1. Como o Sistema Trata Dados Sensíveis
O GestorMais adota a diretriz de minimização e, por padrão, evita tratar dados pessoais sensíveis quando não estritamente necessários para o serviço contratado. Caso haja necessidade operacional justificada, o tratamento ocorre com salvaguardas reforçadas e controle de acesso restrito.
1.1 Diretrizes aplicadas
- mapeamento prévio da finalidade e avaliação de necessidade/adequação;
- segregação lógica de dados e trilha de auditoria de acessos privilegiados;
- revisão periódica de autorizações e princípio do menor privilégio;
- política de não persistência de dados sensíveis quando houver alternativa menos invasiva.
2. Base Legal para Tratamento de Dados
O tratamento de dados pessoais no GestorMais observa as hipóteses legais da LGPD, selecionadas conforme a finalidade concreta da operação.
2.1 Hipóteses mais utilizadas
- Execução de contrato: para prestação do serviço SaaS, autenticação, emissão de cobranças e suporte operacional.
- Cumprimento de obrigação legal/regulatória: para atender exigências fiscais, contábeis e de compliance.
- Legítimo interesse: para segurança da plataforma, prevenção de fraude e melhoria de desempenho, com balanceamento de impacto.
- Consentimento: quando exigido para finalidades específicas e opcionais, com possibilidade de revogação.
Quando o cliente utiliza o GestorMais para operar dados de seus próprios consumidores, ele permanece como controlador principal e deve definir a base legal pertinente ao seu contexto de negócio.
3. Armazenamento e Retenção
Os dados são armazenados em infraestrutura com controles de segurança, redundância e monitoramento. A retenção respeita necessidade operacional, obrigação legal e política interna de ciclo de vida da informação.
- dados de conta e faturamento: mantidos durante vigência contratual e período legal aplicável;
- logs técnicos e de segurança: retidos por janela proporcional ao monitoramento e investigação de incidentes;
- dados descartáveis: eliminados ou anonimizados quando deixam de ser necessários para a finalidade declarada.
4. Medidas de Segurança
O programa de segurança do GestorMais combina controles técnicos e administrativos para reduzir risco de acesso indevido, vazamento e indisponibilidade.
4.1 Controles técnicos
- criptografia de dados em trânsito e proteção de sessões autenticadas;
- firewalls, segmentação de ambiente e monitoramento de eventos de risco;
- registro de logs, detecção de anomalias e políticas de backup/recuperação;
- testes periódicos de segurança e evolução de hardening.
4.2 Controles organizacionais
- políticas internas de acesso, confidencialidade e classificação da informação;
- treinamento recorrente de equipe sobre privacidade, engenharia social e resposta a incidentes;
- gestão de terceiros com cláusulas de proteção de dados e revisões contratuais.
5. Adequação à LGPD
A adequação é tratada como processo contínuo, não evento pontual. O GestorMais mantém trilhas de conformidade para demonstrar accountability perante titulares, clientes e autoridades.
- registro de operações de tratamento com finalidade e base legal;
- processos para atendimento de direitos dos titulares;
- avaliação de riscos e planos de mitigação para atividades críticas;
- documentação de papéis entre controlador e operador em contratos e políticas internas.
6. Canal para Requisição de Dados
O titular pode requisitar acesso, correção, exclusão, oposição, revisão de tratamento e portabilidade de dados, observadas limitações legais e técnicas aplicáveis.
6.1 Como solicitar
- Enviar e-mail para [email protected] com assunto "LGPD - Requisição de Dados".
- Informar dados mínimos para identificação segura do titular e escopo da solicitação.
- Em caso de solicitação por representante, anexar comprovação de poderes.
As respostas são fornecidas em prazo razoável, com transparência sobre eventual impossibilidade parcial de atendimento quando houver obrigação legal de retenção ou proteção de segredo comercial.
7. Gestão de Incidentes de Segurança
Em caso de incidente com potencial risco ou dano relevante, o GestorMais ativa procedimento estruturado de resposta, contém o evento, apura causa raiz e adota medidas de correção e prevenção.
- triagem e classificação de severidade do incidente;
- acionamento de equipes técnicas e jurídicas responsáveis;
- registro de evidências e plano de remediação;
- comunicação a titulares, clientes e autoridades quando exigido pela legislação.
8. Governança Contínua e Contato
Nosso programa de compliance é revisado periodicamente para acompanhar mudanças regulatórias, riscos emergentes e evolução tecnológica da plataforma.
Canal oficial para temas de dados e compliance: [email protected].