Fale conosco

Politica de Segurança da Informação

1. OBJETIVO

Esta Política de Segurança da Informação (PSI) tem por objetivo estabelecer diretrizes, controles, responsabilidades e procedimentos que assegurem a proteção dos ativos de informação da TEAMSOFT e de sua plataforma TEAMTALENT, preservando os princípios de Confidencialidade, Integridade e Disponibilidade (CID) das informações.

A PSI alinha-se aos objetivos estratégicos da empresa, buscando:

Proteger dados de clientes, colaboradores e parceiros contra acessos não autorizados, vazamentos e uso indevido.
Garantir a conformidade com a Lei Geral de Proteção de Dados (LGPD – Lei 13.709/2018) e demais legislações aplicáveis.
Reduzir riscos operacionais e reputacionais decorrentes de incidentes de segurança.
Fomentar uma cultura de segurança da informação em todos os níveis da organização.
Manter a confiança de clientes e parceiros no tratamento responsável das informações.
Servir de base para a certificação e alinhamento com a norma ISO/IEC 27001.

2. ESCOPO

Esta política é de cumprimento obrigatório e se aplica a todos os contextos em que informações da TEAMSOFT são criadas, processadas, transmitidas, armazenadas ou descartadas. Abrange:

Pessoas: Todos os colaboradores (CLT e PJ), estagiários, aprendizes, prestadores de serviços, fornecedores, consultores e parceiros que acessem, processem ou tenham contato com informações ou sistemas da TEAMSOFT, independentemente do vínculo contratual.
Sistemas e Plataformas: Todos os sistemas de informação, incluindo a plataforma TEAMTALENT (SaaS), sistemas internos de gestão, ferramentas de comunicação, ambientes de desenvolvimento, homologação e produção.
Infraestrutura: Servidores, redes, dispositivos móveis, estações de trabalho, equipamentos de rede, ambientes em nuvem (cloud) e quaisquer outros recursos tecnológicos sob responsabilidade ou contratados pela TEAMSOFT.
Dados: Todos os dados e informações produzidos ou recebidos no exercício das atividades da TEAMSOFT, inclusive dados pessoais de clientes, colaboradores e terceiros.
Localidades: Escritórios físicos, ambientes de trabalho remoto (home office) e qualquer outra localidade onde atividades da TEAMSOFT sejam realizadas.

3. PRINCÍPIOS DE SEGURANÇA

A gestão de segurança da informação na TEAMSOFT é fundamentada na tríade CID e em princípios complementares que orientam todas as decisões e ações de segurança:

Confidencialidade: Garantia de que as informações são acessadas somente por pessoas, processos ou sistemas devidamente autorizados. Controles de acesso, classificação de dados e criptografia são mecanismos centrais deste princípio.
Integridade: Garantia da exatidão, completude e consistência das informações ao longo de todo o seu ciclo de vida, prevenindo alterações não autorizadas, acidentais ou maliciosas.
Disponibilidade: Garantia de que as informações e os sistemas estejam acessíveis e operacionais sempre que necessário para usuários e processos autorizados, conforme os níveis de serviço acordados.
Autenticidade: Garantia de que a identidade de usuários, sistemas e informações é genuína e verificável, prevenindo falsificações ou representações indevidas.
Não Repúdio: Garantia de que uma parte não pode negar a autoria de uma ação ou transação realizada, por meio de registros de auditoria e trilhas de rastreabilidade.
Privacidade: Respeito aos direitos dos titulares de dados pessoais, conforme determinado pela LGPD, assegurando que dados pessoais sejam tratados de forma mínima, adequada e com finalidade legítima.

