Política de proteção de dados pessoais e segurança da informação

Documento preparado para validação jurídica final antes da publicação no aplicativo e no site.

1. Objetivo

Estabelecer princípios, responsabilidades, controles e processos para que o Poseidon trate dados pessoais e desenvolva, opere e mantenha sua Plataforma de modo seguro, transparente e aderente à LGPD, ao Marco Civil da Internet, às normas da ANPD e a boas práticas de segurança, incluindo OWASP Top 10:2025 e OWASP Mobile Top 10:2024.

2. Escopo

Esta Política se aplica a sócios, administradores, empregados, desenvolvedores, prestadores, fornecedores, parceiros e sistemas que tratem dados sob responsabilidade do Poseidon, em ambientes de desenvolvimento, teste, homologação, produção, suporte, analytics, backoffice, marketing e continuidade.

3. Princípios obrigatórios

4. Governança e responsabilidades

A pessoa jurídica, e não o empregado individualmente, será definida como controlador ou operador em cada operação, conforme quem decide finalidade e meios essenciais. Relações com controladores conjuntos ou independentes devem ser documentadas.

5. Inventário, bases legais e registros

• manter inventário de dados e registro das operações de tratamento, com sistema, titular, dado, fonte, finalidade, base legal, acesso, compartilhamento, transferência, retenção e descarte;
• revisar bases legais antes do lançamento e quando houver mudança de finalidade;
• registrar avaliação de legítimo interesse quando essa base for usada, considerando propósito, necessidade, expectativa e balanceamento de direitos;
• manter evidência de consentimento específico, livre, informado e destacável quando exigido, com revogação simples;
• proibir dados pessoais reais em desenvolvimento e teste, salvo exceção formal com minimização e proteção equivalente;
• realizar Relatório de Impacto à Proteção de Dados (RIPD) em tratamentos de alto risco, grande escala, dados sensíveis, monitoramento sistemático, geolocalização precisa ou decisão automatizada relevante.

6. Classificação e manuseio da informação

7. Controles de identidade e acesso

• identidade individual, proibição de contas compartilhadas e revisão periódica de acessos;
• princípio do menor privilégio, segregação de funções e acesso just-in-time quando viável;
• MFA obrigatório para administradores, nuvem, banco, repositórios, CI/CD e backoffice privilegiado;
• revogação imediata no desligamento ou mudança de função e recertificação trimestral de privilégios críticos;
• sessões e tokens com expiração adequada, rotação, revogação, proteção contra reutilização e armazenamento seguro no mobile;
• credenciais nunca armazenadas em texto claro; senhas protegidas por algoritmo forte e parametrizado, como BCrypt ou Argon2id.

8. Desenvolvimento seguro e privacidade por design

1. Discovery: identificar titulares, dados, finalidade, base legal, risco, retenção e requisito de transparência.

2. Design: elaborar threat model, fluxos de confiança, controles de abuso, minimização e critérios de autorização.

3. Build: revisão por pares, padrões seguros, validação de entrada, consultas parametrizadas, gestão de segredos e dependências fixadas.

4. Pipeline: SAST, SCA/SBOM, análise de segredos, IaC e containers; impedir promoção diante de vulnerabilidade crítica não aceita.

5. Teste: casos de autorização, autenticação, fraude, privacidade, APIs, upload, rate limiting e mobile; DAST e teste de invasão proporcional.

6. Release: aprovação, plano de rollback, migração segura, evidências e atualização de políticas quando necessário.

7. Operação: telemetria, alertas, patches, gestão de vulnerabilidades, backup, restauração e lições aprendidas.

9. Controles alinhados ao OWASP Top 10:2025

O alinhamento ao OWASP é uma referência de risco, não uma certificação. APIs e aplicativo móvel também devem seguir OWASP ASVS/MASVS conforme criticidade, com armazenamento seguro, proteção de rede, autenticação e controle de plataforma.

10. Proteção de APIs, banco e arquivos

• autenticação e autorização em todos os endpoints não públicos, inclusive validação de ownership de CPF, usuário, solicitação, orçamento e mídia;
• limites de taxa e volume por usuário, IP, dispositivo e operação sensível; proteção contra enumeração;
• CORS com origens explicitamente autorizadas e sem combinação insegura de origem ampla com credenciais;
• uploads com lista de tipos, tamanho, inspeção, nome aleatório, armazenamento não executável e controle de acesso no download;
• segregação entre aplicação e banco, conexões criptografadas, contas de serviço com menor privilégio e backups testados;
• dados sensíveis e tokens excluídos de logs; mascaramento de CPF, e-mail, telefone e endereço em suporte e observabilidade;
• segredos em cofre gerenciado, com rotação; proibição de chaves em repositórios, imagens, tickets e mensagens.

11. Regra de não identificação e prevenção ao desvio

A arquitetura e a moderação devem apoiar a regra dos Termos de Uso que proíbe Identificadores Diretos em campos não autorizados. Controles podem incluir validação contextual, detecção de telefone/e-mail/link/QR Code, OCR em imagens, fila de revisão, mascaramento, trilha de decisões e mecanismo de recurso.

Filtros não devem coletar mais dados do que o necessário nem tomar decisão irreversível sem proporcionalidade. Conteúdo suspeito poderá ser temporariamente ocultado; sanções severas devem considerar evidência, gravidade, reincidência, risco e contestação, salvo urgência de segurança ou fraude.

