Política de Segurança da Informação
Como a Fidelimax protege a plataforma e os dados tratados nela, o que cabe a cada cliente e como falar com a gente sobre segurança.
Esta política explica como a Fidelimax protege a plataforma e os dados tratados nela, o que cabe à Fidelimax e o que cabe a cada cliente, e como falar com a gente sobre qualquer tema de segurança. Ela complementa os Termos de Uso e a Política de Privacidade, que prevalecem em caso de conflito.
A Fidelimax é uma plataforma SaaS (software como serviço) compartilhada: a mesma infraestrutura atende a todos os clientes. Por isso, a segurança da plataforma é tratada como responsabilidade nossa, de forma contínua e para todos, independentemente do plano contratado.
Trabalhamos para manter a plataforma segura, disponível e monitorada, e respondemos a qualquer questionamento ou incidente de segurança com seriedade e transparência, dentro dos limites descritos nesta política.
Entre as medidas que adotamos:
- Proteção na borda: firewall de aplicação web (WAF), controle de volume de requisições (rate limiting) e filtragem de tráfego malicioso.
- Criptografia: todo o acesso à plataforma é feito por HTTPS (TLS). Fornecemos, sem custo extra, certificados digitais para todos os domínios usados na plataforma, inclusive os domínios próprios dos clientes.
- Monitoramento contínuo: acompanhamento da plataforma 24 horas por dia, com alertas automáticos e registro de eventos (logs) para investigação.
- Atualização constante: publicamos atualizações várias vezes ao dia e acompanhamos os comunicados de segurança dos componentes que usamos, aplicando as correções com prioridade.
- Controle de acesso interno: acesso aos ambientes de produção restrito a pessoas autorizadas, com o mínimo de privilégio necessário.
- Segregação de redes: bancos de dados e serviços internos sem exposição direta à internet.
- Cópias de segurança: backups automáticos dos dados da plataforma.
- Testes de segurança: testes de intrusão (pentests) periódicos, feitos pela equipe interna e por empresa especializada independente.
Como a plataforma é compartilhada, cada detalhe técnico divulgado a um cliente fica exposto para todos. Informações como versões de componentes ou resultados de testes ajudariam um atacante a planejar um ataque contra a plataforma inteira. Por isso, para proteger todos os clientes por igual, mantemos em sigilo:
- versões de sistemas, frameworks, bibliotecas e demais componentes;
- código-fonte, arquivos de dependências (como lockfiles e SBOMs) e configurações;
- detalhes da arquitetura e da infraestrutura;
- relatórios de testes de intrusão (pentests) e de varreduras de segurança.
Isso não significa que deixamos de avaliar um apontamento. Toda dúvida ou alerta é analisado pela nossa equipe técnica, e respondemos com a conclusão (por exemplo, se a plataforma é afetada e se a correção já está aplicada), sem expor os detalhes internos.
Precisa de um ambiente exclusivo? Para clientes que exigem uma infraestrutura dedicada, sem compartilhamento com outros clientes e em ambiente segregado, oferecemos um plano customizado, com preço sob consulta. Fale com o nosso time comercial.
Mesmo no plano customizado, o ambiente é operado e gerenciado exclusivamente pela Fidelimax. A Fidelimax não instala a plataforma na infraestrutura do cliente (on-premises) e não fornece código-fonte, imagens ou pacotes dos seus sistemas.
A segurança do uso da plataforma depende da Fidelimax e de cada cliente.
Cabe à Fidelimax: a segurança da infraestrutura, das aplicações e dos dados armazenados na plataforma, conforme esta política e os Termos de Uso.
Cabe ao cliente: o uso seguro das contas e integrações do seu programa. Recomendamos:
- Ativar a verificação em duas etapas (MFA) para todos os usuários do painel.
- Usar senhas fortes e exclusivas, sem reaproveitar senhas de outros serviços e sem compartilhar logins entre pessoas.
- Revisar os usuários com acesso periodicamente e remover imediatamente quem saiu da empresa ou mudou de função.
- Tratar as chaves de API como senhas: guardar em local seguro, nunca publicar em código, planilhas ou mensagens, e trocá-las periodicamente e sempre que houver suspeita de exposição.
- Dar a cada integração apenas o acesso necessário.
- Proteger os dispositivos usados para acessar a plataforma (sistema atualizado, antivírus, cuidado com phishing).
