Política de Segurança da Informação

Esta Política estabelece os requisitos mínimos de segurança aplicáveis ao KryzerHub, aos seus ambientes tecnológicos e às pessoas que tenham acesso a informações, sistemas, credenciais, códigos, infraestrutura ou dados tratados pela operação. Ela se aplica a colaboradores, administradores, prestadores e terceiros autorizados, conforme suas responsabilidades.

Os controles de segurança devem observar confidencialidade, integridade, disponibilidade, rastreabilidade, necessidade de acesso, privilégio mínimo, segregação de responsabilidades e proteção proporcional ao risco. Dados e sistemas críticos devem receber controles reforçados.

O acesso a sistemas e dados deve ser concedido somente a pessoas e serviços autorizados, de acordo com a função e a necessidade operacional. Permissões administrativas devem ser restritas, revisadas quando houver alteração de função ou encerramento de vínculo e removidas quando deixarem de ser necessárias. Contas não devem ser compartilhadas entre usuários.

Senhas devem ser fortes, exclusivas e protegidas contra compartilhamento indevido. Autenticação multifator deve ser utilizada em serviços administrativos e críticos sempre que disponível. Sessões, dispositivos e terminais corporativos devem adotar bloqueio de tela e controles compatíveis com o risco. Credenciais e segredos de integração não devem ser armazenados em código-fonte público.

Ambientes de produção, serviços externos e bancos de dados devem utilizar controles de acesso e segmentação lógica disponibilizados pelos provedores. Exposição pública de serviços deve ser limitada ao necessário para a operação. Regras de rede, autenticação, permissões, endpoints e integrações devem ser revisadas sempre que houver alteração relevante de arquitetura.

Informações devem ser tratadas conforme sua sensibilidade. Dados pessoais, credenciais, tokens, segredos, informações financeiras e dados operacionais restritos são considerados sensíveis para fins internos e devem receber proteção reforçada. Comunicações externas e tráfego contendo informações protegidas devem utilizar canais criptografados, como HTTPS/TLS. Dados em repouso devem utilizar os recursos de proteção e criptografia oferecidos pelos provedores de infraestrutura, quando aplicável.

Dispositivos utilizados para administrar ambientes do Kryzer devem manter sistema operacional e aplicações atualizados, proteção antimalware ou antivírus ativa quando suportada, bloqueio de tela e acesso protegido. Instalações de software de origem não confiável devem ser evitadas.

Alterações de software devem buscar reduzir riscos de autenticação inadequada, exposição de dados, injeção, permissões excessivas e vazamento de segredos. Chaves de API, tokens, senhas e credenciais devem ser mantidos em mecanismos apropriados de configuração ou segredo e não devem ser incluídos deliberadamente em repositórios públicos, logs, mensagens ou documentação acessível sem necessidade.

Eventos relevantes de autenticação, administração, integrações, falhas e ações críticas devem ser registrados quando tecnicamente possível. Logs devem ser protegidos contra alteração indevida e utilizados para diagnóstico, auditoria, investigação de incidentes e melhoria dos controles.

Dependências, configurações, componentes expostos e alertas de segurança dos provedores devem ser revisados periodicamente e após mudanças relevantes. Vulnerabilidades identificadas devem ser classificadas conforme risco e tratadas em prazo compatível com sua criticidade. Correções emergenciais podem ser priorizadas quando houver risco de exploração ativa ou exposição de dados.

Suspeitas ou confirmações de incidente de segurança devem ser registradas e avaliadas. O processo de resposta deve contemplar, conforme aplicável: identificação, contenção, preservação de evidências, erradicação, recuperação, análise de causa, correções preventivas e comunicação às partes envolvidas.

Quando um incidente envolver dados pessoais ou obrigações contratuais, a necessidade de notificação a clientes, plataformas parceiras e autoridades será avaliada conforme a legislação e os compromissos aplicáveis.

Dados e configurações relevantes devem utilizar mecanismos de backup, redundância ou recuperação compatíveis com a criticidade do serviço e com as capacidades dos provedores utilizados. Procedimentos de restauração e continuidade devem ser revisados conforme a evolução da plataforma.

Provedores que processem ou armazenem dados relevantes devem ser selecionados considerando requisitos técnicos, segurança, disponibilidade e obrigações contratuais. O acesso de terceiros deve ser limitado à finalidade contratada e revogado quando deixar de ser necessário.

Dados e registros devem ser mantidos somente pelo período necessário à operação, segurança, cumprimento legal e exercício de direitos. Quando não houver mais necessidade legítima de retenção, devem ser excluídos, anonimizados ou descartados de forma compatível com sua sensibilidade, observados ciclos limitados de backup e exigências legais.

Toda pessoa com acesso autorizado aos ambientes do Kryzer é responsável por proteger credenciais, respeitar os controles de acesso, comunicar comportamentos suspeitos e evitar exposição indevida de dados. Orientações e controles devem ser atualizados quando surgirem novos riscos, serviços ou integrações.

Esta Política será revisada periodicamente e sempre que houver mudanças relevantes na arquitetura, requisitos legais, contratos, riscos ou processos de segurança. Exceções devem ser justificadas, avaliadas e aprovadas por responsável autorizado.

Questões de segurança, suspeitas de incidente e relatos de vulnerabilidade devem ser encaminhados pelos canais oficiais de suporte disponibilizados no KryzerHub e no site da Kryzer Digital, com informações suficientes para permitir triagem e investigação.