Sistema Interno de Cadastro de Clientes e Programa de Pontos

Auto Posto Irmãos Alves LTDA.
CNPJ: 04.659.542/0001-21
BR 153, km 466 — União da Vitória/PR

Última atualização: 09/09/2026

1. Objetivo

Esta Política de Segurança da Informação estabelece as regras e boas práticas destinadas a proteger as informações utilizadas pelo Sistema Interno de Cadastro de Clientes e Programa de Pontos do Auto Posto Irmãos Alves.

O objetivo é garantir:

• Confidencialidade: impedir o acesso de pessoas não autorizadas;
• Integridade: evitar alterações indevidas ou não autorizadas;
• Disponibilidade: manter o sistema disponível para utilização autorizada;
• Rastreabilidade: permitir a identificação de operações relevantes realizadas no sistema;
• Privacidade: proteger os dados pessoais tratados pelo sistema;
• Controle de acesso: permitir que cada usuário tenha somente os acessos necessários para suas atividades.

2. Abrangência

Esta política se aplica a:

• funcionários autorizados a utilizar o sistema;
• administradores do sistema;
• responsável técnico pelo desenvolvimento e manutenção;
• equipamentos utilizados para acessar o sistema;
• banco de dados;
• arquivos e informações armazenadas;
• mecanismos de autenticação;
• APIs e serviços utilizados pelo sistema;
• ambiente de hospedagem;
• backups e cópias de segurança.

O sistema possui acesso restrito a usuários autorizados, não sendo destinado ao acesso direto pelos clientes do programa de pontos.

3. Informações protegidas

O sistema pode tratar informações relacionadas aos clientes, incluindo:

• nome;
• CPF;
• saldo de pontos;
• movimentações de pontos;
• histórico de operações;
• informações necessárias para administração do programa de pontos.

Essas informações devem ser tratadas exclusivamente para finalidades relacionadas às atividades autorizadas do estabelecimento.

4. Princípio do menor privilégio

Cada usuário deverá possuir somente os acessos necessários para desempenhar suas funções.

O acesso administrativo ou técnico não deverá ser utilizado para atividades rotineiras que possam ser realizadas por uma conta de usuário comum.

Sempre que possível, deverão existir diferentes níveis de acesso, evitando que usuários comuns tenham acesso a funções administrativas, configurações técnicas ou banco de dados.

5. Controle de acesso

O acesso ao sistema deverá ocorrer mediante autenticação individual.

É proibido:

• utilizar a conta de outro funcionário;
• compartilhar senha;
• permitir que outra pessoa utilize uma sessão autenticada;
• fornecer credenciais a terceiros;
• deixar o sistema aberto em computador sem supervisão;
• tentar acessar funções que não estejam autorizadas ao usuário.

As credenciais de acesso são pessoais e devem ser mantidas em sigilo.

6. Política de senhas

As senhas utilizadas para acesso ao sistema deverão:

• ser individuais;
• permanecer em sigilo;
• não ser compartilhadas;
• evitar informações fáceis de adivinhar;
• ser alteradas quando houver suspeita de comprometimento;
• ser armazenadas de forma segura pelo sistema.

As senhas não deverão ser armazenadas em arquivos de texto, planilhas, mensagens ou outros locais sem proteção adequada.

Quando houver implementação ou manutenção do mecanismo de autenticação, deverão ser utilizados métodos seguros de armazenamento de senhas, como mecanismos de hash apropriados.

7. Acesso administrativo privilegiado

O acesso administrativo possui nível de privilégio superior ao acesso dos usuários comuns.

O responsável técnico pelo desenvolvimento e administração do sistema poderá possuir acesso privilegiado para atividades como:

• manutenção do sistema;
• correção de problemas;
• atualização de arquivos;
• manutenção da aplicação;
• administração do banco de dados;
• realização ou gerenciamento de backups;
• análise de problemas de segurança;
• recuperação do sistema;
• suporte técnico autorizado.

Esse acesso deverá ser utilizado exclusivamente para finalidades técnicas, administrativas ou de segurança relacionadas ao sistema.

O acesso administrativo não deverá ser utilizado para consulta, alteração ou utilização indevida de dados de clientes.

Sempre que tecnicamente possível, deverão ser utilizadas contas administrativas separadas das contas destinadas às atividades rotineiras.

8. Proteção do banco de dados

O banco de dados deve receber proteção adequada contra:

• acesso não autorizado;
• alteração indevida;
• exclusão acidental;
• exposição de informações;
• cópias não autorizadas;
• ataques contra a aplicação.

As operações realizadas pela aplicação deverão ser validadas no servidor.

Informações fornecidas pelo usuário nunca deverão ser consideradas confiáveis apenas porque foram enviadas pelo navegador.

Quando houver acesso ao banco de dados por código da aplicação, deverão ser utilizadas práticas seguras, incluindo consultas parametrizadas ou mecanismos equivalentes de proteção contra injeção de comandos.

