Políticas de Segurança da Informação

Este documento reúne as Políticas de Segurança da Informação da Adaptamente: o que protegemos, como, e quem é responsável. Ele complementa os Termos, Privacidade e Uso de Dados.

Parte 1 — Diretrizes gerais

O alicerce das demais políticas.

1.Objetivo

Proteger as informações tratadas pela Adaptamente, as nossas e as de quem confia em nós, contra acesso indevido, alteração, perda e indisponibilidade, reduzindo o risco de dano às pessoas e ao negócio e apoiando o cumprimento da legislação aplicável.

2.A quem se aplica

A todas as pessoas que acessam informações da Adaptamente em nome dela: sócios, equipe, colaboradores, prestadores de serviço e parceiros. Aplica-se a toda informação, em qualquer formato (digital, impresso ou falado), e a todos os sistemas, ambientes, dispositivos e serviços de terceiros usados para tratá-la, incluindo o app, o site, a plataforma e as ferramentas internas.

3.Princípios

• Confidencialidade: a informação só é acessada por quem tem necessidade legítima.
• Integridade: a informação é correta, completa e só muda por meios autorizados.
• Disponibilidade: a informação e os serviços estão acessíveis quando necessário.
• Privacidade desde a concepção: segurança e proteção de dados entram no desenho de cada funcionalidade desde o início, e não depois.
• Mínimo necessário: coletamos, guardamos e damos acesso apenas ao que é preciso para a finalidade.
• Menor privilégio: cada pessoa e cada sistema recebe somente as permissões que a função exige.
• Defesa em camadas: nenhum controle isolado é suficiente; combinamos vários.
• Melhoria contínua: aprendemos com incidentes, auditorias e mudanças, e ajustamos os controles.

4.Responsabilidades

• Direção: aprova esta política, garante os recursos para cumpri-la e responde pelos riscos aceitos.
• Encarregado de Proteção de Dados (DPO): mantém esta política atualizada, define e acompanha os controles, conduz a gestão de riscos e coordena a resposta a incidentes, orienta sobre proteção de dados pessoais, monitora a conformidade com a LGPD e atende titulares e a ANPD, conforme a Política de Privacidade. O DPO atua como ponto de contato oficial para questões de segurança de dados e pode ser acionado diretamente pelo e-mail dpo@adaptamente.com.
• Todas as pessoas: cumprir esta política, proteger suas credenciais e relatar qualquer suspeita ou incidente assim que perceberem.

5.Classificação da informação

Toda informação é tratada conforme o nível de proteção que exige:

Na dúvida sobre o nível de uma informação, trate-a como o nível mais restritivo até esclarecer.

6.Gestão de riscos

Identificamos, avaliamos e tratamos riscos de segurança de forma recorrente e sempre que há mudança relevante, como um novo fornecedor, uma nova funcionalidade ou um novo tipo de dado. Os riscos são priorizados pelo impacto sobre as pessoas titulares dos dados e sobre o serviço, e as ações de tratamento têm responsável e acompanhamento.

Parte 2 — Políticas específicas

Como aplicamos os princípios no dia a dia.

7.Controle de acesso

• Todo acesso é individual e nominal. Contas compartilhadas não são permitidas.
• Permissões seguem o menor privilégio e são concedidas conforme a função, com aprovação do responsável.
• Sistemas críticos exigem autenticação reforçada, como verificação em duas etapas, sempre que o serviço oferecer.
• Acessos são revisados periodicamente e removidos imediatamente quando a pessoa muda de função ou deixa a Adaptamente.
• Acessos administrativos e a dados sensíveis são limitados ao mínimo de pessoas e registrados.
• Credenciais e chaves de acesso não ficam em código-fonte, mensagens ou documentos abertos; são guardadas em cofres ou mecanismos próprios de segredos.

8.Criptografia e proteção dos dados

• Dados trafegam por canais criptografados.
• Dados confidenciais e sensíveis são criptografados quando armazenados. As respostas pessoais dos usuários recebem proteção reforçada.
• Senhas nunca são guardadas em texto legível; usamos métodos de proteção próprios para esse fim.
• Dados de cartão de crédito são tratados por empresas de pagamento especializadas; a Adaptamente não armazena o número completo do cartão.
• Dados pessoais são anonimizados ou agregados sempre que a finalidade permitir, especialmente em análises e relatórios.
• Dados reais de usuários não são usados em ambientes de teste e desenvolvimento, salvo anonimizados.

