Esta PolĆtica de SeguranƧa da InformaĆ§Ć£o e SeguranƧa CibernĆ©tica (āPolĆticaā) tem o objetivo de estabelecer diretrizes que permitem Ć BrFideliza preservar e proteger as informaƧƵes de seus clientes, funcionĆ”rios, prestadores de serviƧos, partes interessadas e da prĆ³pria BrFideliza contra ameaƧas e riscos relacionados Ć seguranƧa da informaĆ§Ć£o e cibernĆ©tica, bem como implementar controles e procedimentos que visam a reduzir a vulnerabilidade da BrFideliza a incidentes, e tambĆ©m dispƵe sobre os requisitos para a contrataĆ§Ć£o de serviƧos de processamento e armazenamento de dados e de computaĆ§Ć£o em nuvem.
A BrFideliza deve implementar e manter esta PolĆtica formulada com base em princĆpios e diretrizes que busquem assegurar a confidencialidade, a integridade e a disponibilidade dos dados e dos sistemas de informaĆ§Ć£o utilizados. Esta PolĆtica serĆ” compatĆvel com:
ā¢ O porte, o perfil de risco e o modelo de negĆ³cio da BrFideliza;
ā¢ A natureza das atividades da BrFideliza e a complexidade dos produtos e serviƧos oferecidos;
ā¢ A sensibilidade dos dados e das informaƧƵes sob responsabilidade da BrFideliza. A BrFideliza designarĆ” diretor responsĆ”vel por esta PolĆtica e pela execuĆ§Ć£o do plano de aĆ§Ć£o e de resposta a incidentes.
A PolĆtica se aplica a todos os administradores, diretores e conselheiros (coletivamente āAlta AdministraĆ§Ć£oā), funcionĆ”rios e prestadores de serviƧo da BrFideliza (coletivamente, inclusive a Alta AdministraĆ§Ć£o, denominados simplesmente por āColaboradoresā).
Circular nĀŗ 3.909, de 16 de agosto de 2018, do Banco Central do Brasil.
Esta PolĆtica foi aprovada e revisada pela Alta AdministraĆ§Ć£o e serĆ” revisada periodicamente. A PolĆtica tambĆ©m serĆ” alterada para contemplar quaisquer alteraƧƵes regulatĆ³rias e outras obrigaƧƵes legais.
Ativos: todas as formas de criaĆ§Ć£o, processamento, armazenamento, transmissĆ£o e exclusĆ£o de informaƧƵes. Os Ativos podem ser documentos impressos, sistemas, softwares, banco de dados, arquivos digitais, dispositivos mĆ³veis etc.
Bacen: Banco Central do Brasil.
InstituiĆ§Ć£o de Pagamento: para fins desta PolĆtica, Ć© o emissor de moeda eletrĆ“nica, cuja atividade consiste em gerenciar a conta de pagamento de usuĆ”rios, utilizada para o pagamento de transaƧƵes prĆ©-pagas e pĆ³s-paga.
Log: registro de eventos de um sistema.
SeguranƧa da InformaĆ§Ć£o: conjunto de conceitos, mecanismos e estratĆ©gias que visam a proteger os Ativos da BrFideliza.
SeguranƧa CibernĆ©tica: conjunto de tecnologias e processos desenvolvidos para proteger os sistemas internos, computadores, redes e dados da BrFideliza contra ataques, danos, ameaƧas ou acesso nĆ£o autorizado.
A BrFideliza tem o compromisso garantir a seguranƧa e tratamento adequado das informaƧƵes. Para tanto, nossas atividades se baseiam nos seguintes princĆpios:
Confidencialidade: garantia de que somente pessoas autorizadas terĆ£o acessos Ć s informaƧƵes e apenas quando houver necessidade;
Integridade: garantia de que as informaƧƵes permanecerĆ£o exatas e completas e nĆ£o serĆ£o modificadas indevidamente;
Disponibilidade: garantia de que a informaĆ§Ć£o estarĆ” disponĆvel Ć s pessoas autorizadas sempre que for necessĆ”rio.
Com o objetivo de garantir os objetivos desta PolĆtica, os procedimentos de SeguranƧa da InformaĆ§Ć£o e SeguranƧa CibernĆ©tica seguirĆ£o as seguintes diretrizes:
ā¢ Assegurar que nĆ£o haja acessos indevidos, modificaƧƵes, destruiƧƵes ou divulgaƧƵes nĆ£o autorizadas das informaƧƵes. Para tanto, o acesso do Colaborador deve ser pessoal, intransferĆvel e restrito aos recursos necessĆ”rios para realizar suas atribuiƧƵes na BrFideliza.
