Política de Segurança da Informação e Segurança Cibernética

21.1 Seleção de terceiros

O processamento e armazenamento de dados e computação em nuvem será realizado por meio de terceiros localizados no Brasil ou no exterior. A contratação de terceiros deve ser realizada por meio da aferição da capacidade do prestador de serviço para realizar as atividades em cumprimento com a legislação e regulamentação aplicável. Desta forma, a BrFideliza adotará procedimentos para verificação da capacidade do potencial prestador de serviço de forma a assegurar:

• O cumprimento da legislação e da regulamentação em vigor, incluindo a Lei Geral de Proteção de Dados, no que tange a proteção dos dados pessoais utilizados para o processamento de transações;
• Garantia que, mesmo que os dados e informações sejam hospedados no exterior, que cumpram todos os requisitos da legislação brasileira;
• O acesso da BrFideliza aos dados e às informações a serem processados ou armazenados pelo prestador de serviço;
• A confidencialidade, a integridade, a disponibilidade e a recuperação dos dados e das informações processados ou armazenados pelo prestador de serviço;
• A aderência do prestador de serviço a certificações exigidas pela BrFideliza para a prestação do serviço a ser contratado;
• O acesso da BrFideliza aos relatórios elaborados por empresa de auditoria especializada independente contratada pelo prestador de serviço, relativos aos procedimentos e aos controles utilizados na prestação dos serviços a serem contratados;
• O provimento de informações e de recursos de gestão adequados ao monitoramento dos serviços a serem prestados;
• A identificação e a segregação dos dados dos usuários finais da BrFideliza por meio de controles físicos ou lógicos;
• A qualidade dos controles de acesso voltados à proteção dos dados e das informações dos usuários finais da BrFideliza.

Na avaliação da relevância do serviço a ser contratado, a BrFideliza também deverá considerar a criticidade do serviço e a sensibilidade dos dados e das informações a serem processados, armazenados e gerenciados pelo contratado. Todos os procedimentos deverão ser documentados.

Ademais, a BrFideliza adotará recursos e medidas necessários para a adequada gestão dos serviços a serem contratados, inclusive para análise de informações e uso dos recursos providos pelo potencial prestador de serviços.

21.2 Execução de aplicativos pela internet

No caso da execução de aplicativos por meio da internet, a BrFideliza deverá assegurar que o potencial prestador dos serviços adote controles para a proteção contra os efeitos de eventuais vulnerabilidades na liberação de novas versões do aplicativo.

21.3 Serviços de computação em nuvem

Os serviços de computação em nuvem disponibilizados à BrFideliza, sob demanda e de maneira virtual, deverão incluir um ou mais serviços conforme descritos abaixo:

• Processamento de dados, armazenamento de dados, infraestrutura de redes e outros recursos computacionais que permitam à BrFideliza implantar ou executar softwares, que podem incluir sistemas operacionais e aplicativos desenvolvidos pela BrFideliza ou por ela adquiridos;
• Implantação ou execução de aplicativos desenvolvidos pela BrFideliza, ou por ela adquiridos, utilizando recursos computacionais do prestador de serviços;

Execução, por meio da internet, dos aplicativos implantados ou desenvolvidos pelo prestador de serviço, com a utilização de recursos computacionais do próprio prestador de serviços.

A BrFideliza é responsável, em conjunto com o prestador de serviços, pela confiabilidade, pela integridade, pela disponibilidade, pela segurança e pelo sigilo em relação aos serviços contratados, bem como pelo cumprimento da legislação e da regulamentação em vigor.
A contratação de serviços relevantes de processamento, armazenamento de dados e de computação em nuvem será comunicada pela BrFideliza ao Bacen, nos termos da legislação em vigor.

21.4 Contratação de serviços de computação em nuvem no exterior

Em caso de contratação de serviços de processamento, armazenamento de dados e de computação em nuvem no exterior, a BrFideliza observará os seguintes requisitos:

• Existência de convênio para troca de informações entre o Bacen e as autoridades supervisoras dos países onde os serviços serão prestados;
• Verificação de que a prestação dos serviços não causará prejuízos ao seu regular funcionamento nem embaraço à atuação do Bacen;
• Definição dos países e regiões em cada país em que os serviços serão prestados e os dados armazenados, processados e gerenciados. Essa definição deverá ocorrer antes da contratação dos serviços;
• Previsão de alternativas para a continuidade dos serviços de pagamento prestados, no caso de impossibilidade de manutenção ou extinção do contrato de prestação de serviços.

