Politica de Seguranca da Informacao

ISO 27001 · LGPD · NIST CSF

Como protegemos dados de clientes, corretores, investidores, parceiros e da propria empresa.

Ultima atualizacao · 30 de Abril de 2026

Seguranca da informacao nao e opcional. Em curadoria imobiliaria de alto padrao manuseamos dados patrimoniais sensiveis, e qualquer falha tem custo direto a reputacao construida em mais de uma decada.

Esta politica define principios, controles e responsabilidades. Aplicavel a todos os colaboradores, terceiros e qualquer pessoa com acesso a sistemas, dados ou instalacoes da AUREUM.

Principios fundamentais (CIA + Auditabilidade)

Confidencialidade — informacao acessivel apenas a quem tem autorizacao formal e necessidade tecnica
Integridade — dados protegidos contra alteracao indevida; auditoria de mudancas
Disponibilidade — sistemas estaveis com SLA, backups verificados, plano de continuidade
Auditabilidade — toda acao critica registrada em audit log imutavel por 5 anos minimo
Privacidade desde a concepcao (Privacy by Design) — protecao incorporada na arquitetura
Minimizacao — coletamos e armazenamos apenas o estritamente necessario (LGPD Art. 6, III)

Controles tecnicos

Criptografia

· TLS 1.3 em todas as conexoes (HTTPS forcado)
· AES-256 em backups e dados em repouso sensiveis
· Senhas com bcrypt 12 rounds (irreversivel)
· Tokens JWT com HS256, expiracao 7 dias, revogacao em logout
· Certificados Let's Encrypt com renovacao automatica

Autenticacao e autorizacao

· Senhas minimo 8 caracteres com complexidade
· Bloqueio apos 5 tentativas falhas
· MFA opcional para clientes, obrigatorio para admins (em planejamento Q3 2026)
· Middleware de autorizacao por papel (admin/corretor/cliente/investidor)
· Principio de menor privilegio aplicado em todos os acessos
· Revisao trimestral de permissoes ativas

Infraestrutura

· Datacenters certificados ISO 27001 (Vercel/AWS)
· Rate limiting + WAF + protecao DDoS via CDN
· Monitoramento 24/7 com alertas automaticos (Sentry, uptime)
· Backups diarios criptografados, retencao 90 dias
· Testes de restauracao mensais em ambiente isolado
· Patches de seguranca aplicados em ate 7 dias para vulnerabilidades altas
· Scan de vulnerabilidades semanal automatizado

Auditoria

· Audit log imutavel de todas as operacoes sensiveis (criar/editar/deletar)
· Logs de acesso retidos por 6 meses (Marco Civil)
· Logs de auditoria retidos por 5 anos (LGPD recomendacao)
· Revisao mensal de logs de admin

Controles organizacionais

· Funcionarios assinam termo de confidencialidade (NDA) no onboarding
· Clausula de sigilo no contrato de trabalho com vigencia pos-rescisao
· Treinamento LGPD e seguranca obrigatorio anual (4 horas)
· Reciclagem em mudanca de funcao ou apos incidente relevante
· Acesso por principio de menor privilegio
· Revisao trimestral de permissoes ativas
· Backup diario testado mensalmente em ambiente isolado
· Plano de continuidade de negocios (BCP) documentado e testado anualmente
· Gestao de credenciais via cofre seguro (1Password / equivalente)
· Workflows de offboarding revogam todos os acessos em 24h apos saida
· Auditoria interna trimestral em areas de alto risco
· Auditoria externa anual independente (SOC 2 / ISO 27001 quando alcancarmos certificacao)

Classificacao de dados

Classificamos dados em 4 niveis com controles correspondentes:

Publico

Imoveis listados, marketing institucional, materiais de imprensa. Sem restricoes.

Interno

Procedimentos, manuais, dados agregados de mercado. Acesso a colaboradores.

Confidencial

Dados pessoais de clientes, valores de transacoes, propostas, comissoes. Acesso restrito por necessidade de negocio.

Critico

Documentacao financeira, KYC completo, IRPF de clientes, dados de cartao. Acesso minimizado, criptografia adicional, audit trail completo.

Resposta a incidentes

Mantemos plano formal de resposta a incidentes em 7 fases:

Deteccao — alertas automaticos, monitoramento, denuncias
Triagem — Compliance Officer + CTO classificam severidade
Contencao — isolar sistemas comprometidos, revogar credenciais
Erradicacao — eliminar causa raiz
Recuperacao — restaurar operacao com seguranca verificada
Notificacao — autoridades (ANPD em 72h se aplicavel) + titulares afetados
Postmortem — analise causal documentada, melhorias implementadas

Tempo de resposta meta: 2h para incidentes criticos, 24h para incidentes altos.

Conformidade LGPD

Esta politica complementa nossa Politica de Privacidade. Em incidente envolvendo dados pessoais:

· Comunicacao a ANPD em ate 72h (Art. 48 LGPD)
· Notificacao aos titulares afetados
· Detalhamento de natureza, escopo, riscos, medidas adotadas
· Cooperacao integral com investigacao da autoridade

Seguranca de fornecedores e parceiros

Todo fornecedor com acesso a dados ou sistemas passa por:

· Due diligence de seguranca (questionario + evidencias)
· Assinatura de DPA (Data Processing Agreement) quando trata dados pessoais
· Clausulas contratuais de seguranca minima
· Direito de auditoria pela AUREUM
· Notificacao obrigatoria de incidentes em ate 24h
· Reavaliacao anual ou apos incidente

Fornecedores criticos atuais: Vercel (hosting), Resend (email), Stripe (pagamento), Neon (database), Evolution (WhatsApp).

Dispositivos pessoais (BYOD)

Politica de uso de dispositivos pessoais para trabalho:

· Permitido para acesso a e-mail, calendario, mensagens
· Vedado para download de bases de clientes ou dados sensiveis
· Senha forte obrigatoria + biometria recomendada
· Antivirus atualizado em PCs/laptops
· Encryption full-disk recomendada
· Comunicacao imediata em caso de perda/furto
· AUREUM pode exigir wipe remoto de dados corporativos em caso de saida ou incidente

Treinamento e cultura

· Onboarding de seguranca: 4 horas no primeiro mes
· Reciclagem anual: 2 horas
· Phishing simulado trimestral (testar resiliencia)
· Security newsletter mensal com casos e boas praticas
· Cultura de "responsabilidade compartilhada" — qualquer um pode (e deve) reportar suspeita

Reportar incidente ou vulnerabilidade

Se voce identificou vulnerabilidade ou suspeita de incidente, contate imediatamente:

E-mail seguranca: seguranca@aureum.com.br

DPO (Marina Castelli): dpo@aureum.com.br

Resposta em ate 24h em horario comercial

Pra pesquisadores de seguranca: temos politica de divulgacao responsavel. Contate seguranca@aureum.com.br antes de qualquer divulgacao publica.

Email: contato@aureum.com.br
Telefone: +55 (11) 99999-9999

AUREUM

Carregando...