4. BASE NORMATIVA E REFERÊNCIAS

A gestão de segurança da informação da TEAMSOFT é estruturada com base nas seguintes normas, frameworks e legislações:

ISO/IEC 27001:2022: Norma internacional para Sistemas de Gestão de Segurança da Informação (SGSI), que define os requisitos para estabelecer, implementar, manter e melhorar continuamente a segurança da informação.
ISO/IEC 27002:2022: Código de prática com controles de segurança da informação, fornecendo diretrizes detalhadas para implementação dos controles referenciados na ISO/IEC 27001.
LGPD – Lei 13.709/2018: Lei Geral de Proteção de Dados Pessoais, que regula o tratamento de dados pessoais no Brasil, estabelecendo direitos dos titulares e obrigações dos controladores e operadores de dados.
CIS Controls v8: Framework de controles de segurança cibernética do Center for Internet Security, utilizado como referência complementar para priorização e implementação de controles técnicos.
NIST Cybersecurity Framework: Framework do National Institute of Standards and Technology, adotado como referência complementar para a estruturação das funções de Identificar, Proteger, Detectar, Responder e Recuperar.
OWASP (Open Web Application Security Project): Referência para boas práticas de segurança no desenvolvimento de software, especialmente aplicável à plataforma TEAMTALENT.

5. CLASSIFICAÇÃO DA INFORMAÇÃO

Toda informação tratada pela TEAMSOFT deve ser classificada de acordo com sua sensibilidade e criticidade, a fim de orientar os controles de proteção adequados. A classificação segue quatro níveis:

Nível Descrição Exemplos Público Informações que podem ser divulgadas sem restrições. Site institucional, comunicados de imprensa, documentação pública do produto. Interno Informações para uso exclusivo de colaboradores e prestadores autorizados. Manuais internos, processos operacionais, comunicados internos. Confidencial Informações sensíveis com acesso restrito a grupos específicos. Dados de clientes, contratos, estratégias comerciais, código-fonte. Estritamente Confidencial Informações de máxima sensibilidade, com acesso altamente restrito. Dados pessoais sensíveis (LGPD), credenciais de sistemas críticos, planos estratégicos.

O proprietário de cada ativo de informação é responsável por definir e manter atualizada a classificação das informações sob sua gestão, revisando-a sempre que ocorrerem mudanças nos processos ou no contexto de negócios.

6. CONTROLE DE ACESSO

O acesso a sistemas, dados e infraestrutura da TEAMSOFT é controlado com base nos princípios de menor privilégio e necessidade de conhecimento (need-to-know), garantindo que cada usuário acesse apenas os recursos estritamente necessários para o exercício de suas funções.

6.1 Gestão de Identidades e Acessos

Todo acesso a sistemas e dados deve ser formalmente solicitado, aprovado pelo gestor responsável e registrado no sistema de controle de acessos.
A concessão de acesso deve ser baseada no perfil de função (Role-Based Access Control – RBAC), evitando acúmulo desnecessário de privilégios.
Acessos privilegiados (administradores, root, superusuários) são concedidos de forma excepcional, monitorados continuamente e revisados a cada 90 dias.
Contas de serviço e contas técnicas devem ter senhas fortes, rotacionadas periodicamente, e nunca devem ser compartilhadas entre usuários.
O acesso de terceiros (fornecedores, prestadores) deve ser limitado ao prazo e escopo do contrato, revogado imediatamente ao seu término.

6.2 Autenticação

Autenticação Multifator (MFA/2FA) é obrigatória para acesso a sistemas críticos, ambientes cloud, VPN, ferramentas de desenvolvimento e qualquer sistema que processe dados confidenciais ou estritamente confidenciais.
Senhas devem ter no mínimo 12 caracteres, combinando letras maiúsculas e minúsculas, números e caracteres especiais, sendo trocadas a cada 90 dias.
É vedado o reuso das últimas 10 senhas utilizadas.
Senhas padrão de sistemas e equipamentos devem ser alteradas imediatamente na implantação.
O compartilhamento de credenciais de acesso é estritamente proibido.
Sessões inativas devem ser encerradas automaticamente após período de inatividade configurado conforme a sensibilidade do sistema (máximo 15 minutos para sistemas críticos).

6.3 Revisão e Revogação de Acessos

Revisão periódica de todos os acessos concedidos, realizada pelo menos semestralmente.
Acessos de colaboradores desligados ou transferidos de função devem ser revogados ou ajustados no prazo máximo de 24 horas após a comunicação formal do RH.
Qualquer acesso suspeito ou não autorizado deve ser reportado imediatamente à área de TI.

7. GESTÃO DE ATIVOS DE INFORMAÇÃO

Todo ativo de informação da TEAMSOFT deve ser identificado, inventariado, classificado e protegido de forma proporcional à sua importância e sensibilidade.

