Medidas de Segurança
Medidas de Segurança do ProcessMind
Data de vigência: 15 de abril de 2026
Este documento descreve as medidas técnicas e organizacionais (“TOMs”) que a ProcessMind B.V. mantém para garantir a confidencialidade, integridade e disponibilidade dos Dados do Cliente. Estas medidas complementam o Adendo de Processamento de Dados , a Política de Privacidade e a Política de Hospedagem SaaS . O ProcessMind revisa e atualiza estas diretrizes ao menos uma vez por ano.
Os Dados do Cliente nunca são vendidos, compartilhados ou usados por terceiros para fins próprios.
1. Segurança da Infraestrutura
1.1 Plataforma em Nuvem. O ProcessMind é hospedado exclusivamente na Amazon Web Services (AWS) na UE (Frankfurt, Alemanha, eu-central-1). A AWS mantém as certificações ISO 27001, ISO 27017, ISO 27018, SOC 1/2/3 e PCI DSS. Consulte os Programas de Conformidade da AWS para ver a lista completa.
1.2 Arquitetura Serverless. Toda a lógica da aplicação é executada no AWS Lambda (serverless). Não existem servidores de longa duração para corrigir ou reforçar a segurança, eliminando toda uma categoria de riscos de infraestrutura, como sistemas operacionais desatualizados, invasões persistentes e erros de configuração de servidor.
1.3 Isolamento de Rede. Todos os recursos de computação e banco de dados operam dentro de uma Virtual Private Cloud (VPC) utilizando sub-redes privadas sem acesso direto à internet. As instâncias de banco de dados não são acessíveis publicamente; elas podem ser alcançadas apenas via AWS RDS Data API a partir de funções Lambda autorizadas.
1.4 Entrega de Conteúdo. Os ativos estáticos são entregues através do Amazon CloudFront com cabeçalhos de resposta rígidos de Política de Segurança de Conteúdo (CSP), incluindo restrições de frame-ancestors para evitar ataques de clickjacking.
1.5 Segregação de Ambientes. Os ambientes de produção e desenvolvimento utilizam contas AWS separadas, bancos de dados distintos e stacks de infraestrutura independentes, gerenciadas pelo AWS Control Tower com as melhores práticas de segregação de contas. Barreiras preventivas e detectivas garantem os padrões de segurança em todas as contas. Credenciais de desenvolvedores não têm acesso aos Dados do Cliente em ambiente de produção.
2. Criptografia de Dados
2.1 Criptografia em Trânsito. Todos os dados transmitidos entre clientes e os serviços do ProcessMind são criptografados usando TLS 1.2 ou superior. O HTTPS é obrigatório em todos os endpoints de API, uploads de S3 e na aplicação web. A comunicação interna entre serviços dentro da VPC também utiliza canais criptografados.
2.2 Criptografia em Repouso. Todos os bancos de dados (Amazon Aurora PostgreSQL) são criptografados em repouso usando AES-256 através do AWS Key Management Service (KMS), com uma chave gerenciada pelo cliente e rotação anual automática ativada. Todo o armazenamento (Amazon S3) é criptografado em repouso usando AES-256 via criptografia no lado do servidor com chaves gerenciadas pelo Amazon S3 (SSE-S3).
2.3 Gerenciamento de Chaves. As chaves de criptografia do banco de dados são coordenadas centralmente via AWS KMS. O acesso às chaves é controlado por políticas de IAM seguindo o princípio do privilégio mínimo. As chaves de criptografia do S3 são gerenciadas automaticamente pela AWS. As chaves nunca ficam armazenadas no código da aplicação ou em arquivos de configuração.
3. Isolamento e Residência de Dados
3.1 Isolamento de Tenant. Cada organização de cliente recebe uma instância de banco de dados dedicada e isolada. Os Dados do Cliente nunca são misturados com dados de outros clientes no nível do banco de dados. Metadados compartilhados (ex: registros de conta, faturamento) são armazenados em um banco de dados multi-tenant separado com controles de acesso rigorosos.
