POLÍTICA DE SEGURANÇA DA INFORMAÇÃO, TRATAMENTO DE INCIDENTES E VULNERABILIDADES

1. Objetivo

Esta Política apresenta os compromissos públicos da METADAX para proteger informações, sistemas, aplicações, serviços, dados pessoais e ativos de clientes contra acesso não autorizado, destruição, perda, alteração, indisponibilidade, divulgação indevida e uso incompatível com a finalidade.

A Política adota linguagem proporcional ao porte, à estrutura, à escala, ao volume, à natureza dos dados e ao risco de cada serviço. Requisitos adicionais de disponibilidade, continuidade, auditoria, criptografia, suporte, monitoramento ou segurança poderão ser definidos em contrato, Acordo de Tratamento de Dados, anexo de segurança ou SLA.

Esta Política não divulga arquitetura detalhada, regras internas de detecção, chaves, credenciais, configurações ou informações que possam aumentar riscos de segurança.

2. Escopo

Aplica-se, conforme o contexto, a:

• sites, portais, aplicações e APIs operados pela METADAX;

• produtos SaaS e software licenciado;

• ambientes de desenvolvimento, teste e produção;

• dados pessoais e dados do Cliente tratados pela METADAX;

• colaboradores, administradores, prestadores, fornecedores e parceiros com acesso autorizado;

• desenvolvimento de sites, sistemas, automações, integrações e aplicações; e

• recebimento, análise e resposta a vulnerabilidades e incidentes.

Sistemas, dados e ambientes de terceiros que não sejam controlados ou operados pela METADAX estão sujeitos às políticas de seus respectivos responsáveis. O contrato específico poderá delimitar o escopo, as responsabilidades e os controles aplicáveis.

Sites de terceiros desenvolvidos pela METADAX serão de responsabilidade dos terceiros. A METADAX não será responsabilizada por erros, lucros cessantes, perdas e outros eventuais problemas decorrentes de sua intermitência de acesso, indisponibilidade total/parcial ou na perda/alteração de dados.

3. Princípios

A METADAX orienta sua segurança pelos seguintes princípios:

4. Governança e responsabilidades

A administração da METADAX é responsável por aprovar diretrizes, alocar recursos proporcionais ao risco e supervisionar a resposta a incidentes relevantes.

O responsável por segurança ou equipe designada coordena a aplicação desta Política, a gestão de vulnerabilidades, a análise de riscos, a resposta a eventos e a comunicação interna. O responsável por privacidade ou encarregado atua em conjunto quando houver dados pessoais, direitos de titulares ou necessidade de comunicação à ANPD.

Colaboradores, prestadores e fornecedores devem:

1. utilizar apenas acessos autorizados;

2. proteger credenciais, chaves, dispositivos e informações;

3. comunicar suspeitas, incidentes e vulnerabilidades;

4. observar treinamento, procedimentos e instruções;

5. não copiar, extrair ou compartilhar dados sem autorização; e

6. devolver, eliminar ou restringir informações no encerramento do acesso.

Clientes devem utilizar os serviços conforme documentação, manter suas credenciais seguras, aplicar controles em seus próprios ambientes, informar contatos de emergência e não inserir dados de alto risco em serviço que não tenha sido contratado para esse fim.

5. Controles de segurança

A METADAX poderá adotar, conforme risco e serviço:

5.1 Gestão de acesso

Os acessos devem ser concedidos conforme função, necessidade e duração. Quando possível, serão utilizados autenticação reforçada, separação de privilégios, revisão periódica, registro de acessos e revogação no encerramento ou alteração da necessidade.

Credenciais não devem ser compartilhadas ou armazenadas em locais inseguros. Chaves, tokens, senhas e segredos devem ser protegidos e substituídos quando houver suspeita de comprometimento.

5.2 Desenvolvimento e mudanças

Soluções e alterações devem considerar segurança desde o planejamento. Dependendo do risco, o processo poderá incluir revisão de requisitos, segregação de ambientes, controle de versão, validação, testes, análise de dependências, revisão de acesso e plano de reversão.

O nível de teste e revisão será proporcional ao serviço. Nenhuma frase desta Política representa certificação, auditoria independente ou garantia de ausência de vulnerabilidades.

