Segurança da informação faz parte da arquitetura dos serviços prestados pela CLARÊNCIO.

Esta Política apresenta os princípios e principais controles utilizados para proteger dados, sistemas, credenciais, integrações, documentos e demais informações às quais a CLARÊNCIO tenha acesso no exercício de suas atividades.

Seu objetivo também é esclarecer a diferença entre acesso técnico, permissão administrativa, tratamento de dados e efetiva utilização de uma informação.

Esta é uma política pública. Por segurança, determinados detalhes de arquitetura, configuração, localização de credenciais, mecanismos de defesa e procedimentos internos não são divulgados.

2. Princípios de segurança adotados

A CLARÊNCIO estrutura seus controles de segurança considerando, entre outros, os princípios de necessidade, confidencialidade, integridade, disponibilidade, segregação, rastreabilidade e menor privilégio possível para a operação.

As medidas adotadas consideram a natureza das informações, a finalidade do acesso, a criticidade do ambiente, os recursos disponibilizados pelo sistema utilizado e os riscos associados à respectiva atividade.

Nem todo ambiente permite a criação de permissões técnicas perfeitamente granulares. Nesses casos, poderá ser necessário conceder um nível de acesso superior à função individual que será efetivamente executada.

A existência dessa permissão não amplia a finalidade para a qual o acesso foi concedido.

3. Ter acesso não significa utilizar todos os dados disponíveis

Sistemas empresariais frequentemente concentram, dentro de um mesmo perfil administrativo, diferentes recursos e informações.

Dessa forma, uma credencial administrativa poderá tecnicamente permitir acesso a funcionalidades ou informações que não fazem parte da atividade executada pela CLARÊNCIO.

Isso não significa que essas informações sejam consultadas, copiadas, utilizadas ou tratadas indiscriminadamente.

A CLARÊNCIO limita o acesso efetivamente realizado ao necessário para desenvolvimento, integração, configuração, manutenção, diagnóstico, suporte, auditoria, segurança ou outras atividades compreendidas pelo serviço contratado.

Uma possibilidade técnica de acesso não constitui, por si só, uma finalidade de tratamento nem uma autorização para utilização irrestrita das informações disponíveis.

4. Acessos administrativos a ERP, CRM e outras plataformas

Determinados serviços prestados pela CLARÊNCIO exigem integração direta com ERP, CRM, plataformas financeiras, ferramentas de marketing, servidores, bancos de dados, APIs e outros sistemas dos clientes.

Em algumas plataformas, recursos necessários à integração são disponibilizados exclusivamente a usuários com privilégios administrativos.

Isso poderá incluir, por exemplo:

• criação ou consulta de chaves de API;
• configuração de integrações;
• cadastro de webhooks;
• gestão de aplicativos conectados;
• configuração de permissões;
• consulta de logs e registros técnicos;
• diagnóstico de erros;
• configurações necessárias ao funcionamento de automações;
• administração de recursos técnicos do ambiente.

Quando o sistema permite utilizar perfil mais restrito sem inviabilizar a atividade, a CLARÊNCIO poderá utilizar essa alternativa.

Quando a própria plataforma condiciona determinada função técnica ao perfil administrativo, o acesso correspondente poderá ser necessário à execução do serviço.

A utilização de conta administrativa não transforma dados existentes no sistema em propriedade da CLARÊNCIO nem autoriza seu uso para finalidade alheia ao cliente e ao serviço contratado.

5. Credenciais e acessos privilegiados

Senhas, chaves de API, tokens, certificados e outros mecanismos de autenticação fornecidos ou criados para prestação de serviços são tratados como informações confidenciais.

Credenciais que precisem ser conservadas são mantidas em solução dedicada de gerenciamento protegido de credenciais.

O acesso a informações críticas é restrito às pessoas efetivamente autorizadas para a atividade correspondente.

Conforme a criticidade e os recursos oferecidos pelo serviço, poderão ser utilizados mecanismos adicionais, incluindo autenticação multifator, restrições de acesso, segregação de ambientes e controles próprios da plataforma utilizada.

Credenciais de um cliente não são utilizadas para operar sistemas pertencentes a outro cliente.

Quando uma credencial precisar ser disponibilizada temporariamente a terceiro legitimamente envolvido na operação, são utilizados, sempre que tecnicamente possível, mecanismos próprios para compartilhamento protegido, evitando exposição desnecessária em mensagens ou documentos comuns.

6. Segregação entre clientes

A CLARÊNCIO trata cada ambiente de cliente como uma operação independente.

Dados, credenciais, documentos e informações confidenciais pertencentes a um cliente não são incorporados às bases de outro, disponibilizados a outro cliente ou utilizados em benefício de operação não relacionada.

Quando a arquitetura do serviço permite ou exige segregação de servidores, bancos de dados, aplicações, contas ou outros recursos tecnológicos, essa separação poderá ser utilizada como medida adicional de proteção.

