Política de Segurança da Informação

1. Apresentação e Objetivo

A presente Política de Segurança da Informação estabelece os princípios, diretrizes e responsabilidades relacionados à proteção dos ativos informacionais do CAC Digital, iniciativa da ARSENAL TECNOLOGIA LTDA, que atua no desenvolvimento e operação de soluções tecnológicas voltadas aos colecionadores, atiradores e caçadores (CACs) no Brasil.

O objetivo principal deste documento é garantir a integridade, a confidencialidade, a disponibilidade, a autenticidade e a rastreabilidade das informações tratadas em ambiente físico ou digital, assegurando a conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) e demais legislações aplicáveis, como o Marco Civil da Internet.

A segurança da informação é condição essencial para a confiança dos usuários, a continuidade das operações e a mitigação de riscos técnicos, jurídicos e reputacionais. Para isso, esta política visa:

Adotar medidas técnicas e administrativas adequadas à proteção dos dados pessoais e corporativos contra acessos não autorizados, vazamentos, perdas, destruições acidentais ou ilícitas;
Estabelecer condutas aceitáveis no uso de recursos tecnológicos;
Determinar responsabilidades individuais e coletivas quanto ao tratamento seguro da informação;
Consolidar uma cultura organizacional orientada pela responsabilidade, prevenção e governança em segurança digital.

Esta política se aplica aos ambientes operacionais, às equipes envolvidas no desenvolvimento e suporte ao sistema, aos prestadores de serviços com acesso autorizado, e aos fluxos internos de dados no CAC Digital.

2. Abrangência

Esta Política de Segurança da Informação é de observância obrigatória por todos os profissionais, parceiros e terceiros que, direta ou indiretamente, interajam com recursos, informações ou sistemas relacionados ao CAC Digital, incluindo:

Colaboradores próprios da ARSENAL TECNOLOGIA LTDA, em regime presencial ou remoto;
Prestadores de serviço de tecnologia com acesso a dados ou sistemas do CAC Digital;
Usuários administrativos com permissões específicas no painel de controle da plataforma;
Demais operadores autorizados que participem da operação técnica, suporte ou manutenção da aplicação.

Estão incluídos no escopo desta política todos os ativos informacionais e ambientes relevantes, como:

Servidores contratados para armazenamento e processamento dos dados;
Códigos-fonte, bancos de dados e sistemas de gerenciamento utilizados no backend e frontend do aplicativo;
Equipamentos corporativos ou pessoais utilizados para atividades autorizadas, desde que contem com mecanismos de proteção (antivírus, senha de acesso, bloqueio de tela etc.);
Documentos, arquivos e registros que contenham dados de usuários, armas, documentos enviados, informações de habitualidade e histórico de atividades.

A política se aplica independentemente do local de acesso ou do vínculo empregatício do usuário. Qualquer pessoa que interaja com os sistemas ou dados do CAC Digital deve agir com diligência e sigilo, protegendo as informações e respeitando os princípios da boa-fé, responsabilidade e legalidade.

O descumprimento das diretrizes previstas poderá resultar em medidas administrativas, cíveis ou penais, conforme a gravidade da infração e a legislação vigente.

3. Fundamentos Legais e Normativos

A presente política está fundamentada nas normas legais brasileiras, bem como em boas práticas reconhecidas nacional e internacionalmente no campo da segurança da informação. O CAC Digital, por meio da ARSENAL TECNOLOGIA LTDA, compromete-se a observar os seguintes instrumentos regulatórios:

3.1. Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 – LGPD)

A LGPD estabelece os princípios e obrigações relacionados ao tratamento de dados pessoais. O artigo 46 da referida lei impõe que os agentes de tratamento adotem medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

Esta política é um dos instrumentos por meio dos quais o CAC Digital assegura a conformidade com a LGPD, demonstrando a adoção de boas práticas de governança e segurança da informação.

3.2. Marco Civil da Internet (Lei nº 12.965/2014)

Define princípios, garantias e deveres no uso da internet no Brasil, assegurando a inviolabilidade da intimidade, da vida privada e da confidencialidade dos dados pessoais, bem como a obrigação de guarda e proteção de registros de acesso. O CAC Digital cumpre integralmente as disposições do Marco Civil, garantindo transparência e segurança no ambiente digital.

