--- title: Política de Segurança da Informação e Segurança Cibernética description: "**1. INTRODUÇÃO** A Política de Segurança da Informação e Segurança Cibernética (“Política”) tem como objetivo estabelecer as regras, procedimentos e controles de Segurança da Informação da **Átomo Pay**, conforme as previsões regulatórias. A Segurança da Informação pode ser entendida como…" url: "https://www.atomopay.com.br/documentos/politica-de-seguranca-da-informacao-e-seguranca-cibernetica/" updated: "2026-05-15" category: Políticas --- # Política de Segurança da Informação e Segurança Cibernética **1. INTRODUÇÃO** A Política de Segurança da Informação e Segurança Cibernética (“Política”) tem como objetivo estabelecer as regras, procedimentos e controles de Segurança da Informação da **Átomo Pay**, conforme as previsões regulatórias. A Segurança da Informação pode ser entendida como a capacidade de prevenir, detectar, responder e de se recuperar rapidamente de uma ameaça cibernética, a fim de proteger a confidencialidade, integridade e disponibilidade dos ativos tecnológicos e informações. Dessa forma, o objetivo desta política é descrever o uso aceitável de equipamentos de informática da **Átomo Pay**. Essas regras estão em vigor para proteger nossos parceiros, colaboradores e a própria empresa do uso inapropriado desses ativos, que possam expor a Átomo Pay a riscos, incluindo ataques de vírus, comprometimento de sistemas e serviços de rede, situações reputacionais e violações legais. Por meio desta Política, buscamos manter os Princípios do Privacy by Design, mantendo a funcionalidade total das operações. Isso quer dizer que o documento não tem o objetivo de impor restrições que sejam contrárias à cultura estabelecida na Átomo Pay de abertura, confiança e integridade, e sim ter uma abordagem “risk oriented”, contra ações ilegais ou prejudiciais por parte de indivíduos, conscientes ou não. Ainda, esta Política visa viabilizar a identificação de possíveis violações de segurança da Informação, por meio da definição de ações sistemáticas de detecção, tratamento e prevenção de incidentes, ameaças e vulnerabilidades nos ambientes físicos e digitais, a fim de mitigar os riscos de segurança da informação, garantindo, ainda, a continuidade dos negócios, protegendo os processos críticos de interrupções causadas por falhas ou desastres. Ressalta-se que esta Política é condizente com: - O porte, o perfil de risco e o modelo de negócio da Átomo Pay. - A natureza das suas atividades e a complexidade dos serviços e produtos por ela fornecidos. - A sensibilidade dos dados e das informações sob responsabilidade da Átomo Pay. **2. NORMAS DE REFERÊNCIA** Normas que servem de referência para a elaboração desta Política: - Lei Geral de Proteção de Dados (Lei nº 13.709/2018). - Resolução CD/ANPD nº 2 de janeiro de 2022. - Resolução CMN nº 4.893 de 2021. - Resolução BCB nº 85 de 2021. **3. ÂMBITO DE APLICAÇÃO** A presente Política será aplicável a todos os colaboradores, membros da alta administração, terceiros e quaisquer outras pessoas, sejam físicas ou jurídicas, que tenham ou venham a ter acesso aos dados controlados e ao sistema de informação da Átomo Pay. **3.1. O não cumprimento desta Política** O não cumprimento desta Política acarretará sanções administrativas, podendo levar ao desligamento do colaborador ou à rescisão do contrato vigente, além da reparação de danos, de acordo com a gravidade da ocorrência. **4. DEFINIÇÕES** Visando auxiliar na interpretação e aplicação desta Política, as palavras com iniciais maiúsculas, seja no singular ou no plural, devem ser entendidas da seguinte forma: - **Alta Administração:** membros da diretoria executiva e conselho de administração, quando houver. - **ANPD:** Autoridade Nacional de Proteção de Dados. - **Clientes:** usuários que utilizam os serviços da Átomo Pay. - **Colaboradores:** empregados contratados sob regime CLT, estagiários e jovens