Portal de Conformidade · Segurança
Segurança da Informação
Como protegemos a plataforma, o site e os dados que os clientes nos confiam: controle de acesso, criptografia, cópias de segurança, monitoramento e resposta a incidentes.
ISO/IEC 27001 e ISO/IEC 27701 adotadas como referência de boas práticas — não como alegação de certificação
Portal de Conformidade · Política de Segurança da Informação · Vigente desde 02/09/2026
Esta política define como a EBAEM protege a plataforma Observatório de Gestão, o site e os dados que os clientes nos confiam. Ela é estruturada a partir das boas práticas das normas ISO/IEC 27001 (gestão de segurança da informação) e ISO/IEC 27701 (gestão de privacidade), adotadas como referência — não como alegação de certificação — e se integra à Política de LGPD.
Objetivos
🔒
Confidencialidade
Cada usuário acessa apenas os dados da sua organização e dos territórios autorizados. Segredos, credenciais e integrações ficam cifrados.
🧾
Integridade
Toda alteração relevante é registrada em trilha de auditoria; as cargas das bases oficiais são rastreáveis até a fonte e a data de referência.
⏱️
Disponibilidade
Monitoramento contínuo, backups com retenção definida e plano de continuidade para manter alertas, relatórios e prazos funcionando.
A privacidade é tratada como requisito de projeto: novas funcionalidades nascem com o menor privilégio, a menor coleta e o registro de auditoria necessários.
Abrangência
Aplica-se à plataforma (painel.observatoriogestao.com.br), ao site institucional, às rotinas de automação que coletam as bases oficiais, aos ambientes de desenvolvimento e homologação, aos dispositivos de colaboradores e a todos os fornecedores que tratam dados em nosso nome.
Controles
| Domínio | Controle | O que isso significa para você |
|---|---|---|
| Criptografia | TLS em todas as conexões; segredos, credenciais e chaves de integração cifrados em repouso; senhas armazenadas apenas como hash. | Seus dados não trafegam nem ficam guardados em texto claro. |
| Identidade e acesso | Senha forte, autenticação com múltiplos fatores (MFA), login por Google, Microsoft ou certificado digital; controle de acesso por perfil (RBAC), por empresa e por território, negado por padrão; sessões com expiração e revogação. | Cada usuário vê somente o que a sua organização autorizou. |
| Auditoria | Registro de cada ação relevante — quem, o quê, quando e de onde —, com retenção configurável e expurgo controlado; relatórios de conformidade. | Rastreabilidade para controle interno, câmara e tribunais de contas. |
| Backups e recuperação | Backups automáticos com retenção definida, armazenados separadamente do ambiente de produção e testados periodicamente. | Recuperação de dados após falha, erro ou incidente. |
| Segregação de ambientes | Desenvolvimento, homologação e produção isolados; dados reais somente em produção; acesso administrativo restrito, individual e registrado. | Testes e mudanças não afetam seus dados. |
| Gestão de vulnerabilidades e atualizações | Varreduras periódicas, atualização de sistema e dependências, correção priorizada por criticidade e monitoramento contínuo de saúde dos serviços. | Falhas conhecidas são corrigidas antes que possam ser exploradas. |
| Desenvolvimento seguro | Revisão de código, versionamento, validações automáticas de configuração e princípio do menor privilégio entre componentes. | Menos erros chegam à produção. |
| Rotinas de automação | Cada rotina de coleta roda em ambiente isolado, com dependências declaradas e execução registrada. | Uma rotina não interfere em outra nem nos dados de outros clientes. |
| Fornecedores | Avaliação de segurança e cláusulas contratuais de proteção de dados para hospedagem, e-mail, pagamento e demais subprocessadores. | A cadeia inteira segue as mesmas regras. |
| Continuidade | Plano de continuidade e de recuperação de desastres, com objetivos de tempo e de ponto de recuperação (RTO/RPO) definidos e revisados anualmente. | Retorno previsível do serviço após um evento grave. |
Responsabilidades dos usuários
- Usar senha forte e exclusiva e ativar a autenticação com múltiplos fatores;
- Nunca compartilhar credenciais; cada pessoa da equipe deve ter o próprio usuário;
- Conceder perfis e territórios pelo princípio do menor privilégio e revogar acessos de quem deixa a organização;
- Manter dispositivos e navegadores atualizados e não acessar a plataforma em equipamentos não confiáveis;
- Comunicar imediatamente suspeitas de acesso indevido, perda de credenciais ou comportamento anormal;
- Respeitar os termos de uso e as políticas do próprio ente sobre dados e documentos carregados.
Responsabilidades da EBAEM
- manter e revisar os controles desta política;
- treinar colaboradores e credenciados em segurança e privacidade;
- informar os clientes sobre incidentes que os afetem e sobre mudanças relevantes na arquitetura;
- disponibilizar registros de auditoria e relatórios de conformidade aos usuários autorizados;
- atender a ordens de autoridades apenas na medida exigida e registrando o atendimento.
Resposta a incidentes
| Etapa | Prazo-alvo | O que fazemos |
|---|---|---|
| Detecção e registro | imediato | Abertura do registro do incidente, classificação inicial e preservação de evidências. |
| Triagem e contenção | até 24 horas após o conhecimento | Isolamento do que foi afetado, revogação de credenciais e bloqueio da causa. |
| Avaliação de impacto | até 48 horas | Natureza do incidente, dados e titulares atingidos, risco a direitos e liberdades. |
| Comunicação ao cliente afetado | sem demora injustificada, dentro do prazo de avaliação | Informações necessárias para que o cliente cumpra as suas próprias obrigações como controlador. |
| Comunicação à ANPD e aos titulares | até 3 dias úteis, quando houver risco ou dano relevante | Nos termos do art. 48 da LGPD e da Resolução CD/ANPD nº 15/2024. |
| Erradicação e recuperação | conforme o plano, com andamentos registrados | Correção definitiva, restauração de backups quando necessário e verificação. |
| Lições aprendidas | relatório em até 15 dias após o encerramento | Revisão dos controles e atualização desta política, se necessário. |
Para comunicar um incidente ou suspeita, escreva para suporte@ebaem.com.br com o assunto “Incidente” ou use o formulário de suporte.
Reporte de vulnerabilidades
Encontrou uma falha de segurança no site ou na plataforma? Escreva para suporte@ebaem.com.br com o assunto “Segurança”, descrevendo o que encontrou, os passos para reproduzir e o impacto potencial. Confirmamos o recebimento em até 2 dias úteis, mantemos você informado sobre a correção e não adotamos medidas legais contra pesquisadores que agem de boa-fé e dentro das regras abaixo.
- não acesse, copie ou altere dados de terceiros — interrompa o teste ao encontrar dados pessoais;
- não execute ataques de negação de serviço, engenharia social ou testes contra a infraestrutura de fornecedores;
- não divulgue a falha publicamente antes da correção, combinada com a nossa equipe;
- use apenas contas próprias e ambientes que você tenha autorização para testar.
Revisão
Esta política é revisada anualmente e sempre que houver mudança relevante de arquitetura, incidente de segurança ou alteração legal. A direção aprova cada versão; a data de vigência consta no início do documento.
Política aprovada pela direção da EBAEM LTDA. Versão vigente desde 02/09/2026; revisão anual, ou antes diante de mudança legal, de produto ou incidente relevante.