Segurança

Esta Política de Segurança constitui um acordo legalmente vinculativo entre você ("Cliente", "Usuário") e GitScrum ("Empresa", "nós", "nosso"). Ao acessar ou usar os serviços do GitScrum, você reconhece que leu, compreendeu e concorda com as práticas e compromissos de segurança aqui descritos.

1. Nosso Compromisso com a Segurança

O GitScrum está comprometido em manter os mais altos padrões de segurança da informação para proteger a confidencialidade, integridade e disponibilidade dos seus dados. A segurança está integrada em todo o nosso ciclo de desenvolvimento, procedimentos operacionais e cultura organizacional. Evoluímos continuamente nossa postura de segurança para enfrentar ameaças emergentes e manter conformidade com as regulamentações de proteção de dados aplicáveis.

2. Criptografia de Dados

2.1 Criptografia em Trânsito

Todos os dados transmitidos entre seus dispositivos e os servidores do GitScrum são criptografados usando protocolos Transport Layer Security (TLS) 1.2 ou superiores. Esta criptografia padrão da indústria protege suas informações contra interceptação e acesso não autorizado durante a transmissão.

2.2 Criptografia em Repouso

Todos os dados sensíveis armazenados na infraestrutura do GitScrum são criptografados em repouso usando algoritmos de criptografia AES-256. As chaves de criptografia são gerenciadas através de sistemas seguros de gerenciamento de chaves com controles de acesso rigorosos, cronogramas de rotação regulares e procedimentos de backup seguros.

2.3 Gerenciamento de Chaves

Implementamos as melhores práticas da indústria para gerenciamento do ciclo de vida de chaves criptográficas, incluindo geração segura, armazenamento em sistemas dedicados de gerenciamento de chaves ou Módulos de Segurança de Hardware (HSMs), rotação periódica e registro abrangente de auditoria de todos os eventos de acesso às chaves.

3. Segurança de Infraestrutura e Data Center

3.1 Infraestrutura Global

O GitScrum opera data centers em múltiplas regiões geográficas para garantir disponibilidade do serviço, redundância e capacidades de recuperação de desastres. Nossos parceiros de infraestrutura mantêm certificações incluindo ISO 27001, SOC 2 e outros padrões de segurança reconhecidos pela indústria.

3.2 Segurança Física

Os data centers que abrigam a infraestrutura do GitScrum empregam controles abrangentes de segurança física, incluindo vigilância 24/7, controles de acesso biométrico, monitoramento ambiental e sistemas redundantes de energia e refrigeração.

3.3 Segurança de Rede

Implementamos múltiplas camadas de segurança de rede, incluindo firewalls, sistemas de detecção e prevenção de intrusões (IDS/IPS), mitigação de DDoS e segmentação de rede para proteger contra acesso não autorizado e atividades maliciosas.

4. Controles de Acesso e Autenticação

4.1 Mecanismos de Autenticação

O GitScrum exige políticas de senhas fortes e suporta autenticação multifator (MFA) para proteção aprimorada da conta. Recomendamos fortemente habilitar MFA para todas as contas de usuário, particularmente aquelas com privilégios administrativos.

4.2 Autorização e Privilégio Mínimo

O acesso aos dados do cliente e recursos do sistema segue o princípio do privilégio mínimo. Controles de acesso baseados em função (RBAC) garantem que os usuários só possam acessar recursos necessários para seus propósitos comerciais legítimos.

4.3 Gerenciamento de Sessão

Implementamos práticas seguras de gerenciamento de sessão, incluindo timeouts de sessão, manipulação segura de tokens e encerramento imediato de sessão após logout ou anomalias detectadas.

5. Segurança de Aplicações

5.1 Ciclo de Desenvolvimento Seguro

A segurança está integrada em todo o nosso ciclo de desenvolvimento de software. Nossas práticas de engenharia incluem:

• Padrões de codificação segura alinhados com diretrizes OWASP
• Revisões regulares de código com foco em segurança
• Testes automatizados de segurança de aplicação estática e dinâmica (SAST/DAST)
• Varredura de dependências e gerenciamento de vulnerabilidades
• Validação de entrada e codificação de saída para prevenir ataques de injeção

5.2 Gerenciamento de Vulnerabilidades

Realizamos avaliações regulares de vulnerabilidades e testes de penetração por profissionais de segurança qualificados. Vulnerabilidades identificadas são priorizadas com base na severidade e remediadas de acordo com cronogramas documentados.

5.3 Patches de Segurança

Patches críticos de segurança são aplicados rapidamente após procedimentos completos de teste. Patches de rotina seguem janelas de manutenção programadas com notificação antecipada ao cliente quando impacto no serviço é antecipado.

