Resposta a incidentes de segurança

Tentativas de invasão são cada vez mais frequentes e sofisticadas, e isso vale para qualquer empresa de tecnologia. Por isso, não baseamos a nossa segurança na promessa de que nada vai acontecer, mas em três pilares: prevenir com boas práticas, detectar cedo e responder com rapidez, método e transparência.

Esta política orienta a nossa conduta e está alinhada à Lei Geral de Proteção de Dados (LGPD), em especial aos arts. 46 a 48, e ao regulamento de comunicação de incidentes da Autoridade Nacional de Proteção de Dados (ANPD), a Resolução CD/ANPD nº 15/2024.

Tratamos como incidente qualquer evento, confirmado ou suspeito, que possa comprometer a confidencialidade, a integridade ou a disponibilidade de dados, como:

• acesso ou tentativa de acesso não autorizado ao sistema ou aos dados;
• vazamento, divulgação, perda ou alteração indevida de informações;
• credenciais de usuário comprometidas, ou código malicioso (como vírus ou ransomware);
• falhas que exponham dados a quem não deveria vê-los, ou indisponibilidade que afete a segurança dos dados.

Diante de qualquer indício de incidente, seguimos um protocolo de resposta, com responsáveis definidos:

• 1. Detecção e triagem: identificamos o alerta (por monitoramento, por aviso de cliente ou de terceiros), avaliamos a gravidade e acionamos a equipe responsável.
• 2. Contenção imediata: tomamos as medidas necessárias para impedir que o problema se espalhe (veja a seção 4).
• 3. Investigação e preservação de evidências: apuramos o que aconteceu, quais dados foram afetados e como, preservando registros para análise.
• 4. Correção e recuperação: eliminamos a causa, corrigimos falhas e restabelecemos o serviço, inclusive a partir de cópias de segurança, quando necessário.
• 5. Comunicação: avisamos o cliente e, quando a lei exige, a ANPD e os titulares, com informações claras (seções 5 e 6).
• 6. Aprendizado: analisamos a causa raiz, registramos o caso e melhoramos controles, processos e treinamentos para reduzir a chance de repetição.

Ao menor indício de que dados possam estar em risco, priorizamos reduzir o dano, mesmo antes de ter todas as respostas. Conforme a situação, podemos, sem aviso prévio:

• bloquear acessos, inclusive ao banco de dados e aos ambientes afetados;
• encerrar sessões ativas e redefinir ou revogar senhas e credenciais;
• suspender temporariamente integrações, canais (como o WhatsApp) e recursos específicos;
• isolar sistemas comprometidos e preservar registros e evidências para a investigação.

Essas medidas podem causar indisponibilidade temporária do sistema ou de parte dele. É uma escolha deliberada: entre manter tudo no ar e proteger os dados, protegemos os dados. Sempre que possível, informaremos o que está acontecendo e quando prevemos restabelecer o serviço.

Em relação aos dados de moradores, colaboradores e demais pessoas cadastrados na plataforma, o condomínio é o controlador e a KeepCondo é a operadora. A lei atribui ao controlador o dever de comunicar a ANPD e os titulares quando o incidente puder gerar risco ou dano relevante. Por isso, nosso papel é dar ao condomínio as condições de cumprir esse dever no prazo.

Quando confirmarmos que dados do Cliente foram afetados, avisaremos o Cliente sem demora injustificada e, em regra, em até 48 horas da confirmação, pelo contato cadastrado. O aviso informará, na medida do que já for conhecido: a natureza dos dados afetados; os titulares envolvidos; as medidas técnicas e de segurança adotadas; os riscos relacionados; as medidas adotadas ou previstas para reverter ou mitigar os efeitos; a data em que tomamos conhecimento, o contato do nosso encarregado e, se houver demora, os motivos. As informações serão complementadas conforme a apuração avançar, e apoiaremos o Cliente na comunicação à ANPD e aos titulares.

Quanto aos dados que tratamos como controladora (por exemplo, contato comercial e dados de contratação), nós mesmos comunicamos a ANPD e os titulares afetados, quando o incidente puder acarretar risco ou dano relevante, nos prazos da regulamentação vigente. Hoje, a Resolução CD/ANPD nº 15/2024 prevê 3 dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, tanto para comunicar a ANPD quanto para comunicar os titulares, em linguagem simples e, sempre que possível, de forma direta e individual. Se, nesse prazo, ainda não houver todas as informações, a comunicação pode ser complementada, de forma fundamentada, em até 20 dias úteis. Agentes de tratamento de pequeno porte têm esses prazos contados em dobro, nos termos da regulamentação. Acompanhamos a legislação e ajustamos esta política se as regras mudarem.

Mantemos registro interno de cada incidente, inclusive dos que não exigirem comunicação, com a data do conhecimento, as circunstâncias, os dados e o número de titulares envolvidos, a avaliação de risco, as medidas de correção e mitigação e as lições aprendidas, guardado por no mínimo cinco anos, conforme a regulamentação. Após a conclusão, o Cliente afetado pode receber um relatório com a causa identificada e as ações corretivas. Revisamos este plano periodicamente e a cada incidente relevante.

Se notar algo suspeito, como acesso que você não reconhece, mensagem estranha em nome da KeepCondo ou perda de aparelho com acesso ao sistema, avise imediatamente por privacidade@keepcondo.com ou contato@keepcondo.com, e troque a sua senha. Quanto mais cedo soubermos, mais rápido conseguimos conter o problema. Nunca compartilhe sua senha: a equipe KeepCondo não a solicita.

Pedimos também que, enquanto o incidente estiver sendo apurado, as informações sobre ele sejam tratadas com cuidado, para não atrapalhar a investigação nem expor ainda mais as pessoas afetadas.

Esta política descreve como agimos diante de incidentes; ela não garante que incidentes nunca ocorrerão. Ela se soma à Política de Privacidade, ao Acordo de Processamento de Dados e aos Termos de Uso, que continuam regendo as responsabilidades das partes. Podemos atualizá-la, e a versão vigente estará sempre nesta página. A versão em português do Brasil é a vinculante.