Política de Segurança da Informação e Cibernética

1. Objetivo

Esta Política estabelece os princípios, as diretrizes e as responsabilidades adotados pela Teivo para proteger a confidencialidade, a integridade e a disponibilidade das informações e dos ativos tecnológicos sob sua responsabilidade — próprios, de clientes, de parceiros e das Instituições Autorizadas com as quais opera —, prevenir incidentes cibernéticos e assegurar a continuidade das operações. Esta é a versão pública da Política; normas e procedimentos internos detalhados a complementam.

2. Abrangência

Aplica-se a todas as unidades, áreas, administradores, colaboradores, estagiários, prestadores de serviço, fornecedores e parceiros da Teivo, a todos os ativos de informação — físicos ou lógicos, em qualquer meio — e a todos os ambientes, incluindo escritórios, trabalho remoto, nuvem, aplicativos, software de gestão e terminais de captura instalados nos clientes.

3. Quem somos e nosso papel

A DLC CONSULTORIA E GESTÃO EMPRESARIAL LTDA., inscrita no CNPJ sob o nº 44.070.573/0001-67, com sede na Rua Comendador Abílio Soares, 537, Sorocaba/SP, CEP 18046-690 (“Teivo”), é uma empresa de tecnologia e gestão de pagamentos voltada a empresas com operação em volume. A Teivo desenvolve e opera a plataforma Teivo (painel, checkout, links de pagamento e a conta de cada venda) e disponibiliza aos seus clientes, em nome próprio, soluções de aceitação de pagamentos e de conta de pagamento.

Toda a relação com o cliente é da Teivo. A Teivo é a única parte com quem o cliente negocia, contrata, é precificado, atendido e, quando for o caso, encerra o relacionamento. A Teivo é o canal exclusivo de relacionamento e a ponte entre o cliente e as instituições que executam os serviços regulados.

Para viabilizar as soluções que oferece, a Teivo contrata, em nome próprio, Instituições Autorizadas pelo Banco Central do Brasil (“BCB”) a executar as atividades que a lei reserva a instituições financeiras e de pagamento (“IA”):

• Aceitação de pagamentos (Pix, boleto e cartão): o cliente contrata a aceitação de pagamentos com a Teivo, que negocia, precifica e formaliza o contrato e responde por todo o relacionamento. O credenciamento do estabelecimento no âmbito dos arranjos de pagamento, o processamento e a liquidação das transações são executados pela instituição de pagamento contratada pela Teivo, atualmente a PAGAR.ME INSTITUIÇÃO DE PAGAMENTO S.A. (CNPJ 18.727.053/0001-74), autorizada pelo BCB, com base nas informações cadastrais e contratuais fornecidas pelo cliente à Teivo e registradas na instituição em nome do cliente, com o seu CNPJ. A Teivo não integra o fluxo de liquidação: os valores das transações são liquidados pela IA diretamente ao cliente, nas condições comerciais definidas no contrato com a Teivo.
• Conta de pagamento e serviços bancários (BaaS): a Teivo é tomadora de serviços de Banking as a Service da AZIMUT BRASIL DISTRIBUIDORA DE TÍTULOS E VALORES MOBILIÁRIOS LTDA. (CNPJ 18.684.408/0001-95), instituição autorizada pelo BCB a emitir moeda eletrônica e participante direta do Pix, por meio da infraestrutura tecnológica da AZIFY LTDA. (CNPJ 52.491.106/0001-39). A conta de pagamento, o Pix, as transferências e os boletos são executados pela IA no ambiente regulado; a Teivo coleta do cliente, no seu próprio contrato, todas as informações e documentos de que a IA necessita para cumprir a regulamentação aplicável, e os transmite à IA. O cliente não mantém interface com a IA: toda solicitação, dúvida ou reclamação é dirigida à Teivo.

A Teivo não é instituição financeira nem instituição de pagamento autorizada e não executa, em nome próprio, as atividades privativas dessas instituições, que permanecem sob a responsabilidade regulatória da IA que as executa. A Teivo reserva-se o direito de substituir, a qualquer tempo, a Instituição Autorizada que executa qualquer dos serviços, mediante comunicação ao cliente e sem alteração das condições comerciais contratadas com a Teivo; quando a substituição exigir, por força da regulamentação, atualização cadastral ou novo aceite do cliente, a Teivo conduzirá o processo e lhe prestará todo o suporte.