ā¢ Cada Colaborador, quando aplicĆ”vel, receberĆ” uma senha pessoal de acesso e ficarĆ” responsĆ”vel por manter sua senha em sigilo para evitar acesso indevido Ć s informaƧƵes que estĆ£o sob sua responsabilidade. A BrFideliza adotarĆ” mecanismos que assegurem a resiliĆŖncia, troca periĆ³dica e guarda de histĆ³rico de senhas.
ā¢ Qualquer risco Ć informaĆ§Ć£o deverĆ” ser imediatamente reportado pelo Colaborador por meio do canal oficial de contato com a Ć”rea de SeguranƧa da InformaĆ§Ć£o da BrFideliza: seguranca@brfideliza.com
ā¢ Assegurar que todas as informaƧƵes sejam tratadas de maneira Ć©tica e sigilosa e que sejam adotadas medidas capazes de evitar acessos indevidos, modificaƧƵes, destruiƧƵes ou divulgaƧƵes nĆ£o autorizadas.
ā¢ Assegurar que as informaƧƵes sejam utilizadas somente para a finalidade para a qual foram coletadas e que o acesso esteja condicionado Ć autorizaĆ§Ć£o.
ā¢ Neste contexto, assegurar que as informaƧƵes de cunho pessoal estejam protegidas de maneira a garantir que a BrFideliza atenda todos os requisitos da Lei Geral de ProteĆ§Ć£o de Dados.
ā¢ Assegurar os procedimentos e controles adotados para reduzir a vulnerabilidade a incidentes e atender aos demais objetivos de SeguranƧa CibernĆ©tica, tais como, a autenticaĆ§Ć£o, a criptografia, a prevenĆ§Ć£o e a detecĆ§Ć£o de intrusĆ£o, a prevenĆ§Ć£o de vazamento de informaƧƵes, a realizaĆ§Ć£o periĆ³dica de testes e varreduras para detecĆ§Ć£o de vulnerabilidades, a proteĆ§Ć£o contra softwares maliciosos, o estabelecimento de mecanismos de rastreabilidade, os controles de acesso e de segmentaĆ§Ć£o da rede de computadores e a manutenĆ§Ć£o de cĆ³pias de seguranƧa dos dados e das informaƧƵes.
ā¢ Assegurar que os controles especĆficos, incluindo os voltados para a rastreabilidade da informaĆ§Ć£o, garantam a seguranƧa das informaƧƵes sensĆveis.
ā¢ Assegurar o registro, anĆ”lise da causa e o impacto, bem como o controle dos efeitos de incidentes relevantes para as atividades de uma InstituiĆ§Ć£o de Pagamento.
ā¢ Assegurar a elaboraĆ§Ć£o de cenĆ”rios de incidentes considerados nos testes de continuidade dos serviƧos de pagamento prestados;
ā¢ Definir os procedimentos e controles voltados Ć prevenĆ§Ć£o e ao tratamento dos incidentes que devem ser adotados pelos prestadores de serviƧos e terceiros que manuseiem dados ou informaƧƵes sensĆveis ou que sejam relevantes para a conduĆ§Ć£o das atividades operacionais da BrFideliza;
ā¢ ClassificaĆ§Ć£o periĆ³dica dos dados e das informaƧƵes quanto Ć sua relevĆ¢ncia e sensibilidade;
ā¢ Definir os parĆ¢metros a serem utilizados na avaliaĆ§Ć£o da relevĆ¢ncia dos incidentes;
ā¢ Assegurar os mecanismos para disseminaĆ§Ć£o da cultura de seguranƧa cibernĆ©tica, incluindo:
ā¢ A implementaĆ§Ć£o de programas de capacitaĆ§Ć£o e de avaliaĆ§Ć£o periĆ³dica de pessoal;
ā¢ A prestaĆ§Ć£o de informaƧƵes a usuĆ”rios finais sobre precauƧƵes na utilizaĆ§Ć£o de produtos e serviƧos oferecidos.
ā¢ Assegurar as iniciativas para compartilhamento de informaƧƵes sobre os incidentes relevantes, com InstituiƧƵes de Pagamento, instituiƧƵes financeiras e demais instituiƧƵes autorizadas a funcionar pelo Bacen.
ā¢ Assegurar o registro, anĆ”lise da causa e do impacto, bem como o controle dos efeitos de incidentes de informaƧƵes recebidas de empresas prestadoras de serviƧos a terceiros.
ā¢ Contemplar procedimentos e controles em nĆveis de complexidade, abrangĆŖncia e precisĆ£o compatĆveis com os utilizados pela BrFideliza e por esta PolĆtica.
A fim de assegurar que todas as diretrizes acima sejam cumpridas e que os princĆpios de SeguranƧa da InformaĆ§Ć£o e de SeguranƧa CibernĆ©tica sejam devidamente seguidos, a BrFideliza adotarĆ” polĆticas e procedimentos para os processos elencados a seguir.