9.Desenvolvimento seguro e gestão de mudanças

• Requisitos de segurança e privacidade são considerados no desenho de cada funcionalidade.
• Ambientes de desenvolvimento, testes e produção são separados.
• Mudanças no código passam por revisão antes de ir para produção e ficam registradas.
• Dependências e componentes de terceiros são mantidos atualizados, e vulnerabilidades conhecidas são tratadas conforme a gravidade.
• Falhas de segurança são corrigidas com prioridade proporcional ao risco.
• Realizamos varreduras automatizadas de vulnerabilidades em nossa infraestrutura periodicamente.

10.Infraestrutura, dispositivos e rede

• A infraestrutura é hospedada em provedores reconhecidos, com controles de segurança física e lógica adequados.
• Sistemas operacionais, aplicativos e serviços recebem atualizações de segurança com regularidade.
• Dispositivos usados para trabalhar com informações da Adaptamente, inclusive pessoais, devem ter senha ou biometria, bloqueio automático de tela, atualizações em dia e proteção contra código malicioso.
• Dispositivos perdidos ou roubados devem ser comunicados de imediato, para que os acessos sejam revogados.
• Redes públicas ou desconhecidas só são usadas para acessar sistemas da Adaptamente com conexão protegida.

11.Monitoramento e registros

• Mantemos registros de acesso e de eventos relevantes dos sistemas, protegidos contra alteração e guardados pelo tempo necessário.
• Monitoramos comportamentos anormais e alertas de segurança para detectar problemas cedo.
• Os registros são usados para segurança, investigação de incidentes e cumprimento de obrigações legais, e não para vigilância de pessoas.

12.Cópias de segurança e continuidade

• Fazemos cópias de segurança periódicas das informações essenciais, protegidas com o mesmo rigor dos dados originais.
• A restauração das cópias é testada, porque cópia que nunca foi restaurada não é garantia.
• Mantemos procedimentos para retomar os serviços críticos após falhas, indisponibilidades ou desastres, e os revisamos periodicamente.

13.Fornecedores e terceiros

• Avaliamos a postura de segurança e privacidade de fornecedores antes de contratá-los e enquanto durar a relação.
• Selecionamos fornecedores que constem em contrato que tratam dados pessoais com obrigações de confidencialidade, segurança e proteção de dados compatíveis com a LGPD.
• Compartilhamos com terceiros apenas o necessário para a finalidade e revogamos acessos quando o serviço termina.
• Quando há transferência de dados para fora do Brasil, seguimos as garantias previstas na LGPD.

14.Pessoas, confidencialidade e conscientização

• Quem trabalha com a Adaptamente assume compromisso de confidencialidade, que continua valendo depois do fim do vínculo.
• A equipe recebe orientação sobre segurança e privacidade ao entrar e de forma recorrente, incluindo como reconhecer golpes de engenharia social e phishing.
• O descumprimento desta política pode gerar medidas proporcionais, previstas em contrato e em lei.

15.Uso aceitável

• Recursos e informações da Adaptamente são usados para fins profissionais e legítimos.
• É proibido copiar informações confidenciais para contas, dispositivos ou serviços não autorizados, ou divulgá-las sem autorização.
• Não se instalam programas de origem duvidosa nem se desativam proteções de segurança.
• Informações em tela, papéis ou conversas devem ser protegidas de olhares e ouvidos que não precisam delas.
• Ao fim do uso, informações são descartadas de forma segura, sem deixar cópias esquecidas.
• É estritamente proibido inserir dados pessoais, dados sensíveis, código-fonte ou informações confidenciais da Adaptamente ou de nossos clientes em ferramentas públicas de Inteligência Artificial (como ChatGPT e similares).

16.Gestão de incidentes

Um incidente de segurança é qualquer evento que comprometa, ou possa comprometer, a confidencialidade, a integridade ou a disponibilidade de informações. Nosso processo tem quatro etapas:

• Identificar e reportar: qualquer pessoa que perceba algo suspeito avisa imediatamente o responsável por segurança. Reportar de boa-fé nunca é motivo de punição.
• Conter e investigar: limitamos o alcance do problema, preservamos evidências e apuramos causa e impacto.
• Comunicar: quando o incidente puder causar risco ou dano relevante aos titulares, comunicamos as pessoas afetadas e a ANPD, nos termos do art. 48 da LGPD, e informamos as empresas clientes em até 48 horas após a confirmação de um incidente que afete seus dados.
• Corrigir e aprender: eliminamos a causa, restauramos o serviço e registramos as lições para evitar repetição.

17.Retenção e descarte

Guardamos informações apenas pelo tempo necessário para a finalidade que justificou a coleta ou para cumprir obrigações legais, conforme a Política de Privacidade. Ao fim desse período, ou quando o titular exerce o direito de eliminação, os dados são apagados ou anonimizados de forma segura, inclusive nas cópias de segurança, dentro dos ciclos normais de rotação delas.