12. Fornecedores e compartilhamento

• realizar due diligence proporcional sobre segurança, privacidade, localização, suboperadores e histórico;
• celebrar contrato com finalidade, instruções, confidencialidade, controles, retenção, eliminação, auditoria, subcontratação e retorno de dados;
• exigir comunicação de incidente sem demora injustificada e em prazo interno que permita cumprir os 3 dias úteis regulatórios;
• avaliar mecanismo de transferência internacional e manter documentação correspondente;
• revogar acessos e confirmar devolução ou eliminação ao término, ressalvada retenção legal.

13. Direitos dos titulares

1. Receber o pedido em canal rastreável e gerar protocolo.

2. Verificar identidade de forma proporcional e evitar solicitar cópia excessiva de documento.

3. Localizar dados em sistemas e fornecedores, preservar direitos de terceiros e segredos legítimos.

4. Responder confirmação/acesso simplificado imediatamente quando possível e declaração completa em até 15 dias.

5. Executar correção, bloqueio, eliminação, oposição, revogação, portabilidade ou revisão quando cabível.

6. Registrar decisão, fundamento, prazo e comunicação aos agentes com quem houve compartilhamento, quando exigido.

14. Retenção, descarte e anonimização

Cada ativo deve possuir regra de retenção aprovada e tecnicamente implementável. O descarte deve alcançar réplicas e fornecedores no ciclo definido; backups expiram por rotação e não devem ser restaurados para uso comum após pedido de exclusão. Exceções de legal hold devem ser documentadas, com acesso bloqueado para finalidades incompatíveis.

Anonimização deve considerar risco de reidentificação por combinação com outras bases. Pseudonimização reduz risco, mas o dado continua pessoal quando a reidentificação for possível.

15. Gestão de vulnerabilidades e testes

Prazos podem ser reduzidos por exploração ativa, dado exposto, alcance ou requisito contratual. Exceções exigem proprietário, justificativa, controle compensatório, prazo e aprovação. Teste de invasão independente deve ocorrer antes de lançamento relevante e, depois, ao menos anualmente ou após mudança material.

16. Logs, monitoramento e auditoria

• registrar autenticação, alteração de privilégio, acesso administrativo, exportação, mudança de dados críticos, moderação e eventos antifraude;
• evitar conteúdo integral de mensagem, senha, token, documento e dado sensível em logs;
• proteger logs contra alteração, restringir acesso, definir retenção e alertar eventos de alto risco;
• manter registros de acesso à aplicação por 6 meses, sob sigilo e em ambiente controlado, salvo extensão legalmente válida;
• auditar periodicamente acessos privilegiados, regras de autorização, fornecedores e aderência ao descarte.

17. Resposta a incidentes com dados pessoais

1. Detectar e registrar: abrir incidente, preservar evidências, classificar severidade e acionar responsáveis.

2. Conter: revogar credenciais, isolar recurso, bloquear abuso e impedir ampliação do dano.

3. Investigar: confirmar ocorrência, período, vetor, dados, titulares, escala e controles existentes.

4. Avaliar risco: considerar natureza, volume, sensibilidade, vulnerabilidade dos titulares, criptografia e impacto material, moral ou reputacional.

5. Comunicar: operador informa controlador sem demora; controlador comunica ANPD e titulares em até 3 dias úteis quando houver risco ou dano relevante, ressalvada regra específica.

6. Erradicar e recuperar: corrigir causa, validar integridade, restaurar com segurança e monitorar recorrência.

7. Aprender: realizar análise de causa, plano corretivo, atualização de controles e relatório executivo.

O registro do incidente deve ser mantido por no mínimo 5 anos, incluindo data, natureza, dados e titulares afetados, avaliação de risco, medidas, comunicações e razões para eventual não comunicação. Comunicações devem preservar segredo comercial sem omitir informação necessária ao titular.

18. Continuidade e backups

• definir RTO e RPO por serviço, dependência e criticidade;
• manter backups criptografados, segregados e protegidos contra alteração ou ransomware;
• testar restauração ao menos trimestralmente para ativos críticos e registrar evidências;
• documentar modo degradado, rollback e comunicação em indisponibilidade;
• garantir que recuperação não reative contas excluídas ou dados além da retenção sem reconciliação posterior.

19. Treinamento e confidencialidade

Todos os colaboradores e prestadores com acesso devem aceitar dever de confidencialidade e realizar treinamento na admissão e, no mínimo, anualmente. Equipes técnicas receberão conteúdo específico de codificação segura, OWASP, gestão de segredos, phishing, resposta a incidente e proteção de dados por design.

20. Indicadores e revisão

A Política deve ser revisada ao menos anualmente e após incidente relevante, alteração legal, mudança material de arquitetura, novo segmento, tratamento de alto risco ou mudança do modelo de monetização.

21. Exceções, violações e sanções internas

Exceções devem ser documentadas com escopo, risco, controle compensatório, proprietário, prazo e aprovação competente. Violações podem gerar revogação de acesso, medida disciplinar, rescisão contratual, reparação e comunicação a autoridades, assegurado procedimento compatível com a gravidade e a legislação.

22. Aprovação e controle de versão