9. Segurança da aplicação

A aplicação deverá ser mantida de forma a reduzir riscos de segurança.

Entre as medidas esperadas estão:

• autenticação adequada;
• validação de sessão no servidor;
• controle de autorização;
• validação dos dados recebidos;
• proteção contra manipulação de requisições;
• tratamento seguro de erros;
• proteção das informações exibidas;
• atualização dos componentes utilizados;
• utilização de HTTPS;
• proteção das APIs e endpoints internos.

Importante: ocultar uma página, utilizar noindex ou esconder elementos da interface não substitui mecanismos reais de autenticação e autorização no servidor.

As funções que alteram clientes, pontos ou outras informações importantes devem verificar a autorização do usuário no lado do servidor.

10. Proteção das sessões

As sessões autenticadas devem ser protegidas contra utilização indevida.

Recomenda-se:

• encerramento da sessão ao utilizar a função "Sair";
• expiração adequada de sessões;
• proteção dos cookies de sessão;
• renovação do identificador da sessão após autenticação;
• validação da sessão em operações protegidas;
• encerramento automático da sessão quando aplicável.

O usuário deve sair do sistema ao finalizar suas atividades, especialmente quando o computador for compartilhado.

11. Equipamentos utilizados para acesso

Os computadores utilizados para acessar o sistema deverão permanecer em condições adequadas de segurança.

Recomenda-se:

• utilizar sistema operacional atualizado;
• manter navegador atualizado;
• utilizar solução de proteção contra malware;
• não instalar programas desconhecidos;
• evitar extensões de navegador suspeitas;
• bloquear o computador quando o usuário se afastar;
• não salvar senhas em computadores de uso compartilhado sem proteção adequada.

Funcionários não devem permitir que pessoas não autorizadas utilizem o computador enquanto estiverem autenticados no sistema.

12. Cópias, exportações e impressão de dados

Dados de clientes não deverão ser copiados, fotografados, exportados, impressos ou enviados para terceiros sem autorização.

É proibido utilizar dados obtidos no sistema para:

• finalidade pessoal;
• divulgação pública;
• comércio ou venda de informações;
• envio não autorizado;
• cadastro em serviços externos;
• compartilhamento em redes sociais;
• qualquer finalidade incompatível com as atividades autorizadas.

Cópias de segurança deverão ser tratadas como informações protegidas.

13. Hospedagem

O sistema utiliza infraestrutura de hospedagem da UMBLER INTERNET LTDA., responsável pelo serviço de hospedagem contratado.

O ambiente de hospedagem deverá ser administrado de acordo com as configurações e recursos de segurança disponibilizados pelo provedor.

Credenciais de acesso ao ambiente de hospedagem deverão ser mantidas em sigilo e utilizadas somente por pessoas autorizadas.

14. Backups

Deverão ser mantidas cópias de segurança das informações essenciais do sistema, de acordo com a disponibilidade técnica e operacional do ambiente.

Os backups devem:

• possuir acesso restrito;
• ser protegidos contra alterações não autorizadas;
• ser armazenados de forma segura;
• permitir recuperação das informações quando necessário;
• ser testados periodicamente, sempre que possível.

A existência de backup não elimina a necessidade de proteger o sistema contra acessos indevidos.

15. Manutenção e atualizações

Alterações no sistema deverão ser realizadas de maneira controlada.

Sempre que possível:

1. realizar backup antes de alterações importantes;
2. testar modificações;
3. verificar o funcionamento após a atualização;
4. manter cópia de segurança das versões anteriores;
5. registrar alterações relevantes.

Arquivos de configuração, credenciais e informações sensíveis não devem ser publicados em repositórios públicos.

16. Monitoramento e registros

Sempre que tecnicamente disponível, o sistema deverá manter registros suficientes para auxiliar na identificação de:

• acessos;
• alterações de cadastro;
• movimentações de pontos;
• operações administrativas;
• tentativas de acesso indevido;
• erros relevantes;
• eventos relacionados à segurança.

Os registros devem ser protegidos contra alteração ou exclusão não autorizada.

17. Segurança das movimentações de pontos

As operações de inclusão, utilização, correção ou alteração de pontos devem ser realizadas somente por usuários autorizados.

Sempre que possível, operações relevantes devem permitir identificar:

• usuário responsável;
• data e horário;
• operação realizada;
• cliente envolvido;
• quantidade de pontos movimentada.

Alterações manuais ou correções deverão ocorrer somente quando justificadas e autorizadas.

18. Incidentes de segurança

Um incidente de segurança pode incluir:

• perda ou roubo de senha;
• acesso por pessoa não autorizada;
• suspeita de invasão;
• alteração indevida de dados;
• exclusão indevida de informações;
• exposição de dados;
• comportamento anormal do sistema;
• perda de equipamento contendo informações protegidas.

Ao identificar ou suspeitar de um incidente, o usuário deverá comunicar imediatamente o responsável pelo sistema ou pela administração da empresa.

