Abrangência e compromissos de proteção
Esta política apresenta as diretrizes de Segurança da Informação da A3A Engenharia nas relações com clientes, profissionais, fornecedores e parceiros. Sua aplicação alcança informações técnicas, comerciais, institucionais e pessoais utilizadas no desenvolvimento dos serviços e no relacionamento entre as partes.
A proteção deve considerar a confidencialidade, a integridade e a disponibilidade das informações. Desenhos, memoriais, relatórios, configurações, credenciais e registros de atendimento exigem cuidados proporcionais ao impacto de sua divulgação, alteração, indisponibilidade ou perda.
As condições específicas de acesso e uso devem ser compatíveis com o serviço contratado, os requisitos aplicáveis e as responsabilidades de cada participante. Documentos impressos, dispositivos, arquivos digitais e informações discutidas em reuniões ou atividades de campo fazem parte dessa avaliação.
Identificação das informações e concessão de acesso
O tratamento de uma informação deve considerar sua origem, finalidade, responsável e restrições de utilização. Documentos que revelem vulnerabilidades, arquitetura de redes, localização de dispositivos de segurança ou condições estratégicas de operação precisam de atenção à possibilidade de exposição.
O acesso deve se limitar às pessoas que necessitem da informação para desempenhar suas atividades. A autorização precisa considerar o vínculo com o serviço, as atribuições e o período de atuação, com revisão diante de mudanças na equipe ou encerramento de uma atividade.
Credenciais individuais não devem ser compartilhadas. Contas de serviço, permissões administrativas e acessos temporários precisam de responsáveis identificados e de condições de concessão, acompanhamento e revogação compatíveis com seu risco.
Dados pessoais e responsabilidades de tratamento
O acesso a dados pessoais deve ter finalidade definida e respeitar as condições aplicáveis à relação. A coleta, a consulta e o compartilhamento devem se limitar ao necessário, com atenção à transparência, aos direitos dos titulares e às responsabilidades de cada agente de tratamento.
Em sistemas de videomonitoramento, controle de acesso e outras soluções que envolvam pessoas, a análise deve considerar quais dados são utilizados, por quem, por quanto tempo e em quais condições. O uso de dados biométricos vinculados a uma pessoa natural requer atenção ao enquadramento dos dados pessoais sensíveis.
As responsabilidades da A3A Engenharia e do cliente devem refletir as atividades que cada um efetivamente realiza. Quando houver atuação em nome do cliente, as instruções, os limites de acesso e os encaminhamentos de solicitações precisam estar esclarecidos. A Política de Privacidade complementa estas diretrizes com informações sobre as interações institucionais.
Segurança na arquitetura e na operação dos sistemas
Requisitos de segurança devem integrar o planejamento da solução. A arquitetura precisa considerar as integrações, os pontos de acesso, as necessidades de administração e as condições de operação, manutenção e evolução previstas no escopo.
Conforme o risco, devem ser avaliados autenticação, privilégios, segregação de redes, proteção das comunicações, registros de eventos, atualizações e recuperação do serviço. A escolha deve ser compatível com o ambiente e com a capacidade de operação dos responsáveis.
Acesso remoto e integrações com plataformas externas precisam de finalidade, responsáveis e condições de utilização definidos. Funcionalidades que ampliem a exposição de dados ou sistemas devem ser avaliadas antes de sua inclusão ou ativação.
Confidencialidade, compartilhamento e terceiros
Informações recebidas no contexto de um serviço devem ser utilizadas conforme sua finalidade e as condições estabelecidas. Divulgação de projetos, uso de materiais em apresentações e compartilhamento com outros participantes exigem análise das autorizações e restrições pertinentes.
O envio de documentos deve ocorrer pelos meios autorizados, com verificação dos destinatários e das permissões. Links públicos, cópias em dispositivos pessoais e inserção de arquivos em plataformas externas não devem ser adotados sem avaliação da informação e das condições aplicáveis.
A contratação de prestadores deve considerar o acesso necessário, as obrigações de confidencialidade e a destinação dos dados ao fim da atividade. Informações de clientes não devem ser reutilizadas para finalidades distintas sem o enquadramento e as autorizações pertinentes.
Apresentações, relatórios e comunicações devem evitar a exposição desnecessária de credenciais, vulnerabilidades e informações pessoais. A identificação de uma fonte ou cliente não substitui uma autorização de divulgação exigível.
Proteção em atividades de campo e continuidade
Inspeções, testes e comissionamento devem utilizar apenas os acessos e dados necessários ao escopo. Sempre que viável, devem ser usados dados de demonstração e condições controladas, preservando a operação e reduzindo a exposição de informações reais.
Fotografias, capturas de tela e exportações precisam ser avaliadas antes de sua inclusão em relatórios. As evidências devem demonstrar a atividade realizada sem revelar informações além do necessário, com cuidados adequados ao seu armazenamento e envio.
Cópias de segurança e meios de recuperação devem ser avaliados conforme os riscos e as necessidades de continuidade. A existência de uma cópia precisa ser acompanhada da verificação de sua integridade e de sua utilidade para a recuperação pretendida.
Ao concluir uma intervenção, contas de teste, acessos temporários e arquivos de apoio devem ser revisados. A entrega precisa esclarecer as configurações relevantes, as restrições conhecidas e as pendências que afetem a proteção ou a continuidade do serviço.
Comunicação, análise e tratamento de ocorrências
Suspeitas de perda, divulgação indevida, acesso não autorizado ou comprometimento de informações devem ser comunicadas aos responsáveis pelo serviço. Situações relacionadas a dados pessoais também podem ser encaminhadas a privacidade@a3aengenharia.com.br, contato já indicado na Política de Privacidade.
O relato deve descrever o contexto e os elementos disponíveis, evitando reenviar dados expostos ou divulgar vulnerabilidades desnecessariamente. A primeira avaliação deve buscar limitar os efeitos e preservar as informações necessárias à compreensão da ocorrência.
A análise deve identificar os sistemas e dados potencialmente afetados, os participantes envolvidos e as medidas pertinentes de contenção e recuperação. As providências e decisões precisam ser registradas, com responsabilidades e condições de acompanhamento.
Quando envolver dados pessoais, cabe ao controlador avaliar as obrigações de comunicação à ANPD e aos titulares conforme o risco ou dano relevante e a regulamentação aplicável. O encaminhamento interno não substitui essas obrigações. A análise posterior deve orientar medidas para reduzir a recorrência.
Conservação, encerramento e revisão das condições
A guarda das informações deve considerar a finalidade, as obrigações aplicáveis e as condições contratuais. A devolução, a eliminação ou a conservação justificada precisam seguir critérios compatíveis com o serviço e com o tipo de registro.
O encerramento deve contemplar os documentos a entregar, os acessos a revogar e o destino dos arquivos e dispositivos utilizados. A eliminação deve considerar o suporte, as restrições existentes e a necessidade de evitar recuperação indevida.
Alterações no escopo, na equipe, nos sistemas ou nos prestadores devem levar à revisão das condições de acesso e proteção afetadas. O conhecimento de uma nova restrição ou vulnerabilidade deve ser encaminhado aos responsáveis pela decisão correspondente.
Dúvidas sobre o compartilhamento de documentos e requisitos de segurança de um serviço devem ser tratadas com os responsáveis pela contratação ou pela página de Contato. Solicitações de titulares de dados pessoais devem seguir os meios descritos na Política de Privacidade.
