Política de Segurança da Informação
1. Escopo e objetivo
Esta política descreve as medidas de segurança da informação adotadas pela Aruvia para proteger os dados dos clientes e a integridade dos produtos da plataforma. Aplica-se a todos os sistemas, colaboradores e prestadores de serviço que processam dados em nome da Aruvia.
2. Controle de acesso
- Autenticação multifator (MFA) obrigatória para todos os acessos administrativos;
- Princípio do menor privilégio: cada colaborador acessa apenas o necessário para suas funções;
- Revisão trimestral de acessos e permissões;
- Revogação imediata de acessos em caso de desligamento ou mudança de função;
- Senhas armazenadas com hashing seguro (bcrypt, Argon2 ou equivalente).
3. Criptografia
- Todas as comunicações são protegidas por TLS 1.2 ou superior;
- Dados sensíveis em repouso são criptografados com AES-256;
- Certificados TLS gerenciados com renovação automática;
- Chaves criptográficas gerenciadas por serviços dedicados (KMS).
4. Infraestrutura e hospedagem
Toda a infraestrutura da Aruvia está hospedada em data centers localizados no Brasil, em provedores de cloud que atendem aos requisitos de conformidade da LGPD e do mercado financeiro.
- Ambientes de produção e desenvolvimento segregados;
- Firewall de aplicação web (WAF) ativo;
- DDoS protection na borda da rede;
- Patching de sistema operacional e dependências em ciclos definidos.
5. Backup e recuperação
- Backups automáticos diários com retenção mínima de 30 dias;
- Backups armazenados em localização geográfica distinta da produção;
- Testes de restauração realizados trimestralmente;
- RTO (Recovery Time Objective) e RPO (Recovery Point Objective) definidos por produto no contrato de nível de serviço.
6. Monitoramento e auditoria
- Monitoramento contínuo de logs de acesso, erros e anomalias;
- Alertas automáticos para tentativas de acesso não autorizado;
- Logs de auditoria imutáveis para todas as operações críticas;
- Retenção de logs por mínimo de 12 meses.
7. Gestão de incidentes de segurança
Em caso de incidente de segurança que possa afetar dados dos clientes:
- Contenção imediata e avaliação do impacto;
- Notificação aos clientes afetados em até 72 horas após a confirmação;
- Notificação à ANPD nos prazos legais quando aplicável;
- Análise de causa-raiz e implementação de medidas corretivas;
- Relatório pós-incidente disponível para clientes sob solicitação.
Para reportar vulnerabilidades ou incidentes: seguranca@aruvia.com.br
8. Desenvolvimento seguro
- Revisão de código (code review) obrigatória antes de deploy em produção;
- Análise estática de segurança (SAST) integrada ao pipeline de CI/CD;
- Teste de dependências vulneráveis com alertas automáticos;
- Treinamento de segurança para todos os desenvolvedores;
- Testes de penetração (pentest) periódicos por equipe independente.
9. Responsabilidade do cliente
A segurança é uma responsabilidade compartilhada. Esperamos que os clientes:
- Mantenham suas credenciais em sigilo e não as compartilhem;
- Ativem autenticação multifator quando disponível;
- Reportem imediatamente qualquer suspeita de comprometimento de conta;
- Mantenham os dispositivos de acesso atualizados e protegidos.
10. Contato de segurança
Para reportar vulnerabilidades, incidentes ou dúvidas sobre segurança: seguranca@aruvia.com.br
Praticamos divulgação responsável: vulnerabilidades reportadas de boa-fé serão investigadas sem ação legal contra o pesquisador.