Política de Segurança

1. Compromisso e escopo

Esta política descreve como a Exys protege dados, ambientes e acessos. Ela cobre o site institucional, a plataforma Exys CRM, os ambientes de cliente sob nossa operação e os canais de comunicação.

O desenho de segurança é proporcional ao risco de cada operação e é revisado a cada mudança relevante de arquitetura ou de contrato.

2. Princípios de segurança

• Menor privilégio: cada pessoa e cada sistema acessa apenas o necessário para a função.
• Defesa em camadas: controle de rede, aplicação, identidade e dado — nenhuma camada sozinha é considerada suficiente.
• Registro por padrão: autenticação, alteração e decisão geram registro com autor, data e origem.
• Segregação de dados: dados de empresas diferentes não se misturam; escopo controlado por empresa e por perfil.
• Continuidade testada: backup só é considerado válido depois de restauração ensaiada.

3. Controles aplicados

Frente	Controle
Tráfego	Criptografia TLS em trânsito, redirecionamento de HTTP para HTTPS com HSTS, cabeçalhos de segurança (nosniff, frame-options, referrer-policy, permissions-policy).
Acesso	Chave em vez de senha para administração de servidor, senha forte com política definida, sessão com expiração e registro de acesso.
Aplicação	Validação de entrada, consulta parametrizada, controle de permissão por endpoint, limite de requisição e bloqueio automático após tentativas de login inválidas.
Rede	Firewall, fechamento de porta não utilizada e bloqueio de origem suspeita após tentativas repetidas de acesso.
Dado	Segregação por empresa, backup com retenção definida, descarte seguro ao fim do prazo.
Monitoração	Verificação de saúde da aplicação, alerta de indisponibilidade, acompanhamento de log e revisão de incidente.

4. Gestão de identidade e acesso

Cada pessoa tem usuário próprio — não há conta compartilhada. O perfil define o que a pessoa vê e altera, e o escopo por empresa limita o alcance do dado.

Desligamento de acesso é executado no encerramento do contrato ou na saída de colaborador do time do cliente, com registro. Acesso administrativo ao servidor é restrito, rastreado e revisado periodicamente.

5. Resposta a incidente

Etapa	O que acontece
Detecção	Monitoração, alerta automático ou relato de usuário. Severidade é classificada na abertura.
Contenção	Medida imediata para interromper o impacto: bloqueio de origem, revogação de credencial, isolamento de ambiente.
Erradicação e recuperação	Correção da causa, restauração de serviço e verificação de integridade dos dados.
Comunicação	Titulares afetados e ANPD são comunicados quando houver risco relevante, nos termos da LGPD; o cliente contratante é informado conforme o SLA.
Aprendizado	Registro do incidente, causa raiz e ação preventiva, com acompanhamento no relatório mensal.

6. Continuidade e backup

Rotina de backup automática com retenção definida, cópia fora do ambiente de produção e teste periódico de restauração. O critério de perda aceitável e o tempo alvo de retomada são acordados por contrato quando a operação exigir.

7. Fornecedores e subprocessadores

Operadores de infraestrutura, e-mail e pagamento são selecionados com critério de segurança e obrigação contratual de confidencialidade. A lista de categorias de operadores está descrita na Política de Privacidade, item 6.

8. Segurança no desenvolvimento

Mudança em produção passa por revisão, com ambiente de teste, backup prévio e possibilidade de retorno. Credencial não é versionada em repositório. Dependência é mantida atualizada e revisada.

9. Como relatar uma vulnerabilidade

Se você identificar falha de segurança, escreva para contato@exys.com.br com “segurança” no assunto, descrevendo o cenário e como reproduzir. Pedimos que não explore a falha, não acesse dado de terceiro e nos dê prazo razoável para correção antes de divulgar publicamente.

Contato

Dúvidas sobre este documento: contato@exys.com.br. Requisições de titular de dados: canal do titular · dpo@exys.com.br.