Caso não haja convênio para troca de informações entre o Bacen e as autoridades supervisoras dos países em que os serviços serão prestados, a BrFideliza solicitará autorização do Bacen para a contratação do serviço. O prazo para solicitar autorização é de 60 dias anteriores à contratação. Caso haja alterações contratuais que impliquem em modificação das informações, a BrFideliza solicitará autorização 60 dias antes da alteração contratual.

A BrFideliza tem a responsabilidade de assegurar que a legislação e a regulamentação nos países em que os serviços serão prestados não restrinjam ou impeçam o acesso da BrFideliza e do Bacen aos dados e às informações. A comprovação do atendimento aos requisitos e o cumprimento desta exigência deverão ser documentados.

21.5 Contrato de prestação de serviços

A BrFideliza deverá assegurar que os contratos de prestação de serviços de processamento, armazenamento de dados e computação em nuvem prevejam:

• A indicação dos países e da região em cada país em que os serviços serão prestados e os dados armazenados, processados e gerenciados;
• A adoção de medidas de segurança para a transmissão e armazenamento dos dados;
• A manutenção, enquanto o contrato estiver vigente, da segregação dos dados e dos controles de acesso para proteção das informações dos usuários finais;
• Em caso de extinção do contrato, a obrigatoriedade de transferência dos dados ao novo prestador de serviços ou à BrFideliza, bem como a exclusão dos dados pela empresa contratada substituída, após a transferência dos dados e a confirmação da integridade e da disponibilidade dos dados recebidos.
• O acesso da BrFideliza às informações fornecidas pela empresa contratada; bem como as informações relativas às certificações e aos relatórios de auditoria especializada e informações e recursos de gestão adequados ao monitoramento dos serviços a serem prestados;
• A obrigação da empresa contratada notificar a BrFideliza sobre a subcontratação de serviços relevantes para a BrFideliza;
• A permissão de acesso do Bacen aos contratos e acordos firmados para a prestação de serviços, documentação e informações referentes aos serviços prestados, dados armazenados e informações sobre seus processamentos, cópias de segurança dos dados e das informações, bem como códigos de acesso aos dados e informações;

• A adoção de medidas pela BrFideliza, em decorrência de determinação do Bacen;
• A obrigação de a empresa contratada manter a BrFideliza permanentemente informada sobre eventuais limitações que possam afetar a prestação dos serviços ou o cumprimento da legislação e da regulamentação em vigor.
  
  

Em caso de decretação de regime de resolução da BrFideliza pelo Bacen, o contrato de prestação de serviços deve prever:

• A obrigação de a empresa contratada conceder pleno e irrestrito acesso do responsável pelo regime de resolução aos contratos, acordos, documentação e informações referentes aos serviços prestados, dados armazenados e informações sobre seus processamentos, cópias de segurança dos dados e das informações, bem como códigos de acesso, que estejam em poder da empresa contratada;

A obrigação de notificação prévia do responsável pelo regime de resolução sobre a intenção de a empresa contratada interromper a prestação de serviços. A notificação deverá ocorrer com 30 dias de antecedência da data prevista para a interrupção dos serviços prestados e deverá determinar que:

• A empresa contratada se obriga a aceitar eventual pedido de prazo adicional de 30 dias para a interrupção do serviço, feito pelo responsável pelo regime de resolução;

• A notificação prévia deverá ocorrer também na situação em que a interrupção for motivada por inadimplência da BrFideliza.
  
  

21.6 Comunicação ao bacen

A comunicação ao Bacen deve conter as seguintes informações:

• O nome da empresa a ser contratada;
• Os serviços relevantes a serem contratados;
• No caso de contratação no exterior, indicação dos locais onde os serviços serão prestados e os dados armazenados, processados e gerenciados.
  
  

O prazo para comunicação será de 10 dias, contados a partir da contratação dos serviços. Caso haja alterações contratuais que impliquem em modificação das informações, a comunicação ao Bacen deverá ocorrer em 10 dias contados da alteração contratual, salvo na hipótese prevista no item 18 “d”.