Política de Segurança da Informação e Incidentes com Dados

A Política de Segurança da Informação e Incidentes com Dados do Receita e Tempero estabelece como o portal protege informações e dados pessoais, previne ocorrências e trata incidentes conforme a legislação brasileira aplicável.

O documento se aplica às operações realizadas no portal, incluindo conteúdos editoriais, formulários, cookies, recursos de comunicação, publicidade, programas de afiliados, conteúdos incorporados e serviços tecnológicos efetivamente utilizados.

Seu objetivo é reduzir riscos de acesso não autorizado, perda, alteração, destruição, divulgação, indisponibilidade, comunicação indevida ou qualquer outra forma de tratamento inadequado ou ilícito de informações sob responsabilidade do projeto.

Finalidade, alcance e princípios de segurança

A segurança da informação deve acompanhar todo o ciclo de tratamento dos dados, desde sua coleta ou acesso até a eliminação, anonimização ou encerramento da finalidade correspondente.

O Receita e Tempero adota medidas técnicas e administrativas razoáveis, proporcionais e compatíveis com a natureza das informações, o contexto operacional e os riscos identificados.

Esta política não representa promessa de segurança absoluta nem de eliminação total de riscos, pois nenhum ambiente digital está integralmente imune a falhas, abusos, incidentes ou eventos externos.

Os princípios que orientam esta política incluem proteção contínua, prevenção, proporcionalidade, minimização de acessos e prestação de contas sobre as decisões relacionadas à segurança das informações tratadas.

• confidencialidade das informações;
• integridade dos dados e registros;
• disponibilidade adequada dos recursos e informações;
• autenticidade das operações e interações relevantes;
• prevenção e redução de riscos previsíveis;
• proporcionalidade das medidas ao nível de risco;
• minimização do acesso e do tratamento;
• responsabilização e prestação de contas.

Medidas técnicas e administrativas de proteção

A proteção das informações pode envolver controles de acesso, limitação de permissões, procedimentos de autenticação, uso responsável de credenciais, manutenção e atualização de sistemas e procedimentos de descarte seguro, quando cabíveis.

Também podem ser adotados registros técnicos necessários à segurança e à apuração de eventos, medidas de recuperação operacional, prevenção de comportamentos anômalos e revisão das medidas de proteção conforme a evolução dos riscos.

As medidas são definidas de acordo com a necessidade, o contexto, a estrutura efetivamente utilizada e a sensibilidade das operações, sem divulgação pública de detalhes internos que possam ampliar vulnerabilidades ou facilitar usos indevidos.

Por razões legítimas de segurança, determinados elementos técnicos e operacionais podem permanecer restritos, sem prejuízo das obrigações de transparência previstas na legislação de proteção de dados.

• controle de acesso compatível com cada atividade;
• limitação de permissões ao necessário para a execução das respectivas funções;
• procedimentos de autenticação e gestão responsável de credenciais;
• manutenção e atualização dos sistemas e recursos utilizados;
• proteção contra acessos e alterações não autorizados;
• cópias de segurança e mecanismos de recuperação, quando aplicáveis;
• registros necessários à segurança e à apuração de eventos;
• gerenciamento responsável de fornecedores e serviços externos;
• revisão das medidas de proteção de acordo com os riscos identificados.

Segurança na relação com fornecedores e serviços de terceiros

O portal poderá utilizar serviços de hospedagem, infraestrutura, comunicação, publicidade, conteúdos incorporados, ferramentas tecnológicas e outros prestadores necessários à sua operação editorial e funcional.

Quando terceiros participarem de operações relacionadas a dados pessoais, deverão observar as finalidades, os limites e as responsabilidades compatíveis com a relação estabelecida com o controlador e com a legislação aplicável.

Aspectos relacionados à segurança, confidencialidade e comunicação de incidentes devem ser considerados na utilização e no gerenciamento desses serviços, de acordo com a realidade operacional do projeto.

Se um operador tomar conhecimento de incidente envolvendo dados pessoais tratados em nome do Receita e Tempero, deverá informar o controlador sem demora injustificada e fornecer os elementos disponíveis necessários à avaliação do evento e à adoção das providências cabíveis.

A participação de fornecedores não afasta as responsabilidades que a legislação atribui ao Receita e Tempero pelos tratamentos de dados pessoais sob seu controle.

O que é um incidente de segurança com dados pessoais

Incidente de segurança com dados pessoais é um evento adverso confirmado relacionado à violação da confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais.

Esses eventos podem decorrer de ações intencionais, falhas operacionais, equívocos humanos, ocorrências acidentais ou circunstâncias externas que afetem o tratamento de dados.

Nem todo incidente de segurança da informação envolve dados pessoais. Da mesma forma, a simples existência de uma vulnerabilidade técnica não configura, isoladamente, incidente de segurança com dados pessoais, embora deva receber tratamento preventivo adequado.

