Adendo de Segurança

Caso a BLIVER decida descontinuar qualquer Auditoria de Terceiros, adotará uma estrutura equivalente reconhecida pelo mercado.

Os Dados do Cliente e o Conteúdo serão armazenados e processados pela BLIVER e seus fornecedores em data centers localizados na região geográfica especificada no instrumento contratual vigente entre as partes ou conforme acordado de outra forma por escrito.

A LICENCIADA poderá solicitar que seus Dados do Cliente e Conteúdo sejam armazenados em uma região geográfica específica diferente. A BLIVER envidará esforços comercialmente razoáveis para atender a essa solicitação, desde que suportado pelo(s) provedor(es) de serviços em nuvem subjacente(s) e em conformidade com as leis e regulamentos aplicáveis, incluindo a LGPD.

A BLIVER criptografa os Dados do Cliente e o Conteúdo em repouso utilizando criptografia AES de 256 bits (ou superior). A BLIVER utiliza Transport Layer Security 1.2 (ou superior) para Dados do Cliente e Conteúdo em trânsito em redes públicas ou não confiáveis.

As chaves de criptografia são rotacionadas pelo menos anualmente e módulos de segurança de hardware são utilizados para proteger as chaves de criptografia críticas. A BLIVER separa logicamente as chaves de criptografia dos Dados do Cliente e do Conteúdo.

O acesso dos colaboradores da BLIVER ao nosso Ambiente de Nuvem é realizado com identificador de usuário único e está em conformidade com o princípio do menor privilégio. O acesso requer conexão segura, autenticação multifator e senhas que atendam ou superem requisitos razoáveis de comprimento e complexidade.

Os colaboradores da BLIVER não acessarão Dados do Cliente ou Conteúdo, exceto (i) para fornecer ou dar suporte ao Serviço ou (ii) para cumprir a lei ou ordem vinculante de autoridade governamental competente.

No acesso ao nosso Ambiente de Nuvem, nossos colaboradores utilizarão equipamentos fornecidos pela empresa, que incluem controles de segurança com criptografia, ferramentas de detecção e resposta a endpoints para monitorar e alertar sobre atividades suspeitas, código malicioso e gestão de vulnerabilidades conforme descrito na Seção 4.7.

Nosso Ambiente de Nuvem utiliza ferramentas de detecção de ameaças com atualizações diárias de assinaturas, usadas para monitorar e alertar sobre atividades suspeitas, potencial malware, vírus e/ou código de computador malicioso (coletivamente, “Código Malicioso”). A BLIVER não tem obrigação de monitorar Dados do Cliente ou Input em busca de Código Malicioso.

A BLIVER contrata terceiro independente para conduzir testes de penetração no Serviço pelo menos anualmente. Os resultados resumidos de tais testes podem ser disponibilizados à LICENCIADA mediante solicitação e contêm, no mínimo: (i) nome da organização responsável pelo teste de penetração; (ii) data(s) do teste; (iii) escopo do teste; (iv) modalidade/abordagem de teste; e (v) resumo dos resultados.

A BLIVER utiliza ferramentas automatizadas para verificar bases de dados de vulnerabilidades publicamente disponíveis (como o National Vulnerability Database — NVD, ou similar) em busca de vulnerabilidades em softwares utilizados pela empresa. As vulnerabilidades são classificadas de acordo com um sistema interno de pontuação que considera a probabilidade de exploração e o impacto potencial, similar ao CVSS. As vulnerabilidades são tratadas tempestivamente: aquelas classificadas como “críticas” são tratadas em até 7 dias; as classificadas como “altas”, em até 30 dias; e as classificadas como “médias”, em até 90 dias.

A BLIVER contratará terceiro para conduzir avaliações de segurança em nível de aplicação web no Serviço pelo menos anualmente. Tais avaliações incluem testes para vulnerabilidades de segurança relevantes identificadas pelo Open Web Application Security Project (OWASP), incluindo falsificação de solicitação entre sites (CSRF), scripting entre sites (XSS), injeção de SQL (SQLi), vulnerabilidades de autenticação e autorização, entre outros.

A BLIVER mantém programas de conscientização e treinamento em segurança para seus colaboradores, incluindo no momento da integração e pelo menos anualmente a partir de então. O treinamento abrange os seguintes tópicos: (i) responsabilidades individuais em relação à segurança da informação e privacidade de dados; (ii) compreensão das políticas e padrões de segurança de TI da empresa; (iii) orientações sobre como proteger informações contra ameaças cibernéticas existentes e emergentes, como e-mails de phishing; e (iv) requisitos para manutenção da segurança de dispositivos, credenciais e contas.

A BLIVER treina todos os desenvolvedores de software em práticas de desenvolvimento seguro adequadas às suas funções, pelo menos anualmente. O conteúdo do treinamento é ajustado conforme o cenário de ameaças em evolução e pode incluir modelagem de ameaças, princípios de design seguro, prevenção de ataques de desvio de autenticação e autorização, prevenção de ataques de cross-site scripting, prevenção de ataques de falsificação de solicitação entre sites e prevenção do uso de bibliotecas vulneráveis.

Os colaboradores da BLIVER são obrigados a assinar acordos de confidencialidade e a reconhecer a responsabilidade de relatar incidentes de segurança envolvendo Dados do Cliente e Conteúdo.