aprendizes. - **Controladores:** empresas que contratam os serviços da Átomo Pay. - **Incidente de segurança com dados pessoais:** qualquer evento adverso relacionado à violação de segurança de dados pessoais, conforme definição da ANPD. - **Terceiros:** prestadores de serviço, parceiros comerciais e demais pessoas físicas ou jurídicas que mantenham relação com a Átomo Pay. **5. GOVERNANÇA EM PROTEÇÃO DE DADOS** A governança visa organizar e implementar políticas, estruturas e cultura de proteção de dados na Átomo Pay, definindo os papéis e responsabilidades para tratamento de dados. **5.1. Responsáveis pelo programa de privacidade** A aplicação do programa de privacidade será conduzida por um responsável de privacidade, com apoio de um grupo de trabalho interdisciplinar. **5.2. Grupo de Trabalho** Deverá se reunir trimestralmente ou sempre que necessário, sendo composto por: - Responsável de Privacidade - Jurídico Externo (NDM Advogados) - Líderes de cada time macro (RH, Financeiro, Comercial, Marketing) - Departamento de TI Atividades com risco baixo e médio poderão ser deliberadas diretamente; riscos altos deverão ser escalados à direção. **6. DIRETRIZES GERAIS DE RESPONSABILIDADE E CONFORMIDADE** A Átomo Pay visa proteger os ativos de informação contra ameaças e reduzir riscos operacionais. Seus processos asseguram: - **Confidencialidade** - **Integridade** - **Disponibilidade** - **Autenticidade** - **Não repúdio** A Átomo Pay assegura ainda que: - Dados pessoais serão tratados conforme a LGPD; - Sistemas serão geridos com base em análise de risco; - Controles seguem normas reconhecidas; - Incidentes são considerados nos testes de continuidade; - Dados são classificados por relevância; - Equipe é capacitada para segurança da informação. **6.1. Diretrizes específicas incluem:** - **6.1.1. Novos dispositivos:** exigem aprovação prévia. - **6.1.2. Autenticação:** uso de ID e senha/token. - **6.1.3. Rastreamento:** lista de usuários autorizados. - **6.1.4. Marcação:** dispositivos devem ter rótulos com proprietário e finalidade. - **6.1.5. Classificação e acesso:** acesso conforme a política. - **6.1.6. Laptops:** cuidado especial. - **6.1.7. Antivírus:** obrigatório. - **6.1.8. E-mail:** uso conforme esta política. **6.1.9. Usos proibidos incluem, mas não se limitam a:** - Acesso não autorizado a dados; - Uso de softwares pirateados; - Distribuição de malware; - Compartilhamento de senhas; - Ofertas fraudulentas; - Monitoramento não autorizado; - Varreduras de segurança sem permissão; - Envio de spam ou material ofensivo; - Envio de dados de cartões (PANs) sem criptografia; - Criação de esquemas em pirâmide ou correntes. **6.1.10. Wireless:** A rede sem fio da Átomo Pay é para uso profissional e exige autorização expressa. Visitantes devem solicitar acesso. **7. PROCEDIMENTOS E CONTROLES** **7.1. Política de Classificação de Dados** As informações, dados e documentos operados pela **Átomo Pay** serão classificados de acordo com as categorias abaixo indicadas, considerando a sensibilidade e a relevância do seu conteúdo para a Átomo Pay e para os seus Clientes: - **Nível 01 – Documentos Públicos:** Informações aprovadas pela Alta Administração para uso público (interno e externo), por exemplo: relatórios anuais, indicações para a imprensa etc. - **Nível 02 – Somente Uso Interno:** Informação não aprovada para circulação fora da Átomo Pay como, por exemplo: memorandos internos, minutas ou atas de reuniões, procedimentos, rotinas operacionais e relatórios de projetos internos. - **Nível 03 – Confidencial:** Informações cuja circulação interna é controlada, por questões estratégicas e de gestão, e cuja circulação externa é vedada, pois se tornadas públicas ou compartilhadas causarão impacto e prejuízos aos negócios. Exemplos: planos estratégicos, informações contábeis, planos de negócio, dados de clientes ou acionistas. - **Nível 04 – Informações Sensíveis:** Informações