Manter um inventário atualizado de todos os ativos de informação, incluindo hardware, software, dados, serviços em nuvem e propriedade intelectual.
Cada ativo deve ter um proprietário formalmente designado, responsável por sua proteção, classificação e pela aprovação de acessos.
Ativos de informação devem ser utilizados exclusivamente para finalidades de negócio da TEAMSOFT, sendo vedado o uso pessoal ou não autorizado.
Dispositivos corporativos (notebooks, smartphones, tablets) devem ter criptografia de disco habilitada, software de gestão de dispositivos (MDM) instalado e controles de acesso configurados.
Equipamentos de propriedade pessoal utilizados para atividades da TEAMSOFT (BYOD) devem cumprir os requisitos mínimos de segurança definidos pela TI e estar sujeitos às mesmas políticas aplicáveis a dispositivos corporativos.
O descarte de ativos de informação deve seguir procedimento seguro que impeça a recuperação de dados, incluindo destruição segura de mídias físicas e sanitização de dispositivos eletrônicos.

8. SEGURANÇA DE INFRAESTRUTURA

A infraestrutura tecnológica da TEAMSOFT é projetada e mantida com camadas de segurança que visam prevenir, detectar e responder a ameaças de forma eficiente.

8.1 Ambiente Cloud

A TEAMSOFT utiliza provedores de nuvem com reconhecida aderência a padrões internacionais de segurança (ex: AWS com certificações ISO 27001, SOC 2, PCI DSS).
Configurações de segurança dos serviços cloud são gerenciadas por meio de Infrastructure as Code (IaC), garantindo rastreabilidade e consistência.
Ambientes de produção, homologação e desenvolvimento são segregados em contas/regiões distintas, com controles de acesso independentes.
O princípio de zero-trust é aplicado à arquitetura de rede, com segmentação por VPCs, grupos de segurança (security groups) e listas de controle de acesso (NACLs).

8.2 Monitoramento e Detecção

Monitoramento contínuo (24x7) de eventos de segurança em sistemas críticos, com uso de ferramentas de SIEM (Security Information and Event Management).
Todos os logs de acesso, autenticação e atividades administrativas devem ser registrados, protegidos contra alteração e retidos por no mínimo 12 meses.
Análise periódica de vulnerabilidades (vulnerability scanning) e testes de penetração (pentests) anuais ou após mudanças significativas na infraestrutura.
Alertas automatizados para eventos críticos, como tentativas de acesso não autorizado, mudanças em configurações sensíveis e anomalias de tráfego.

8.3 Backup e Continuidade

Backups automáticos diários de todos os dados críticos, com retenção mínima de 30 dias e cópias armazenadas em região geográfica distinta (cross-region backup).
Testes de restauração de backup realizados trimestralmente para verificar a integridade e a capacidade de recuperação dos dados.
Plano de Continuidade de Negócios (PCN) e Plano de Recuperação de Desastres (PRD) documentados, testados anualmente e com RTO (Recovery Time Objective) e RPO (Recovery Point Objective) definidos para cada sistema crítico.

9. PROTEÇÃO DE DADOS PESSOAIS – LGPD

A TEAMSOFT trata dados pessoais em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD – Lei 13.709/2018), assegurando os direitos dos titulares e adotando medidas técnicas e organizacionais adequadas para a proteção desses dados.

O tratamento de dados pessoais ocorre somente quando amparado por uma das bases legais previstas na LGPD (ex: consentimento, obrigação legal, legítimo interesse, execução de contrato).
Os dados pessoais são coletados de forma mínima (princípio da minimização), utilizados exclusivamente para as finalidades para as quais foram coletados e retidos apenas pelo prazo necessário.
Um Encarregado de Proteção de Dados (DPO – Data Protection Officer) é formalmente designado, responsável por orientar o tratamento de dados pessoais, atender solicitações dos titulares e interagir com a ANPD.
Contratos com operadores de dados (fornecedores que tratam dados em nome da TEAMSOFT) incluem cláusulas específicas de proteção de dados, alinhadas às exigências da LGPD.
Dados pessoais sensíveis (saúde, biometria, orientação sexual, etc.) recebem tratamento diferenciado, com controles de acesso mais restritivos e criptografia obrigatória.
Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, a ANPD e os titulares afetados serão comunicados nos prazos estabelecidos pela LGPD.
Mecanismo disponível para titulares exercerem seus direitos (acesso, correção, exclusão, portabilidade, etc.) com prazo de resposta definido.
Transferências internacionais de dados pessoais só são realizadas em conformidade com os mecanismos previstos na LGPD (adequação, garantias contratuais, cláusulas-padrão).

