Política de Resposta a Incidentes de Segurança

1. Introdução e Propósito

Esta Política de Resposta a Incidentes de Segurança estabelece os procedimentos que a Placefy adota para detectar, responder, mitigar e recuperar-se de incidentes de segurança da informação que possam afetar a confidencialidade, integridade ou disponibilidade de dados e sistemas.

O propósito desta política é garantir uma resposta coordenada, eficaz e tempestiva a incidentes de segurança, minimizando impactos aos usuários, parceiros e operações da plataforma, além de assegurar conformidade com a LGPD e compromissos assumidos com marketplaces integrados, incluindo TikTok Shop, Mercado Livre e Shopee.

A Placefy reconhece que incidentes de segurança podem ocorrer mesmo com controles preventivos robustos. Esta política demonstra nosso compromisso em lidar com tais eventos de forma profissional, transparente e responsável, sempre priorizando a proteção dos dados dos titulares e a continuidade dos negócios.

2. Definição de Incidente de Segurança

Para os fins desta política, um incidente de segurança é definido como qualquer evento confirmado ou suspeito que comprometa ou tenha potencial de comprometer a segurança, privacidade ou integridade dos dados, sistemas ou operações da Placefy.

Exemplos de incidentes de segurança incluem, mas não se limitam a:

• Vazamento ou Exposição de Dados: Divulgação não autorizada de dados pessoais, tokens de acesso, credenciais ou informações confidenciais de usuários ou integrações.
• Acesso Não Autorizado: Tentativas bem-sucedidas ou evidências de acesso não autorizado a sistemas, bancos de dados, ambientes de produção ou repositórios de código.
• Comprometimento de Tokens: Detecção de tokens de integração com marketplaces (TikTok Shop, Mercado Livre, etc.) vazados, expostos ou utilizados de forma não autorizada.
• Falhas em APIs Críticas: Indisponibilidade não planejada ou comportamento anômalo em integrações com marketplaces que comprometam a sincronização de dados ou operação da plataforma.
• Malware e Código Malicioso: Detecção de malware, ransomware, trojans ou código malicioso em endpoints, servidores ou pipelines de desenvolvimento.
• Ataques DDoS: Ataques distribuídos de negação de serviço que afetem significativamente a disponibilidade da plataforma.
• Tentativas de Intrusão: Evidências de scanning, tentativas de exploração de vulnerabilidades ou atividades suspeitas detectadas em logs e sistemas de monitoramento.
• Violação de Controles de Segurança: Bypass de mecanismos de autenticação, autorização, criptografia ou outros controles de segurança implementados.
• Perda ou Roubo de Dispositivos: Perda ou roubo de dispositivos da equipe contendo dados sensíveis ou acesso privilegiado aos sistemas.

3. Classificação de Incidentes

A Placefy classifica incidentes de segurança em quatro níveis de severidade para priorizar a resposta e alocar recursos adequadamente. A classificação é baseada no impacto potencial aos dados, sistemas, usuários e operações.

• Crítico: Incidentes que envolvem exposição confirmada de dados pessoais, vazamento de tokens de integração com marketplaces, comprometimento de ambientes de produção, ou indisponibilidade total da plataforma causada por ataque. Exemplos: vazamento de banco de dados, tokens do TikTok Shop expostos publicamente, ransomware em servidores de produção. Tempo de Resposta: Imediato (acionamento imediato da equipe, mesmo fora do horário comercial).
• Alto: Incidentes que representam risco significativo mas com impacto contido ou potencial. Exemplos: tentativas de acesso não autorizado bem-sucedidas em ambientes não-produtivos, detecção de malware em endpoints da equipe, falha crítica em API de marketplace afetando sincronização de dados, vulnerabilidade crítica descoberta em dependências em produção. Tempo de Resposta: Imediato durante horário comercial, ou dentro de 4 horas fora do horário.
• Médio: Incidentes com impacto limitado e risco controlável. Exemplos: tentativas de intrusão bloqueadas, scanning de portas detectado e mitigado, vulnerabilidades de severidade média em sistemas secundários, bugs de segurança reportados por usuários sem evidência de exploração. Tempo de Resposta: Dentro de 8 horas durante dias úteis.
• Baixo: Incidentes de impacto mínimo ou questões de segurança que requerem atenção mas não representam risco imediato. Exemplos: vulnerabilidades de baixa severidade em ambientes de desenvolvimento, configurações incorretas sem impacto de segurança, tentativas fracassadas de phishing reportadas por usuários. Tempo de Resposta: Dentro de 24-48 horas durante dias úteis.