3.3. Normas Técnicas e Boas Práticas

Sempre que viável, o CAC Digital adota como referência os princípios estabelecidos pelas normas internacionais da família ISO/IEC 27000, especialmente:

ISO/IEC 27001 – Sistema de Gestão de Segurança da Informação (SGSI);
ISO/IEC 27002 – Controles e boas práticas de segurança.

Essas diretrizes são aplicadas, na medida do possível, à definição de controles, segregação de acessos, prevenção a incidentes e gestão de riscos.

3.4. Normas Internas Complementares

A Política de Segurança da Informação deve ser observada em conjunto com os demais documentos internos de proteção de dados e privacidade adotados pela ARSENAL TECNOLOGIA LTDA, incluindo:

Política de Privacidade do CAC Digital;
Política de Proteção de Dados Pessoais;
Procedimentos técnicos de segurança e orientação à equipe;
Registros e controles internos de versionamento e auditoria.

4. Princípios da Segurança da Informação

A política de segurança da informação do CAC Digital se apoia em fundamentos sólidos, que orientam tanto os procedimentos técnicos quanto a conduta esperada dos usuários e operadores. Independentemente do suporte — físico ou digital — esses princípios guiam a forma como os dados são protegidos, acessados e utilizados.

4.1. Confidencialidade

Nem toda informação deve estar disponível a todos. No CAC Digital, os dados são acessíveis somente a pessoas autorizadas, conforme suas funções. O compartilhamento, quando necessário, exige justificativa clara e autorização prévia. Isso vale especialmente para dados classificados como sensíveis ou estratégicos.

4.2. Integridade

Os dados precisam ser confiáveis. Isso significa que não podem ser alterados de forma indevida ou sem registro. Para garantir isso, o sistema adota mecanismos de versionamento e monitora alterações em registros considerados críticos. A meta é manter os dados fiéis à realidade a que se referem.

4.3. Disponibilidade

Não basta proteger — é preciso garantir acesso no momento certo. Para isso, o CAC Digital opera em infraestrutura com redundância e realiza cópias de segurança de forma periódica. Se ocorrer alguma falha, há procedimentos definidos para restaurar o serviço e minimizar impactos.

4.4. Autenticidade

Toda ação no sistema deve ser identificável. Cada usuário acessa a plataforma com credenciais únicas, e apenas após autenticação adequada. Esse controle individualizado previne fraudes e permite associar cada operação a quem, de fato, a executou.

4.5. Rastreabilidade e Responsabilização

As atividades dentro da plataforma são registradas de forma que possam ser consultadas, quando necessário. Mais do que controle, trata-se de responsabilidade: cada pessoa que acessa o sistema responde pelo que faz. Isso reforça a confiança nas operações e assegura conformidade com normas internas e legais.

5. Classificação da Informação

Embora o CAC Digital não adote atualmente uma classificação formal por níveis de sigilo, reconhece que diferentes tipos de informação exigem graus variados de proteção. Dessa forma, aplicam-se, de forma prática e orientativa, os seguintes critérios gerais:

Informações públicas: são aquelas disponíveis ao público por meio do site institucional, comunicados oficiais ou documentos expressamente divulgados pela empresa.
Informações operacionais internas: incluem dados sobre a operação da plataforma, processos técnicos, documentos de rotina e registros que, embora não confidenciais, não devem ser compartilhados fora do ambiente autorizado.
Informações sensíveis e protegidas: englobam dados pessoais dos usuários (como nome, CPF, documentos, foto, endereço, dados de armas e habitualidade), bem como credenciais de acesso, arquivos criptografados, códigos de autenticação, tokens de API e qualquer outra informação cuja exposição possa representar risco à segurança ou à privacidade.

Essas informações são protegidas por controles técnicos e administrativos adequados, incluindo:

Armazenamento seguro em servidores contratados;
Criptografia de senhas e dados sensíveis;
Restrição de acesso por função e necessidade;
Controle de versionamento de documentos e sistemas;
Monitoramento de alterações relevantes.

É terminantemente vedado o envio de informações protegidas por canais não autorizados, o armazenamento em dispositivos pessoais não seguros, ou o compartilhamento de credenciais de acesso entre usuários.