Os Ativos devem ser inventariados e protegidos de acessos indevidos ou ameaƧas que possam comprometer o negĆ³cio. Para tanto, o acesso Ć s salas com documentos fĆsicos deve ser limitado, por meio de mecanismos de autenticaĆ§Ć£o e autorizaĆ§Ć£o de acesso, destinados a impedir o acesso de indivĆduos nĆ£o autorizados.
Os Ativos devem ser utilizados tĆ£o somente para a finalidade devidamente autorizada. A BrFideliza deve assegurar proteĆ§Ć£o aos Ativos durante todo o seu ciclo de vida, a fim de garantir que os princĆpios da confidencialidade, integridade e disponibilidade sejam cumpridos integralmente.
A BrFideliza adotarĆ” mecanismos para garantir que o acesso Ć s informaƧƵes e ambientes tecnolĆ³gicos seja permitido apenas aos indivĆduos autorizados, levando em consideraĆ§Ć£o o princĆpio do menor privilĆ©gio, a segregaĆ§Ć£o de funƧƵes e a classificaĆ§Ć£o da informaĆ§Ć£o.
As informaƧƵes devem ser classificadas segundo sua criticidade e sensibilidade para o negĆ³cio e seus clientes. Portanto, a BrFideliza deve adotar a seguinte classificaĆ§Ć£o:
ā¢ InformaĆ§Ć£o PĆŗblica: aquela que pode ser acessada por todos, sem restriĆ§Ć£o. SĆ£o exemplos de InformaĆ§Ć£o PĆŗblica: dados divulgados ao mercado e promocionais;
ā¢ InformaĆ§Ć£o Interna: aquela que pode ser acessada somente por Colaboradores da BrFideliza. SĆ£o exemplos de InformaĆ§Ć£o Interna: normas, procedimentos e formulĆ”rios da BrFideliza;
ā¢ InformaĆ§Ć£o Restrita: aquela que pode ser acessada somente por Colaboradores que precisam dela para desempenhar suas atribuiƧƵes. SĆ£o exemplos de InformaĆ§Ć£o Restrita: contratos e documentos estratĆ©gicos da BrFideliza.
ā¢ InformaĆ§Ć£o Confidencial: aquela que pode ser acessada somente por Colaboradores que tenham permissĆ£o de acesso ou que necessitem dela para um propĆ³sito especĆfico. SĆ£o exemplos de InformaĆ§Ć£o Confidencial: plano estratĆ©gico e informaƧƵes de clientes.
A BrFideliza adotarĆ” controles de acesso em toda infraestrutura para evitar que indivĆduos nĆ£o autorizados tenham acesso aos ambientes segregados e aos sistemas internos. Desta forma, a BrFideliza deve implementar mecanismos para a autenticaĆ§Ć£o de usuĆ”rios, manutenĆ§Ć£o de segregaĆ§Ć£o de funƧƵes e rastreabilidade de acesso, de forma a garantir procedimentos internos adequados e consistentes.
A BrFideliza possui processo para anĆ”lise de vulnerabilidades, ameaƧas e impactos sobre os Ativos de informaĆ§Ć£o para, diante de um incidente, adotar as medidas adequadas para minimizar os danos causados.
A BrFideliza realizarĆ” a devida diligĆŖncia de verificaĆ§Ć£o de todos os seus prestadores de serviƧos, fornecedores, provedores e parceiros com relaĆ§Ć£o a controles de SeguranƧa da InformaĆ§Ć£o e SeguranƧa CibernĆ©tica, em especial aqueles que processam e armazenam dados da BrFideliza, com a finalidade de verificar o nĆvel de maturidade dos padrƵes de seguranƧa e o plano de tratamento de incidentes adotados.
A BrFideliza disponibiliza o canal oficial seguranca@brfideliza.com para que seus prestadores de serviƧos, fornecedores, provedores e parceiros comuniquem incidentes de SeguranƧa da InformaĆ§Ć£o e SeguranƧa CibernĆ©tica que estejam relacionados Ć s informaƧƵes da BrFideliza.
A BrFideliza implementarĆ” sistema para controle de acesso dos Colaboradores, prestadores de serviƧos, fornecedores, provedores e parceiros aos locais restritos. Os equipamentos e instalaƧƵes de processamento de informaĆ§Ć£o crĆtica ou sensĆvel deverĆ£o ser mantidos em Ć”reas seguras, com nĆveis de controle de acesso apropriados, incluindo proteĆ§Ć£o contra ameaƧas fĆsicas e ambientais.
A BrFideliza adotarĆ” uma rotina de backup e restauraĆ§Ć£o de dados para assegurar a disponibilidade das informaƧƵes relevante atividades. s para o pleno funcionamento de suas atividades.