5.3 Atualizações e vulnerabilidades

A METADAX busca manter sistemas, dependências e componentes em versões suportadas. A prioridade de correção considera criticidade, exposição, possibilidade de exploração, impacto, disponibilidade de correção e dependências do serviço.

Vulnerabilidades identificadas podem ser corrigidas, mitigadas, monitoradas ou aceitas temporariamente, com registro e justificativa compatíveis com o risco.

5.4 Proteção de dados e criptografia

Dados pessoais e informações confidenciais serão tratados com medidas compatíveis com a natureza e o risco. Criptografia, pseudonimização, mascaramento, controle de cópias e separação de ambientes poderão ser aplicados quando tecnicamente e economicamente adequados.

A METADAX não declara que todos os dados, ambientes, backups, integrações ou canais utilizam o mesmo mecanismo de criptografia. Requisitos específicos serão definidos no serviço ou anexo de segurança.

5.5 Backups e continuidade

Quando o serviço incluir armazenamento ou hospedagem, a METADAX poderá manter cópias de segurança, redundância ou procedimentos de restauração conforme plano, serviço e risco. O Cliente deve manter cópia independente de seus dados quando isso for compatível com sua responsabilidade e com o contrato.

RTO, RPO, disponibilidade, janela de manutenção e plano de continuidade somente serão exigíveis quando expressamente contratados. A existência de backup não garante recuperação de todo conteúdo, especialmente quando o Cliente altera, exclui ou não fornece dados necessários.

5.6 Fornecedores

Fornecedores críticos serão avaliados de acordo com sua função, acesso, dados, risco, criticidade e custo. Contratos poderão incluir confidencialidade, segurança, subcontratação, incidentes, eliminação, auditoria ou cooperação, conforme aplicável.

5.7 Segurança física e de dispositivos

A METADAX adotará medidas razoáveis para proteger escritórios, dispositivos, equipamentos e mídias sob sua responsabilidade. O nível de proteção pode variar conforme trabalho remoto, prestador, ambiente de nuvem, fornecedor ou infraestrutura de terceiros.

6. Classificação de informação

As informações poderão ser classificadas de acordo com sua sensibilidade e impacto:

A classificação deve considerar o conteúdo e não apenas o local de armazenamento. O Cliente poderá estabelecer classificação ou requisitos mais rigorosos no contrato.

7. Eventos, vulnerabilidades e incidentes

7.1 Vulnerabilidade

Vulnerabilidade é uma fraqueza que pode permitir acesso, alteração, indisponibilidade, exposição ou outro impacto não autorizado. A existência de uma vulnerabilidade não significa que tenha ocorrido exploração ou incidente com dados pessoais.

7.2 Evento de segurança

Evento é uma ocorrência observada ou suspeita que pode afetar segurança, como tentativa de acesso, alerta, falha, indisponibilidade, código malicioso, comportamento anômalo ou reporte de terceiro.

7.3 Incidente de segurança

Incidente é um evento confirmado que comprometa ou possa comprometer confidencialidade, integridade, disponibilidade ou autenticidade de informação ou sistema. Incidente de dados pessoais é aquele que envolve tratamento ou exposição de dados pessoais.

7.4 Incidente comunicável

A METADAX avaliará se o incidente envolvendo dados pessoais pode acarretar risco ou dano relevante aos titulares. A avaliação considerará natureza e categoria dos dados, quantidade e perfil de titulares, consequências, facilidade de uso indevido, medidas de proteção, extensão, reversibilidade e outros fatores previstos na legislação e em procedimentos internos.

8. Resposta a incidentes e CSIRT

A METADAX manterá responsável, equipe ou fornecedor designado para coordenar resposta a incidentes. O fluxo poderá incluir:

1. recebimento e registro;

2. triagem e classificação;

3. contenção e preservação de evidências;

4. investigação e avaliação de impacto;

5. comunicação interna e contratual;

6. correção, recuperação e acompanhamento;

7. comunicação regulatória e aos titulares quando cabível; e

8. lições aprendidas e melhoria de controles.

A METADAX poderá restringir acesso a informações do incidente para preservar investigação, segurança, privacidade, segredo comercial e orientações de autoridade. A comunicação pública ou contratual deverá informar fatos confirmados, riscos relevantes, medidas adotadas e orientações úteis, evitando especulação.