6. Gestão de Acessos e Controle de Permissões

No CAC Digital, o acesso a sistemas e dados é tratado com seriedade. A política da organização segue o princípio do menor privilégio: cada pessoa acessa apenas o que precisa para desempenhar suas tarefas, nada além disso. Essa diretriz é aplicada tanto a colaboradores internos quanto a prestadores com funções específicas.

6.1. Segmentação de Perfis

Os ambientes da plataforma são organizados por níveis de acesso. O painel administrativo, por exemplo, é restrito a usuários com funções de coordenação ou supervisão. Já os módulos operacionais são acessíveis conforme o papel de cada colaborador. Essa separação reduz a exposição desnecessária de informações sensíveis e evita riscos por permissões amplas demais.

6.2. Credenciais e Identificação

Todos os acessos são feitos com login e senha próprios. Não é permitido compartilhar essas credenciais — nem mesmo entre membros da mesma equipe. Além disso, para áreas mais críticas, há camadas extras de verificação. Isso garante que qualquer operação relevante esteja associada, de forma clara, a um responsável identificado.

6.3. Uso de Dispositivos Pessoais

Embora o uso de computadores ou celulares pessoais seja aceito em alguns casos, isso só é permitido se forem observadas medidas mínimas de segurança, como:

Antivírus instalado e funcionando;
Sistema operacional atualizado;
Senhas fortes e tela com bloqueio automático;
Evitar usar máquinas públicas ou que sejam compartilhadas com terceiros.

Esses cuidados não são opcionais: eles ajudam a manter a segurança do sistema mesmo fora do ambiente físico da empresa.

6.4. Fluxo de Concessão e Revogação de Acesso

Sempre que um novo colaborador entra, muda de função ou deixa a empresa, o acesso ao sistema é revisado. Há um processo interno para isso, conduzido por quem gerencia os perfis e permissões. Assim, a empresa evita que pessoas com vínculo encerrado ainda tenham acesso a informações que não lhes dizem mais respeito.

7. Uso Aceitável dos Recursos Tecnológicos

O uso adequado dos recursos tecnológicos é fundamental para a proteção dos dados e a manutenção da integridade dos sistemas do CAC Digital. Todos os colaboradores, prestadores e parceiros devem utilizar os recursos disponibilizados de forma ética, responsável e segura.

7.1. Equipamentos e Sistemas Permitidos

A utilização dos sistemas e ferramentas do CAC Digital deve ocorrer, preferencialmente, em dispositivos seguros e autorizados. O uso de equipamentos pessoais é permitido desde que:

O dispositivo seja de uso exclusivo do colaborador;
Esteja protegido por senha de acesso e sistema de bloqueio automático;
Possua antivírus instalado e atualizado;
Receba atualizações periódicas de segurança do sistema operacional.

Não é permitido o uso de dispositivos públicos, compartilhados ou não protegidos para acesso às áreas administrativas ou bases de dados do CAC Digital.

7.2. Condutas Permitidas

São consideradas práticas aceitáveis:

Utilizar os sistemas do CAC Digital exclusivamente para as atividades autorizadas;
Realizar o armazenamento de documentos e registros nos ambientes internos previstos;
Seguir orientações técnicas recebidas da equipe de TI ou responsáveis pela operação da plataforma;
Informar imediatamente qualquer atividade suspeita, falha de segurança ou tentativa de acesso indevido.

7.3. Condutas Proibidas

São proibidas, entre outras, as seguintes condutas:

Compartilhamento de logins, senhas ou tokens de acesso;
Instalação de softwares não autorizados nos dispositivos de trabalho;
Utilização de sistemas ou canais alternativos para envio de dados pessoais;
Transferência de informações sensíveis via e-mail pessoal ou aplicativos não homologados;
Realização de cópias ou armazenamentos indevidos de bases de dados ou documentos institucionais.

A violação dessas condutas poderá acarretar medidas disciplinares, conforme previsto nesta política.

8. Gestão de Ativos e Equipamentos

Os ativos informacionais e os equipamentos utilizados na operação do CAC Digital devem ser devidamente protegidos contra perdas, danos, uso indevido ou acessos não autorizados. Para isso, a empresa estabelece diretrizes claras sobre a responsabilidade e o uso adequado desses recursos.