7. Segurança de dados relacionados a pagamentos

Alguns sistemas mantidos ou integrados pela CLARÊNCIO recebem informações sobre transações realizadas por bancos, adquirentes, gateways e outras instituições responsáveis pelo efetivo processamento dos pagamentos.

Esses registros são utilizados para funções como identificação, conciliação, conferência, reprodução de comprovantes, integração com ERP, suporte, auditoria e diagnóstico.

7.1. Dados de cartão armazenados

Nos sistemas atualmente utilizados para registro e conciliação de transações, a CLARÊNCIO não armazena o número completo do cartão utilizado pelo consumidor.

Quanto ao número do cartão, são mantidos somente os quatro últimos dígitos quando necessários à identificação da transação ou reprodução de informações do comprovante.

Os demais dígitos permanecem indisponíveis ou mascarados para a CLARÊNCIO.

7.2. Dados que não são armazenados

A CLARÊNCIO não mantém, nos registros dessas transações:

• número completo do cartão;
• CVV, CVC, CID ou código equivalente de segurança;
• PIN ou senha do cartão;
• dados integrais da tarja magnética;
• criptograma de autenticação;
• credencial reutilizável do instrumento de pagamento;
• token que permita reconstruir ou reutilizar a credencial do portador.

Consequentemente, os registros mantidos para conciliação e documentação não contêm o conjunto de credenciais de pagamento necessário para reconstruir o cartão utilizado pelo titular.

7.3. Informações transacionais

Além dos quatro últimos dígitos, poderão ser armazenadas informações necessárias à identificação e conferência da operação, como bandeira, NSU, TID, identificadores atribuídos pelo gateway, data e horário, valor, quantidade de parcelas, status e demais códigos de rastreabilidade da transação.

Quando necessário à reprodução do comprovante no sistema do cliente, poderão também ser tratados os elementos disponibilizados pelo processador de pagamento especificamente para essa finalidade.

Essas informações não devem ser confundidas com a credencial completa utilizada para autorizar a transação.

7.4. Quem efetivamente processa o pagamento

A autorização financeira é executada pelas instituições, adquirentes, gateways ou demais prestadores responsáveis pelo processamento do meio de pagamento.

Nos fluxos em que a CLARÊNCIO atua na integração, seus sistemas recebem ou consultam os resultados e identificadores necessários à operação contratada, sem necessidade de armazenar integralmente a credencial de pagamento do consumidor.

8. Meios de pagamento disponibilizados diretamente por clientes

Uma situação diferente ocorre quando o próprio cliente fornece à CLARÊNCIO um meio de pagamento, acesso ou recurso financeiro destinado à execução de despesas previamente autorizadas em benefício daquele mesmo cliente.

Esses recursos são tratados como credenciais privilegiadas e protegidos de acordo com sua criticidade.

Sua utilização é limitada às finalidades autorizadas pelo respectivo cliente e não se confunde com os dados de cartões de consumidores recebidos em registros de transações.

Recursos disponibilizados por um cliente não são utilizados para despesas de outro cliente ou para finalidade incompatível com a autorização recebida.

9. Dados bancários, Pix e conciliação financeira

Integrações financeiras poderão envolver tratamento de informações fornecidas por bancos ou plataformas de pagamento, incluindo data, valor, instituição, identificadores de Pix, TXID, E2EID e demais códigos necessários à conciliação.

Esses identificadores possuem finalidade de rastreabilidade, conferência e integração da operação e não equivalem a uma senha bancária ou autorização irrestrita para movimentação financeira.

Quando determinado serviço exigir acesso privilegiado a uma conta ou plataforma financeira do cliente, esse acesso é tratado separadamente como credencial crítica, sujeito aos controles correspondentes.

10. Dispositivos e ambientes utilizados na operação

O acesso a ambientes corporativos e de clientes é realizado por dispositivos e sistemas utilizados na operação da CLARÊNCIO.

São adotados controles compatíveis com a criticidade das informações e com as características dos equipamentos, sistemas operacionais e plataformas envolvidas.

Esses controles poderão incluir autenticação, proteção de conta, atualização de sistemas, restrição de acesso, proteção de credenciais e outros mecanismos técnicos disponíveis para o ambiente.

11. Armazenamento, hospedagem e transmissão

Dados e aplicações poderão ser processados em infraestrutura própria ou de terceiros contratados pela CLARÊNCIO, conforme as características de cada projeto.

A arquitetura poderá incluir servidores, armazenamento em nuvem, serviços de hospedagem, redes de distribuição, plataformas empresariais e outros recursos técnicos necessários à prestação.

A seleção e configuração desses recursos considera fatores como finalidade, disponibilidade, segurança, suporte, criticidade, localização e características do tratamento.

A relação dos principais fornecedores está disponível no Registro de Fornecedores, Suboperadores, Destinatários e Transferências Internacionais .

