Política de Segurança da Informação

TokPilot Digital Strategy · MEI · CNPJ 60.750.422/0001-06 · Versão 1.1 · Última atualização: 21 de setembro de 2026

Esta Política estabelece os princípios, controles e responsabilidades adotados pela TokPilot para proteger a confidencialidade, integridade e disponibilidade das informações próprias e de seus clientes e parceiros. Ela integra o nosso Programa de Segurança da Informação e é revisada periodicamente. Aplica-se a todos os colaboradores, prestadores de serviço, sistemas, dispositivos e dados sob nossa responsabilidade.

1. Governança e responsabilidades

A segurança da informação é patrocinada pela direção da empresa e coordenada pelo Responsável de Segurança da Informação, papel exercido por José Wellington Coelho Graça, que acumula a função de Encarregado de Dados (DPO). Todos os colaboradores e prestadores são responsáveis por cumprir esta Política. Desvios são tratados conforme a criticidade e podem implicar medidas corretivas. Contato de segurança e privacidade: contact@tokpilot.com.br.

2. Linha de base de segurança para operações diárias

A organização mantém uma linha de base de controles obrigatórios para o dia a dia, aplicada a todos os terminais e contas corporativas:

Autenticação multifator (MFA) adotada nos serviços críticos que oferecem esse recurso, incluindo provedores de infraestrutura, e-mail, repositórios de código, pagamentos e painéis administrativos.
Complexidade e higiene de senhas: senhas fortes (mínimo de 12 caracteres, combinando maiúsculas, minúsculas, números e símbolos), uso obrigatório de gerenciador de senhas, proibição de reutilização e de compartilhamento. Senhas de usuários finais são armazenadas apenas de forma irreversível (hash bcrypt).
Bloqueio automático de tela após curto período de inatividade (até 5 minutos), com exigência de credencial para desbloqueio.
Política de mesa limpa e tela limpa (clean desk): informações sensíveis e credenciais nunca ficam visíveis ou desacompanhadas; documentos são guardados ou descartados de forma segura.
Proteção de endpoints: mantemos proteção contra malware, atualizações de segurança e monitoramento compatíveis com os ativos em uso, com revisão periódica das medidas adotadas.
Atualizações e correções automáticas de sistemas operacionais e aplicativos; criptografia de disco habilitada nas estações de trabalho.
Conscientização: colaboradores recebem orientação periódica sobre phishing, engenharia social e boas práticas de segurança.

3. Controle de acesso e privilégio mínimo

Mantemos uma política de controle de acesso baseada nos princípios de menor privilégio e necessidade de conhecer (need-to-know). O acesso a sistemas e a dados pessoais é concedido estritamente conforme a função de cada pessoa.

Controle de acesso por papéis (RBAC) e segregação de funções.
O acesso a dados pessoais é restrito ao mínimo indispensável. Áreas internas e administrativas (por exemplo, o painel administrativo do produto) exigem privilégios elevados e são limitadas a uma lista controlada de administradores autorizados.
Contas individuais e nominais; é proibido o compartilhamento de credenciais.
Revisão periódica dos acessos concedidos e revogação imediata no desligamento ou mudança de função.
Acessos privilegiados exigem MFA; ações relevantes são registradas em trilhas de auditoria.

4. Classificação de dados e criptografia

Adotamos uma política de classificação da informação em quatro níveis — Público, Interno, Confidencial e Restrito — sendo dados pessoais, credenciais e segredos tratados como Restrito e submetidos aos controles mais rígidos.

Criptografia em trânsito: todo o tráfego usa TLS 1.2+ (HTTPS), com certificados gerenciados e renovação automática (Let's Encrypt) e redirecionamento forçado para HTTPS.
Criptografia em repouso: bancos de dados e volumes são protegidos; senhas usam hash bcrypt; segredos e chaves de API ficam em variáveis de ambiente de acesso restrito (arquivos com permissões limitadas, nunca no código-fonte).
Dados de pagamento: não armazenamos números de cartão. Os pagamentos são processados pela Stripe (cartões e assinaturas) e Asaas (Pix); recebemos apenas confirmações e metadados necessários da transação.
Gestão e rotação periódica de chaves e segredos; retenção e descarte seguro conforme a LGPD.