A Fidelimax não responde por acessos indevidos que decorram de credenciais do cliente comprometidas, fracas, compartilhadas ou mal guardadas (senhas, chaves de API ou dispositivos), nem pelo que for feito com elas. Se suspeitar de um acesso indevido, troque as senhas e chaves envolvidas e nos avise imediatamente.
Nos termos da Lei Geral de Proteção de Dados (Lei nº 13.709/2018):
- Em relação aos dados dos participantes dos programas de fidelidade (os clientes finais de cada cliente), o cliente é o controlador e a Fidelimax atua como operadora, tratando os dados conforme as instruções do cliente e para a prestação do serviço contratado.
- Em relação aos dados dos próprios clientes e usuários do painel (cadastro, contato e faturamento), a Fidelimax atua como controladora.
Como operadora, a Fidelimax responde pelo tratamento que realiza, nos limites da lei e do contrato. As decisões sobre quais dados coletar, para quê, por quanto tempo e com quais bases legais são do cliente, como controlador. Mais detalhes estão na Política de Privacidade.
Pedidos de titulares sobre os dados que a Fidelimax trata como controladora, como a confirmação de tratamento e o acesso aos dados, podem ser feitos pelo e-mail dpo [@] fidelimax.com.br. Nossa resposta geralmente acontece em até 4 dias úteis, embora a LGPD (Lei nº 13.709/2018, art. 19, inciso II) estabeleça prazo de até 15 dias.
Cada vez mais empresas conectam assistentes e agentes de IA a sistemas como o nosso, por exemplo pela API. Se você fizer isso:
- Use uma chave de API exclusiva para o agente, com o menor acesso possível, para poder revogá-la sem afetar outras integrações.
- Não cole senhas, chaves de API ou dados pessoais de participantes em ferramentas de IA de terceiros sem avaliar os termos de uso e de privacidade dessas ferramentas.
- Mantenha revisão humana antes de ações sensíveis, como alterar cadastros, saldos, campanhas ou enviar comunicações em massa.
- Registre e acompanhe as ações feitas pelo agente, e revogue a chave se notar comportamento inesperado.
- Respeite os limites de uso da API (rate limits) descritos em docs.fidelimax.com.br. Agentes que excedem esses limites podem ter as requisições bloqueadas.
- Lembre que as ações executadas por um agente com as credenciais do cliente são de responsabilidade do cliente, como qualquer outro acesso feito com essas credenciais.
Como a Fidelimax usa IA: a Fidelimax não usa dados dos clientes nem dos participantes dos programas para treinar modelos de IA. Os nossos recursos de IA são construídos com perguntas e respostas genéricas, sem dados pessoais e sem informações de clientes.
Valorizamos quem nos ajuda a manter a plataforma segura.
Testes de intrusão e varreduras ativas contra a plataforma ou contra domínios que apontam para ela só podem ser feitos com autorização prévia e por escrito da Fidelimax. Como a plataforma é compartilhada, um teste não autorizado pode afetar outros clientes. Monitoramentos passivos (consulta a páginas públicas, sem exploração) não precisam de autorização.
Encontrou uma possível vulnerabilidade, ou recebeu um alerta da sua consultoria de segurança? Envie para dpo [@] fidelimax.com.br com:
- o endereço ou a funcionalidade afetada;
- a descrição do problema e, se houver, a CVE relacionada;
- as evidências e os passos para reproduzir;
- um contato para retorno.
Nosso compromisso:
- confirmar o recebimento em até 3 dias úteis;
- analisar o apontamento e informar a conclusão;
- quando houver correção a fazer, priorizá-la conforme a gravidade e avisar quando estiver aplicada;
- trabalhar em conjunto com quem reportou, mantendo o sigilo do relato.
Pedimos que quem reportar não divulgue publicamente a vulnerabilidade antes de ela ser corrigida, não acesse, altere ou copie dados de terceiros e não prejudique a disponibilidade da plataforma. Quem age de boa-fé e segue estas regras não será alvo de nenhuma medida da nossa parte.
Se ocorrer um incidente de segurança que possa afetar dados pessoais tratados em nome de um cliente, a Fidelimax comunicará o cliente afetado sem demora indevida, com as informações disponíveis sobre o ocorrido, os dados envolvidos e as medidas adotadas, para que ele possa cumprir as suas obrigações como controlador perante a ANPD e os titulares.
- Encarregado de dados (DPO) e segurança: dpo [@] fidelimax.com.br
- Suporte geral: ajuda [@] fidelimax.com.br · (11) 2614-6424
Esta política pode ser atualizada a qualquer momento. A versão vigente é sempre a publicada nesta página.