Por integrar-se às Instituições Autorizadas, a Teivo alinha seus controles às exigências que a regulamentação do BCB impõe a elas e aos seus prestadores relevantes — em especial a Resolução CMN nº 4.893/2021 e a Resolução BCB nº 85/2021 — e às regras dos arranjos de pagamento, inclusive o padrão PCI DSS para os ambientes que processam ou transmitem dados de cartão.

4. Princípios

• Confidencialidade: a informação é acessível apenas a quem tem necessidade e autorização;
• Integridade: a informação é exata, completa e protegida contra alteração indevida;
• Disponibilidade: a informação e os sistemas estão acessíveis quando necessários;
• Autenticidade e não repúdio: ações são atribuíveis a quem as praticou;
• Privacidade desde a concepção: proteção de dados pessoais é requisito de todo projeto;
• Privilégio mínimo e necessidade de conhecer: acessos são concedidos no menor nível necessário;
• Defesa em profundidade: múltiplas camadas de controle, assumindo que qualquer uma pode falhar.

5. Classificação da informação

Toda informação da Teivo é classificada por seu proprietário em: Pública (livre divulgação), Interna (uso dentro da Teivo), Confidencial (acesso restrito a áreas ou pessoas definidas; inclui dados pessoais e informações de clientes e parceiros) e Restrita (acesso nominal; inclui dados de transações, credenciais, chaves criptográficas, código-fonte e informações sujeitas a sigilo legal). Cada nível determina os controles de armazenamento, transmissão, compartilhamento e descarte.

6. Diretrizes

6.1 Governança

A Diretoria Executiva aprova esta Política e designa o responsável pela Segurança da Informação, que responde pela sua implementação, pelo programa de gestão de riscos cibernéticos, pelo relacionamento com as Instituições Autorizadas nesse tema e pelo reporte periódico à Diretoria. A Política é revisada anualmente ou quando houver mudança relevante.

6.2 Gestão de riscos

A Teivo identifica, avalia, trata e monitora os riscos de segurança da informação e cibernéticos de forma contínua, com base em inventário de ativos, análise de ameaças e vulnerabilidades e avaliação de impacto, priorizando os ativos críticos ao negócio e à proteção de dados.

6.3 Pessoas

Todos os colaboradores e terceiros assinam termo de responsabilidade e confidencialidade antes de acessar informações da Teivo, recebem treinamento de segurança na admissão e anualmente, e participam de campanhas de conscientização (phishing, engenharia social, senhas, uso de dispositivos). O desligamento ou a mudança de função implica revisão e revogação imediata de acessos.

6.4 Controle de acesso e identidade

• Identificação individual e única para cada usuário; contas compartilhadas são proibidas;
• Autenticação multifator obrigatória para acesso remoto, a sistemas críticos, a ambientes de nuvem e a contas administrativas;
• Senhas com requisitos mínimos de complexidade, troca periódica e bloqueio por tentativas;
• Concessão de acessos por perfis aprovados pelo gestor da informação, com revisão periódica (no mínimo semestral) e segregação de funções;
• Registro (log) de acessos e operações, com guarda que permita identificar autor, data, hora e ação.

6.5 Segurança de redes e infraestrutura

Segregação entre ambientes de produção, homologação e desenvolvimento; firewalls, proteção contra malware, detecção de intrusão e filtragem de conteúdo; redes sem fio corporativas segregadas das de visitantes; VPN com autenticação forte para acesso remoto; hardening de servidores e dispositivos; e atualização de segurança (patches) com prazos definidos pela criticidade.

6.6 Criptografia

Dados classificados como Confidenciais ou Restritos são criptografados em trânsito (TLS 1.2 ou superior) e em repouso, com gestão segura de chaves. Credenciais são armazenadas apenas com hash forte. Dados de cartão nunca são armazenados em texto claro nos ambientes da Teivo.

6.7 Desenvolvimento seguro

O ciclo de desenvolvimento do software Teivo incorpora requisitos de segurança desde a concepção, revisão de código, testes de segurança (SAST/DAST), gestão de dependências, controle de versões, segregação de funções entre desenvolvimento e produção, e gerenciamento formal de mudanças com homologação e plano de retorno.

6.8 Gestão de vulnerabilidades

Varreduras periódicas de vulnerabilidades, testes de intrusão ao menos anuais e após mudanças relevantes, classificação por severidade e correção em prazos definidos (críticas em até 7 dias, altas em até 30 dias), com acompanhamento até a conclusão.