4. Detecção e Monitoramento

A Placefy implementa múltiplas camadas de detecção e monitoramento para identificar incidentes de segurança de forma proativa e tempestiva.

• Monitoramento de Logs: Análise contínua de logs de aplicação, acesso, autenticação e sistemas para identificar padrões anômalos ou atividades suspeitas.
• Alertas Automáticos AWS: Configuração de alertas em tempo real via AWS CloudWatch, AWS GuardDuty e outros serviços nativos para detecção de ameaças, anomalias de rede e comportamentos suspeitos na infraestrutura.
• Alertas Automáticos Vercel: Monitoramento de deployments, performance e erros críticos na camada de aplicação através do Vercel, com notificações automáticas para a equipe técnica.
• Monitoramento de Dependências: Ferramentas como Dependabot, Snyk e GitHub Security Alerts identificam vulnerabilidades em bibliotecas de terceiros e notificam a equipe para ação imediata.
• Sistema de Report de Bugs: Seção dedicada na plataforma para que usuários reportem comportamentos anômalos, suspeitas de segurança ou bugs, com triagem prioritária pela equipe de segurança.
• Varreduras de Segurança no CI/CD: Pipeline automatizado executa scans de segurança em todo código antes do deploy, bloqueando automaticamente deploys que contenham vulnerabilidades críticas.
• Cloudflare Security Analytics: Análise de padrões de tráfego, detecção de ataques DDoS, bots maliciosos e tentativas de exploração através da camada de proteção Cloudflare.
• Notificações para Equipe de Desenvolvimento: Todos os alertas críticos são enviados automaticamente para a equipe técnica através de canais de comunicação dedicados, garantindo resposta imediata.

5. Processo de Resposta a Incidentes

A Placefy adota um processo estruturado de resposta a incidentes baseado em quatro fases principais: Contenção, Erradicação, Recuperação e Normalização. Este processo garante uma resposta coordenada e eficaz minimizando o impacto e o tempo de recuperação.

• Fase 1 - Contenção Imediata: Ao detectar ou ser notificado de um incidente, a equipe realiza ações imediatas para conter o impacto. Para incidentes críticos ou altos, convoca-se imediatamente uma reunião de emergência com a equipe de desenvolvimento. Ações típicas incluem: isolamento de sistemas comprometidos, revogação imediata de tokens expostos, bloqueio de IPs maliciosos, desabilitação de contas comprometidas e preservação de evidências através de snapshots de logs e sistemas.
• Fase 2 - Investigação e Análise: Enquanto a contenção está ativa, a equipe investiga a causa raiz do incidente, extensão do comprometimento e áreas afetadas. Análise de logs, verificação de backups, identificação de vetores de ataque e determinação do escopo de dados potencialmente afetados. Para incidentes envolvendo dados pessoais ou integrações com marketplaces, avaliação detalhada de conformidade com LGPD e obrigações contratuais.
• Fase 3 - Erradicação: Remoção completa da causa raiz do incidente. Inclui: aplicação de patches de segurança, remoção de malware, correção de vulnerabilidades exploradas, fortalecimento de controles de acesso e validação de que a ameaça foi completamente eliminada antes de prosseguir para recuperação.
• Fase 4 - Recuperação e Normalização: Restauração segura dos sistemas e serviços afetados à operação normal. Validação da integridade dos dados, restauração de backups quando necessário, re-habilitação de serviços de forma controlada e monitoramento intensivo pós-recuperação para garantir que o incidente não se repita.
• Tratamento de Incidentes com Dados de Usuários: Quando o incidente envolve dados pessoais, a equipe jurídica é imediatamente acionada para avaliar obrigações de notificação conforme LGPD. Documentação detalhada de todos os dados potencialmente afetados, medidas de mitigação implementadas e cronograma de ações para relatórios obrigatórios.
• Tratamento de Incidentes com Integrações de Marketplaces: Para incidentes afetando integrações com TikTok Shop, Mercado Livre ou outros marketplaces, notificação imediata aos parceiros através dos canais oficiais, coordenação de ações de contenção (como revogação de tokens), e fornecimento de relatórios detalhados conforme solicitado pelos marketplaces.