10. DESENVOLVIMENTO SEGURO

O ciclo de desenvolvimento de software da TEAMSOFT incorpora práticas de segurança em todas as suas fases (DevSecOps), garantindo que a plataforma TEAMTALENT e demais sistemas sejam desenvolvidos e mantidos com elevado padrão de segurança.

Adoção de práticas de Secure Software Development Lifecycle (SSDLC), integrando segurança desde a fase de requisitos até a operação e manutenção.
Análise de segurança de código (SAST – Static Application Security Testing) integrada ao pipeline de CI/CD, bloqueando a publicação de código com vulnerabilidades críticas.
Testes de segurança dinâmicos (DAST – Dynamic Application Security Testing) realizados nos ambientes de homologação antes de cada release relevante.
Adoção das recomendações do OWASP Top 10 como referência mínima para prevenção de vulnerabilidades em aplicações web e APIs.
Gestão de dependências com verificação automática de vulnerabilidades conhecidas (CVEs) em bibliotecas de terceiros (Software Composition Analysis – SCA).
Revisão de código (code review) com foco em segurança para funcionalidades críticas, realizada por pelo menos um desenvolvedor senior.
Ambientes de desenvolvimento isolados do ambiente de produção; dados de produção não devem ser utilizados em ambientes de desenvolvimento ou teste sem anonimização.
Segredos, chaves de API e credenciais nunca devem ser armazenados no código-fonte; devem ser gerenciados por ferramentas dedicadas de gerenciamento de segredos (ex: AWS Secrets Manager, HashiCorp Vault).
Controle de versão (Git) obrigatório para todo o código-fonte, com políticas de branch protection e revisão antes de merge em branches principais.

11. GESTÃO DE RISCOS DE SEGURANÇA DA INFORMAÇÃO

A TEAMSOFT adota um processo formal e contínuo de gestão de riscos de segurança da informação, alinhado à ISO/IEC 27005 e integrado à gestão de riscos corporativos.

Identificação e avaliação de riscos de segurança da informação realizadas pelo menos anualmente ou diante de mudanças significativas no ambiente de negócios ou tecnológico.
Cada risco identificado é avaliado quanto à sua probabilidade de ocorrência e ao impacto potencial, resultando em uma classificação (crítico, alto, médio, baixo) que orienta a priorização dos tratamentos.
Para cada risco relevante, é definido um plano de tratamento com responsável designado, prazo e ações concretas de mitigação, transferência, aceitação ou eliminação do risco.
Riscos residuais acima do nível de apetite definido pela diretoria requerem aprovação formal para aceitação.
Os resultados da avaliação de riscos são documentados e apresentados periodicamente à liderança, subsidiando decisões estratégicas de investimento em segurança.

12. GESTÃO DE INCIDENTES DE SEGURANÇA

A TEAMSOFT mantém um processo estruturado para a gestão de incidentes de segurança da informação, que visa minimizar o impacto de eventos adversos e promover a aprendizagem contínua.

12.1 Classificação de Incidentes

Nível Criticidade Exemplos P1 – Crítico Impacto severo e imediato Ransomware, vazamento massivo de dados, indisponibilidade de produção. P2 – Alto Impacto significativo com risco de escalonamento Acesso não autorizado a dados confidenciais, comprometimento de conta privilegiada. P3 – Médio Impacto moderado, contido Tentativas de phishing, malware isolado, violação de política detectada. P4 – Baixo Impacto mínimo, sem risco imediato Uso indevido de recurso, dúvida sobre procedimento de segurança.

