Política de Segurança da Informação e Proteção de Dados

1. Objetivo

A Leonne Capital está comprometida com a confidencialidade, a integridade e a disponibilidade das informações processadas por meio de seus sistemas. Esta política estabelece princípios e práticas destinados à proteção de:

• informações da empresa;
• informações dos usuários;
• dados pessoais;
• credenciais;
• tokens;
• dados obtidos por meio de integrações autorizadas;
• informações provenientes de APIs de terceiros.

2. Escopo

Esta política aplica-se às informações processadas, armazenadas, transmitidas ou acessadas por meio dos sistemas operados pela Leonne Capital, incluindo:

• dados de usuários e contas;
• dados pessoais;
• informações de autenticação e autorização;
• dados relacionados a marketplaces e operações de e-commerce;
• informações provenientes de integrações autorizadas;
• configurações de aplicações;
• logs;
• credenciais;
• API keys;
• access tokens;
• refresh tokens;
• informações administrativas.

3. Princípios de Segurança

Confidencialidade

Informações somente podem ser acessadas por pessoas, sistemas e serviços autorizados.

Integridade

As informações devem ser protegidas contra alterações não autorizadas ou acidentais.

Disponibilidade

Sistemas e informações necessários às operações legítimas devem permanecer razoavelmente disponíveis aos usuários autorizados.

Princípio do Menor Privilégio

Usuários e sistemas devem possuir somente as permissões necessárias para executar suas funções.

Minimização de Dados

Somente devem ser coletadas e processadas informações necessárias para finalidades legítimas e definidas.

Responsabilidade

Acessos e operações relevantes podem ser registrados para segurança, diagnóstico e investigação.

4. Controle de Acesso

O acesso aos sistemas e às informações é restrito a usuários e serviços autorizados. Recursos internos da Plataforma exigem autenticação. Funções administrativas e operações privilegiadas são limitadas a contas e papéis com permissão para executá-las.

Entre as práticas adotadas estão:

• autenticação para recursos protegidos;
• restrição de funções administrativas;
• controle de permissões conforme o vínculo do usuário à organização;
• prevenção de acesso desnecessário a dados de outras contas ou organizações;
• revogação de acesso quando ele deixa de ser necessário;
• proteção de operações privilegiadas.

5. Autenticação e Credenciais

São considerados informações confidenciais:

• senhas;
• API keys;
• tokens;
• refresh tokens;
• private keys;
• secrets.

Esses dados não devem ser intencionalmente expostos em:

• código público;
• frontend;
• documentação pública;
• canais não autorizados.

Senhas de usuários são tratadas pelo provedor de autenticação da Plataforma e não são armazenadas em texto claro nos sistemas da Leonne Capital. Credenciais utilizadas por serviços de backend devem permanecer em mecanismos protegidos de configuração ou de gerenciamento de secrets, quando aplicável. A criação de senhas observa requisitos mínimos de complexidade definidos na Plataforma.

6. Segurança das APIs e Integrações

O Atlas pode integrar-se a marketplaces, plataformas de e-commerce e outros serviços autorizados pelo usuário. As integrações devem:

• solicitar somente as permissões necessárias à finalidade da conexão;
• proteger credenciais;
• proteger tokens;
• utilizar mecanismos oficiais de autenticação e autorização da plataforma integrada;
• restringir operações sensíveis ao backend, quando apropriado;
• validar autorização antes de executar operações protegidas;
• permitir remoção ou revogação da integração quando o recurso for suportado;
• respeitar os requisitos de proteção de dados das plataformas integradas.

Metadados públicos de catálogo e o estado não sensível da conexão podem ser apresentados na Plataforma. Segredos, tokens e chaves de API não devem ser expostos ao frontend nem incluídos em documentos acessíveis pelo cliente. Esta seção aplica-se de forma genérica a qualquer integração autorizada, sem constituir política específica de um marketplace ou parceiro.

7. Proteção de Dados Pessoais

A Leonne Capital trata dados pessoais de acordo com a legislação aplicável, incluindo a Lei Geral de Proteção de Dados Pessoais — LGPD (Lei nº 13.709/2018), quando aplicável.

O tratamento observa, entre outros, os seguintes critérios:

• finalidade do tratamento;
• minimização;
• acesso autorizado;
• proteção contra divulgação não autorizada;
• aplicação de medidas administrativas e técnicas razoáveis.

Detalhes sobre categorias de dados, bases legais, direitos do titular, retenção e compartilhamento constam da Política de Privacidade.

