Política de Segurança da Informação

1. Objetivo e escopo

Esta política define como a Unity tecnologia LTDA, CNPJ 50.135.616/0001-48, protege as informações que trata, em especial os dados pessoais recebidos de marketplaces e de clientes por meio do hub de integração Arka Net.

Aplica-se a:

• todos os colaboradores, sócios, estagiários e prestadores de serviço com acesso a sistemas ou dados da Arka Net;
• todos os ambientes da Arka Net: produção, homologação, desenvolvimento, estações de trabalho e serviços em nuvem;
• todos os dados tratados pelo hub, incluindo os obtidos por APIs de marketplaces como Mercado Livre e Shopee.

2. Princípios e referências

A Arka Net protege a confidencialidade, a integridade e a disponibilidade das informações, e trata dados pessoais conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD).

• Necessidade: coletamos e mantemos apenas os dados indispensáveis à prestação do serviço.
• Finalidade: dados de marketplaces são usados exclusivamente para processar pedidos, emitir documentos fiscais, gerenciar logística, estoque e produtos dos nossos clientes.
• Mínimo privilégio: cada pessoa e cada sistema acessa só o necessário para sua função.
• Segurança por padrão: controles de segurança fazem parte do desenvolvimento, não são adicionados depois.

Como referência de boas práticas, a Arka Net se orienta pela norma ABNT NBR ISO/IEC 27001 e pelas políticas de proteção de dados dos marketplaces com que se integra.

3. Papéis e responsabilidades

Papel	Responsável	Atribuições
Diretoria	Karlize L dos Santos	Aprova esta política, garante recursos e responde pela conformidade.
Responsável por Segurança da Informação	Aramis Kaminski	Mantém esta política, coordena controles, avalia riscos e conduz a resposta a incidentes.
Encarregado de Dados (DPO)	Aramis Kaminski; aramis@unityerp.com.br	Canal com titulares e com a ANPD; orienta sobre a LGPD.
Time de Tecnologia	Líder técnico	Aplica os controles técnicos em código, infraestrutura e integrações.
Colaboradores e prestadores	Todos	Cumprem esta política e reportam imediatamente qualquer incidente ou suspeita.

4. Classificação e tratamento de dados

Toda informação da Arka Net é classificada em um de quatro níveis, que define como ela pode ser acessada e armazenada.

Nível	Exemplos	Tratamento mínimo
Restrita	Credenciais de API (app secret, access e refresh tokens), senhas, certificados digitais A1, chaves de criptografia	Somente em cofre de segredos; criptografada; acesso nominal e registrado; nunca em código, logs ou e-mail.
Confidencial	Dados pessoais de compradores (nome, endereço, telefone, CPF), dados fiscais, dados comerciais dos clientes	Criptografada em trânsito e em repouso; acesso por perfil; mascarada em logs e telas quando possível.
Interna	Documentação técnica, código-fonte, processos	Acesso restrito a colaboradores autorizados.
Pública	Site institucional, materiais de marketing	Sem restrição.

Dados pessoais de compradores recebidos de marketplaces são tratados pela Arka Net na qualidade de operadora, em nome do lojista (controlador), apenas para as finalidades descritas na seção 2. Esses dados não são vendidos, compartilhados com terceiros não autorizados nem usados para fins de marketing próprio da Arka Net.

5. Controle de acesso e autenticação

O acesso a sistemas e dados é individual, concedido pelo mínimo privilégio e revisado periodicamente.

• Cada pessoa tem conta nominal; contas compartilhadas são proibidas.
• Autenticação em dois fatores (2FA) é obrigatória em nuvem, repositórios de código, e-mail corporativo, painéis de marketplaces e Partner Centers.
• Acesso ao ambiente de produção e ao banco de dados é restrito ao time técnico autorizado.
• Os acessos são revisados a cada [6] meses e revogados em até [24 horas] após desligamento ou mudança de função.
• Senhas seguem requisitos mínimos de complexidade e são guardadas em gerenciador de senhas corporativo.
• No hub, os dados de cada cliente são isolados por tenant: um cliente nunca acessa dados de outro.

6. Criptografia e gestão de credenciais

Todo dado em trânsito usa TLS 1.2 ou superior, e dados Restritos e Confidenciais são criptografados em repouso.

