Política de Segurança da Informação e Proteção de Dados

Versão 1.0 · Vigente desde 3 de outubro de 2026 · Revisão anual

Esta política define as regras de segurança da informação e de proteção de dados pessoais da BETESDA TECNOLOGIA LTDA (CNPJ 30.903.973/0001-00) para o ColibriERP. Ela vale para todos os colaboradores, prestadores de serviço e sistemas que tratam dados de clientes. A versão em inglês está disponível em Information Security and Data Protection Policy.

1. Responsabilidades

• A diretoria aprova esta política e garante os recursos para cumpri-la.
• O Encarregado de Proteção de Dados (DPO) coordena a segurança da informação e a privacidade: developer@colibrierp.com.br.
• Cada colaborador protege as credenciais e os dados a que tem acesso e comunica imediatamente qualquer incidente.

2. Classificação dos dados

• Público: conteúdo do site e materiais de divulgação.
• Interno: documentação técnica e informações operacionais.
• Confidencial: dados de clientes e de lojas, dados pessoais, tokens de acesso às APIs dos marketplaces, credenciais e cópias de segurança.

Dados confidenciais só podem ser tratados nos sistemas de produção, com acesso restrito, e não podem ser copiados para dispositivos pessoais nem compartilhados fora da finalidade do serviço.

3. Controle de acesso

• Acesso concedido pelo princípio do menor privilégio e da necessidade de conhecer.
• No sistema, cada empresa cliente acessa apenas os próprios dados; os perfis de usuário (proprietário, membro, administrador da plataforma) limitam as ações permitidas.
• O acesso administrativo aos servidores é restrito à equipe técnica autorizada, com autenticação forte.
• Contas de administração (hospedagem, e-mail, contas dos marketplaces, repositório de código) usam autenticação de dois fatores quando disponível.
• Acessos são revisados a cada trimestre e removidos imediatamente quando a pessoa deixa de precisar deles.

4. Segurança dos equipamentos

• Computadores da empresa com bloqueio automático de tela, senha forte, sistema operacional atualizado e proteção contra malware ativa (por exemplo, a proteção nativa do macOS ou o Microsoft Defender).
• Mesa limpa: documentos e telas com dados confidenciais não ficam expostos sem supervisão.
• Senhas são únicas por serviço e guardadas em gerenciador de senhas.

5. Segurança de rede e infraestrutura

• Os servidores de produção expõem apenas os serviços necessários (HTTPS e acesso administrativo).
• O banco de dados fica em rede privada, sem acesso direto pela internet.
• Toda comunicação com o sistema e com as APIs dos marketplaces é criptografada com TLS.
• Registros de acesso e de operações são mantidos para monitoramento e investigação.

6. Criptografia e cópias de segurança

• Dados em trânsito: TLS em todas as conexões.
• Senhas de usuários: armazenadas apenas como hash criptográfico.
• Tokens de acesso às APIs e cópias de segurança: armazenados de forma criptografada.
• Cópias de segurança diárias do banco de dados, com retenção limitada e acesso restrito.

7. Gestão de vulnerabilidades

• Atualizações de segurança do sistema operacional aplicadas automaticamente.
• Dependências do software revisadas mensalmente; falhas críticas corrigidas em até 7 dias e altas em até 30 dias.
• Toda mudança no código passa por testes automatizados antes de ir para produção.

8. Resposta a incidentes

• Qualquer pessoa que identificar um possível incidente comunica imediatamente o DPO pelo e-mail developer@colibrierp.com.br.
• O DPO coordena a contenção, a investigação e a correção, e registra o incidente e as lições aprendidas.
• Clientes e plataformas parceiras afetados (incluindo o TikTok Shop) são notificados em até 72 horas após a confirmação de um incidente com dados pessoais; a ANPD e os titulares são comunicados quando exigido pela LGPD.

9. Proteção de dados pessoais

• Tratamento conforme a LGPD e a nossa Política de Privacidade, apenas para prestar o serviço ao cliente que autorizou o acesso.
• Pedidos de titulares e de clientes (acesso, correção, exclusão, portabilidade) atendidos em até 15 dias, inclusive quando encaminhados pelos marketplaces.
• Ao término do contrato ou da autorização, os dados do cliente são excluídos ou anonimizados em até 30 dias, salvo obrigação legal de guarda.
• Dados armazenados e tratados no Brasil.

10. Revisão

Esta política é revisada ao menos uma vez por ano ou quando houver mudança relevante no serviço ou na legislação.