6. Comunicação e Notificação

A comunicação transparente e tempestiva é fundamental na resposta a incidentes. A Placefy mantém protocolos claros de comunicação com todas as partes interessadas.

• Notificação aos Usuários Afetados: Quando um incidente comprometer dados pessoais de usuários, notificamos os titulares afetados através de email utilizando templates pré-aprovados que descrevem: natureza do incidente, dados potencialmente afetados, medidas tomadas pela Placefy, recomendações de ações para o usuário e canal de contato para dúvidas.
• Notificação a Marketplaces Parceiros: Incidentes que afetem ou possam afetar integrações com marketplaces (TikTok Shop, Mercado Livre, Shopee) são comunicados imediatamente através dos canais oficiais de suporte e segurança dos respectivos marketplaces. Fornecemos relatórios detalhados incluindo cronologia, impacto, medidas corretivas e status de resolução.
• Notificação à ANPD (Autoridade Nacional de Proteção de Dados): Para incidentes que resultem em risco relevante ou dano aos titulares de dados pessoais, conforme exigido pela LGPD, realizamos notificação formal à ANPD em prazo razoável. A equipe jurídica da Placefy avalia a necessidade e prepara a comunicação adequada.
• Comunicação Interna: Durante incidentes críticos ou altos, a equipe de desenvolvimento é convocada através de canais de comunicação dedicados para reuniões de emergência. Status updates regulares são compartilhados com toda a equipe envolvida na resposta.
• Comunicação Pública: Comunicação pública poderá ocorrer quando apropriado, sempre alinhada com exigências legais e contratuais, priorizando transparência e clareza sem comprometer investigações em andamento ou obrigações com parceiros.
• Prazos de Notificação: Usuários afetados são notificados assim que confirmado o escopo do incidente e medidas de contenção estiverem implementadas, tipicamente dentro de 72 horas. Marketplaces são notificados imediatamente ao detectar impacto em integrações. ANPD é notificada conforme prazos estabelecidos pela LGPD quando aplicável.

7. Responsabilidades da Equipe

A resposta eficaz a incidentes requer papéis e responsabilidades claramente definidos. A Placefy estabelece a seguinte estrutura:

• Equipe de Desenvolvimento: Responsável por detecção técnica, análise inicial, contenção técnica, erradicação de vulnerabilidades, implementação de correções e recuperação de sistemas. Durante incidentes críticos/altos, participa de reuniões de emergência e coordena esforços de resposta técnica.
• Líder de Resposta a Incidentes: Coordena a resposta geral ao incidente, prioriza ações, facilita comunicação entre equipes, toma decisões sobre escalação e garante que todos os procedimentos sejam seguidos. Atua como ponto focal durante a resposta.
• Encarregado de Proteção de Dados (DPO): Avalia impacto em dados pessoais, determina obrigações de notificação conforme LGPD, coordena comunicação com ANPD quando necessário, garante conformidade regulatória durante toda a resposta e documenta tratamento de dados pessoais afetados.
• Equipe Jurídica: Avalia implicações legais do incidente, orienta sobre obrigações de notificação, prepara comunicações formais para autoridades e marketplaces, analisa contratos e SLAs com parceiros afetados e fornece orientação sobre responsabilidades legais.
• Equipe de Suporte: Atende dúvidas de usuários relacionadas ao incidente, fornece informações consistentes baseadas em scripts aprovados, escala questões técnicas para a equipe de desenvolvimento e documenta feedback e preocupações dos usuários.
• Modelo de Decisão (RACI): Responsible (Equipe de Desenvolvimento - executa ações técnicas), Accountable (Líder de Resposta - responsável final pelo resultado), Consulted (DPO e Equipe Jurídica - fornecem expertise especializada), Informed (Suporte e stakeholders - mantidos atualizados sobre progresso).

8. Preservação de Evidências

A preservação adequada de evidências é crítica para análise forense, conformidade regulatória e potenciais investigações.