A BrFideliza tambĆ©m realizarĆ” gravaĆ§Ć£o de logs de dados que permitam a rastreabilidade do acesso e a identificaĆ§Ć£o do criador, data, meios de acessos e informaƧƵes acessadas. As informaƧƵes dos logs devem ser e acessos nĆ£o autorizados.
A BrFideliza adotarĆ” mecanismos para prevenir que vĆrus e outros tipos de software e condutas maliciosas (e.g., phishing, spam etc.) se propaguem nos computadores, sistemas e servidores internos ou exponham a BrFideliza a vulnerabilidades.
A BrFideliza se preocupa em identificar e eliminar as vulnerabilidades de seus sistemas e servidores para assegurar a integridade do ambiente dos processos de negĆ³cio. Para tanto, promoverĆ” monitoramento constante e cond uĆ§Ć£o de testes e varredura para detecĆ§Ć£o de vulnerabilidades, avaliaĆ§Ć£o de riscos e determinaĆ§Ć£o de medidas de correĆ§Ć£o adequadas.
Os Ativos de informaĆ§Ć£o da BrFideliza serĆ£o protegidos com criptografia adequada, a fim de se garantir confidencialidade e integridade em todo o ciclo de vida da informaĆ§Ć£o, em conformidade com os padrƵes de seguranƧa dos Ć³rgĆ£os reguladores.
A BrFideliza realiza plano de continuidade dos serviƧos prestados a partir da adoĆ§Ć£o de um conjunto preventivo de estratĆ©gias e planos de aĆ§Ć£o para garantir que os serviƧos essenciais da BrFideliza sejam devidamente identificados e preservados apĆ³s a ocorrĆŖncia de uma contingĆŖncia.
A BrFideliza classificarĆ” os incidentes de seguranƧa segundo sua relevĆ¢ncia e conforme a classificaĆ§Ć£o das informaƧƵes envolvidas e o impacto na continuidade dos negĆ³cios da BrFideliza.
ConvĆ©m que a organizaĆ§Ć£o tenha procedimentos implementados para garantir uma reaĆ§Ć£o ordenada e eficaz aos eventos e pontos fracos de seguranƧa da informaĆ§Ć£o relatados. Os procedimentos devem garantir que todos os eventos relatados sejam revisados e investigados quando apropriado, que os procedimentos de recuperaĆ§Ć£o sejam acionados e que as funƧƵes de senioridade adequada estejam envolvidas nas revisƵes.
Todos os incidentes ou suspeita de incidentes identificados por um Colaborador, cliente, prestador de serviƧos, fornecedor, provedor ou parceiro serĆ£o imediatamente comunicados Ć Ć”rea responsĆ”vel.
A comunicaĆ§Ć£o deverĆ” ser feita por meio do canal oficial de SeguranƧa da InformaĆ§Ć£o na BrFideliza, atravĆ©s do e-mail seguranca@brfideliza.com
Os incidentes reportados serĆ£o classificados segundo o risco que representam para a BrFideliza e o impacto na continuidade dos negĆ³cios da BrFideliza. AlĆ©m disso, serĆ£o devidamente registrados, tratados e comunicados, de acordo com os procedimentos da Ć”rea de SeguranƧa da InformaĆ§Ć£o e a legislaĆ§Ć£o vigente.
A BrFideliza adotarĆ” procedimentos para mitigar os efeitos dos incidentes relevantes e minimizar a interrupĆ§Ć£o dos serviƧos relevantes de processamento, armazenamento de dados e de computaĆ§Ć£o em nuvem contratados.
Caso haja incidentes relevantes ou interrupĆ§Ć£o dos serviƧos relevantes, a BrFideliza comunicarĆ” o Bacen e adotarĆ” medidas necessĆ”rias para que as suas atividades sejam reiniciadas.
Sem prejuĆzo do dever de sigilo e da livre concorrĆŖncia, a BrFideliza adotarĆ” iniciativas para o compartilhamento de informaƧƵes sobre incidentes relevantes com outras InstituiƧƵes de Pagamento por meio dos canais adotados pelas instituiƧƵes.
As informaƧƵes compartilhadas tambĆ©m estarĆ£o disponĆveis ao Bacen.
A BrFideliza estabelecerĆ” plano de aĆ§Ć£o e de resposta a incidentes visando Ć implementaĆ§Ć£o desta PolĆtica, que abrange, minimamente:
ā¢ As aƧƵes a serem desenvolvidas para adequar as estruturas organizacional e operacional Ć s diretrizes desta PolĆtica;
ā¢ As rotinas, os procedimentos, os controles e as tecnologias a serem utilizados na prevenĆ§Ć£o e na resposta a incidentes.
