Política de Segurança da Informação
Nesta página
- 1. Objetivo e escopo
- 2. Responsabilidades
- 3. Controle de acesso
- 4. Proteção da plataforma e dos dados
- 5. Registros e monitoramento
- 6. Desenvolvimento e gestão de vulnerabilidades
- 7. Backup e continuidade
- 8. Resposta a incidentes
- 9. Uso de inteligência artificial pela equipe
- 10. Confidencialidade e treinamento
- 11. Retenção e descarte seguro
- 12. Fornecedores
- 13. Revisão desta Política
1. Objetivo e escopo
Esta Política reúne as regras e os controles que a Make Talk Tecnologia da Informação Ltda. adota para proteger a confidencialidade, a integridade e a disponibilidade das informações que trata, em especial os dados pessoais de hóspedes, leads e contatos tratados em nome dos clientes.
Ela se aplica à plataforma (maketalk.app e subdomínios), ao site (maketalk.ai), aos sistemas internos e a todas as pessoas que acessam esses ambientes: sócios, colaboradores e prestadores de serviço. Esta é a versão pública. Detalhes de infraestrutura, como endereços e configurações, não são divulgados, por segurança.
Esta Política complementa a Política de Privacidade e os Termos de Uso.
2. Responsabilidades
Encarregado pelo tratamento de dados pessoais e responsável pela segurança da informação: Alex Sandro de Oliveira — alex@maketalk.ai.
Colaboradores e prestadores: cumprir esta Política, proteger suas credenciais e comunicar imediatamente qualquer suspeita de incidente.
Clientes: administrar os usuários da própria conta, conceder perfis adequados a cada função e remover acessos de quem deixar a equipe.
3. Controle de acesso
Acesso individual: todo acesso à plataforma e aos sistemas internos é feito com login individual e intransferível. Contas compartilhadas não são permitidas.
Menor privilégio: cada pessoa recebe apenas o acesso necessário à sua função. Na plataforma, os perfis de administrador e agente definem o que cada usuário vê e faz, e operações sensíveis, como conectar ou reautorizar canais de WhatsApp e Facebook, exigem perfil de administrador.
Autenticação: a plataforma exige senha com no mínimo 6 caracteres, contendo letra maiúscula, letra minúscula, número e caractere especial, e oferece autenticação em dois fatores (2FA) a todos os usuários. Na equipe da Make Talk, a autenticação em dois fatores é obrigatória nas contas administrativas de infraestrutura, código-fonte e e-mail corporativo.
Proteção contra força bruta: login, verificação de 2FA e redefinição de senha têm limite de tentativas. O link de redefinição de senha expira em 6 horas, e o convite pendente, em 7 dias.
Acesso administrativo aos servidores: restrito a pessoas autorizadas e a origens previamente liberadas.
Revogação: no desligamento de colaborador ou no fim do contrato de prestador, os acessos são revogados em até 1 dia útil, e as credenciais que ele conhecia são substituídas quando aplicável.
Revisão: os acessos aos sistemas internos são revisados ao menos uma vez por semestre.
4. Proteção da plataforma e dos dados
Borda: todo o tráfego passa por provedor de segurança de borda, com firewall de aplicação (WAF), mitigação de ataques de negação de serviço, limite de requisições, bloqueio geográfico e bloqueio das áreas administrativas para origens não autorizadas. O painel de atendimento só aceita conexões que passam por essa camada.
Servidores: firewall próprio em cada servidor, com exposição restrita aos serviços necessários.
Criptografia em trânsito: toda comunicação usa HTTPS/TLS, inclusive entre a borda e os servidores.
Criptografia de credenciais: tokens de integração, senhas de e-mail de canais, segredos de webhooks e segredos de 2FA são criptografados em nível de campo no banco de dados.
Isolamento entre clientes: os dados de cada cliente ficam em conta própria, separada logicamente das demais.
Registros técnicos sem dados pessoais: os logs mascaram automaticamente conteúdo de mensagens, e-mail, telefone, CPF/CNPJ, senhas e tokens, inclusive nas tarefas executadas em segundo plano.
Integrações autenticadas: as mensagens de WhatsApp chegam pela API oficial da Meta, e cada notificação tem a assinatura criptográfica validada antes de ser processada.
Segredos: credenciais ficam fora do código-fonte, e produção, homologação e testes usam credenciais distintas.
5. Registros e monitoramento
Cada requisição à plataforma registra o usuário autenticado e o endereço de origem, para apuração de acessos.
Logins e alterações administrativas são registrados em trilha de auditoria.
O uso das chaves de provedores de IA é monitorado continuamente, com revogação automática diante de padrão anômalo.
Erros da aplicação e a disponibilidade dos servidores são monitorados, com alertas à equipe responsável.