5. Segurança de rede e segregação

A infraestrutura é protegida por múltiplas camadas e adota segregação de rede:

Segregação de ambientes: produção, homologação e administração são isolados. Bancos de dados e serviços internos não são expostos à internet — o acesso ocorre somente pela rede interna/privada entre serviços.
Firewall com regras restritivas (apenas as portas estritamente necessárias, como 443/HTTPS) e proxy reverso com HTTPS automático na borda.
Acesso administrativo por SSH exclusivamente com chave criptográfica (sem senha), em porta não padrão, com fail2ban e listas de IPs confiáveis.
Monitoramento de tráfego, isolamento de cargas e princípio de superfície de ataque mínima.

6. Resposta a incidentes

Mantemos uma política de resposta a incidentes com papéis e responsabilidades definidos e canais de comunicação claros. O Responsável de Segurança atua como líder de resposta.

Ciclo de resposta: detecção e triagem → contenção → erradicação → recuperação → análise pós-incidente (lições aprendidas) e melhoria contínua.
Canal de reporte: incidentes de segurança e suspeitas devem ser comunicados imediatamente a contact@tokpilot.com.br, que encaminha ao Responsável de Segurança.
Notificação: em caso de violação envolvendo dados pessoais, comunicamos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados nos prazos legais previstos pela LGPD, além de parceiros e autoridades quando aplicável.
Todos os incidentes são registrados, documentados e acompanhados até o encerramento.

7. Gestão de vulnerabilidades e ameaças

Mantemos um procedimento contínuo de gestão de vulnerabilidades e ameaças, com priorização por severidade:

Monitoramento e varredura contínuos de sistemas e dependências de software, com alertas automáticos de vulnerabilidades conhecidas (CVE).
Gestão de patches: correções são avaliadas e aplicadas em tempo hábil, priorizando itens críticos/urgentes conforme a criticidade (referência CVSS).
Dependências: atualização e verificação automatizada de bibliotecas de terceiros; builds controlados e reproduzíveis.
Divulgação responsável: pesquisadores e terceiros podem reportar vulnerabilidades por contact@tokpilot.com.br; tratamos os relatos com confidencialidade.
Revisão de código, testes de segurança periódicos e monitoramento de logs e eventos de segurança.

8. Desenvolvimento seguro

Aplicamos práticas de desenvolvimento seguro: revisão de código, separação de segredos do código-fonte, menor privilégio nas integrações, ambientes isolados e processos de implantação controlados.

9. Terceiros e sub-processadores

Selecionamos criteriosamente nossos fornecedores e compartilhamos apenas o mínimo de dados necessário, sob contrato e dever de confidencialidade. Entre os principais sub-processadores estão a Stripe (pagamentos, PCI-DSS), provedores de hospedagem e infraestrutura, provedor de envio de e-mail e provedores de inteligência artificial. Avaliamos a postura de segurança de terceiros de forma contínua.

10. Continuidade e backups

Realizamos backups regulares dos dados críticos, com volumes persistentes e testes de restauração, além de planos de recuperação para reduzir o tempo de indisponibilidade em caso de falha.

11. Conformidade

Nossas práticas estão alinhadas à LGPD (Lei nº 13.709/2018), ao GDPR e ao CCPA/CPRA. O tratamento de dados pessoais é detalhado na Política de Privacidade.

12. Revisão e contato

Esta Política é revisada ao menos anualmente ou sempre que houver mudanças relevantes de tecnologia, processos ou regulação. Dúvidas, solicitações ou reporte de incidentes: contact@tokpilot.com.br.