A BrFideliza elaborarĆ” relatĆ³rio anual sobre a implementaĆ§Ć£o do plano de aĆ§Ć£o e de resposta a incidentes, com data-base de 31 de dezembro. O relatĆ³rio abordarĆ”:
ā¢ A efetividade da implementaĆ§Ć£o das aƧƵes de adequaĆ§Ć£o suas estruturas organizacional e operacional;
ā¢ O resumo dos resultados obtidos na implementaĆ§Ć£o das rotinas, dos procedimentos, dos controles e das tecnologias a serem utilizados na prevenĆ§Ć£o e na resposta a incidentes, em conformidade com as diretrizes desta PolĆtica;
ā¢ Os incidentes relevantes relacionados com o ambiente cibernĆ©tico ocorridos no perĆodo;
ā¢ Os resultados dos testes de continuidade dos serviƧos de pagamento prestados, considerando cenĆ”rios de indisponibilidade ocasionada por incidentes.
O relatĆ³rio anual de incidentes serĆ” apresentado ao Conselho de AdministraĆ§Ć£o ou, na sua inexistĆŖncia, Ć Diretoria da BrFideliza atĆ© 31 de marƧo do ano seguinte ao da data-base.
A BrFideliza adotarĆ” controles especĆficos para promover a rastreabilidade da informaĆ§Ć£o, principalmente que busquem garantir a seguranƧa das informaƧƵes sensĆveis.
A BrFideliza realizarƔ registro, a anƔlise da causa e do impacto, bem como o controle dos efeitos de incidentes relevantes para as atividades da BrFideliza, que devem abranger inclusive informaƧƵes recebidas de empresas prestadoras de serviƧos a terceiros.
A BrFideliza preza por uma cultura de SeguranƧa da InformaĆ§Ć£o e SeguranƧa CibernĆ©tica. Dessa forma, serĆ£o adotados polĆticas e procedimentos para a difusĆ£o dos princĆpios e diretrizes integrantes desta PolĆtica, garantindo-se a capacitaĆ§Ć£o e conscientizaĆ§Ć£o para todos os seus Colaboradores.
A BrFideliza promoverĆ” a ampla divulgaĆ§Ć£o desta PolĆtica a todos os seus Colaboradores e o pĆŗblico em geral, bem como Ć s empresas prestadoras de serviƧos a terceiros, mediante linguagem clara, acessĆvel e em nĆvel de detalhamento compatĆvel com as funƧƵes desempenhadas e com a sensibilidade das informaƧƵes, incluindo a prestaĆ§Ć£o de informaƧƵes aos usuĆ”rios finais sobre medidas de precauĆ§Ć£o para a utilizaĆ§Ć£o dos produtos e serviƧos oferecidos.
AlĆ©m disto, a Alta AdministraĆ§Ć£o da BrFideliza deverĆ” difundir a cultura de SeguranƧa da InformaĆ§Ć£o e SeguranƧa CibernĆ©tica para promover melhorias contĆnuas em seus processos internos, a fim de evitar quaisquer incidentes relacionado Ć SeguranƧa da InformaĆ§Ć£o e SeguranƧa CibernĆ©tica.
O processamento e armazenamento de dados e computaĆ§Ć£o em nuvem serĆ” realizado por meio de terceiros localizados no Brasil ou no exterior. A contrataĆ§Ć£o de terceiros deve ser realizada por meio da aferiĆ§Ć£o da capacidade do prestador de serviƧo para realizar as atividades em cumprimento com a legislaĆ§Ć£o e regulamentaĆ§Ć£o aplicĆ”vel. Desta forma, a BrFideliza adotarĆ” procedimentos para verificaĆ§Ć£o da capacidade do potencial prestador de serviƧo de forma a assegurar:
ā¢ O cumprimento da legislaĆ§Ć£o e da regulamentaĆ§Ć£o em vigor, incluindo a Lei Geral de ProteĆ§Ć£o de Dados, no que tange a proteĆ§Ć£o dos dados pessoais utilizados para o processamento de transaƧƵes;
ā¢ Garantia que, mesmo que os dados e informaƧƵes sejam hospedados no exterior, que cumpram todos os requisitos da legislaĆ§Ć£o brasileira;
ā¢ O acesso da BrFideliza aos dados e Ć s informaƧƵes a serem processados ou armazenados pelo prestador de serviƧo;
ā¢ A confidencialidade, a integridade, a disponibilidade e a recuperaĆ§Ć£o dos dados e das informaƧƵes processados ou armazenados pelo prestador de serviƧo;
ā¢ A aderĆŖncia do prestador de serviƧo a certificaƧƵes exigidas pela BrFideliza para a prestaĆ§Ć£o do serviƧo a ser contratado;
ā¢ O acesso da BrFideliza aos relatĆ³rios elaborados por empresa de auditoria especializada independente contratada pelo prestador de serviƧo, relativos aos procedimentos e aos controles utilizados na prestaĆ§Ć£o dos serviƧos a serem contratados;
ā¢ O provimento de informaƧƵes e de recursos de gestĆ£o adequados ao monitoramento dos serviƧos a serem prestados;
ā¢ A identificaĆ§Ć£o e a segregaĆ§Ć£o dos dados dos usuĆ”rios finais da BrFideliza por meio de controles fĆsicos ou lĆ³gicos;
ā¢ A qualidade dos controles de acesso voltados Ć proteĆ§Ć£o dos dados e das informaƧƵes dos usuĆ”rios finais da BrFideliza.