8.1. Ativos de Informação

São considerados ativos de informação todos os elementos que compõem o ambiente digital da plataforma, incluindo:

Dados pessoais dos usuários;
Códigos-fonte e estrutura técnica da aplicação;
Documentos internos e operacionais;
Sistemas, bases de dados e interfaces de gestão.

Esses ativos são armazenados em servidores próprios contratados, com controle de acesso, redundância e políticas de segurança aplicadas.

8.2. Uso de Dispositivos Pessoais

A utilização de dispositivos pessoais (modelo BYOD – Bring Your Own Device) é permitida mediante a adoção de práticas mínimas de segurança, como:

Bloqueio por senha, biometria ou PIN;
Antivírus e firewall ativos;
Proibição de compartilhamento com terceiros;
Vedação ao armazenamento de dados locais não autorizados.

A responsabilidade pela segurança do dispositivo pessoal utilizado é do próprio colaborador ou prestador.

8.3. Mídias Removíveis e Armazenamento Portátil

É desaconselhado o uso de mídias removíveis (pendrives, HDs externos) para transporte ou armazenamento de dados vinculados ao CAC Digital. Caso seja necessário, o uso deverá obedecer aos seguintes critérios:

Autorização prévia;
Criptografia dos arquivos;
Eliminação dos dados após a transferência;
Proibição de cópias desnecessárias.

8.4. Descarte Seguro de Informações

O descarte de documentos físicos ou digitais que contenham dados pessoais ou informações confidenciais deverá ser feito de maneira segura, conforme o tipo de mídia:

Documentos físicos: trituração ou incineração;
Arquivos digitais: sobrescrita segura ou exclusão definitiva com ferramentas apropriadas.

A reutilização de equipamentos deve ser precedida de limpeza completa e segura dos dados armazenados anteriormente.

9. Proteção contra Ameaças e Incidentes

A segurança digital é tratada como prioridade contínua no CAC Digital. A organização atua de forma proativa na prevenção de ameaças e na mitigação de riscos operacionais, por meio de práticas técnicas e organizacionais que buscam preservar a integridade das informações, dos sistemas e da própria operação.

9.1. Prevenção de Ameaças

Diversas camadas de proteção foram implementadas com o objetivo de reduzir vulnerabilidades. Entre elas:

Antivírus: Todos os servidores e estações com acesso à infraestrutura contam com soluções de proteção ativas e regularmente atualizadas;
Firewall: Barreiras de segurança em rede são empregadas para bloquear acessos externos não autorizados;
Criptografia: Informações sensíveis e senhas são armazenadas utilizando algoritmos compatíveis com as melhores práticas do setor;
Controle de acesso: Cada usuário tem permissões definidas com base em suas atribuições, o que evita exposições desnecessárias.

Além dessas medidas, revisões periódicas da infraestrutura são conduzidas com foco na identificação de falhas técnicas e aplicação de correções antes que causem impacto.

9.2. Política de Backup

A empresa mantém uma rotina de backup automatizada e sistemática, como parte da estratégia de continuidade de negócios. Os principais pontos desse processo incluem:

Armazenamento seguro dos dados, em local fisicamente separado do ambiente principal de operação;
Execução de cópias com frequência mínima semanal — podendo ser mais frequente conforme a criticidade do sistema;
Testes periódicos de restauração, feitos de forma controlada para validar a efetividade do processo.

Essa estrutura permite que os dados sejam recuperados rapidamente, em caso de falha ou perda acidental.

9.3. Detecção e Monitoramento

A infraestrutura da plataforma é monitorada de forma contínua. A detecção de acessos incomuns, comportamentos suspeitos ou falhas operacionais ocorre por meio de sistemas dedicados. Sempre que uma atividade fora do padrão é identificada, a equipe técnica é acionada para análise imediata.

9.4. Tratamento de Incidentes

Embora até o momento não tenha havido registro de incidentes com vazamento de dados ou perdas relevantes, o CAC Digital está em fase avançada de elaboração de um protocolo formal de resposta a incidentes. Esse procedimento abrangerá:

Registro detalhado da ocorrência e sua categorização;
Isolamento técnico da falha e contenção de seus efeitos;
Análise forense para rastrear a origem do problema;
Comunicação ao titular dos dados e, quando aplicável, à ANPD;
Implementação de ajustes e correções preventivas para evitar reincidência.