A exploração de uma vulnerabilidade, por outro lado, poderá resultar em incidente caso provoque comprometimento efetivo das propriedades de segurança relacionadas a dados pessoais.

Dependendo das circunstâncias, podem constituir incidentes:

• acesso não autorizado a dados pessoais;
• divulgação ou exposição indevida;
• envio de dados ao destinatário incorreto;
• alteração não autorizada de informações;
• perda ou destruição de dados;
• indisponibilidade relevante de dados pessoais;
• comprometimento de contas ou credenciais;
• perda, roubo ou comprometimento de dispositivos ou registros que contenham dados pessoais.

Fluxo de identificação, contenção e tratamento de incidentes

A prioridade do Receita e Tempero diante de um possível incidente é proteger os titulares, conter seus efeitos, compreender sua extensão, reduzir riscos e adotar medidas destinadas a evitar ou diminuir a possibilidade de recorrência.

Todo possível incidente deverá ser analisado antes de qualquer conclusão definitiva sobre vazamento, exposição indevida, violação da legislação ou necessidade de comunicação externa.

1. identificação ou recebimento de informação sobre possível incidente;
2. análise inicial e confirmação do evento;
3. adoção de medidas de contenção, quando cabíveis;
4. identificação dos sistemas, informações e dados potencialmente afetados;
5. avaliação das categorias e da quantidade de titulares envolvidos;
6. avaliação da natureza, categoria e quantidade de dados pessoais afetados;
7. avaliação das possíveis consequências e dos riscos aos titulares;
8. adoção de medidas para mitigar, reverter ou limitar os efeitos do incidente;
9. avaliação da necessidade jurídica de comunicação à ANPD e aos titulares;
10. registro do incidente e das providências adotadas;
11. análise posterior e implementação de melhorias preventivas quando apropriado.

Avaliação de risco ou dano relevante

Nem todo incidente de segurança envolvendo dados pessoais precisa ser comunicado à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares. A necessidade de comunicação depende da confirmação do incidente e da avaliação dos riscos e possíveis danos decorrentes do evento.

O Receita e Tempero avaliará, entre outros elementos, o contexto da atividade de tratamento, as categorias e a quantidade de titulares afetados, a natureza, a categoria e a quantidade de dados pessoais envolvidos, os possíveis danos materiais, morais ou reputacionais e as medidas de proteção, contenção e mitigação adotadas.

Nos termos da regulamentação aplicável, considera-se capaz de acarretar risco ou dano relevante o incidente que possa afetar significativamente interesses e direitos fundamentais dos titulares e que, cumulativamente, envolva pelo menos uma das categorias previstas pela regulamentação.

Entre essas categorias estão dados pessoais sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação em sistemas, informações protegidas por sigilo legal, judicial ou profissional e dados tratados em larga escala.

Essa enumeração não significa que o Receita e Tempero necessariamente trate todas essas categorias de dados. Ela representa critérios que devem ser considerados na avaliação jurídica e operacional de eventual incidente.

A análise também poderá considerar riscos de fraude, discriminação, roubo de identidade, danos financeiros, exposição indevida, comprometimento de direitos e outras consequências relevantes para os titulares.

Comunicação à ANPD e aos titulares

Quando um incidente confirmado envolvendo dados pessoais puder acarretar risco ou dano relevante aos titulares, o controlador realizará as comunicações obrigatórias à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados, observando os prazos, requisitos e procedimentos estabelecidos pela legislação e pela regulamentação vigentes.

Quando não for possível reunir todas as informações necessárias no momento da comunicação inicial, poderão ser utilizados os procedimentos regulamentares de comunicação preliminar e posterior complementação, mediante justificativa e observância dos requisitos aplicáveis.

A comunicação aos titulares será realizada, sempre que possível, de forma direta e individualizada e utilizará linguagem simples, clara e de fácil compreensão.

Quando exigida, a comunicação apresentará, conforme aplicável:

• a natureza e a categoria dos dados pessoais afetados;
• informações pertinentes sobre as medidas técnicas e de segurança utilizadas para proteção dos dados, preservados os segredos comercial e industrial e a segurança dos sistemas;
• os riscos relacionados ao incidente e seus possíveis impactos aos titulares;
• as medidas adotadas ou planejadas para reverter, reduzir ou mitigar os efeitos do incidente;
• a data em que o controlador tomou conhecimento do incidente;
• o motivo de eventual demora na comunicação, quando aplicável;
• um canal para obtenção de informações e esclarecimentos.

Quando pertinente, a comunicação poderá apresentar orientações práticas para que os titulares adotem medidas destinadas a reduzir os riscos decorrentes do incidente.

Quando não for possível identificar ou contatar individualmente todos os titulares afetados, poderão ser utilizados os meios indiretos de comunicação admitidos pela regulamentação aplicável, mediante justificativa e com divulgação adequada para alcançar o público potencialmente afetado.