Quando a METADAX atuar como operadora, comunicará o cliente controlador conforme o contrato e fornecerá cooperação razoável para a avaliação e as comunicações legais. O cliente permanece responsável por decisões e comunicações que lhe caibam como controlador, salvo disposição contratual diferente.

Quando a lei e a regulamentação da ANPD exigirem comunicação à ANPD e aos titulares, a METADAX realizará ou apoiará a comunicação dentro do prazo aplicável. A Resolução CD/ANPD nº 15/2024 prevê, como regra geral, três dias úteis e, quando aplicável ao agente de pequeno porte conforme a regulamentação, prazo em dobro; a METADAX não utiliza esta informação como SLA contratual para incidentes nem como dispensa de resposta tempestiva.

9. Registro e retenção de incidentes

A METADAX manterá registro dos incidentes e decisões de comunicação, incluindo ocorrências não comunicadas quando exigido pela regulamentação. O registro poderá conter data de conhecimento, circunstâncias, dados afetados, titulares, avaliação de risco, medidas de correção, comunicação realizada e motivos da ausência de comunicação.

Quando aplicável, os registros de incidentes de segurança serão mantidos pelo prazo mínimo previsto na regulamentação da ANPD, atualmente de cinco anos para a hipótese regulamentada, salvo obrigação adicional de prazo maior.

10. Reporte responsável de vulnerabilidades

A METADAX incentiva o reporte responsável de vulnerabilidades. O canal preferencial é:

E-mail: [email protected]

Canal alternativo: metadax.com.br/bug-bounty

Contato de emergência contratual:  [email protected]

10.1 Escopo

O escopo deve ser publicado e mantido em lista atualizada, contendo somente ativos que a METADAX controla ou está autorizada a testar. A versão final deverá substituir esta tabela provisória:

Acesse "metadax.com.br/bug-bounty" para verificar a lista de aplicações permitidas e o respectivo escopo.

Se a lista de ativos não estiver publicada, o programa não deve declarar safe harbor amplo nem autorizar testes genéricos em todo o ecossistema da METADAX.

10.2 Regras obrigatórias

O pesquisador deverá:

1. atuar de boa-fé, de forma responsável e dentro do escopo;

2. evitar degradação, indisponibilidade, DoS, DDoS, spam, engenharia social, phishing e acesso físico;

3. não acessar, copiar, alterar, excluir, divulgar ou exfiltrar dados reais além do mínimo necessário para demonstrar a falha;

4. interromper o teste e comunicar a METADAX quando encontrar dados pessoais, credenciais, segredos ou acesso de terceiros;

5. não testar pessoas, empregados, clientes, fornecedores ou ativos não incluídos;

6. não instalar persistência, malware ou backdoor;

7. não divulgar a vulnerabilidade antes de coordenação razoável com a METADAX; e

8. apagar ou devolver evidências e dados recebidos quando solicitado, ressalvado o necessário para prova ou obrigação legal.

10.3 Conteúdo do reporte

O reporte deve incluir título, descrição, ativo, passos de reprodução, impacto, evidências mínimas, classificação de severidade sugerida, data e contato seguro. O pesquisador não deve incluir dados pessoais ou segredos desnecessários.

A METADAX poderá solicitar informações adicionais, confirmar recebimento, classificar a severidade, informar correção ou decidir não corrigir quando a falha estiver fora do escopo, duplicada, não reproduzível, de baixo impacto ou incompatível com o serviço.

10.4 Safe harbor limitado

Na medida permitida pela legislação, a METADAX não buscará responsabilização contra pesquisador que atuar de boa-fé, dentro do escopo, pelos métodos autorizados e em conformidade com esta Política.

Essa proteção é limitada às atividades descritas e não:

• autoriza acesso a ativos de terceiros;

• autoriza tratamento, cópia ou divulgação de dados além do necessário;

• concede imunidade criminal, civil, administrativa ou contratual perante terceiros;

• impede medidas necessárias para conter risco imediato; ou

• substitui autorização de cliente, provedor, titular, autoridade ou proprietário do ativo.

A METADAX não pode prometer, em documento privado, que qualquer atividade será considerada automaticamente autorizada por todas as autoridades, titulares ou terceiros.