10. Treinamento e Conscientização

A segurança da informação não depende apenas de sistemas e tecnologias. Ela exige, sobretudo, o envolvimento consciente de quem opera, acessa ou manipula dados dentro da organização. Por isso, o CAC Digital tem investido na construção de uma cultura orientada à responsabilidade e à prevenção, envolvendo colaboradores, prestadores e parceiros.

10.1. Boas Práticas Operacionais

A equipe é periodicamente orientada quanto a procedimentos que ajudam a evitar riscos comuns, como:

Criação e manutenção de senhas fortes, sem reutilização entre sistemas;
Atenção a mensagens suspeitas que possam indicar tentativas de phishing ou engenharia social;
Identificação de comportamentos fora do padrão em sistemas e contas;
Cuidados básicos no envio e armazenamento de documentos ou dados pessoais.

Esses conteúdos são transmitidos em linguagem acessível, com exemplos extraídos do cotidiano de trabalho — evitando termos excessivamente técnicos e focando na aplicabilidade prática das recomendações.

10.2. Comunicação e Registro

As orientações são compartilhadas por diferentes meios institucionais: e-mails, comunicados internos, mensagens direcionadas e, quando necessário, avisos inseridos diretamente na plataforma. Cada comunicação relevante é registrada, servindo como comprovação de ciência e como parte da trilha de conformidade da empresa.

Além de informar, o objetivo é aumentar o senso de responsabilidade compartilhada, no qual cada pessoa que interage com o sistema entende seu papel na proteção dos dados e como agir diante de situações de risco.

11. Responsabilidades e Sanções

A segurança da informação é um compromisso coletivo, que depende da atuação responsável de todos os agentes envolvidos na operação do CAC Digital. Cada colaborador, prestador ou parceiro que interage com os dados e sistemas da empresa tem papel fundamental na prevenção de riscos e no cumprimento das normas estabelecidas.

11.1. Responsabilidade Individual

Todos os usuários com acesso aos sistemas do CAC Digital devem:

Utilizar os recursos tecnológicos exclusivamente para os fins autorizados;
Proteger credenciais de acesso, não as compartilhando sob nenhuma circunstância;
Zelar pelo sigilo e integridade das informações acessadas;
Reportar imediatamente qualquer falha, suspeita de incidente ou comportamento anormal;
Cumprir integralmente as diretrizes desta política e das normas internas correlatas.

O desconhecimento das regras aqui previstas não exime o usuário de sua responsabilidade legal e institucional.

11.2. Responsabilidade Institucional

A ARSENAL TECNOLOGIA LTDA, como controladora e operadora dos dados tratados no CAC Digital, compromete-se a:

Garantir a implementação de controles técnicos e administrativos adequados;
Atualizar periodicamente suas políticas e procedimentos conforme evolução da legislação e das ameaças;
Promover ambiente organizacional que favoreça o cumprimento das boas práticas de segurança da informação;
Atuar com diligência em situações que envolvam incidentes, riscos ou denúncias de descumprimento.

11.3. Sanções Aplicáveis

O descumprimento das normas estabelecidas nesta política poderá ensejar:

Advertência formal;
Restrição de acesso aos sistemas;
Afastamento de funções;
Rescisão contratual, quando aplicável;
Medidas cíveis ou criminais nos casos de dolo, negligência grave ou má-fé.

A aplicação das sanções será proporcional à gravidade do ato e deverá observar os direitos à ampla defesa e ao contraditório.

12. Continuidade de Negócio e Recuperação de Desastres

A continuidade das operações e a capacidade de recuperação diante de falhas ou incidentes críticos são essenciais para a estabilidade e a confiança na plataforma CAC Digital. Para isso, a ARSENAL TECNOLOGIA LTDA adota medidas estruturadas voltadas à resiliência operacional.