As informações divulgadas não deverão expor detalhes técnicos capazes de ampliar vulnerabilidades, facilitar novos ataques ou comprometer a segurança de outros usuários, sistemas ou informações.

Registro e documentação dos incidentes

O Receita e Tempero manterá registro dos incidentes de segurança envolvendo dados pessoais pelo período mínimo de cinco anos, inclusive daqueles que, após avaliação, não tenham exigido comunicação à ANPD ou aos titulares, salvo quando obrigação aplicável determinar período superior.

Esses registros poderão documentar, conforme pertinente:

• a data em que o controlador tomou conhecimento do incidente;
• as circunstâncias relacionadas ao evento;
• a natureza e as categorias dos dados pessoais envolvidos;
• as categorias e a quantidade estimada de titulares potencialmente afetados;
• a avaliação dos riscos e possíveis danos;
• as medidas de contenção, correção e mitigação adotadas;
• a decisão sobre a necessidade ou não de comunicação externa e sua respectiva fundamentação;
• as comunicações realizadas, quando aplicáveis;
• as providências adotadas para reduzir os efeitos e prevenir recorrências.

Os registros possuem finalidade de segurança, conformidade, investigação e prestação de contas e não implicam divulgação pública de informações internas, vulnerabilidades ou detalhes técnicos capazes de comprometer a proteção do portal.

Comunicação de possíveis incidentes pelo público

Leitores, usuários, parceiros ou terceiros que identifiquem possível problema relacionado à segurança, exposição indevida de dados ou comportamento anormal em algum recurso do Receita e Tempero podem comunicar a situação pelos canais institucionais do portal.

Quando disponível, a comunicação pode indicar a página ou o recurso envolvido, uma descrição objetiva do problema, o momento aproximado da ocorrência e outras informações necessárias para permitir a localização e a análise do evento.

Ao relatar um possível incidente, o usuário não deve encaminhar senhas, códigos de autenticação, credenciais, dados bancários ou outras informações sensíveis que não sejam necessárias à investigação do problema.

O recebimento de uma comunicação externa não significa confirmação automática de incidente de segurança, vazamento de dados ou violação da legislação. O evento será analisado antes de qualquer conclusão dessa natureza.

Proteção de crianças e adolescentes

Quando um incidente envolver dados pessoais de crianças ou adolescentes, sua avaliação deverá considerar de maneira especial os riscos, os possíveis impactos e o melhor interesse desse público, observando a legislação brasileira aplicável.

As medidas de contenção, mitigação e comunicação deverão considerar as características e vulnerabilidades específicas dos titulares envolvidos.

O tratamento mais amplo das regras aplicáveis a esse público será apresentado na Política de Proteção de Crianças e Adolescentes no Ambiente Digital do Receita e Tempero.

Controlador e canais institucionais

Para fins da legislação brasileira de proteção de dados, Dione Costa Gonçalves, pessoa física responsável pelo projeto Receita e Tempero, atua como controlador dos dados pessoais tratados no âmbito do portal, por ser responsável pelas decisões relacionadas às finalidades e aos elementos essenciais desse tratamento.

Dione Costa Gonçalves também atua como empresário, editor-chefe e autor responsável pelo projeto, com apresentação institucional disponível em sua página de autor.

Informações institucionais adicionais estão disponíveis na página inicial e na seção Sobre Nós.

Suspeitas de incidentes, questões relacionadas à segurança ou solicitações referentes a dados pessoais podem ser encaminhadas pela página de Contato ou pelo e-mail [email protected].

O telefone (77) 98823-1095 também está disponível como canal institucional de apoio, com atendimento de segunda a sexta-feira, das 9h às 18h.

Relação com outras políticas e atualização deste documento

Esta política deve ser compreendida em conjunto com a Política de Privacidade, que apresenta as regras gerais de tratamento de dados pessoais, e com a Política de Cookies, aplicável às tecnologias utilizadas durante a navegação.

Também se relaciona com a Política de Direitos dos Titulares de Dados, os Termos de Uso e a Política de Proteção de Crianças e Adolescentes no Ambiente Digital, respeitando o escopo próprio de cada documento.

As medidas e procedimentos previstos nesta política também se aplicam, conforme pertinente, às operações relacionadas aos conteúdos de Receitas, Notícias e Glossário e aos demais recursos efetivamente disponibilizados pelo portal.

Esta Política de Segurança da Informação e Incidentes com Dados poderá ser atualizada sempre que houver mudanças relevantes na operação do portal, nas tecnologias utilizadas, nos riscos identificados, nos procedimentos adotados ou nas normas aplicáveis.

O Receita e Tempero mantém esta política como parte de seu compromisso permanente com prevenção, segurança, transparência e tratamento responsável dos dados pessoais relacionados à utilização do portal.