Perguntas frequentes

Sim. Temos relatórios SOC 1 e SOC 2 Tipo 1, feitos pela Forvis Mazars, uma auditoria independente. O Tipo 1 mostra que os nossos controles estão bem desenhados em uma data; a operação ao longo do tempo é assunto do Tipo 2. Além disso, uma empresa especializada faz testes de intrusão nas nossas aplicações.

Tratamos dados pessoais conforme a LGPD e mantemos um Encarregado (DPO) nomeado, uma Política de Privacidade publicada e um canal para o titular exercer os seus direitos, com resposta em até 15 dias. Está tudo na página Privacidade e LGPD, para você conferir.

Somos a Operadora. O Controlador é a sua empresa: é ela quem decide para que os dados são usados. Nós tratamos os dados apenas conforme as instruções que você nos dá.

O nosso Encarregado pelo tratamento de dados pessoais (DPO) é Gérson Merki. Você pode falar com ele pelo e-mail dpo@lincros.com.

Os dados ficam conosco durante o contrato e o aviso prévio. Depois disso, são excluídos ou anonimizados com segurança. E, se você quiser levar os seus dados embora, as nossas soluções permitem exportá-los.

Sim. Mantemos seguro cibernético contratado. Ele funciona como uma camada final: se, apesar de todos os controles, um incidente grave acontecer, a apólice ajuda a cobrir custos, conforme as condições contratadas. O seguro complementa a prevenção e não a substitui. A página Seguro cibernético explica o que ele é e como se encaixa nos demais controles.

Sim. Respondemos questionários de segurança, RFPs e processos de due diligence. Dezenas de empresas já nos avaliaram.

Em nuvem, com um provedor de classe empresarial e em uma região no Brasil. Dizemos isso de forma direta porque a localização dos dados costuma pesar na decisão de quem contrata.

Sim, e em dois momentos. Quando os dados viajam entre você e a plataforma, eles seguem protegidos por TLS 1.2 ou superior, o mesmo tipo de proteção do cadeado que você vê no navegador. Quando estão guardados, usamos criptografia de volumes, inclusive nos backups. Na prática, isso reduz muito o risco de alguém ler os seus dados no caminho ou no armazenamento.

Sim. Para a sua equipe, a plataforma usa SSO por SAML 2.0 com o provedor de identidade da sua empresa. Isso significa que o MFA (a verificação em duas etapas) é o mesmo que você já usa nesse provedor, e a plataforma o herda. Os detalhes estão em Identidade e acesso.

Estão no nosso termo público de SLA de disponibilidade, na página Documentos institucionais. Leia o termo completo para ver as condições com todos os detalhes.

Sim. Uma empresa especializada e independente faz o papel do atacante: simula um ataque às nossas aplicações para encontrar falhas antes que alguém mal-intencionado as encontre. Depois, nós tratamos o que foi encontrado e retestamos as correções aplicadas.

O tráfego que chega aos nossos serviços expostos passa por um firewall de aplicação (WAF), que funciona como um filtro na porta de entrada: ele bloqueia padrões de ataque como injeção de SQL e cross-site scripting.

Sim. Preparar as pessoas para reconhecer riscos faz parte do nosso plano de segurança, porque a tecnologia protege só até certo ponto, e o resto é hábito.

Sim. Registramos os acessos e as ações que consideramos relevantes, na plataforma e na operação. Esses registros servem para consulta e auditoria e, se algo precisar ser investigado, ajudam a apurar quem fez o quê.

Seguimos uma política formal, revisada ao menos uma vez por ano. Na prática: cada vulnerabilidade é classificada por criticidade, os patches são aplicados de forma centralizada, em um calendário definido, e o que não puder ser corrigido de imediato passa por um aceite formal de risco.

Seguimos um processo de gestão de mudanças (GMUD). Cada alteração é registrada, avaliada por um comitê multidisciplinar (CAB) e acompanhada de um plano de rollback, que permite voltar à versão anterior se algo não sair como o esperado. O código passa por ambientes de desenvolvimento, homologação e produção, e a publicação é feita por uma esteira automatizada. Isso ajuda a reduzir o risco de uma mudança causar instabilidade ou abrir uma brecha. A página Gestão de mudanças explica cada etapa.

Seguimos os princípios do Zero Trust. Na prática, estar dentro da rede não dá acesso automático a nada: cada pessoa tem uma identidade própria e acessa só o mínimo de que precisa, e o acesso remoto é autorizado previamente. A página Zero Trust explica cada um desses pontos.

Em um cofre de senhas, acessado por login único. A regra é simples: senha não fica em planilha, em e-mail nem em chat.