Política de Segurança da Informação e Privacidade

1. Objetivo e abrangência

Estabelecer as diretrizes de segurança da informação e privacidade da LCD Tecnologia. Aplica-se a colaboradores e subcontratados, e a todos os dados e sistemas usados na prestação dos serviços e na gestão da empresa. A LCD presta serviços de consultoria e governança de TI, mantém ambiente de pequeno porte, sem infraestrutura física própria, e não desenvolve nem opera aplicações para clientes.

2. Papéis no tratamento de dados

• Operadora: nos serviços prestados a clientes, a LCD trata dados pessoais somente sob instrução do cliente e dentro do escopo contratado.
• Controladora: nos dados da própria empresa, como contatos comerciais, cadastro da equipe e de subcontratados.

3. Princípios

• Finalidade e necessidade: coleta e acesso limitados ao que o serviço exige.
• Segurança: medidas técnicas e administrativas contra acessos não autorizados, perda e uso indevido.
• Transparência: informação clara a clientes e titulares sobre o tratamento.
• Dados sensíveis: a LCD não trata dados pessoais sensíveis em suas atividades.

4. Controles de segurança

A LCD adota o CIS Controls como referência, com aderência aos controles aplicáveis ao seu porte e escopo de atuação. A empresa não possui certificação formal em framework de segurança.

• Acesso: concessão por perfil e função, princípio do menor privilégio e autenticação multifator nas contas administrativas e de serviços externos. O uso diário dos equipamentos é feito em conta sem privilégio de administrador.
• Confidencialidade: termo de sigilo assinado por colaboradores e subcontratados.
• Classificação da informação: a informação é classificada em quatro níveis (público, interno, restrito e confidencial), com regras de tratamento para cada um e adoção do nível mais restritivo quando houver dúvida ou mistura de fontes. Dados de identificação e financeiros de pessoas são mantidos segregados, com acesso restrito ao responsável técnico, e os dados de cada cliente são mantidos separados dos de outros clientes.
• Inventário: os ativos de informação são registrados em inventário, e os dados pessoais tratados e as organizações relacionadas são registrados com finalidade e nível de acesso.
• Estações de trabalho: antimalware e firewall local ativos, criptografia de disco, atualizações do sistema em dia e alteração das senhas de fábrica.
• Backup e recuperação: dados de trabalho em repositório em nuvem com histórico de versões e cópia de segurança em disco externo, com procedimento documentado de recuperação do ambiente de trabalho.
• Conscientização: treinamento da equipe em LGPD e segurança da informação.

Evolução planejada. Conforme o ambiente crescer, a LCD pretende formalizar e ampliar os controles: plano de continuidade de negócio com testes periódicos de restauração, controles de prevenção contra perda de dados, filtragem de conteúdo web e DNS, coleta e revisão regular de logs, varredura periódica de vulnerabilidades, documentação do padrão de configuração segura dos equipamentos e mapeamento formal de processos e de dados pessoais.

5. Armazenamento e compartilhamento

Os dados são armazenados em repositório em nuvem (Google Drive). O provedor opera infraestrutura global, sem localização exclusiva no Brasil, o que configura transferência internacional de dados. Os dados são compartilhados com terceiros apenas com a contabilidade contratada, para fins fiscais e contábeis.

6. Retenção e descarte

Os dados são mantidos pelo prazo do contrato e das obrigações legais. Ao término, são devolvidos ao cliente ou eliminados de forma segura.

7. Incidentes de segurança

Os incidentes são classificados por impacto e urgência, com prazos de tratamento definidos. Incidente de segurança que envolva dados pessoais ou dados de clientes é tratado como de impacto crítico, com registro e comunicação imediata ao Encarregado. A LCD comunicará ao cliente, sem demora indevida, os incidentes que envolvam dados pessoais tratados em seu nome, em linha com a LGPD (art. 48) e a Resolução CD/ANPD nº 15/2024. O processo formal de resposta e comunicação será estabelecido e formalizado em conjunto com cada cliente.

8. Contratos

A LCD formalizará com cada cliente cláusulas de proteção de dados, definindo papéis, finalidade, medidas de segurança e obrigações de cada parte, inclusive o apoio ao cliente no atendimento às solicitações de titulares.

9. Encarregado e direitos dos titulares

O Encarregado pelo Tratamento de Dados Pessoais (DPO) é Leonardo Coelho Domingues Correia, ponto de contato para titulares, clientes e autoridades.

Solicitações de titulares sobre dados que a LCD trata como operadora são encaminhadas ao cliente, que é o controlador, e a LCD o apoia quando solicitado, localizando, exportando, corrigindo ou eliminando os dados sob seu tratamento. Solicitações sobre dados tratados pela LCD como controladora são atendidas pelo Encarregado.

Contato: comercial@lcdtecnologia.com.br

10. Governança e revisão

Esta política é revisada ao menos uma vez por ano ou quando houver mudança relevante em serviços, tecnologias ou legislação. Cabe a toda a equipe cumpri-la e reportar qualquer suspeita de violação ao Encarregado.

Histórico de versões

• 1.1 (21/10/2026): detalhamento dos controles de segurança, classificação da informação, tratamento de incidentes, direitos dos titulares e evolução planejada.
• 1.0 (20/10/2026): publicação inicial.