críticas ao desenvolvimento das atividades da Átomo Pay, como dados pessoais sensíveis, dados de crianças/adolescentes, informações protegidas por sigilo bancário ou cuja perda possa comprometer a prestação de serviços ou o cumprimento de obrigações legais. **7.1.1. Política de Restrição de Acessos** Apenas indivíduos com real necessidade de acesso às informações poderão acessá-las, com base nos critérios abaixo: - **Nível 01:** Livre acesso. - **Nível 02:** Funcionários e terceiros com acordo de confidencialidade e necessidade comercial. - **Nível 03:** Indivíduos designados com acesso aprovado e acordo de confidencialidade. - **Nível 04:** Indivíduos designados com acesso restrito, aprovados e com acordo de confidencialidade – preferencialmente gestores. Mudanças de cargo exigem revisão imediata das credenciais e remoção de acessos desnecessários. **7.2. Política de Utilização de Informações Físicas** Medidas para segurança de informações físicas incluem: - Controle de acesso físico a ambientes e documentos. - Trancamento adequado de armários, salas e arquivos. - Destruição segura de documentos sensíveis. - Backup físico de documentos críticos em locais seguros. - Auditorias regulares e prevenção a desastres. - Treinamento contínuo dos funcionários. **7.3. Política de Sistemas Antivírus** Para garantir segurança: - Softwares antivírus devem estar atualizados e ativos diariamente. - Logs devem ser mantidos por no mínimo 1 ano. - Equipamentos infectados devem ser removidos da rede. - Atividades de criação ou disseminação de malware são proibidas. - Todos os dispositivos conectados à rede da Átomo Pay exigem firewall pessoal ativo. **7.4. Política de Auditoria** A Átomo Pay pode auditar dispositivos e acessos utilizados para atividades comerciais, incluindo: - Níveis de acesso a sistemas. - Informações transmitidas ou armazenadas. - Acesso a áreas físicas. - Monitoramento de tráfego de rede. Essas auditorias respeitam a LGPD e são previstas na Comunicação Interna de Privacidade. **7.5. Política de Dispositivos Desktop e Laptop** Para segurança local: - O usuário assume responsabilidade ao receber o equipamento. - É necessário formulário assinado de recebimento e devolução. - Proibida instalação de softwares não autorizados. - Senhas devem ser protegidas e telas bloqueadas após 15 min de inatividade. - Atualizações e antivírus devem ser permitidos e executados. - Arquivos desconhecidos não devem ser abertos. Para **laptops**: - Não devem ser deixados à vista em locais públicos ou em veículos. - Devem ser criptografados e, se perdidos/roubados, o responsável deve ser notificado imediatamente. - Devem ser transportados com segurança (bagagem de mão, malas identificadas). **7.6. Política de Email** Medidas para uso seguro do e-mail institucional: - Cautela no envio para múltiplos destinatários. - Verificar destinatário e conteúdo antes do envio. - Inserir aviso de confidencialidade padrão nos e-mails externos. - Evitar encaminhamento de e-mails internos para fora sem autorização. - ANPD recomenda autenticação em dois fatores e separação de dispositivos pessoais/institucionais. - Permitida exclusão remota de dados em dispositivos móveis da empresa. - Todos os e-mails podem ser monitorados conforme esta política. **7.7. Política de Criptografia** Essas medidas têm o objetivo de impor limites e estabelecer requisitos para o uso da criptografia pela **Átomo Pay**. São as regras: - Algoritmos padrão comprovados, como o AES, devem ser usados como base para tecnologias de criptografia. - Esses algoritmos representam a cifra real usada para um aplicativo aprovado. - Os comprimentos de chave do sistema criptográfico simétrico devem ser de pelo menos 128 bits. - As chaves do sistema de criptografia assimétricas devem ter comprimento que produza força equivalente. - Os requisitos de comprimento de chave da **Átomo Pay** serão revisados anualmente. - O uso de algoritmos proprietários