12.2 Procedimentos de Resposta

Todo colaborador que identifique ou suspeite de um incidente de segurança deve reportá-lo imediatamente ao canal oficial de comunicação de incidentes (e-mail ou sistema específico definido pela TI), sem tentar resolvê-lo por conta própria.
O time de resposta a incidentes (IRT) segue o fluxo: Detecção → Contenção → Erradicação → Recuperação → Análise pós-incidente.
Incidentes P1 e P2 requerem notificação imediata à liderança executiva e acionamento do plano de comunicação de crise.
Em casos de vazamento de dados pessoais com risco relevante, a ANPD e os titulares afetados são comunicados conforme prazos da LGPD (prazo máximo de 72 horas para notificação inicial à ANPD em incidentes de alta gravidade).
Após cada incidente relevante, é realizada uma análise de causa-raiz (RCA) e elaborado um relatório com lições aprendidas e ações preventivas.
Todos os incidentes são registrados em sistema de gestão, com evidências preservadas para fins de investigação e análise forense quando necessário.

13. SEGURANÇA EM RECURSOS HUMANOS

A TEAMSOFT reconhece que as pessoas são um dos pilares mais importantes – e ao mesmo tempo um dos principais vetores de risco – da segurança da informação. Por isso, adota controles específicos em cada fase do ciclo de vida do colaborador.

Pré-admissão: Verificação de antecedentes e referências profissionais de candidatos para cargos com acesso a informações sensíveis, respeitando os limites estabelecidos pela LGPD.
Admissão: Assinatura de Termo de Confidencialidade e Responsabilidade pelo Uso de Recursos de TI como condição para concessão de acesso a sistemas. Apresentação formal desta PSI e das demais políticas de segurança vigentes.
Durante o vínculo: Treinamentos periódicos obrigatórios de segurança da informação e conscientização sobre ameaças (phishing, engenharia social, etc.). Comunicação regular de boas práticas e atualizações de política.
Desligamento: Revogação imediata de todos os acessos, devolução de equipamentos e mídias corporativos, reforço das obrigações de confidencialidade que persistem após o término do vínculo, conforme contrato.

14. CONSCIENTIZAÇÃO E TREINAMENTO EM SEGURANÇA

A construção de uma cultura de segurança da informação exige investimento contínuo em capacitação e conscientização de todos os envolvidos com as informações e sistemas da TEAMSOFT.

Treinamento de segurança da informação obrigatório para todos os colaboradores na admissão (onboarding) e anualmente, com trilhas específicas por perfil de função (desenvolvimento, operações, comercial, gestão).
Simulações periódicas de ataques de phishing para medir a maturidade dos colaboradores e orientar ações corretivas personalizadas.
Comunicados regulares (newsletter, intranet) com alertas sobre ameaças recentes, boas práticas e atualizações de políticas.
Treinamentos específicos sobre LGPD e proteção de dados para equipes que tratam dados pessoais, incluindo atendimento a titulares.
Incentivo a certificações de segurança (CISSP, CISM, CompTIA Security+, etc.) para profissionais de TI com responsabilidades em segurança.
Métricas de efetividade dos programas de conscientização monitoradas e reportadas anualmente à liderança.

15. GESTÃO DE FORNECEDORES E TERCEIROS

Fornecedores, parceiros e prestadores de serviços que tenham acesso a informações, sistemas ou infraestrutura da TEAMSOFT estão sujeitos a requisitos de segurança equivalentes aos aplicados internamente.

Avaliação de segurança (due diligence) de fornecedores antes da contratação, considerando sua maturidade em segurança da informação e conformidade com a LGPD.
Contratos com fornecedores incluem cláusulas específicas de segurança da informação e proteção de dados, com obrigações de confidencialidade, notificação de incidentes e direito de auditoria.
Acessos concedidos a terceiros são restritos ao mínimo necessário, temporários e monitorados de forma diferenciada.
Fornecedores de serviços críticos (ex: cloud, pagamentos, autenticação) devem apresentar evidências de conformidade com padrões reconhecidos (ISO 27001, SOC 2, PCI DSS).
A cadeia de subcontratação de fornecedores deve ser transparente, com notificação prévia à TEAMSOFT em caso de envolvimento de subprocessadores no tratamento de dados.
Revisão anual da base de fornecedores com acesso a dados ou sistemas, verificando a continuidade dos requisitos de segurança.

16. AUDITORIA E MELHORIA CONTÍNUA

A TEAMSOFT adota um ciclo contínuo de monitoramento, avaliação e aprimoramento dos controles de segurança da informação, em conformidade com o ciclo PDCA (Plan-Do-Check-Act) preconizado pela ISO/IEC 27001.