12.1. Objetivo da Continuidade

Esta política visa assegurar que, mesmo diante de eventos imprevistos, como falhas técnicas, indisponibilidade de infraestrutura ou desastres operacionais, as funcionalidades essenciais do CAC Digital sejam restabelecidas no menor tempo possível, com o mínimo de impacto aos usuários.

12.2. Medidas Preventivas

Entre as principais práticas de continuidade e mitigação adotadas, destacam-se:

Utilização de servidores contratados com infraestrutura redundante;
Execução de backups automáticos e rotineiros;
Armazenamento de cópias em ambientes distintos;
Definição de rotinas operacionais críticas com controle de integridade.

12.3. Recuperação e Resposta

Em caso de incidente que comprometa o funcionamento da plataforma ou a segurança dos dados:

A equipe técnica será acionada para avaliação e resposta imediata;
Os dados serão restaurados a partir dos backups mais recentes disponíveis;
Serão aplicadas medidas corretivas e preventivas conforme análise do ocorrido;
Se houver impacto significativo ao titular, será realizada comunicação transparente e tempestiva, nos termos da legislação vigente.

A empresa compromete-se a revisar, sempre que necessário, seus mecanismos de prevenção, resposta e recuperação, em alinhamento com os princípios da boa-fé, transparência e responsabilização.

13. Monitoramento, Auditoria e Melhoria Contínua

A segurança da informação é um processo contínuo de adaptação e aprimoramento. O CAC Digital estabelece mecanismos de monitoramento e auditoria que visam não apenas garantir a conformidade com esta política, mas também promover melhorias constantes em suas práticas de proteção de dados.

13.1. Monitoramento Operacional

A infraestrutura do CAC Digital é monitorada de forma permanente para detecção de falhas, acessos não autorizados e comportamentos anômalos. Os ambientes de produção e os serviços críticos são acompanhados por soluções técnicas adequadas, com atuação proativa da equipe responsável.

13.2. Auditoria Interna

A ARSENAL TECNOLOGIA LTDA adota uma política de auditoria interna simplificada, com revisões periódicas de suas práticas de segurança da informação. Essas auditorias têm como foco:

Verificação do cumprimento das normas previstas nesta política;
Análise de conformidade com os princípios da LGPD;
Avaliação dos controles de acesso, backups e uso de dispositivos.

Os resultados das auditorias orientam ajustes operacionais e eventuais atualizações normativas.

13.3. Revisão e Atualização

Nenhuma política deve ser considerada definitiva. No CAC Digital, o conteúdo deste documento é revisto de tempos em tempos, não apenas por obrigação formal, mas para garantir que continue fazendo sentido diante das mudanças no cenário legal, tecnológico e operacional.

Algumas situações que normalmente acionam esse processo de revisão incluem:

A entrada em vigor de leis ou normas que alterem a base jurídica vigente;
Mudanças importantes na forma como a plataforma funciona ou nos serviços que oferece;
Aparecimento de novas ameaças ou vulnerabilidades que exijam ajustes nas medidas de segurança;
Conclusão de auditorias internas que tragam recomendações estruturadas.

A iniciativa para uma atualização pode partir da diretoria, da equipe técnica ou de parceiros externos contratados para fins de consultoria. Em qualquer caso, o objetivo é manter a política alinhada com a prática real e com o que se espera de uma organização comprometida com a proteção de dados.

14. Disposições Finais

14.1. Vigência

Esta Política de Segurança da Informação entra em vigor na data de sua publicação interna e permanecerá válida por prazo indeterminado, até que nova versão seja oficialmente divulgada.

14.2. Responsabilidade pela Manutenção

A responsabilidade pela manutenção, revisão e atualização desta política recai sobre o responsável técnico pela governança da informação e proteção de dados designado internamente, conforme estrutura organizacional da empresa.

14.3. Publicação e Divulgação

Esta política será disponibilizada aos colaboradores, prestadores e demais agentes relevantes por meio digital. A ciência e o compromisso com seu cumprimento serão requeridos como parte das obrigações institucionais de segurança da informação.

14.4. Casos Omissos

As situações não previstas neste documento serão analisadas pelo responsável técnico competente, que poderá emitir orientações complementares ou propor revisões formais da política, sempre com base nos princípios da LGPD e nas melhores práticas de segurança da informação.

Política atualizada em: 20/06/2025.