10.5 Recompensas

Salvo anúncio escrito de campanha, valor e critérios, a METADAX não garante pagamento, recompensa, reconhecimento ou contratação em razão de um reporte.

Se houver recompensa, serão publicados requisitos de elegibilidade, severidade, duplicidade, pagamento, tributação, identificação e eventual declaração de não responsabilidade.

11. Tratamento de dados de pesquisadores e comunicantes

A METADAX tratará dados fornecidos no reporte para receber, validar, investigar, corrigir, comunicar e documentar a vulnerabilidade, além de proteger direitos e cumprir obrigações. O pesquisador deve evitar enviar dados pessoais desnecessários.

O reporte poderá ser compartilhado com equipes técnicas, fornecedores de segurança, clientes afetados ou autoridades quando necessário e permitido.

A METADAX poderá utilizar o e-mail e os dados de contato para responder ao reporte, não para marketing, salvo outra base legal e autorização.

12. Comunicação de vulnerabilidades

A divulgação pública será coordenada conforme impacto, correção, exploração ativa, necessidade de notificar usuários, disponibilidade de mitigação e interesses de segurança. A METADAX poderá solicitar prazo razoável para corrigir a falha e preparar comunicação.

O pesquisador não deverá publicar dados pessoais, credenciais, segredos, provas destrutivas ou instruções que facilitem exploração antes de coordenar com a METADAX. A METADAX poderá divulgar agradecimento com nome ou pseudônimo somente com autorização do pesquisador.

13. Auditoria, evidências e cooperação

A METADAX poderá manter registros de acesso, mudanças, incidentes, riscos, treinamentos, solicitações e decisões de segurança pelo tempo necessário à segurança, à auditoria, ao contrato, à defesa de direitos e às obrigações legais.

Clientes B2B que necessitem de auditoria, evidência de controle, questionário de segurança ou teste independente devem prever escopo, custo, frequência, confidencialidade, acesso, ambiente, aviso, não interrupção e proteção de outros clientes no contrato ou anexo de segurança.

14. Continuidade e recuperação

A METADAX manterá procedimentos proporcionais para responder a indisponibilidades e recuperar serviços conforme a natureza da operação. Testes, redundância, RTO e RPO somente serão prometidos quando definidos para o serviço específico.

A continuidade pode ser afetada por dependências do Cliente, plataformas, APIs, provedores de nuvem, registradores, instituições financeiras, internet, energia, terceiros, força maior ou alterações de mercado. A METADAX informará limitações relevantes quando conhecidas.

15. Exceções e revisão

Exceções a esta Política devem ser justificadas, aprovadas por responsável competente, ter prazo, escopo e medidas compensatórias quando aplicável. A Política será revisada periodicamente ou quando houver alteração relevante de serviço, risco, incidente, fornecedor, legislação ou regulamentação.

16. Canais

• Segurança e vulnerabilidades: [email protected]

• Privacidade e direitos: [email protected]

• Encarregado/DPO: [email protected]

• Incidentes contratuais: canal previsto na proposta, contrato ou SLA.

Não envie credenciais, chaves privadas, dados de saúde, dados pessoais sensíveis ou informações confidenciais em formulário ou e-mail sem orientação da METADAX.

17. Relação com outros documentos

Esta Política deve ser lida em conjunto com:

• Aviso de Privacidade, Cookies e Comunicações;

• Termos Gerais de Uso e Contratação;

• contrato, proposta, ordem de serviço, DPA, anexo de segurança e SLA específicos;

• regras do Reporte Responsável de Vulnerabilidades; e

• procedimentos internos de segurança e resposta a incidentes.

Em caso de conflito, a legislação cogente prevalece. O contrato ou anexo específico prevalece para obrigações técnicas e níveis de serviço expressamente negociados, sem reduzir direitos legais de titulares ou consumidores.

18. Referências

1. Resolução CD/ANPD nº 15/2024 — Regulamento de Comunicação de Incidente de Segurança.

2. Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais.

3. Resolução CD/ANPD nº 2/2022 — agentes de tratamento de pequeno porte.

4. Guia da ANPD sobre segurança da informação para agentes de tratamento de pequeno porte.

5. Marco Civil da Internet — Lei nº 12.965/2014.