6. Desenvolvimento e gestão de vulnerabilidades
Toda mudança passa por ambiente de homologação antes de chegar à produção, e as publicações em produção dependem de aprovação do responsável.
O código passa por análise estática de segurança.
Os boletins de segurança dos componentes de base da plataforma são acompanhados, e as correções relevantes são aplicadas com prioridade proporcional ao risco.
7. Backup e continuidade
Frequência e retenção: os servidores da plataforma têm backup automatizado diário, com retenção das 7 cópias mais recentes. Os serviços gerenciados de nuvem utilizados têm redundância nativa do provedor.
Acesso: as cópias de backup têm acesso restrito e não são usadas para outra finalidade além da recuperação do serviço.
Testes de restauração: a restauração é testada ao menos uma vez por ano, em ambiente separado da produção, e o resultado é registrado.
Continuidade: a plataforma mantém ambiente de homologação independente e procedimentos documentados de reversão de versões. Backups técnicos não substituem a exportação de dados pelo cliente, conforme os Termos de Uso.
8. Resposta a incidentes
Incidente de segurança é qualquer evento, confirmado ou suspeito, que comprometa a confidencialidade, a integridade ou a disponibilidade de dados pessoais ou dos sistemas. O procedimento é:
Comunicação interna imediata ao responsável pela segurança, por qualquer pessoa que identificar a suspeita.
Contenção: interromper o acesso indevido, revogar credenciais afetadas e preservar evidências.
Avaliação: identificar os dados, os titulares e os clientes afetados, e o risco envolvido.
Comunicação ao cliente: quando a Make Talk atuar como Operadora, o cliente afetado é comunicado em até 48 horas após a confirmação do incidente, com as informações disponíveis, que são complementadas durante a apuração. Quando atuar como Controladora, a Make Talk avalia e faz as comunicações à ANPD e aos titulares no prazo da Resolução CD/ANPD nº 15/2024.
Registro: todo incidente é registrado, inclusive os que não exigem comunicação à ANPD, com data, natureza, dados afetados, avaliação de risco e medidas adotadas. O registro é mantido por, no mínimo, 5 anos.
Correção e prevenção: as causas são corrigidas, e as medidas preventivas são incorporadas aos controles desta Política.
Para comunicar uma suspeita de incidente: alex@maketalk.ai ou suporte@maketalk.ai.
9. Uso de inteligência artificial pela equipe
Colaboradores e prestadores podem usar ferramentas de IA para apoiar seu trabalho, desde que sejam ferramentas aprovadas, contratadas em modalidade corporativa ou de API, cujos termos não prevejam o uso dos dados enviados para treinamento de modelos.
É proibido inserir em ferramentas de IA não aprovadas dados pessoais de hóspedes, leads ou contatos de clientes, credenciais ou informações confidenciais.
Em análises técnicas apoiadas por IA, usam-se estruturas, agregados e cópias com dados sensíveis removidos, e não registros individuais de titulares.
Credenciais e segredos nunca são incluídos em instruções a ferramentas de IA.
O resultado gerado por IA é revisado por uma pessoa antes de ser usado em decisões, comunicações a clientes ou mudanças em produção.
O uso de IA dentro da plataforma, no atendimento aos clientes, segue a seção 12 da Política de Privacidade.
10. Confidencialidade e treinamento
Colaboradores e prestadores com acesso a dados pessoais assinam termo de confidencialidade antes de receber acesso, com obrigações que permanecem após o fim do vínculo.
Na integração, cada pessoa recebe orientação sobre esta Política, a LGPD e as boas práticas de segurança, antes de receber acesso a dados pessoais.
A equipe recebe treinamento de reciclagem em privacidade e segurança da informação ao menos uma vez por ano, com registro de participação.
11. Retenção e descarte seguro
Os prazos de retenção estão na seção 9 da Política de Privacidade.
Dados digitais: a exclusão de contatos, conversas e contas na plataforma é definitiva nas bases ativas, sem lixeira de recuperação. As cópias de backup que ainda contenham os dados expiram no ciclo de retenção de 7 dias.
Equipamentos e mídias: antes de descarte ou reaproveitamento, os dados são apagados de forma irrecuperável.
Documentos físicos: a Make Talk não mantém arquivo físico de dados pessoais de clientes. Documentos físicos eventualmente produzidos são fragmentados antes do descarte.
12. Fornecedores
Fornecedores que tratam dados pessoais em nome da Make Talk são escolhidos considerando suas garantias de segurança e de proteção de dados. A lista de fornecedores, finalidades e países está na seção 6 da Política de Privacidade.
13. Revisão desta Política
Esta Política é revisada ao menos uma vez por ano, ou antes, quando houver mudança relevante na plataforma, nos fornecedores ou na legislação. Versões anteriores ficam disponíveis na página de Termos de Uso e políticas.