Na avaliaĆ§Ć£o da relevĆ¢ncia do serviƧo a ser contratado, a BrFideliza tambĆ©m deverĆ” considerar a criticidade do serviƧo e a sensibilidade dos dados e das informaƧƵes a serem processados, armazenados e gerenciados pelo contratado. Todos os procedimentos deverĆ£o ser documentados.
Ademais, a BrFideliza adotarĆ” recursos e medidas necessĆ”rios para a adequada gestĆ£o dos serviƧos a serem contratados, inclusive para anĆ”lise de informaƧƵes e uso dos recursos providos pelo potencial prestador de serviƧos.
No caso da execuĆ§Ć£o de aplicativos por meio da internet, a BrFideliza deverĆ” assegurar que o potencial prestador dos serviƧos adote controles para a proteĆ§Ć£o contra os efeitos de eventuais vulnerabilidades na liberaĆ§Ć£o de novas versƵes do aplicativo.
Os serviƧos de computaĆ§Ć£o em nuvem disponibilizados Ć BrFideliza, sob demanda e de maneira virtual, deverĆ£o incluir um ou mais serviƧos conforme descritos abaixo:
ā¢ Processamento de dados, armazenamento de dados, infraestrutura de redes e outros recursos computacionais que permitam Ć BrFideliza implantar ou executar softwares, que podem incluir sistemas operacionais e aplicativos desenvolvidos pela BrFideliza ou por ela adquiridos;
ā¢ ImplantaĆ§Ć£o ou execuĆ§Ć£o de aplicativos desenvolvidos pela BrFideliza, ou por ela adquiridos, utilizando recursos computacionais do prestador de serviƧos;
ā¢ ExecuĆ§Ć£o, por meio da internet, dos aplicativos implantados ou desenvolvidos pelo prestador de serviƧo, com a utilizaĆ§Ć£o de recursos computacionais do prĆ³prio prestador de serviƧos.
A BrFideliza Ć© responsĆ”vel, em conjunto com o prestador de serviƧos, pela confiabilidade, pela integridade, pela disponibilidade, pela seguranƧa e pelo sigilo em relaĆ§Ć£o aos serviƧos contratados, bem como pelo cumprimento da legislaĆ§Ć£o e da regulamentaĆ§Ć£o em vigor.
A contrataĆ§Ć£o de serviƧos relevantes de processamento, armazenamento de dados e de computaĆ§Ć£o em nuvem serĆ” comunicada pela BrFideliza ao Bacen, nos termos da legislaĆ§Ć£o em vigor.
Em caso de contrataĆ§Ć£o de serviƧos de processamento, armazenamento de dados e de computaĆ§Ć£o em nuvem no exterior, a BrFideliza observarĆ” os seguintes requisitos:
ā¢ ExistĆŖncia de convĆŖnio para troca de informaƧƵes entre o Bacen e as autoridades supervisoras dos paĆses onde os serviƧos serĆ£o prestados;
ā¢ VerificaĆ§Ć£o de que a prestaĆ§Ć£o dos serviƧos nĆ£o causarĆ” prejuĆzos ao seu regular funcionamento nem embaraƧo Ć atuaĆ§Ć£o do Bacen;
ā¢ DefiniĆ§Ć£o dos paĆses e regiƵes em cada paĆs em que os serviƧos serĆ£o prestados e os dados armazenados, processados e gerenciados. Essa definiĆ§Ć£o deverĆ” ocorrer antes da contrataĆ§Ć£o dos serviƧos;
ā¢ PrevisĆ£o de alternativas para a continuidade dos serviƧos de pagamento prestados, no caso de impossibilidade de manutenĆ§Ć£o ou extinĆ§Ć£o do contrato de prestaĆ§Ć£o de serviƧos.
