1. Objetivo
Estas Diretrizes estabelecem princípios, diretrizes e controles para proteger a confidencialidade, a integridade e a disponibilidade das informações e dos sistemas da FenicePay (ALCS Serviços de Tecnologia e Financeiro Ltda., CNPJ 65.709.031/0001-61), bem como dos dados de clientes tratados em suas plataformas.
2. Abrangência e referências
Aplica-se a sócios, administradores, colaboradores, estagiários, prestadores de serviços e fornecedores com acesso a informações ou sistemas da FenicePay. Fundamenta-se na Lei nº 13.709/2018 (LGPD), em especial nos arts. 46 a 49; na Lei nº 12.965/2014 (Marco Civil da Internet); nos requisitos de segurança exigidos das empresas tomadoras de serviços de BaaS pela Resolução Conjunta CMN/BCB nº 16/2025 e pelos contratos com as instituições parceiras; e adota como referência de boas práticas as normas ABNT NBR ISO/IEC 27001 e 27701, sem que isso implique certificação.
A FenicePay não é instituição autorizada a funcionar pelo Banco Central do Brasil. A segurança dos ambientes, sistemas e dados mantidos pelas instituições parceiras é regida pelas políticas próprias dessas instituições.
3. Princípios
- Confidencialidade, integridade e disponibilidade das informações.
- Menor privilégio e necessidade de conhecer: cada pessoa acessa somente o indispensável à sua função.
- Segregação de funções entre desenvolvimento, operação, aprovação e auditoria.
- Defesa em profundidade: camadas sucessivas de proteção.
- Privacidade desde a concepção em produtos e processos.
- Rastreabilidade: ações relevantes são registradas e auditáveis.
4. Classificação da informação
| Nível | Exemplos | Tratamento |
|---|---|---|
| Pública | Conteúdo do site, materiais de divulgação | Livre divulgação após aprovação |
| Interna | Procedimentos, comunicações internas | Acesso restrito a colaboradores |
| Confidencial | Contratos, dados cadastrais, informações comerciais | Acesso nominal e controlado; criptografia em trânsito |
| Restrita | Biometria, documentos de identidade, credenciais, chaves criptográficas, dados de PLD/FT | Criptografia em trânsito e em repouso; acesso mínimo com registro; vedada a cópia para dispositivos pessoais |
5. Controles
5.1 Identidade e acesso
- Autenticação multifator obrigatória para sistemas administrativos, painéis internos, e-mail corporativo e repositórios de código.
- Contas nominais e intransferíveis; vedado o compartilhamento de credenciais.
- Revisão de acessos, no mínimo, trimestral, e revogação imediata no desligamento.
5.2 Criptografia
- Comunicações protegidas por TLS 1.2 ou superior.
- Dados classificados como restritos criptografados em repouso, com gestão segregada de chaves.
5.3 Dados de cartão
A FenicePay não captura, não armazena e não transmite número completo de cartão, código de segurança ou senha. A captura e o processamento ocorrem nos equipamentos e sistemas da instituição credenciadora parceira, sob as regras de segurança das bandeiras.
5.4 Desenvolvimento seguro
- Revisão de código, separação de ambientes (desenvolvimento, homologação e produção) e proibição de dados reais em ambientes de teste.
- Prevenção das vulnerabilidades mais comuns em aplicações web, tomando como referência o OWASP Top 10.
- Testes de intrusão, no mínimo, anuais e após mudanças relevantes.
5.5 Vulnerabilidades e monitoramento
- Correção de vulnerabilidades críticas em prazo prioritário, segundo procedimento interno de gestão de vulnerabilidades.
- Registros (logs) de acesso e de eventos relevantes protegidos contra alteração e mantidos, no mínimo, pelo prazo legal de 6 (seis) meses para registros de acesso a aplicações (Lei nº 12.965/2014, art. 15).
5.6 Cópias de segurança e continuidade
- Cópias de segurança periódicas, criptografadas e testadas.
- Plano de continuidade de negócios com cenários de indisponibilidade de fornecedores e de instituições parceiras, testado anualmente.
5.7 Fornecedores
- Avaliação prévia de segurança e privacidade de fornecedores que tratem dados relevantes.
- Comunicação prévia às instituições parceiras sobre a contratação de terceiros para processar ou armazenar dados por elas considerados relevantes, conforme previsto nos contratos de BaaS.
5.8 Pessoas
- Termo de confidencialidade para todos com acesso a informações.
- Treinamento de segurança na admissão e, no mínimo, anual, com ênfase em engenharia social e golpes.
6. Prevenção a golpes contra clientes
A FenicePay nunca solicita senhas, códigos de autenticação, tokens ou a instalação de aplicativos de acesso remoto por telefone, WhatsApp, SMS ou e-mail. Comunicações suspeitas em nome da FenicePay devem ser reportadas a seguranca@fenicepay.com.br.
7. Gestão de incidentes
- Detecção e registro do evento, com preservação de evidências.
- Classificação segundo impacto em dados, clientes, operações e parceiros.
- Contenção, erradicação e recuperação.
- Comunicação: às instituições parceiras, nos prazos contratuais; à ANPD e aos titulares, quando o incidente puder acarretar risco ou dano relevante, na forma do art. 48 da LGPD e da regulamentação da ANPD; e às demais autoridades, quando cabível.
- Lições aprendidas e plano de ação documentado.
8. Responsabilidades
- Administração: aprovar estas Diretrizes e prover recursos.
- Responsável por Segurança da Informação: implementar controles, monitorar riscos e coordenar incidentes.
- Encarregado de dados: atuar nos incidentes envolvendo dados pessoais.
- Todos os usuários: cumprir estas Diretrizes e reportar imediatamente qualquer suspeita de incidente.
9. Descumprimento e revisão
O descumprimento sujeita o infrator a medidas disciplinares e contratuais, sem prejuízo das responsabilidades civil e penal. Estas Diretrizes são revisadas, no mínimo, anualmente.