Segurança, Incidentes e Transferências
Como Marina Cardoso protege os dados tratados no ODWForest e quem participa da operação técnica.
Medidas de segurança
- Criptografia em repouso: campos sensíveis (GPS, documentos, assinaturas, notas fiscais e dados de RH quando aplicável) usam AES-256-GCM com chave gerenciada.
- Transporte seguro: HTTPS/TLS obrigatório, HSTS e cabeçalhos de segurança (CSP, nosniff, frame-ancestors).
- Controle de acesso: autenticação por sessão, RBAC por cargo, permissões granulares de RH e módulos, princípio do menor privilégio.
- Proteção de escrita: CSRF, rate limit, validação e sanitização de entradas, prepared statements.
- Trilha de auditoria: registros encadeados por hash (append-only) para ações materiais, com verificação de integridade.
- DLP: monitoramento de exportações, leituras em massa e acessos sensíveis, com alertas para a equipe de segurança.
- Backups: cópias criptografadas, política de retenção e réplicas; restauração testada periodicamente.
Fornecedores e operadores envolvidos
O sistema é operado em ambiente próprio da controladora. Os principais fornecedores técnicos com potencial contato com dados são:
- Hostinger — hospedagem do servidor e serviços de e-mail transacional. Atua como operador/suboperador de infraestrutura, com acesso restrito ao ambiente.
- Cloudflare — proteção de borda (WAF/CDN). O tráfego passa pela rede global da Cloudflare, o que caracteriza transferência internacional; a base contratual e o registro dessa transferência integram o inventário de fornecedores da controladora.
- Serviços pontuais: clima automático por fazenda (opcional, desligado por padrão), consultado pelo servidor com a coordenada da fazenda, sem dado do colaborador; consulta de CEP (ViaCEP) feita pelo servidor, apenas com o CEP digitado.
- Integração de RH (Wehandle) — em implementação, com contrato e DPA em formalização.
Status contratual: os DPAs/contratos de operador com esses fornecedores estão em formalização pela controladora. Enquanto não estiverem assinados, o inventário de fornecedores permanece aberto no checklist de conformidade.
Incidentes de segurança
Incidentes suspeitos são registrados, triados e contidos pela equipe de segurança, com trilha de auditoria. Quando um incidente puder acarretar risco ou dano relevante aos titulares, a controladora avalia e, se aplicável, comunica a ANPD e os titulares afetados nos prazos regulatórios, com as informações exigidas.
Para relatar uma suspeita de incidente ou vulnerabilidade, use o canal do encarregado abaixo. Não inclua dados pessoais desnecessários na mensagem inicial.
Cookies e armazenamento local
O sistema utiliza cookies essenciais de sessão (Secure, HttpOnly, SameSite) para autenticação e segurança, e armazenamento local (IndexedDB) no dispositivo para o funcionamento offline dos aplicativos de campo, com dados cifrados quando sensíveis. Não são utilizados cookies de publicidade ou rastreamento de terceiros.
Contato
Encarregado (DPO)
Marina Cardoso