Política de Segurança da Informação

1. Objetivo

Estabelecer as diretrizes de segurança da informação adotadas pela Unity Car Service (CNPJ 43.473.287/0001-80) para proteger os dados pessoais e as informações de clientes, colaboradores, parceiros e da própria empresa contra acesso não autorizado, perda, alteração indevida ou vazamento, em conformidade com a Lei Geral de Proteção de Dados (LGPD — Lei 13.709/2018).

2. Abrangência

Esta política aplica-se a todos os colaboradores, sócios, estagiários e prestadores de serviço que, no exercício de suas atividades, tenham acesso a dados ou sistemas da Unity Car Service, em qualquer das unidades do Grupo Unity.

3. Princípios

A segurança da informação da empresa se apoia em três pilares:

• Confidencialidade — a informação só é acessada por quem tem autorização e necessidade para tanto.
• Integridade — a informação é mantida completa e exata, protegida contra alteração indevida.
• Disponibilidade — a informação está acessível a quem tem direito, quando necessário.

O tratamento de dados pessoais observa ainda os princípios da LGPD, com destaque para a minimização (coletar e acessar apenas o necessário) e a finalidade (usar os dados apenas para o propósito informado).

4. Controle de acesso

• Cada colaborador possui credencial individual e intransferível (login e senha) — é vedado o compartilhamento de acessos.
• O acesso aos sistemas segue o princípio do privilégio mínimo: por meio de perfis de permissão granulares, cada usuário acessa apenas os módulos e o nível (visualização, edição ou administração) necessários à sua função.
• As senhas são armazenadas de forma criptografada (hash com bcrypt), nunca em texto legível.
• As sessões possuem expiração automática e a autenticação é mantida por tokens seguros em cookies httpOnly.
• O acesso é revogado imediatamente no desligamento do colaborador ou quando deixa de ser necessário.
• Alterações em dados críticos ficam registradas em trilha de auditoria (identificação do responsável e data/hora).

5. Proteção técnica

• Criptografia em trânsito — todo o tráfego ocorre sobre HTTPS, com certificado válido e política de segurança de transporte (HSTS).
• Servidores protegidos — a infraestrutura roda em servidor dedicado com firewall, cabeçalhos de segurança HTTP e limitação de taxa de requisições (rate limiting) nos pontos sensíveis, como o login.
• Isolamento — o banco de dados não é exposto diretamente à internet; o acesso ocorre apenas pela aplicação, atrás de proxy reverso.
• Validação de entradas — os dados recebidos pelos sistemas são validados, prevenindo injeção e uso indevido.
• Os softwares utilizados são mantidos atualizados.

6. Backup e continuidade

A Unity Car Service realiza backup automatizado diário do banco de dados, com retenção mínima de 7 dias, permitindo a recuperação das informações em caso de falha, exclusão acidental ou incidente. Os backups são armazenados de forma protegida e a capacidade de restauração é verificada periodicamente.

7. Gestão de incidentes de segurança

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares (ex.: vazamento ou acesso não autorizado a dados pessoais):

1. O incidente deve ser comunicado imediatamente ao Encarregado de Proteção de Dados (DPO).
2. A empresa avalia a natureza e a extensão do incidente e adota medidas para conter e mitigar os efeitos.
3. Quando aplicável, comunica a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, conforme o Art. 48 da LGPD.
4. O incidente e as providências tomadas são registrados.

O detalhamento operacional (classificação, contenção, prazos e notificação) está no Plano de Resposta a Incidentes.

8. Responsabilidades

• Diretoria — aprova esta política, provê recursos e patrocina a cultura de segurança.
• Encarregado (DPO) — zela pelo cumprimento da LGPD, atua como canal com titulares e ANPD e conduz a resposta a incidentes.
• Colaboradores — protegem suas credenciais, tratam os dados apenas para as finalidades autorizadas e comunicam qualquer suspeita de incidente.
• Terceiros e fornecedores — comprometem-se contratualmente a manter a confidencialidade e a segurança dos dados a que tiverem acesso.

9. Conscientização

A Unity Car Service mantém programa de treinamento e conscientização em Segurança da Informação e LGPD para seus colaboradores. Detalhes no Programa de Treinamento e Conscientização.

10. Revisão

Esta política é revisada, no mínimo, anualmente, ou sempre que houver mudança relevante na legislação, na operação ou na infraestrutura tecnológica da empresa.