Plano de Resposta a Incidentes de Segurança

1. Objetivo

Definir como a Unity Car Service (CNPJ 43.473.287/0001-80) detecta, contém, avalia e comunica incidentes de segurança que possam afetar dados pessoais, cumprindo o dever de comunicação previsto no Art. 48 da LGPD (Lei 13.709/2018).

2. O que é um incidente de segurança

Qualquer evento, confirmado ou suspeito, que comprometa a confidencialidade, a integridade ou a disponibilidade de dados pessoais — por exemplo: acesso não autorizado, vazamento, perda, alteração indevida, indisponibilidade relevante ou uso em desconformidade.

3. Classificação

4. Fluxo de resposta

1. Detecção e comunicação interna — quem identificar o incidente comunica imediatamente o Encarregado (DPO).
2. Contenção — são adotadas medidas para interromper o incidente e limitar seus efeitos (ex.: revogar acessos, isolar sistemas, trocar credenciais).
3. Avaliação de risco — o Encarregado avalia a natureza dos dados afetados, o volume, os titulares envolvidos e o risco ou dano relevante.
4. Notificação — havendo risco relevante, a empresa comunica a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em prazo razoável, informando a natureza dos dados, os titulares envolvidos, as medidas adotadas e as recomendações (Art. 48 da LGPD).
5. Registro — o incidente, a avaliação e todas as providências são documentados.
6. Lições aprendidas — são revisados os controles para evitar recorrência.

5. Conteúdo da comunicação ao titular

Quando exigida, a comunicação ao titular inclui, no mínimo:

• a descrição da natureza dos dados pessoais afetados;
• os riscos relacionados ao incidente;
• as medidas adotadas para reverter ou mitigar os efeitos;
• as recomendações para que o titular se proteja.

6. Canal e responsáveis

O Encarregado coordena a resposta ao incidente e é o ponto de contato com a ANPD e com os titulares.

7. Revisão

Este plano é revisado, no mínimo, anualmente, ou após qualquer incidente relevante. Integra a Política de Segurança da Informação.