Ao término de um contrato corporativo celebrado entre empresas e a Adaptamente, os dados pessoais vinculados àquela empresa cliente serão excluídos ou anonimizados de forma segura no prazo máximo de 30 dias, salvo obrigação legal de retenção.

Parte 3 — Usuários e empresas clientes

O que garantimos a você e o que pedimos de você.

18.A "parede de vidro" nos contratos corporativos

Nesses casos, os dados ficam estruturados em duas camadas que não se cruzam:

• Diagnósticos e Mapeamentos (Camada Anônima): as respostas de formulários, avaliações de hábitos (físicos, alimentares, de sono, etc.) e mapeamentos de riscos de saúde e psicossociais são tratadas de forma estritamente anônima. Entregamos à empresa somente estatísticas consolidadas (ex.: visão geral de saúde por setor), com mecanismos de proteção sistêmica que impedem a geração de relatórios para grupos muito pequenos, evitando qualquer possibilidade de reidentificação.
• Jornadas e Engajamento (Camada Identificada): nas jornadas de educação em saúde, mudança de hábitos e treinamentos, registramos apenas dados de execução não sensíveis (como adesão, tempo de uso, conclusão de trilhas/módulos, notas e evidências) para emitir certificados e comprovações de engajamento corporativo, no limite estrito descrito na Política de Privacidade.
• Nenhum controle técnico, algoritmo ou procedimento administrativo da Adaptamente é usado para tentar reidentificar quem forneceu respostas que envolvam dados sensíveis.

19.O que pedimos de você

A segurança dos dados é uma responsabilidade compartilhada. Os cuidados necessários dependem de como você interage com a nossa plataforma:

Para todos os perfis (Usuários do aplicativo e Administradores):

• Proteja sua credencial: use uma senha forte e exclusiva para acessar a Adaptamente, e nunca a compartilhe com ninguém.
• Segurança do dispositivo: mantenha o aplicativo, seu navegador e seu dispositivo (celular ou computador) atualizados e com bloqueio automático de tela ativado.
• Cuidado com golpes: desconfie de mensagens que peçam sua senha ou códigos de acesso. A Adaptamente nunca pede sua senha por e-mail, mensagem ou telefone.
• Alerta rápido: se notar atividade estranha na sua conta, ou suspeitar que ela foi acessada por outra pessoa, avise-nos imediatamente.

Cuidados adicionais para Administradores da Empresa (RH e Gestores):

• Acessos individualizados: o acesso ao painel de gestão da sua empresa é estritamente pessoal e nominal. Não crie contas genéricas (ex.: rh@empresa.com) com senhas compartilhadas entre a equipe.
• Gestão de equipe: é responsabilidade da empresa contratante revogar ou solicitar a imediata remoção de acesso de membros da sua equipe administrativa que se desligarem da empresa ou mudarem de função, garantindo que apenas pessoas autorizadas continuem visualizando os relatórios consolidados da plataforma.

20.Como reportar um problema de segurança

Se você encontrou uma possível vulnerabilidade, um uso indevido de dados ou qualquer situação que ameace a segurança da Adaptamente, escreva para o contato de privacidade indicado na Política de Privacidade, com assunto "Segurança". Descreva o que viu, de forma que possamos reproduzir. Pedimos que:

• não acesse, copie ou altere dados de outras pessoas além do mínimo necessário para demonstrar o problema;
• não torne o problema público antes de termos tido tempo razoável para corrigi-lo;
• não faça testes que prejudiquem a disponibilidade do serviço.

Pesquisas feitas de boa-fé e dentro dessas condições serão tratadas como colaboração, e não como ataque.

21.Conformidade e referências

Estas políticas apoiam o cumprimento da Lei Geral de Proteção de Dados (Lei 13.709/2018), do Marco Civil da Internet (Lei 12.965/2014) e do Código de Defesa do Consumidor. Adicionalmente, quando aplicável à natureza dos serviços prestados, nossas práticas de segurança suportam o alinhamento à Lei da Telessaúde (Lei nº 14.510/2022) e aos padrões éticos dos conselhos profissionais de saúde correspondentes (como CFP, CFM ou CFN).

As políticas também se inspiram em boas práticas de mercado reconhecidas globalmente, como as famílias de normas ISO/IEC 27001 e 27002. A referência a essas normas indica inspiração estrutural e busca contínua por excelência; não representa certificação.

22.Revisão e vigência

Esta política é revisada ao menos uma vez por ano e sempre que houver mudança relevante no serviço, na lei ou nos riscos. Mudanças relevantes são divulgadas no site, com a nova versão e a data de atualização no rodapé desta página. A versão vigente é sempre a publicada em adaptamente.com/seguranca.