1. Escopo
Este plano se aplica a qualquer evento de segurança que possa acarretar acesso não autorizado, perda, alteração, divulgação indevida ou indisponibilidade de dados pessoais tratados pela ConectaResíduos, incluindo incidentes ocorridos em subprocessadores listados na página de subprocessadores.
2. Etapas e prazos
- Detecção e registro (até 24h): o incidente é registrado com data, hora, sistemas afetados e responsável pela apuração.
- Contenção (até 24h): revogação de credenciais e chaves, encerramento de sessões, bloqueio de acessos suspeitos e correção da falha explorada.
- Investigação (até 72h): análise de logs de acesso e da trilha de auditoria administrativa para determinar volume e categorias de dados envolvidos.
- Comunicação (prazo razoável, em regra até 3 dias úteis): notificação à ANPD e aos titulares afetados quando houver risco ou dano relevante, conforme art. 48 da LGPD.
- Remediação e melhoria (até 30 dias): plano corretivo, revisão de políticas de acesso e registro das lições aprendidas.
3. Conteúdo da notificação
- Descrição da natureza dos dados pessoais afetados.
- Informações sobre os titulares envolvidos e o número aproximado de afetados.
- Medidas técnicas e de segurança adotadas para proteção dos dados.
- Riscos relacionados ao incidente e medidas de mitigação recomendadas.
- Motivos de eventual demora na comunicação, quando aplicável.
4. Controles preventivos
- Regras de acesso por linha (RLS) no banco de dados, com escopo por usuário.
- Trilha de auditoria de acessos administrativos a dados de usuários, com registro de quem acessou, o que acessou e quando.
- Registro de consentimento com data, IP e versão da política aplicável.
- Segredos e chaves de integração armazenados fora do código-fonte.
- Backups com retenção de até 30 dias.
5. Como reportar um incidente
Suspeitas de vulnerabilidade ou vazamento devem ser comunicadas ao encarregado pelo tratamento de dados (DPO) pelo e-mail privacidade@conectaresiduos.com. O recebimento é confirmado em até 2 dias úteis.