não será permitido sem revisão externa especializada e aprovação interna. **7.8. Prevenção à Incidente de Segurança ocasionado por Colaboradores ou Terceiros** **7.8.1. Concessão de Acesso aos Sistemas e Monitoramento** A diretoria exigirá a assinatura de Termo de Confidencialidade e Sigilo por colaboradores e terceiros, definindo gestores responsáveis pelos acessos. Ações serão rastreadas por logs e os ambientes serão monitorados por câmeras 24/7. Colaboradores com acesso a dados sensíveis serão, preferencialmente, alocados em áreas restritas. Será mantido canal de denúncias anônimo e realizadas auditorias internas periódicas. **7.8.2. Uso de Equipamentos Corporativos e Responsabilidade com os Dados de Acesso** A **Átomo Pay** fornecerá os equipamentos necessários e realizará varreduras e investigações internas. Cada colaborador é responsável por seu login e senha, sendo proibido compartilhamento ou uso indevido. **7.9. Prevenção à Indisponibilidade do Sistema e Ambientes Virtuais** - Redundância de links e servidores - Load balance - SLA com provedor de internet: até 4h **7.9.1. Manutenção e Cópias de Segurança** Backups e restaurações serão realizados tanto de dados internos quanto externos, com medidas para garantir integridade e inviolabilidade. **7.9.2. Informações e Proteção aos Clientes** Os Termos de Uso e a Política de Privacidade estarão disponíveis para consulta dos usuários. **7.10. Segurança das Comunicações** A **Átomo Pay** garantirá a proteção das comunicações com: - TLS/HTTPS ou criptografia fim-a-fim - Firewalls e WAFs - Antispam, antivírus e filtros de e-mail - Remoção de dados sensíveis expostos desnecessariamente **7.11. Contratação de Serviços de Processamento e Armazenamento** Avaliações prévias (due diligence) serão realizadas com base em: - Certificações (PCI DSS, ISO 27001 etc.) - Verificação documental - Auditorias externas - Contratos com cláusulas de segurança, responsabilidade e exclusão de dados ao final do vínculo **7.12. Política de Senha Segura** - Senhas nunca devem ser compartilhadas - Alteração a cada 90 dias - Senhas diferentes por sistema - Proibição de senhas em post-its ou e-mails - Proibição de reutilização de senhas - Senhas fracas serão identificadas e exigido ajuste - Mínimo de 8 caracteres com letras, números e símbolos - Histórico de 4 senhas anteriores bloqueado - Credenciais de produção e teste devem ser distintas **7.13. Políticas de Análises de Riscos** **7.13.1. Processo de Avaliação de Risco** Os componentes da análise de risco incluem: - Atribuição de nível de risco - Probabilidade x impacto - Identificação de segurança atual - Risco inerente - Medidas complementares e plano de gestão **Níveis de risco:** - Risco mínimo - Baixo risco - Risco moderado - Alto risco - Risco máximo **7.14. Política de Desenvolvimento Seguro de Software** Quando houver desenvolvimento próprio ou terceirizado de software, a **Átomo Pay** deve estabelecer e aplicar uma política específica de segurança para desenvolvimento. --- **8. Política de Retenção de Dados** A **Átomo Pay** manterá política específica de retenção conforme legislação, especialmente quanto a dados pessoais. **9. Plano de Respostas a Incidentes** Cenários de incidentes serão elaborados e a resposta deverá ocorrer em até 2 horas após qualquer interceptação ou vazamento, com notificação imediata ao DPO ou equipe de TI. **10. Capacitação de Colaboradores e Terceiros** A equipe manterá comunicação ativa, capacitação e orientações periódicas com foco em: - Proteção de dados - Segurança da informação - Política de consequências Treinamentos abordarão: - Uso de controles de segurança - Prevenção de incidentes comuns - Armazenamento físico seguro - Bloqueio de computadores ao se ausentar - Proibição de compartilhamento de logins e senhas **11. Vigência** Esta Política entra em vigor em **01/07/2025** e será revisada em no máximo **01 (um) ano** ou antes, se necessário.