1. INTRODUÇÃO
A AndCare reconhece a importância da Segurança da Informação e da Proteção de Dados para a integridade de seus negócios e para a confiança dos clientes, parceiros e demais partes interessadas.
O objetivo deste documento é estabelecer diretrizes claras e abrangentes para a proteção das informações tratadas por terceiros em nome da AndCare, garantindo conformidade com a legislação vigente e promovendo as melhores práticas de segurança digital.
Esta política se aplica a todas as entidades terceiras que tenham acesso, processam ou armazenam dados e informações da AndCare, incluindo fornecedores, prestadores de serviço, consultores e parceiros comerciais.
2. OBJETIVO
Esta política tem como principais objetivos:
Garantir a confidencialidade, integridade e disponibilidade dos dados e sistemas da AndCare.
Definir diretrizes rigorosas para o tratamento e armazenamento de informações sensíveis e dados pessoais.
Prevenir acessos não autorizados, vazamentos e usos indevidos de informações empresariais e dados pessoais.
Assegurar conformidade com a Lei Geral de Proteção de Dados (LGPD), GDPR e outras regulamentações aplicáveis.
Promover a conscientização sobre boas práticas de segurança entre terceiros que operam para a AndCare.
3. PRINCÍPIOS FUNDAMENTAIS
Todos os terceiros que atuam com a AndCare devem aderir aos seguintes princípios de segurança da informação e proteção de dados:
Confidencialidade: Assegurar que os dados e informações sejam acessados apenas por pessoas devidamente autorizadas.
Integridade: Garantir que os dados e sistemas permaneçam protegidos contra modificações não autorizadas ou indevidas.
Disponibilidade: Manter as informações e sistemas acessíveis apenas a usuários autorizados e quando necessário para fins legítimos.
Conformidade: Agir sempre de acordo com a legislação aplicável, regulamentos e normas de segurança da informação.
Minimização de Dados: Coletar e armazenar apenas os dados estritamente necessários para as finalidades previstas.
Accountability (Prestação de Contas): Garantir que todas as partes envolvidas sejam responsáveis por suas ações e tenham mecanismos para demonstrar conformidade.
4. REQUISITOS DE SEGURANÇA PARA TERCEIROS
Os terceiros que acessam, processam ou armazenam dados e informações da AndCare devem seguir os seguintes requisitos:
4.1. Controles de Acesso
O acesso às informações da AndCare deve ser concedido apenas a usuários autorizados, com base no princípio do menor privilégio.
Todos os acessos devem ser autenticados por meio de mecanismos seguros, incluindo múltiplo fator de autenticação (MFA) sempre que possível.
Contas de acesso privilegiadas devem ser monitoradas e auditadas regularmente.
Qualquer alteração no nível de acesso deve ser comunicada e validada previamente pela AndCare.
4.2. Proteção de Dados Pessoais
Qualquer tratamento de dados pessoais deve seguir rigorosamente os princípios da LGPD.
A anonimização ou pseudonimização dos dados deve ser aplicada sempre que possível.
Dados pessoais não devem ser compartilhados com terceiros não autorizados ou armazenados fora dos sistemas aprovados pela AndCare.
4.3. Gerenciamento de Incidentes de Segurança
Qualquer suspeita ou confirmação de incidente de segurança deve ser reportada imediatamente para a equipe de Segurança da Informação da AndCare.
Medidas de contenção devem ser adotadas sem demora para mitigar impactos.
O terceiro deve cooperar integralmente com a AndCare para investigação e remediação do incidente.
4.4. Uso Seguro de Dispositivos e Infraestrutura
Dispositivos utilizados para acessar informações da AndCare devem estar protegidos contra malware, incluindo uso obrigatório de antivírus e firewalls ativos.
Conexões remotas devem ser realizadas exclusivamente por meio de VPNs seguras aprovadas pela AndCare.
É proibido conectar dispositivos não autorizados a redes ou sistemas da AndCare.
4.5. Gestão de Riscos e Auditoria
Os terceiros devem conduzir auditorias periódicas para garantir conformidade com esta política.
A AndCare pode realizar auditorias nos sistemas e processos dos terceiros para assegurar aderência às diretrizes de segurança.
4.6. Segurança Física e Controle de Acesso
Qualquer acesso físico a instalações da AndCare por terceiros deve ser previamente autorizado e monitorado.
Equipamentos e documentos físicos devem ser armazenados de maneira segura para evitar acessos não autorizados.
Impressões de documentos confidenciais devem ser evitadas sempre que possível.
4.7. Descarte Seguro de Informações
Qualquer dado ou documento da AndCare deve ser descartado de maneira segura, conforme diretrizes de eliminação de dados.
Dispositivos de armazenamento contendo informações sensíveis devem ser destruídos ou sobrescritos antes do descarte.
4.8. Treinamento e Conscientização
- Terceiros devem assegurar que seus funcionários passem por treinamentos regulares sobre segurança da informação e proteção de dados.
- A falta de conhecimento ou descumprimento das políticas de segurança não será considerado justificativa para eventuais falhas ou violações.
5. RESPONSABILIDADES DOS TERCEIROS
Os terceiros que atuam para a AndCare são responsáveis por:
Garantir a segurança das informações e dados acessados, processados ou armazenados.
Cumprir rigorosamente as diretrizes desta política.
Notificar a AndCare sobre quaisquer incidentes, vulnerabilidades ou riscos identificados.
Implementar medidas de proteção contra acessos não autorizados e vazamentos de dados.
6. CONSEQUÊNCIAS PARA O DESCUMPRIMENTO
O descumprimento das diretrizes estabelecidas nesta política pode resultar em:
Advertências formais e exigência de adequação imediata.
Rescisão contratual em casos graves de descumprimento.
Responsabilização legal conforme previsto na LGPD e demais normativas.
Aplicação de penalidades por danos causados à AndCare e seus clientes.
7. REVISÃO E ATUALIZAÇÃO
Esta política será revisada periodicamente para assegurar alinhamento com melhores práticas e legislações aplicáveis. Qualquer atualização será comunicada aos terceiros envolvidos.
8. CONTATO
Para dúvidas ou comunicação de incidentes, entre em contato com o Encarregado de Proteção de Dados da AndCare pelo e-mail: dpo@andcare.com.br.
Compromisso com a Segurança
A adesão a esta política é fundamental para garantir um ambiente seguro e protegido para a AndCare e seus parceiros. Todos os terceiros devem assinar um termo de compromisso declarando ciência e conformidade com as diretrizes aqui estabelecidas.