• Comunicação com APIs de marketplaces, clientes e painéis usa exclusivamente HTTPS.
• Bancos de dados e backups são criptografados em repouso (AES-256 ou equivalente do provedor de nuvem).
• Tokens de acesso dos lojistas são armazenados criptografados, renovados automaticamente antes do vencimento e descartados quando a autorização é revogada.
• Credenciais de aplicativos (app key, app secret, service ID) ficam em cofre de segredos e são injetadas por variáveis de ambiente; nunca são versionadas no repositório.
• Credenciais suspeitas de exposição são revogadas e substituídas imediatamente.
• Requisições recebidas de marketplaces (webhooks) têm a assinatura verificada antes de qualquer processamento.

7. Segurança no desenvolvimento e na infraestrutura

A Arka Net opera em provedor de nuvem Davet e AWS e aplica controles de segurança em todo o ciclo de desenvolvimento.

• Todo código passa por controle de versão e revisão (pull request) antes de ir para produção.
• Ambientes de produção, homologação e desenvolvimento são separados; dados reais de compradores não são usados fora da produção.
• Dependências e bibliotecas são mantidas atualizadas, com correção prioritária de vulnerabilidades críticas.
• Servidores e serviços expõem apenas as portas necessárias, protegidas por firewall ou grupos de segurança.
• Estações de trabalho têm disco criptografado, bloqueio automático de tela e sistema atualizado.

8. Logs, monitoramento e backup

A Arka Net registra acessos e operações relevantes, monitora seus serviços e mantém backups testados.

• Logs de acesso a sistemas e de chamadas às APIs são mantidos por 6 meses, sem registrar senhas, tokens ou dados pessoais completos.
• Alertas automáticos sinalizam falhas de integração, erros de autenticação e comportamentos anômalos.
• Backups do banco de dados são feitos diariamente, criptografados, guardados em local separado e com restauração testada a cada 6 meses.

9. Gestão de incidentes

Todo incidente ou suspeita de incidente é reportado imediatamente ao Responsável por Segurança da Informação pelo canal aramis@unityerp.com.br .

1. Contenção: isolar o problema e revogar credenciais afetadas.
2. Avaliação: identificar dados, clientes e titulares envolvidos e o risco gerado.
3. Comunicação: avisar os clientes afetados e os marketplaces envolvidos, conforme os prazos de seus contratos e políticas; quando houver risco ou dano relevante aos titulares, comunicar a ANPD e os titulares conforme o art. 48 da LGPD.
4. Correção: eliminar a causa e restabelecer o serviço.
5. Registro: documentar o incidente, as ações tomadas e as melhorias aplicadas.

10. Retenção, descarte e direitos dos titulares

Dados pessoais são mantidos apenas pelo tempo necessário à finalidade ou exigido por lei, e então eliminados ou anonimizados.

• Dados de pedidos e documentos fiscais são mantidos pelo prazo legal fiscal 5 anos e depois eliminados.
• Quando um lojista encerra o contrato ou revoga a autorização de um marketplace, os tokens são apagados imediatamente e os demais dados pessoais em até 90 dias, salvo obrigação legal.
• Solicitações de titulares (acesso, correção, eliminação) são encaminhadas ao lojista controlador e atendidas pela Arka Net, como operadora, conforme a LGPD, pelo canal aramis@unityerp.com.br.

11. Fornecedores, conscientização, sanções e vigência

• Fornecedores: prestadores com acesso a dados (nuvem, e-mail, emissão fiscal) são avaliados quanto à segurança e assinam cláusulas de confidencialidade e proteção de dados.
• Conscientização: colaboradores recebem orientação sobre esta política na entrada e reciclagem [anual], incluindo prevenção a phishing.
• Sanções: o descumprimento desta política pode levar a medidas disciplinares e contratuais, sem prejuízo das responsabilidades legais.
• Revisão: esta política é revisada ao menos uma vez por ano ou quando houver mudança relevante em sistemas, leis ou integrações.
• Vigência: em vigor a partir de 01/04/2023, aprovada por Karlize L dos Santos.

Dúvidas e comunicações: aramis@unityerp.com.br