Política de Segurança da Informação e Privacidade

1. Objetivo e escopo

Esta política estabelece as diretrizes que a SpiritShop (CNPJ 19.982.591/0001-78) adota para proteger a confidencialidade, integridade e disponibilidade das informações que trata. Ela se aplica a todos os colaboradores, prestadores de serviço e parceiros com acesso a sistemas ou dados da SpiritShop, e cobre o site institucional, a plataforma de e-commerce, as integrações com marketplaces, ERPs e redes sociais e toda a infraestrutura que os sustenta.

2. Governança e responsabilidades

• A direção da empresa aprova esta política e designa um responsável pela segurança da informação e proteção de dados, que coordena o programa, avalia riscos e acompanha incidentes.
• A política é revisada pelo menos uma vez por ano ou sempre que houver mudança relevante em sistemas, legislação ou riscos.
• Todos os colaboradores e prestadores assumem compromisso de confidencialidade e são responsáveis por cumprir esta política. O descumprimento está sujeito a medidas disciplinares e contratuais.

3. Classificação e proteção de dados

• As informações são classificadas como públicas, internas ou confidenciais. Dados pessoais, credenciais de integração e dados comerciais de clientes são sempre tratados como confidenciais.
• Todo tráfego entre usuários, lojas e APIs utiliza criptografia em trânsito (HTTPS/TLS 1.2 ou superior).
• Senhas são armazenadas apenas com hash forte e salt; tokens e chaves de API de terceiros são armazenados de forma criptografada e nunca expostos no código-fonte ou em repositórios.
• Coletamos apenas os dados estritamente necessários para a finalidade declarada (princípio da minimização).

4. Controle de acesso

• O acesso a sistemas e dados segue o princípio do menor privilégio e da necessidade de conhecer: cada pessoa recebe somente as permissões necessárias à sua função.
• Autenticação multifator (MFA) é obrigatória para painéis administrativos, infraestrutura, e-mail corporativo, repositórios de código e contas de integração com parceiros.
• Contas são individuais e intransferíveis; não há compartilhamento de credenciais.
• Os acessos são revisados periodicamente e revogados imediatamente no desligamento ou mudança de função.

5. Segurança de rede e infraestrutura

• Os ambientes de produção, homologação e desenvolvimento são segregados; dados reais de produção não são usados em ambientes de teste.
• Serviços administrativos e bancos de dados não ficam expostos publicamente e são protegidos por firewall e regras de acesso restritas por origem.
• Aplicamos proteções contra ameaças de rede, como firewall de aplicação, limitação de requisições, bloqueio de tráfego malicioso e filtros anti-spam/anti-bot nos formulários.
• Servidores e dependências recebem atualizações de segurança de forma contínua, com correções críticas priorizadas.

6. Proteção de endpoints e segurança no dia a dia

• Computadores corporativos utilizam software antivírus/antimalware ativo e atualizado, sistema operacional com atualizações automáticas e disco criptografado.
• Bloqueio automático de tela após inatividade e senhas fortes (com uso de gerenciador de senhas) são obrigatórios.
• Adotamos a política de mesa limpa e tela limpa: informações confidenciais não ficam expostas, impressas ou desbloqueadas sem supervisão.
• Perda ou furto de dispositivo deve ser comunicado imediatamente para bloqueio de acessos.

7. Desenvolvimento seguro

• Todo código passa por controle de versão e revisão antes de ir para produção.
• Seguimos boas práticas de segurança de aplicações (como as recomendações do OWASP): validação de entrada, proteção contra injeção, XSS e CSRF, e tratamento seguro de erros.
• Segredos e credenciais nunca são versionados; ficam em arquivos de configuração protegidos ou cofres de segredos.
• Bibliotecas e dependências de terceiros são mantidas atualizadas e avaliadas quanto a vulnerabilidades conhecidas.

8. Backup e continuidade

• Realizamos backups periódicos de bancos de dados e arquivos, armazenados de forma protegida e separada do ambiente principal.
• Os procedimentos de restauração são testados para garantir a recuperação dos serviços em caso de falha ou incidente.

9. Registro e monitoramento

Mantemos logs de acesso e de eventos relevantes de segurança nos sistemas e na infraestrutura, protegidos contra alteração e retidos pelo tempo necessário para investigação e cumprimento legal. Alertas de comportamento anômalo são acompanhados pela equipe responsável.

10. Gestão de incidentes

• Possuímos um processo de resposta a incidentes com etapas de identificação, contenção, erradicação, recuperação e análise pós-incidente.
• Incidentes que envolvam dados pessoais e possam gerar risco ou dano relevante aos titulares são comunicados à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados, conforme a LGPD e a regulamentação vigente.
• Clientes e parceiros de integração (como marketplaces e plataformas de vendas) afetados são notificados sem demora injustificada, conforme as obrigações contratuais.

11. Fornecedores e integrações com parceiros

• Fornecedores com acesso a dados (hospedagem, e-mail, meios de pagamento, analytics) são avaliados quanto às suas práticas de segurança e privacidade antes da contratação.
• Nas integrações com marketplaces, redes sociais e plataformas de comércio, solicitamos apenas os escopos de acesso mínimos necessários, armazenamos tokens de forma criptografada e utilizamos os dados recebidos exclusivamente para operar os pedidos, o catálogo e o atendimento do lojista.
• Não vendemos, alugamos nem compartilhamos dados recebidos de parceiros para fins não autorizados, e respeitamos as políticas de dados de cada plataforma integrada.

12. Privacidade e proteção de dados pessoais (LGPD)

Dados que coletamos no site: nome, e-mail, telefone/WhatsApp, empresa e mensagem enviados voluntariamente nos formulários de contato e newsletter, além de dados de navegação coletados por cookies de análise (Google Analytics).

Finalidades e bases legais: responder solicitações comerciais e de suporte (procedimentos preliminares a contrato), enviar conteúdos da newsletter (consentimento, revogável a qualquer momento), melhorar o site (legítimo interesse) e cumprir obrigações legais.

Dados tratados na plataforma: nas lojas que operamos, a SpiritShop atua como operadora dos dados dos consumidores finais, seguindo as instruções do lojista (controlador) e esta política.

Retenção: mantemos os dados apenas pelo tempo necessário para a finalidade ou pelo prazo exigido por lei, e depois os eliminamos ou anonimizamos.

Seus direitos: você pode solicitar confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento e revogação de consentimento, escrevendo para contato@spiritshop.com.br.

Cookies: utilizamos cookies essenciais (como a preferência de idioma) e de análise. Análise só com o seu consentimento. Detalhes e gestão de preferências na Política de Cookies.

13. Conscientização e treinamento

Colaboradores recebem orientação sobre esta política na integração e treinamentos periódicos sobre phishing, engenharia social, uso seguro de senhas e proteção de dados.

14. Contato

Dúvidas, solicitações de titulares ou relatos de vulnerabilidades de segurança podem ser enviados para contato@spiritshop.com.br. Tratamos relatos de vulnerabilidade de boa-fé com confidencialidade.

SpiritShop · CNPJ 19.982.591/0001-78 · Curitiba – PR, Brasil.