12. Backups, redundância e continuidade

A CLARÊNCIO utiliza mecanismos de backup, redundância e recuperação compatíveis com os ambientes sob sua responsabilidade.

A forma, frequência, tecnologia e período de conservação podem variar de acordo com o sistema e com os recursos oferecidos pelo fornecedor utilizado.

A existência de backup não substitui os controles aplicados ao ambiente principal e não significa que todas as informações sejam mantidas indefinidamente.

13. Logs, registros e rastreabilidade

Sistemas e serviços utilizados pela CLARÊNCIO poderão produzir logs, registros de acesso, eventos de aplicação e outras evidências técnicas.

Esses registros poderão ser utilizados para diagnóstico, segurança, auditoria, investigação de falhas, prevenção de abuso e exercício regular de direitos.

A disponibilidade e o nível de detalhamento desses registros dependem das características e funcionalidades oferecidas por cada sistema ou fornecedor.

14. Fornecedores e terceiros

Parte da infraestrutura utilizada pela CLARÊNCIO depende de fornecedores especializados em hospedagem, nuvem, segurança, produtividade, telecomunicações, pagamentos, armazenamento e outras funções.

A CLARÊNCIO procura utilizar serviços compatíveis com as necessidades técnicas e de segurança de cada operação.

Cada fornecedor permanece responsável pelos sistemas, controles, decisões e obrigações que estejam sob sua própria administração.

A utilização de infraestrutura de terceiros não significa que todos os respectivos colaboradores tenham acesso aos conteúdos processados pela CLARÊNCIO.

15. Prevenção e resposta a incidentes

A CLARÊNCIO adota procedimentos destinados à prevenção, identificação, contenção, investigação, mitigação e recuperação diante de incidentes de segurança.

Quando um evento envolver dados pessoais, serão observados os papéis desempenhados pela CLARÊNCIO, as obrigações contratuais, a legislação aplicável e, quando pertinente, as regras da Autoridade Nacional de Proteção de Dados – ANPD.

Quando atuar como Operadora, a CLARÊNCIO comunicará ao respectivo Controlador os incidentes relevantes de que tomar conhecimento, fornecendo as informações disponíveis necessárias à avaliação e às providências cabíveis.

16. Encerramento de acessos

Quando uma credencial ou permissão deixar de ser necessária à prestação do serviço, a CLARÊNCIO deixará de utilizá-la e adotará as providências sob seu controle correspondentes à sua destinação.

Dependendo de quem administra o ambiente, também poderá ser necessário que o próprio cliente revogue, altere ou rotacione senhas, chaves, tokens, certificados, usuários ou permissões.

O encerramento da relação não impede a conservação de registros técnicos, contratuais ou probatórios cuja retenção permaneça legítima ou necessária.

17. Segurança é uma responsabilidade compartilhada

A segurança de um ambiente tecnológico depende de diversos agentes e camadas.

A CLARÊNCIO responde pelos controles e atos que estejam sob sua responsabilidade, enquanto clientes, fornecedores de software, provedores de infraestrutura, instituições financeiras e demais participantes permanecem responsáveis pelas respectivas contas, sistemas, configurações e obrigações.

Clientes também devem proteger suas próprias credenciais, manter usuários atualizados, revogar acessos que deixem de ser necessários, informar alterações relevantes e comunicar imediatamente situações que possam comprometer a segurança dos ambientes compartilhados.

18. Limites e gerenciamento de risco

Segurança da informação é um processo contínuo de gerenciamento de riscos.

Nenhuma tecnologia ou organização pode garantir risco zero, indisponibilidade zero ou impossibilidade absoluta de incidentes.

A CLARÊNCIO busca reduzir esses riscos por meio de controles técnicos e administrativos proporcionais à natureza da operação e evolui seus procedimentos conforme surgem novas necessidades, ameaças, tecnologias e requisitos.

19. Documentos relacionados

Esta Política deve ser interpretada em conjunto com a Política de Privacidade e Proteção de Dados Pessoais , a Política de Cookies e Tecnologias Semelhantes e o Registro de Fornecedores, Suboperadores, Destinatários e Transferências Internacionais .

Contratos, anexos de tratamento de dados, acordos de confidencialidade e outros instrumentos específicos poderão complementar estas regras em determinada relação comercial.

20. Comunicação sobre segurança

Dúvidas, comunicações ou informações relacionadas à segurança de dados ou sistemas poderão ser encaminhadas à CLARÊNCIO.

CLARÊNCIO Comunicação, Marketing e Tecnologia Ltda.
CNPJ 10.485.069/0001-06
Rua Reverendo Paulo Lício Rizzo, 297 – Anexo 1
São Bernardo do Campo – SP – Brasil

E-mail: oi@clarencio.com
Telefone/WhatsApp: (11) 5108-0200