8. Segurança na Transmissão

Informações sensíveis transmitidas entre usuários, aplicação, backend e serviços externos devem utilizar mecanismos seguros de comunicação quando aplicável. Serviços web públicos de produção que processam informações sensíveis devem utilizar HTTPS/TLS.

Nenhum método de transmissão eletrônica é absolutamente seguro. Adotamos medidas razoáveis para reduzir riscos, sem garantir invulnerabilidade.

9. Armazenamento de Dados

As informações devem ser armazenadas somente em sistemas autorizados, com:

• controle de acesso;
• separação entre informações públicas e privadas;
• proteção de configurações;
• proteção de credenciais;
• prevenção de exposição pública não intencional.

Regras de acesso no armazenamento restringem a leitura e a alteração de dados operacionais a usuários autenticados com permissão sobre a organização correspondente. Nenhum método de armazenamento eletrônico é absolutamente seguro.

10. Logs e Monitoramento

Logs podem ser utilizados para:

• operação;
• diagnóstico;
• segurança;
• auditoria;
• investigação de incidentes.

Eventos relevantes podem incluir:

• autenticação;
• falhas de autorização;
• operações administrativas;
• erros;
• falhas de integrações;
• comportamento anormal.

Senhas, chaves privadas e secrets de autenticação completos não devem ser intencionalmente armazenados em logs.

11. Desenvolvimento Seguro

A segurança deve fazer parte do ciclo de desenvolvimento. Quando aplicável, as práticas incluem:

• separação entre frontend e backend;
• autorização no servidor;
• validação de requisições;
• gerenciamento de dependências;
• proteção de secrets;
• tratamento seguro de erros, evitando exposição desnecessária de detalhes internos;
• processos controlados de publicação;
• correção de vulnerabilidades identificadas.

12. Vulnerabilidades e Atualizações

Dependências, frameworks, bibliotecas, infraestrutura e serviços utilizados devem ser atualizados quando razoavelmente necessário para mitigar vulnerabilidades conhecidas. Problemas críticos de segurança devem receber prioridade.

13. Resposta a Incidentes

Diante de um incidente de segurança, o processo simplificado compreende:

1. identificação;
2. avaliação inicial;
3. contenção;
4. investigação;
5. correção;
6. recuperação;
7. revisão pós-incidente;
8. notificação quando exigida por lei ou obrigação contratual.

14. Retenção e Exclusão

As informações não devem ser mantidas por período superior ao razoavelmente necessário, salvo obrigação legal, regulatória ou contratual, necessidade de segurança, contabilidade ou legítima necessidade operacional.

Quando não forem mais necessárias, devem ser excluídas, anonimizadas ou descartadas de forma adequada, conforme os recursos disponíveis nos sistemas utilizados. Após a exclusão da conta, os dados pessoais sob controle da Leonne Capital associados ao usuário são removidos, ressalvados registros que devam permanecer por exigência legal ou financeira, conforme descrito na Política de Privacidade.

15. Serviços de Terceiros

A Leonne Capital pode utilizar fornecedores tecnológicos externos para operar a Plataforma. Esses fornecedores devem ser selecionados considerando finalidade, segurança, confiabilidade e responsabilidades relacionadas à proteção de dados.

Operadores e subprocessadores atuam conforme instruções contratuais e medidas de segurança adequadas. A relação dos tipos de fornecedores utilizados no tratamento de dados pessoais está descrita na Política de Privacidade.

16. Responsabilidades

Usuários com acesso autorizado aos sistemas possuem responsabilidade de seguir os requisitos de segurança aplicáveis, incluindo a proteção de suas credenciais e o uso adequado das permissões concedidas.

Usuários administrativos possuem responsabilidade adicional pela proteção de contas privilegiadas, credenciais e informações administrativas.

17. Revisão da Política

Periodicidade mínima de revisão: anual. A política também poderá ser revisada quando ocorrerem mudanças relevantes em legislação, infraestrutura, arquitetura, integrações, processamento de dados, riscos de segurança ou operações da empresa.

18. Contato e Privacidade

Para questões de segurança da informação, privacidade e exercício de direitos: utilize os canais oficiais da Leonne Capital / Atlas by Leonne indicados no site atlas.leonne.com.br ou o e-mail de suporte divulgado nos canais oficiais da marca.

Consulte também nossa Política de Privacidade.

Este documento é informativo e não substitui aconselhamento jurídico específico.