Política de Segurança da Informação

Objetivo

Esta política estabelece as diretrizes de segurança da informação aplicadas aos serviços, plataformas e operações da Condor Data Tecnologia e Software LTDA (“Condor Data”), inscrita no CNPJ sob o nº 60.494.420/0001-01, com o objetivo de proteger a confidencialidade, a integridade e a disponibilidade das informações próprias e de clientes.

Diretrizes

• Menor privilégio: acessos são concedidos no mínimo necessário à função e revisados periodicamente.
• Criptografia em trânsito: o tráfego entre usuários e serviços ocorre sob TLS (Transport Layer Security).
• Segregação de ambientes: ambientes de produção são segregados e as credenciais têm escopo restrito por integração.
• Trilhas de auditoria: atos relevantes de autenticação, autorização e operação são registrados com data, origem e resultado.
• Autenticação federada: a autenticação em serviços conectados ocorre em provedores de identidade; os sistemas da Condor Data não recebem senhas de usuários.

Divulgação Responsável de Vulnerabilidades

Relatos de vulnerabilidade são recebidos pelo canal dedicado [email protected], também publicado em /.well-known/security.txt (RFC 9116), e são tratados com prioridade. Solicita-se divulgação responsável, sem publicação de detalhes antes da coordenação com a Condor Data.

Gestão de Incidentes

Incidentes de segurança que possam acarretar risco a clientes ou a titulares de dados são comunicados sem demora injustificada, com descrição da natureza do incidente, dos dados potencialmente afetados e das medidas adotadas. Quando o incidente puder acarretar risco ou dano relevante aos titulares, a comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados observa o art. 48 da Lei Geral de Proteção de Dados Pessoais (LGPD, Lei 13.709/2018), nos prazos previstos na legislação aplicável. Após a contenção, conduz-se análise de causa raiz e registram-se ações preventivas. O processo segue a Política de Privacidade e o disposto nos contratos aplicáveis.

Referenciais Adotados

As práticas de segurança orientam-se por referenciais internacionais de maturidade, como a família ISO/IEC 27000 e o NIST Cybersecurity Framework, adotados como parâmetro de melhoria contínua, não como alegação de certificação. Os compromissos públicos de confiança estão consolidados no Trust Center.

Vigência e Revisão

Esta política vigora a partir da sua publicação nesta página; a versão vigente é sempre a aqui publicada, e as alterações relevantes são divulgadas no mesmo canal.

A política é revista sempre que necessário, em razão de alterações legais, regulatórias, tecnológicas ou operacionais, bem como das lições extraídas do tratamento de incidentes.