6.9 Terminais de captura e equipamentos

Os terminais POS fornecidos pela Teivo utilizam apenas aplicações homologadas pelas Instituições Autorizadas e pelos arranjos de pagamento, com atualização remota, controle de inventário e lacres, vinculação ao estabelecimento, bloqueio remoto em caso de perda, furto ou uso suspeito, e descarte seguro ao fim da vida útil.

6.10 Nuvem e terceiros

A contratação de serviços de nuvem e de fornecedores que tratem informações da Teivo é precedida de avaliação de segurança e de conformidade (certificações, localização dos dados, continuidade, portabilidade), formalizada com cláusulas de segurança, confidencialidade, proteção de dados, auditoria e notificação de incidentes, e acompanhada de monitoramento contínuo. Quando exigido, a contratação é comunicada às Instituições Autorizadas.

6.11 Cópias de segurança e continuidade

Informações e sistemas críticos possuem cópias de segurança periódicas, armazenadas em local distinto e protegidas por criptografia, com testes regulares de restauração. A Teivo mantém Plano de Continuidade de Negócios e Plano de Recuperação de Desastres, revisados e testados anualmente, com objetivos de tempo e de ponto de recuperação definidos para os processos críticos.

6.12 Segurança física

Áreas com equipamentos e informações sensíveis têm acesso controlado e registrado. Estações de trabalho são bloqueadas quando desassistidas, com política de mesa e tela limpas. Mídias e documentos são descartados de forma segura (destruição física ou apagamento certificado).

6.13 Uso aceitável

Os recursos de tecnologia da Teivo destinam-se ao trabalho. É proibido instalar software não autorizado ou pirata, desativar controles de segurança, compartilhar credenciais, usar e-mail ou armazenamento pessoal para informações da Teivo, e acessar conteúdo ilícito. A Teivo pode monitorar o uso de seus recursos, respeitadas a legislação e a privacidade dos colaboradores.

6.14 Proteção de dados pessoais

O tratamento de dados pessoais observa a Política de Privacidade da Teivo e a LGPD, com registro das operações de tratamento, avaliação de impacto quando cabível e medidas de segurança proporcionais.

7. Gestão de incidentes

Todo colaborador ou terceiro deve reportar imediatamente eventos e fragilidades de segurança — acessos indevidos, perda de equipamentos ou credenciais, malware, vazamentos, indisponibilidades, suspeita de fraude — pelo e-mail contato@teivo.com.br ou ao seu gestor. A Teivo mantém Plano de Resposta a Incidentes com classificação, contenção, erradicação, recuperação, registro de lições aprendidas e preservação de evidências. Incidentes relevantes são comunicados às Instituições Autorizadas afetadas nos prazos contratuais, à ANPD e aos titulares quando houver risco ou dano relevante a dados pessoais, e às autoridades competentes quando cabível.

8. Conformidade e auditoria

A aderência a esta Política é verificada por avaliações internas periódicas, por auditorias das Instituições Autorizadas e dos arranjos de pagamento e, quando aplicável, por avaliações independentes. O responsável pela Segurança da Informação elabora relatório anual sobre a efetividade dos controles, submetido à Diretoria Executiva.

9. Sanções

O descumprimento desta Política sujeita o infrator às medidas disciplinares previstas no Código de Ética e Conduta e às responsabilidades civil e penal cabíveis. Exceções devem ser formalmente solicitadas, justificadas, aprovadas pelo responsável pela Segurança da Informação e revisadas periodicamente.

10. Referências

• ABNT NBR ISO/IEC 27001:2022 e 27002:2022 – Sistemas de gestão e controles de segurança da informação
• Payment Card Industry Data Security Standard (PCI DSS) v4.0
• Resolução CMN nº 4.893/2021 e Resolução BCB nº 85/2021 – Política de segurança cibernética e contratação de serviços de nuvem (aplicáveis às Instituições Autorizadas e a seus prestadores relevantes)
• Lei nº 13.709/2018 – LGPD e Resolução CD/ANPD nº 15/2024 – Comunicação de incidentes de segurança
• Lei nº 12.965/2014 – Marco Civil da Internet e Decreto nº 8.771/2016
• Lei nº 12.737/2012 e Lei nº 14.155/2021 – Crimes informáticos e fraude eletrônica
• NIST Cybersecurity Framework 2.0