A BLIVER remove o acesso a sistemas críticos (incluindo sistemas que contêm Dados do Cliente e Conteúdo) de todos os colaboradores desligados em até 1 (um) dia útil e remove o acesso a todos os sistemas em até 3 (três) dias úteis. A BLIVER também revisa os privilégios de acesso de seus colaboradores ao ambiente de nuvem pelo menos trimestralmente.

A BLIVER monitora inteligência externa de ameaças, incluindo alertas do CERT.br (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil) e do U.S.-CERT, bem como outras fontes confiáveis de relatórios de vulnerabilidades. Vulnerabilidades classificadas como críticas ou altas são priorizadas para remediação conforme a Seção 4.6.

A BLIVER conduzirá as seguintes verificações de antecedentes para todos os colaboradores com acesso a Dados do Cliente e Conteúdo, na medida permitida pela legislação aplicável: (i) verificação de identidade; (ii) verificação de regularidade trabalhista; e (iii) verificação de antecedentes criminais.

A BLIVER revisa todas as contas altamente privilegiadas (contas de “administrador” ou “root”) em sistemas que contêm ou têm acesso a Dados do Cliente e Conteúdo pelo menos trimestralmente, e reduz o acesso administrativo quando este não for mais necessário, observando o princípio do menor privilégio.

A BLIVER garante que quaisquer de seus fornecedores que processem Dados do Cliente ou Conteúdo mantenham medidas de segurança consistentes com nossas obrigações nos termos deste Adendo de Segurança.

A BLIVER mantém uma lista de subprocessadores disponível em https://www.bliver.ai/legal/subprocessadores.

A BLIVER não mantém escritórios físicos para além de finalidades corporativas e executivas limitadas. Em nenhuma hipótese Dados do Cliente ou Conteúdo são armazenados ou hospedados em tais escritórios.

Caso a BLIVER tome conhecimento de uma violação de segurança que resulte na destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado a Dados do Cliente ou Conteúdo (um “Incidente de Segurança”), a BLIVER notificará a LICENCIADA sem demora injustificada e, em qualquer caso, em até 48 (quarenta e oito) horas após tomar conhecimento, em conformidade com os prazos estabelecidos pela LGPD e demais normas aplicáveis. A LICENCIADA será notificada no endereço de e-mail de contato de segurança indicado no instrumento contratual vigente entre as partes ou conforme determinado pela BLIVER como apropriado.

Na ocorrência de um Incidente de Segurança, a BLIVER tomará prontamente medidas razoáveis para conter, investigar e mitigar o Incidente. Quaisquer registros (logs) determinados como relevantes para o Incidente de Segurança serão preservados por pelo menos 1 (um) ano.

A BLIVER fornecerá à LICENCIADA informações tempestivas sobre o Incidente de Segurança, incluindo a natureza e as consequências do Incidente, o status da investigação e um ponto de contato para obtenção de informações adicionais. A BLIVER também compartilhará informações sobre as medidas tomadas ou propostas para mitigar ou conter o Incidente após a conclusão da investigação. A LICENCIADA reconhece que, como os colaboradores da BLIVER podem não ter visibilidade sobre o conteúdo dos Dados do Cliente e do Conteúdo, pode não ser possível fornecer análise detalhada sobre o tipo de Dados do Cliente e Conteúdo impactado pelo Incidente de Segurança. As comunicações relacionadas a um Incidente de Segurança não serão interpretadas como reconhecimento de culpa ou responsabilidade por parte da BLIVER.

A BLIVER criará, protegerá e reterá registros de auditoria dos sistemas de informação na medida necessária para manter a integridade e para permitir o monitoramento, análise, investigação e comunicação de atividades ilegais, não autorizadas ou inadequadas nos sistemas de informação. As ações dos usuários dos sistemas de informação poderão ser rastreadas de forma única até esses usuários.

Os registros de auditoria são retidos por no mínimo 1 (um) ano e podem ser retidos por até 10 (dez) anos. Os registros de auditoria são protegidos contra adulteração.

É responsabilidade da LICENCIADA garantir que está autorizada a utilizar qualquer Input ou Dados do Cliente com o Serviço e que seu uso está em conformidade com as obrigações legais e regulatórias aplicáveis, incluindo a LGPD.

A LICENCIADA é responsável por gerenciar e proteger seus métodos de acesso ao Serviço (por exemplo, senhas, conexões SSO, caixas de e-mail para autenticação por código, etc.). As credenciais de usuário devem ser mantidas em sigilo e não podem ser compartilhadas com partes não autorizadas. Uma única conta não pode ser compartilhada entre múltiplas pessoas. A LICENCIADA deve relatar prontamente quaisquer atividades suspeitas relacionadas às suas contas (como quando razoavelmente acreditar que as credenciais foram comprometidas).

A LICENCIADA é responsável por manter seus sistemas de TI relevantes (como o navegador utilizado para acessar o Serviço) atualizados e devidamente corrigidos (patched).

A BLIVER mantém planos de continuidade de negócios que detalham como as operações serão mantidas durante uma interrupção não planejada do serviço. Esses planos abrangem contingências para processos de negócios, ativos, recursos humanos e parceiros de negócios, e cobrem informações, sistemas e serviços essenciais. Os planos de continuidade são aprovados pela alta direção e revisados e testados anualmente.