Caso nĆ£o haja convĆŖnio para troca de informaƧƵes entre o Bacen e as autoridades supervisoras dos paĆses em que os serviƧos serĆ£o prestados, a BrFideliza solicitarĆ” autorizaĆ§Ć£o do Bacen para a contrataĆ§Ć£o do serviƧo. O prazo para solicitar autorizaĆ§Ć£o Ć© de 60 dias anteriores Ć contrataĆ§Ć£o. Caso haja alteraƧƵes contratuais que impliquem em modificaĆ§Ć£o das informaƧƵes, a BrFideliza solicitarĆ” autorizaĆ§Ć£o 60 dias antes da alteraĆ§Ć£o contratual.
A BrFideliza tem a responsabilidade de assegurar que a legislaĆ§Ć£o e a regulamentaĆ§Ć£o nos paĆses em que os serviƧos serĆ£o prestados nĆ£o restrinjam ou impeƧam o acesso da BrFideliza e do Bacen aos dados e Ć s informaƧƵes. A comprovaĆ§Ć£o do atendimento aos requisitos e o cumprimento desta exigĆŖncia deverĆ£o ser documentados.
A BrFideliza deverĆ” assegurar que os contratos de prestaĆ§Ć£o de serviƧos de processamento, armazenamento de dados e computaĆ§Ć£o em nuvem prevejam:
ā¢ A indicaĆ§Ć£o dos paĆses e da regiĆ£o em cada paĆs em que os serviƧos serĆ£o prestados e os dados armazenados, processados e gerenciados;
ā¢ A adoĆ§Ć£o de medidas de seguranƧa para a transmissĆ£o e armazenamento dos dados;
ā¢ A manutenĆ§Ć£o, enquanto o contrato estiver vigente, da segregaĆ§Ć£o dos dados e dos controles de acesso para proteĆ§Ć£o das informaƧƵes dos usuĆ”rios finais;
ā¢ Em caso de extinĆ§Ć£o do contrato, a obrigatoriedade de transferĆŖncia dos dados ao novo prestador de serviƧos ou Ć BrFideliza, bem como a exclusĆ£o dos dados pela empresa contratada substituĆda, apĆ³s a transferĆŖncia dos dados e a confirmaĆ§Ć£o da integridade e da disponibilidade dos dados recebidos.
ā¢ O acesso da BrFideliza Ć s informaƧƵes fornecidas pela empresa contratada; bem como as informaƧƵes relativas Ć s certificaƧƵes e aos relatĆ³rios de auditoria especializada e informaƧƵes e recursos de gestĆ£o adequados ao monitoramento dos serviƧos a serem prestados;
ā¢ A obrigaĆ§Ć£o da empresa contratada notificar a BrFideliza sobre a subcontrataĆ§Ć£o de serviƧos relevantes para a BrFideliza;
ā¢ A permissĆ£o de acesso do Bacen aos contratos e acordos firmados para a prestaĆ§Ć£o de serviƧos, documentaĆ§Ć£o e informaƧƵes referentes aos serviƧos prestados, dados armazenados e informaƧƵes sobre seus processamentos, cĆ³pias de seguranƧa dos dados e das informaƧƵes, bem como cĆ³digos de acesso aos dados e informaƧƵes;
ā¢ A adoĆ§Ć£o de medidas pela BrFideliza, em decorrĆŖncia de determinaĆ§Ć£o do Bacen;
ā¢ A obrigaĆ§Ć£o de a empresa contratada manter a BrFideliza permanentemente informada sobre eventuais limitaƧƵes que possam afetar a prestaĆ§Ć£o dos serviƧos ou o cumprimento da legislaĆ§Ć£o e da regulamentaĆ§Ć£o em vigor.
Em caso de decretaĆ§Ć£o de regime de resoluĆ§Ć£o da BrFideliza pelo Bacen, o contrato de prestaĆ§Ć£o de serviƧos deve prever:
ā¢ A obrigaĆ§Ć£o de a empresa contratada conceder pleno e irrestrito acesso do responsĆ”vel pelo regime de resoluĆ§Ć£o aos contratos, acordos, documentaĆ§Ć£o e informaƧƵes referentes aos serviƧos prestados, dados armazenados e informaƧƵes sobre seus processamentos, cĆ³pias de seguranƧa dos dados e das informaƧƵes, bem como cĆ³digos de acesso, que estejam em poder da empresa contratada;
ā¢ A obrigaĆ§Ć£o de notificaĆ§Ć£o prĆ©via do responsĆ”vel pelo regime de resoluĆ§Ć£o sobre a intenĆ§Ć£o de a empresa contratada interromper a prestaĆ§Ć£o de serviƧos. A notificaĆ§Ć£o deverĆ” ocorrer com 30 dias de antecedĆŖncia da data prevista para a interrupĆ§Ć£o dos serviƧos prestados e deverĆ” determinar que:
ā A empresa contratada se obriga a aceitar eventual pedido de prazo adicional de 30 dias para a interrupĆ§Ć£o do serviƧo, feito pelo responsĆ”vel pelo regime de resoluĆ§Ć£o;
ā A notificaĆ§Ć£o prĆ©via deverĆ” ocorrer tambĆ©m na situaĆ§Ć£o em que a interrupĆ§Ć£o for motivada por inadimplĆŖncia da BrFideliza.
