Política de Seguridad de la Información y Privacidad

1. Objetivo y alcance

Esta política establece las directrices que SpiritShop (CNPJ 19.982.591/0001-78) adopta para proteger la confidencialidad, integridad y disponibilidad de la información que trata. Se aplica a todos los colaboradores, proveedores de servicios y socios con acceso a sistemas o datos de SpiritShop, y cubre el sitio institucional, la plataforma de e-commerce, las integraciones con marketplaces, ERPs y redes sociales, y toda la infraestructura que los soporta.

2. Gobernanza y responsabilidades

• La dirección de la empresa aprueba esta política y designa a un responsable de seguridad de la información y protección de datos, que coordina el programa, evalúa riesgos y supervisa los incidentes.
• La política se revisa al menos una vez al año o siempre que haya un cambio relevante en sistemas, legislación o riesgos.
• Todos los colaboradores y proveedores asumen un compromiso de confidencialidad y son responsables de cumplir esta política. El incumplimiento está sujeto a medidas disciplinarias y contractuales.

3. Clasificación y protección de datos

• La información se clasifica como pública, interna o confidencial. Los datos personales, las credenciales de integración y los datos comerciales de clientes se tratan siempre como confidenciales.
• Todo el tráfico entre usuarios, tiendas y APIs utiliza cifrado en tránsito (HTTPS/TLS 1.2 o superior).
• Las contraseñas se almacenan solo con hash robusto y salt; los tokens y claves de API de terceros se almacenan cifrados y nunca se exponen en el código fuente ni en repositorios.
• Recopilamos solo los datos estrictamente necesarios para la finalidad declarada (minimización de datos).

4. Control de acceso

• El acceso a sistemas y datos sigue los principios de mínimo privilegio y necesidad de conocer: cada persona recibe solo los permisos necesarios para su función.
• La autenticación multifactor (MFA) es obligatoria para paneles administrativos, infraestructura, correo corporativo, repositorios de código y cuentas de integración con socios.
• Las cuentas son individuales e intransferibles; no se comparten credenciales.
• Los accesos se revisan periódicamente y se revocan de inmediato ante la desvinculación o el cambio de función.

5. Seguridad de red e infraestructura

• Los entornos de producción, homologación y desarrollo están segregados; no se utilizan datos reales de producción en entornos de prueba.
• Los servicios administrativos y las bases de datos no están expuestos públicamente y están protegidos por firewall y reglas de acceso restringidas por origen.
• Aplicamos protecciones contra amenazas de red, como firewall de aplicaciones, limitación de solicitudes, bloqueo de tráfico malicioso y filtros anti-spam/anti-bot en los formularios.
• Servidores y dependencias reciben actualizaciones de seguridad de forma continua, priorizando los parches críticos.

6. Protección de endpoints y seguridad en el día a día

• Los equipos corporativos utilizan software antivirus/antimalware activo y actualizado, sistema operativo con actualizaciones automáticas y disco cifrado.
• El bloqueo automático de pantalla por inactividad y las contraseñas robustas (con gestor de contraseñas) son obligatorios.
• Adoptamos la política de escritorio limpio y pantalla limpia: la información confidencial nunca queda expuesta, impresa o desbloqueada sin supervisión.
• La pérdida o el robo de un dispositivo debe comunicarse de inmediato para bloquear los accesos.

7. Desarrollo seguro

• Todo el código pasa por control de versiones y revisión antes de llegar a producción.
• Seguimos buenas prácticas de seguridad de aplicaciones (como las recomendaciones de OWASP): validación de entradas, protección contra inyección, XSS y CSRF, y manejo seguro de errores.
• Los secretos y credenciales nunca se versionan; se guardan en archivos de configuración protegidos o bóvedas de secretos.
• Las bibliotecas y dependencias de terceros se mantienen actualizadas y se evalúan frente a vulnerabilidades conocidas.

8. Copias de seguridad y continuidad

• Realizamos copias de seguridad periódicas de bases de datos y archivos, almacenadas de forma protegida y separada del entorno principal.
• Los procedimientos de restauración se prueban para garantizar la recuperación de los servicios ante fallas o incidentes.

9. Registro y monitoreo

Mantenemos registros de acceso y de eventos de seguridad en sistemas e infraestructura, protegidos contra alteraciones y conservados durante el tiempo necesario para investigaciones y cumplimiento legal. Las alertas de comportamiento anómalo son atendidas por el equipo responsable.

10. Gestión de incidentes

• Contamos con un proceso de respuesta a incidentes con etapas de identificación, contención, erradicación, recuperación y análisis posterior.
• Los incidentes que involucren datos personales y puedan generar riesgo o daño relevante a los titulares se comunican a la Autoridad Nacional de Protección de Datos de Brasil (ANPD) y a los titulares afectados, conforme a la LGPD y la normativa vigente.
• Los clientes y socios de integración afectados (como marketplaces y plataformas de comercio) son notificados sin demora injustificada, conforme a las obligaciones contractuales.

11. Proveedores e integraciones con socios

• Los proveedores con acceso a datos (hosting, correo, medios de pago, analítica) son evaluados en cuanto a sus prácticas de seguridad y privacidad antes de su contratación.
• En las integraciones con marketplaces, redes sociales y plataformas de comercio, solicitamos solo los alcances de acceso mínimos necesarios, almacenamos los tokens cifrados y utilizamos los datos recibidos exclusivamente para operar los pedidos, el catálogo y la atención del comerciante.
• No vendemos, alquilamos ni compartimos datos recibidos de socios para fines no autorizados, y respetamos las políticas de datos de cada plataforma integrada.

12. Privacidad y protección de datos personales (LGPD)

Datos que recopilamos en el sitio: nombre, correo, teléfono/WhatsApp, empresa y mensaje enviados voluntariamente en los formularios de contacto y newsletter, además de datos de navegación recopilados por cookies de analítica (Google Analytics).

Finalidades y bases legales: responder solicitudes comerciales y de soporte (pasos precontractuales), enviar contenidos de la newsletter (consentimiento, revocable en cualquier momento), mejorar el sitio (interés legítimo) y cumplir obligaciones legales.

Datos tratados en la plataforma: en las tiendas que operamos, SpiritShop actúa como encargado del tratamiento de los datos de los consumidores finales, siguiendo las instrucciones del comerciante (responsable) y esta política.

Conservación: conservamos los datos solo durante el tiempo necesario para su finalidad o el plazo exigido por ley, y luego los eliminamos o anonimizamos.

Sus derechos: puede solicitar confirmación del tratamiento, acceso, corrección, anonimización, portabilidad, eliminación, información sobre el intercambio de datos y revocación del consentimiento escribiendo a contato@spiritshop.com.br.

Cookies: utilizamos cookies esenciales (como la preferencia de idioma) y de analítica. Las de analítica solo con su consentimiento. Detalles y gestión de preferencias en la Política de Cookies.

13. Concienciación y capacitación

Los colaboradores reciben orientación sobre esta política al incorporarse y capacitaciones periódicas sobre phishing, ingeniería social, uso seguro de contraseñas y protección de datos.

14. Contacto

Las dudas, solicitudes de titulares o reportes de vulnerabilidades de seguridad pueden enviarse a contato@spiritshop.com.br. Los reportes de vulnerabilidades hechos de buena fe se tratan con confidencialidad.

SpiritShop · CNPJ 19.982.591/0001-78 · Curitiba – PR, Brasil.