3.2 Residência de Dados. Todos os Dados do Cliente, incluindo bancos de dados, arquivos enviados, backups e resultados de consultas, são armazenados exclusivamente na UE (Frankfurt, Alemanha). O ProcessMind não transfere nem replica Dados do Cliente para fora do Espaço Econômico Europeu.
3.3 Retenção e Exclusão de Dados. Para assinaturas pagas, os Dados do Cliente são excluídos automaticamente noventa (90) dias após o fim do contrato. Para contas de teste, os dados são excluídos automaticamente treze (13) meses após a criação da conta. Os clientes podem excluir seus dados a qualquer momento pela aplicação ou entrando em contato com o ProcessMind. Dados em backups automáticos expiram em um período adicional de noventa (90) dias. Detalhes completos estão disponíveis na Seção 6 do Adendo de Processamento de Dados .
4. Gestão de Identidade e Acesso
4.1 Autenticação. O ProcessMind suporta Single Sign-On (SSO) via Microsoft Entra ID (Azure AD), Google OAuth 2.0/OIDC e LinkedIn OAuth 2.0/OIDC. O ProcessMind atua como uma parte confiável e não armazena senhas de usuários. A autenticação de dois fatores (MFA) é suportada através do provedor de identidade do cliente.
4.2 Gerenciamento de Sessão. Todas as sessões utilizam JSON Web Tokens (JWT) assinados, transmitidos via cookies seguros do tipo HttpOnly com sinalizadores SameSite e Secure. As assinaturas dos tokens são validadas em cada requisição de API.
4.3 Autorização. Todos os endpoints de API impõem autorização baseada em JWT na camada da aplicação. O acesso aos Dados do Cliente é restrito ao tenant autenticado, o que impede o acesso a dados de outros clientes.
4.4 Privilégio Mínimo. Os sistemas internos seguem o princípio do privilégio mínimo. As funções de IAM para componentes de infraestrutura são limitadas às permissões mínimas necessárias. O acesso de colaboradores aos sistemas de produção é restrito a pessoal específico com necessidade de negócio documentada.
4.5 Controles de Acesso de Funcionários. O acesso de colaboradores aos sistemas internos é gerenciado via Active Directory com SSO e MFA obrigatório. O controle de acesso baseado em funções (RBAC) garante que o acesso aos Dados do Cliente seja limitado ao pessoal autorizado conforme a necessidade. Os direitos de acesso são revisados periodicamente.
5. Logs, Monitoramento e Auditoria
5.1 Logs Centralizados. Todos os eventos da aplicação, autenticações e atividades do sistema são registrados centralmente via Amazon CloudWatch usando logs JSON estruturados. Mantemos grupos de logs separados para logs de aplicação, eventos de auditoria e dados de telemetria. Logs de auditoria e telemetria são guardados indefinidamente e protegidos contra exclusão.
5.2 Registro de Acesso. O log de acesso da API WebSocket está ativado. Os registros na camada de aplicação capturam eventos de autenticação e detalhes de requisições de API para fins de análise forense.
5.3 Monitoramento e Alertas. Alarmes e Dashboards do CloudWatch monitoram em tempo real a saúde do sistema, taxas de erro e eventos de segurança. Qualquer anomalia dispara alertas automáticos para a equipe de engenharia.
5.4 Proteção de Logs. Os logs são armazenados em grupos dedicados do CloudWatch com acesso controlado e criptografia em repouso. Logs de produção não podem ser acessados a partir de ambientes de desenvolvimento.
6. Gestão de Vulnerabilidades
6.1 Varredura de Conformidade Automatizada. A infraestrutura como código é verificada em cada implantação usando cdk-nag, que valida as configurações em relação a diversos frameworks de conformidade, incluindo as melhores práticas da AWS, HIPAA Security, NIST 800-53 Rev 4 e 5, e PCI DSS 3.2.1. Relatórios de conformidade são gerados para cada stack e revisados durante a implantação. As descobertas são rastreadas, priorizadas e corrigidas ou documentadas com justificativas.
