteção de aplicações, mitigação de abuso e DDoS, monitoramento de rede, hardening, proteção de endpoints, gestão de configuração e controles nativos de provedores de nuvem.

8. Desenvolvimento seguro e mudanças

A Provedora manterá práticas de desenvolvimento seguro, revisão de código ou controles equivalentes, gestão de mudanças, testes, separação de ambientes, gestão de dependências, varredura de segredos e correção de vulnerabilidades segundo criticidade e risco.

Mudanças relevantes serão aprovadas e registradas conforme processos internos. Recursos beta poderão seguir ciclo diferenciado, sem afastar obrigações legais.

9. Vulnerabilidades e testes

A Provedora realizará avaliações, varreduras ou testes proporcionais ao risco e tratará vulnerabilidades em prazo baseado em severidade, exposição, disponibilidade de correção e medidas compensatórias. O Cliente não poderá realizar pentest ou varredura sem autorização.

10. Logs, monitoramento e detecção

A Provedora manterá logs e monitoramento compatíveis com o Serviço e a finalidade. Salvo prazo adicional contratado ou evento sujeito a retenção específica:

• logs de uso por usuários humanos e Agentes serão mantidos por 30 dias em base rolling;
• telemetria operacional será mantida por 7 dias em base rolling;
• logs de segurança e auditoria serão mantidos ativamente por 90 dias;
• evidências relacionadas a incidente, fraude, investigação, obrigação legal ou defesa de direitos poderão ser preservadas por período maior.

Esses prazos não se confundem com registros de negócio, histórico de casos, documentos, resultados, publicações ou trilhas contratadas como funcionalidade do Produto.

11. Resposta a incidentes

A Provedora manterá processo para identificação, triagem, contenção, investigação, comunicação, recuperação e aprendizado de incidentes. Evidências serão preservadas de maneira proporcional. O processo observará a cláusula 10 do DPA.

12. Continuidade, disponibilidade e recuperação

A Provedora manterá medidas razoáveis de continuidade e recuperação adequadas ao Serviço. Redundância, recuperação, RTO, RPO e disponibilidade dependerão do Produto e do SLA aplicável.

13. Backups

Backups gerais utilizarão ciclo rotativo de 30 dias, salvo Schedule específico. Após o encerramento do Cliente ou Produto, a Provedora poderá manter uma cópia congelada por 180 dias, criptografada ou protegida, com acesso restrito e sem uso operacional ordinário, para recuperação, segurança, integridade, investigação e defesa de direitos.

A existência de backup não garante restauração de item individual, versão intermediária ou dado removido, salvo funcionalidade ou Serviço Profissional contratado.

14. Gestão do ciclo de vida

A Provedora aplicará procedimentos para retenção, exportação, eliminação e sobrescrita conforme o DPA, os Termos de Produto e a matriz de retenção. Exclusões em backups ocorrerão no ciclo normal, salvo Legal Hold.

15. Fornecedores e Suboperadores

A Provedora avaliará fornecedores relevantes, celebrará contratos adequados, limitará acesso à finalidade e acompanhará alterações materiais. Controles físicos e de datacenter poderão ser herdados dos provedores de nuvem.

16. Segurança física

Instalações próprias, quando aplicável, utilizarão controles de acesso razoáveis. Datacenters e infraestrutura terceirizada seguirão controles do respectivo provedor e compromissos contratuais aplicáveis.

17. Inteligência artificial

A Provedora buscará utilizar contas comerciais ou enterprise e configurações destinadas a impedir o uso de inputs e outputs para treinamento geral dos fornecedores, salvo autorização ou opt-in. Poderão ser utilizados Azure, Anthropic, Google e outros fornecedores listados, bem como modelos executados em implantação soberana ou local.

Permissões, roteamento, ferramentas, logs e integrações de Agentes serão controlados conforme o Produto. A Provedora poderá restringir modelos, ferramentas ou ações por segurança e conformidade.

18. Avaliação e melhoria contínua

A Provedora revisará seu programa de segurança e poderá atualizar controles, processos e tecnologias. Nenhuma descrição constitui garantia de invulnerabilidade ou compromisso de manter tecnologia específica.