A comunicaĆ§Ć£o ao Bacen deve conter as seguintes informaƧƵes:
ā¢ O nome da empresa a ser contratada;
ā¢ Os serviƧos relevantes a serem contratados;
ā¢ No caso de contrataĆ§Ć£o no exterior, indicaĆ§Ć£o dos locais onde os serviƧos serĆ£o prestados e os dados armazenados, processados e gerenciados.
O prazo para comunicaĆ§Ć£o serĆ” de 10 dias, contados a partir da contrataĆ§Ć£o dos serviƧos. Caso haja alteraƧƵes contratuais que impliquem em modificaĆ§Ć£o das informaƧƵes, a comunicaĆ§Ć£o ao Bacen deverĆ” ocorrer em 10 dias contados da alteraĆ§Ć£o contratual, salvo na hipĆ³tese prevista no item 18 ādā.
No tocante Ć continuidade dos serviƧos de pagamento prestados, a BrFideliza tem a responsabilidade de assegurar:
ā¢ O tratamento dos incidentes relevantes relacionados com o ambiente cibernĆ©tico;
ā¢ Os procedimentos a serem seguidos no caso de interrupĆ§Ć£o de serviƧos de processamento e armazenamento de dados e de computaĆ§Ć£o em nuvem contratados, abrangendo cenĆ”rios que considerem a substituiĆ§Ć£o da empresa contratada e o reestabelecimento da operaĆ§Ć£o normal da BrFideliza;
ā¢ Os cenĆ”rios de incidentes considerados nos testes de continuidade de serviƧos de pagamento prestados.
ā¢ O tratamento para mitigar os efeitos dos incidentes relevantes da interrupĆ§Ć£o dos serviƧos de processamento, armazenamento de dados e de computaĆ§Ć£o em nuvem contratados;
ā¢ O prazo estipulado para reinĆcio ou normalizaĆ§Ć£o das suas atividades ou dos serviƧos relevantes interrompidos;
ā¢ A comunicaĆ§Ć£o tempestiva ao Bacen das ocorrĆŖncias de incidentes relevantes e das interrupƧƵes dos serviƧos, que configurem uma situaĆ§Ć£o de crise pela BrFideliza, bem como das providĆŖncias para o reinĆcio das suas atividades.
A BrFideliza deverĆ” instituir mecanismos de acompanhamento e de controle visando a assegurar a implementaĆ§Ć£o e a efetividade desta PolĆtica, do plano de aĆ§Ć£o e de resposta a incidentes e dos requisitos para contrataĆ§Ć£o de serviƧos de processamento e armazenamento de dados e de computaĆ§Ć£o em nuvem.
Os mecanismos de acompanhamento e controle deverĆ£o incluir a definiĆ§Ć£o de processos, testes e trilhas de auditoria, bem como a definiĆ§Ć£o de mĆ©tricas e indicadores adequados e a identificaĆ§Ć£o e a correĆ§Ć£o de eventuais deficiĆŖncias.
A BrFideliza armazenarƔ, pelo prazo de 5 anos, as seguintes informaƧƵes:
ā¢ O documento relativo Ć polĆtica de SeguranƧa CibernĆ©tica;
ā¢ A ata de reuniĆ£o do Conselho de AdministraĆ§Ć£o, se existente, e de reuniĆ£o da Diretoria da BrFideliza;
ā¢ O documento relativo ao plano de aĆ§Ć£o e de resposta a incidentes;
ā¢ O relatĆ³rio anual;
ā¢ A documentaĆ§Ć£o sobre os procedimentos desta PolĆtica;
ā¢ A documentaĆ§Ć£o no caso de serviƧos prestados no exterior;
ā¢ Os contratos de prestaĆ§Ć£o de serviƧos mencionados nesta PolĆtica;
ā¢ Os dados, os registros e as informaƧƵes relativas aos mecanismos de acompanhamento e controle, a partir da implementaĆ§Ć£o dos mecanismos mencionados.
Os Colaboradores e prestadores de serviƧo da BrFideliza deverĆ£o aderir formalmente a um termo em que se comprometem a agir de acordo com esta PolĆtica. Ademais, todos os contratos da BrFideliza deverĆ£o possuir clĆ”usula que assegure a confidencialidade das informaƧƵes.
Esta PolĆtica estĆ” disponĆvel em local acessĆvel a todos Colaboradores, Fornecedores e UsuĆ”rios, em linguagem clara e acessĆvel.