6.2 Gerenciamento de Dependências. As dependências de software são monitoradas continuamente para identificar vulnerabilidades. Falhas de severidade crítica e alta são corrigidas prontamente, e as dependências são atualizadas em ciclos regulares.
6.3 Ciclo de Vida de Desenvolvimento Seguro (SDLC). Todas as mudanças de código passam por revisão de pares antes de irem para produção. Testes automatizados (unitários, de integração e ponta a ponta) são executados em cada alteração. A segurança faz parte do checklist obrigatório de revisão.
7. Backup e Recuperação de Desastres
7.1 Backups Automatizados. O Amazon Aurora realiza backups contínuos e automáticos com retenção de sete (7) dias. Os backups são criptografados usando as mesmas chaves KMS do cliente que os bancos de dados originais.
7.2 Recuperação Point-in-Time. O Aurora permite a recuperação para um ponto específico no tempo (até o segundo exato) dentro da janela de retenção, garantindo restauração rápida em caso de corrupção ou exclusão acidental de dados.
7.3 Durabilidade de Dados no S3. Arquivos enviados e artefatos de data warehouse ficam no Amazon S3, que oferece 99,999999999% (11 noves) de durabilidade. O versionamento do S3 está ativado, mantendo versões anteriores dos objetos para recuperação.
7.4 Continuidade de Negócios. Os procedimentos de recuperação de desastres são documentados e testados periodicamente. A arquitetura serverless oferece alta disponibilidade nativa em múltiplas Zonas de Disponibilidade na região eu-central-1.
8. Resposta a Incidentes
8.1 Notificação de Incidentes. Em caso de um Incidente de Segurança (conforme definido no DPA), o ProcessMind notificará os clientes afetados sem demora injustificada e, sempre que possível, em até setenta e duas (72) horas após a detecção.
8.2 Gestão de Incidentes. O ProcessMind mantém procedimentos documentados de resposta a incidentes que incluem identificação, contenção, erradicação, recuperação e análise pós-incidente. As lições aprendidas são incorporadas aos nossos controles e processos.
8.3 Comunicação. As notificações de incidentes detalham a natureza e o alcance do ocorrido, as categorias de dados afetadas, as medidas de contenção tomadas e as ações recomendadas ao cliente.
9. Medidas Organizacionais
9.1 Gestão de Segurança da Informação. O ProcessMind mantém um sistema de gestão de segurança da informação alinhado à norma ISO 27001. Buscamos e mantemos as certificações exigidas pelos nossos clientes e pela regulação.
9.2 Conscientização sobre Segurança. Todo o pessoal com acesso aos Dados do Cliente recebe treinamento de segurança. As melhores práticas estão presentes no onboarding, nos fluxos de desenvolvimento e nos processos operacionais.
9.3 Gestão de Fornecedores e Subprocessadores. Os subprocessadores são obrigados por contrato a seguir padrões de proteção de dados equivalentes aos descritos aqui. O ProcessMind mantém uma lista de subprocessadores pública e avisa com pelo menos trinta (30) dias de antecedência antes de contratar um novo. Eles são revisados anualmente.
9.4 Confidencialidade. Todos os colaboradores autorizados a processar Dados do Cliente estão sujeitos a obrigações contratuais de confidencialidade por escrito.
10. Conformidade e Certificações
| Framework / Padrão | Status |
|---|---|
| GDPR (Regulamento Geral sobre a Proteção de Dados da UE) | Em conformidade |
| Residência de Dados na UE (Frankfurt, Alemanha) | Garantida |
| Certificações de Infraestrutura AWS (ISO 27001, SOC 2, PCI DSS) | Herdadas via AWS |
| Cláusulas Contratuais Padrão (SCCs) para transferências internacionais | Implementadas (ver DPA ) |
| Adendo de Processamento de Dados (DPA) | Disponível sob consulta |
Para dúvidas sobre segurança, conformidade ou para solicitar documentos como relatórios de auditoria ou questionários de segurança, entre em contato através do e-mail security@processmind.com.