• Coleta Imediata de Logs: Ao identificar um incidente, realiza-se imediatamente snapshot de todos os logs relevantes antes de qualquer ação de contenção ou remediação que possa alterar o estado do sistema.
• Preservação de Estado do Sistema: Criação de snapshots de máquinas virtuais, containers e bancos de dados afetados para análise posterior sem comprometer a recuperação.
• Cadeia de Custódia: Documentação detalhada de quem coletou evidências, quando, onde e como foram armazenadas. Garantia de que evidências não sejam alteradas ou corrompidas.
• Armazenamento Seguro: Evidências são armazenadas em local segregado, com acesso restrito apenas à equipe de resposta a incidentes e com criptografia apropriada.
• Retenção de Evidências: Logs e evidências de incidentes são mantidos conforme políticas de retenção (logs por 90 dias, evidências de incidentes por período estendido conforme necessidade regulatória ou legal).
• Documentação de Incidentes: Toda a cronologia do incidente, ações tomadas, decisões e comunicações são documentadas em tempo real em sistema interno de registro seguro, garantindo rastreabilidade completa para referência futura e auditoria.

9. Análise Pós-Incidente

Após a resolução de cada incidente, a Placefy conduz uma análise pós-incidente (post-mortem) para aprender com o evento e fortalecer defesas.

• Reunião de Post-Mortem: Realizada dentro de 5 dias úteis após a resolução do incidente, com participação da equipe de resposta, liderança técnica e stakeholders relevantes.
• Análise de Causa Raiz: Investigação detalhada da causa fundamental do incidente utilizando técnicas como "5 Porquês" e análise de contribuintes. Documentação de todos os fatores que permitiram ou facilitaram o incidente.
• Avaliação da Resposta: Análise crítica da eficácia da resposta: o que funcionou bem, o que pode ser melhorado, lacunas identificadas em processos ou ferramentas, e eficácia da comunicação.
• Ações Corretivas: Identificação e priorização de ações para prevenir recorrência: patches de segurança, melhorias em controles, atualizações de políticas, treinamentos necessários e melhorias em ferramentas de detecção.
• Ações Preventivas: Implementação de melhorias proativas para detectar e prevenir incidentes similares antes que ocorram: novos alertas, automações, testes de segurança adicionais e revisões de arquitetura.
• Atualização de Documentação: Revisão e atualização de políticas, procedimentos, runbooks e documentação técnica com base nas lições aprendidas.
• Acompanhamento de Ações: Designação de responsáveis e prazos para cada ação identificada, com acompanhamento regular até conclusão completa.

10. Histórico de Incidentes

A Placefy mantém registros detalhados de todos os incidentes de segurança para análise de tendências, auditoria e melhoria contínua.

Até a data desta política, a Placefy não possui histórico de incidentes de segurança reportados, demonstrando a eficácia das medidas preventivas e controles de segurança implementados.

Todos os incidentes futuros, independente da classificação, serão documentados em registro centralizado incluindo: data e hora de detecção, classificação, resumo do incidente, ações tomadas, tempo de resolução, partes notificadas e lições aprendidas.

11. Revisão e Atualização da Política

Esta política é um documento vivo que evolui conforme a Placefy cresce e o cenário de ameaças se desenvolve.

• Revisão Anual: A política é revisada formalmente ao menos uma vez por ano pelo time de segurança, com aprovação da liderança técnica e jurídica.
• Revisão Após Incidentes Maiores: Após incidentes classificados como Críticos ou Altos, a política é revisada para incorporar lições aprendidas.
• Revisão por Mudanças Significativas: Mudanças em infraestrutura, adoção de novas tecnologias, alterações regulatórias ou novos parceiros de marketplace podem desencadear revisão da política.
• Controle de Versão: Todas as versões da política são mantidas com controle de mudanças, data de atualização e responsável pela revisão.
• Comunicação de Mudanças: Atualizações significativas na política são comunicadas a toda a equipe e partes interessadas relevantes.

12. Contato do Encarregado de Proteção de Dados

Para reportar incidentes de segurança, questões relacionadas a esta política ou preocupações sobre proteção de dados:

• Email: contato@placefy.com (Assunto: Incidente de Segurança - URGENTE)
• Endereço: São Paulo, SP, Brasil
• Usuários, parceiros e pesquisadores de segurança são encorajados a reportar suspeitas de incidentes ou vulnerabilidades de forma responsável.