O usuário não deverá tentar ocultar, apagar ou modificar evidências relacionadas ao incidente.

19. Procedimento básico para incidentes

Quando identificado um possível incidente, deverão ser avaliadas, conforme o caso:

1. identificação do problema;
2. contenção do acesso ou recurso comprometido;
3. alteração ou bloqueio de credenciais comprometidas;
4. preservação de registros relevantes;
5. análise da causa;
6. correção da vulnerabilidade;
7. recuperação dos dados ou serviços;
8. verificação do funcionamento;
9. registro do incidente;
10. adoção de medidas preventivas para evitar recorrência.

Quando houver possibilidade de impacto relevante sobre dados pessoais, deverão ser avaliadas as providências aplicáveis de acordo com a legislação e os procedimentos internos da empresa.

20. Desligamento ou mudança de função

Quando um funcionário deixar de utilizar o sistema ou mudar de função, seus acessos deverão ser avaliados e, quando necessário:

• desativados;
• removidos;
• alterados;
• substituídos por novos níveis de permissão.

Credenciais não utilizadas não deverão permanecer ativas sem necessidade.

21. Condutas proibidas

É proibido utilizar o sistema para:

• acessar dados sem autorização;
• tentar descobrir ou obter senhas;
• compartilhar credenciais;
• modificar dados sem autorização;
• manipular deliberadamente o saldo de pontos;
• extrair informações para finalidade pessoal;
• tentar explorar vulnerabilidades;
• alterar arquivos do sistema sem autorização;
• instalar código ou software malicioso;
• disponibilizar informações internas publicamente;
• permitir acesso de terceiros;
• utilizar informações de clientes para finalidades não autorizadas.

22. Responsabilidades dos usuários

Os usuários autorizados são responsáveis por:

• manter suas credenciais em sigilo;
• utilizar somente seu próprio acesso;
• proteger os dados visualizados;
• utilizar o sistema somente para atividades profissionais autorizadas;
• comunicar problemas e incidentes;
• sair do sistema ao finalizar suas atividades;
• não compartilhar informações obtidas no sistema;
• respeitar esta Política de Segurança.

23. Responsabilidades da administração

A administração do estabelecimento é responsável por definir:

• quem pode utilizar o sistema;
• quais funções cada usuário poderá executar;
• quais colaboradores devem ter acesso;
• quando um acesso deve ser alterado ou removido;
• regras internas relacionadas ao programa de pontos;
• medidas administrativas aplicáveis em caso de uso indevido.

24. Responsabilidades técnicas

O responsável técnico pelo sistema deverá atuar, dentro de suas atribuições, na:

• manutenção da aplicação;
• correção de falhas;
• manutenção da infraestrutura técnica;
• administração autorizada do banco de dados;
• realização ou gerenciamento de backups;
• implementação de melhorias de segurança;
• análise de problemas técnicos;
• suporte autorizado;
• manutenção dos mecanismos de autenticação e controle de acesso.

O acesso técnico privilegiado deverá ser limitado ao necessário para execução dessas atividades.

25. Privacidade e proteção de dados

A segurança das informações deve ser aplicada em conjunto com as regras de privacidade e proteção de dados pessoais.

O tratamento de dados deverá observar os princípios e obrigações aplicáveis à legislação brasileira de proteção de dados.

Esta Política de Segurança complementa, mas não substitui, a Política de Privacidade e os Termos de Uso do sistema.

26. Continuidade e recuperação

Em caso de falha técnica, indisponibilidade ou perda de informações, deverão ser adotadas medidas para recuperar o funcionamento do sistema e, quando possível, restaurar informações a partir de backups confiáveis.

A recuperação deverá priorizar:

1. segurança;
2. integridade dos dados;
3. disponibilidade do sistema;
4. continuidade das operações.

27. Revisão desta política

Esta Política de Segurança deverá ser revisada sempre que ocorrerem mudanças relevantes no sistema, na infraestrutura, nos procedimentos internos ou nos requisitos de segurança.

Recomenda-se também uma revisão periódica para verificar se as regras continuam adequadas à realidade do sistema.

28. Aceitação e cumprimento

O acesso ao sistema representa ciência de que o usuário deve cumprir as regras estabelecidas nesta Política de Segurança, nos Termos de Uso e na Política de Privacidade aplicáveis ao sistema.

O descumprimento das regras poderá resultar em:

• orientação;
• restrição de acesso;
• suspensão ou revogação da conta;
• medidas administrativas;
• outras providências cabíveis conforme a situação.

29. Informações do sistema

30. Contato para questões de segurança

Problemas relacionados a:

• acesso;
• senha;
• segurança;
• funcionamento;
• suspeita de acesso indevido;
• alteração indevida de dados;
• perda de informações;

deverão ser comunicados ao responsável administrativo ou técnico pelo sistema.

Contato: caixa.irmaosalves@gmail.com