Auditorias internas de segurança realizadas pelo menos anualmente, avaliando a aderência às políticas, aos controles implementados e à conformidade normativa.
Indicadores-chave de segurança (KPIs/KRIs) definidos, monitorados mensalmente e reportados à diretoria trimestralmente (ex: número de incidentes, cobertura de MFA, tempo médio de remediação de vulnerabilidades, taxa de conclusão de treinamentos).
Programa de gestão de vulnerabilidades com varreduras regulares (mínimo mensal) e priorização de remediação baseada em risco (CVSS score).
Esta política deve ser revisada anualmente ou sempre que ocorrerem mudanças significativas no ambiente de negócios, no contexto regulatório ou após incidentes relevantes.
Revisões da política são documentadas com registro das alterações realizadas, fundamentação e histórico de versões.
Os resultados de auditorias, avaliações de risco e revisões de política são utilizados para a definição do roadmap de segurança da informação para o ano seguinte.

17. RESPONSABILIDADES

A segurança da informação é uma responsabilidade compartilhada entre todos os níveis da organização.

Diretoria Executiva: Aprovar esta política e suas revisões. Prover os recursos necessários para a implementação e manutenção dos controles de segurança. Demonstrar comprometimento e liderança com a cultura de segurança. Definir o apetite ao risco da organização.
Área de Tecnologia da Informação (TI): Implementar e manter os controles técnicos de segurança definidos nesta política. Gerenciar identidades, acessos e infraestrutura. Conduzir o monitoramento e a resposta a incidentes técnicos. Manter sistemas atualizados e livres de vulnerabilidades conhecidas.
Gestores e Líderes de Área: Garantir que sua equipe conheça e cumpra esta política. Aprovar e revisar os acessos concedidos aos membros de sua equipe. Reportar imediatamente eventuais desvios ou suspeitas de incidentes.
Todos os Colaboradores e Prestadores: Conhecer, compreender e cumprir esta política e as normas associadas. Proteger as informações e credenciais sob sua responsabilidade. Reportar imediatamente qualquer suspeita de incidente de segurança. Participar dos treinamentos obrigatórios de segurança.

18. CONSEQUÊNCIAS DO DESCUMPRIMENTO

O descumprimento desta política ou das normas e procedimentos dela decorrentes sujeita o infrator às medidas disciplinares cabíveis, proporcionais à gravidade da infração, que poderão incluir:

Advertência formal.
Suspensão temporária do acesso a sistemas e recursos de TI.
Desligamento por justa causa, nos termos da legislação trabalhista vigente.
Responsabilização civil e/ou criminal, nos casos em que a infração configurar ilícito civil ou penal, incluindo infrações à LGPD.
Acionamento de garantias contratuais e medidas legais cabíveis em caso de prestadores de serviços e fornecedores.

As medidas disciplinares são aplicadas pelo RH em conjunto com a liderança da área e, quando aplicável, com assessoria jurídica, garantindo o contraditório e a ampla defesa.

19. VIGÊNCIA E REVISÃO

Esta política entra em vigor na data de sua aprovação pela Diretoria Executiva e permanece válida até que seja expressamente revogada ou substituída por versão atualizada.

A política deve ser revisada anualmente ou nas seguintes situações:

Mudanças significativas no modelo de negócios ou na estrutura organizacional da TEAMSOFT.
Alterações relevantes na legislação aplicável (LGPD, Marco Civil da Internet, etc.).
Publicação de novas versões das normas de referência (ISO/IEC 27001, 27002, etc.).
Ocorrência de incidentes de segurança relevantes que evidenciem lacunas nos controles.
Recomendações de auditorias internas ou externas.

O histórico de versões e as alterações realizadas em cada revisão são documentados e mantidos pela área de Segurança da Informação.

20. FORO

Para dirimir quaisquer dúvidas ou controvérsias oriundas desta política, fica eleito o foro da Comarca do Rio de Janeiro – RJ, com renúncia expressa a qualquer outro, por mais privilegiado que seja.

Documento aprovado pela Diretoria Executiva da TEAMSOFT em 29 de março de 2026.