6. Monitoramento de Segurança e Resposta a Incidentes

6.1 Monitoramento Contínuo

O GitScrum emprega monitoramento de segurança 24/7 usando sistemas de Gerenciamento de Informações e Eventos de Segurança (SIEM) para detectar, analisar e responder a eventos de segurança em tempo real.

6.2 Plano de Resposta a Incidentes

Mantemos um plano abrangente de resposta a incidentes que define procedimentos para:

• Detecção: Identificação de potenciais incidentes de segurança através de mecanismos automatizados de monitoramento e relatório
• Contenção: Isolamento de sistemas afetados para prevenir escalação do incidente
• Erradicação: Remoção da causa raiz do incidente
• Recuperação: Restauração das operações normais e integridade dos dados
• Análise Pós-Incidente: Condução de revisões completas para melhorar respostas futuras

6.3 Notificação de Violação

No caso de uma violação de dados pessoais que apresente risco aos direitos e liberdades dos indivíduos, o GitScrum notificará a autoridade supervisora relevante dentro de 72 horas após tomar conhecimento da violação, conforme exigido pelo Artigo 33 do GDPR. Clientes afetados e titulares de dados serão notificados sem demora indevida quando legalmente exigido ou quando determinarmos que a notificação é apropriada.

7. Conformidade Regulatória

7.1 Conformidade com GDPR

Como uma empresa operando na Europa, o GitScrum adere ao Regulamento Geral de Proteção de Dados (GDPR) da União Europeia. Implementamos medidas técnicas e organizacionais apropriadas para garantir a segurança do processamento de dados, incluindo:

• Bases legais para processamento de dados pessoais
• Facilitação dos direitos dos titulares de dados (acesso, retificação, exclusão, portabilidade)
• Acordos de Processamento de Dados com clientes atuando como controladores de dados
• Princípios de privacidade por design e por padrão
• Avaliações de Impacto à Proteção de Dados para atividades de processamento de alto risco

7.2 Alinhamento Regulatório Adicional

Embora não reivindiquemos certificações específicas além das que alcançamos, nossos controles de segurança estão alinhados com frameworks internacionalmente reconhecidos, incluindo ISO 27001, Critérios de Serviço de Confiança SOC 2 e Framework de Cibersegurança NIST.

8. Segurança de Pessoal

8.1 Verificação de Antecedentes

Todos os funcionários do GitScrum com acesso a dados de clientes passam por verificação de antecedentes apropriada para sua função e consistente com as leis aplicáveis.

8.2 Treinamento de Segurança

O pessoal recebe treinamento abrangente de conscientização de segurança na contratação e treinamento contínuo sobre princípios de proteção de dados, regulamentações de privacidade, práticas de desenvolvimento seguro e cenários de ameaças emergentes. Funções especializadas recebem treinamento adicional específico para suas responsabilidades.

8.3 Obrigações de Confidencialidade

Todos os funcionários, contratados e terceiros com acesso a informações confidenciais estão vinculados por obrigações contratuais de confidencialidade e proteção de dados.

9. Gerenciamento de Risco de Terceiros

9.1 Avaliação de Fornecedores

Realizamos avaliações de segurança completas de fornecedores e prestadores de serviços terceirizados antes do engajamento. As avaliações avaliam os controles de segurança dos fornecedores, postura de conformidade, práticas de manipulação de dados e capacidades de resposta a incidentes.

9.2 Requisitos Contratuais

Acordos com processadores terceirizados incluem disposições para:

• Obrigações de proteção de dados consistentes com os requisitos do GDPR
• Padrões de segurança e direitos de auditoria
• Procedimentos de notificação de violação
• Exclusão ou devolução de dados após término do contrato

9.3 Monitoramento Contínuo

Revisamos periodicamente a postura de segurança de terceiros e mantemos o direito de auditar a conformidade dos subprocessadores com as obrigações contratuais de segurança.

10. Retenção e Exclusão de Dados

O GitScrum retém dados de clientes apenas pelo tempo necessário para fornecer serviços, cumprir obrigações legais ou conforme especificado em nosso Acordo de Processamento de Dados. Após término ou a pedido do cliente, excluímos ou devolvemos dados de clientes de forma segura de acordo com procedimentos documentados e requisitos regulatórios aplicáveis.

11. Continuidade de Negócios e Recuperação de Desastres

Mantemos planos de continuidade de negócios e recuperação de desastres projetados para garantir resiliência do serviço e disponibilidade de dados em caso de falhas de sistema, desastres naturais ou outras interrupções. Esses planos incluem:

• Backups regulares de dados com criptografia e armazenamento externo
• Objetivos documentados de tempo de recuperação (RTO) e objetivos de ponto de recuperação (RPO)
• Testes periódicos e atualizações de planos

12. Auditorias e Avaliações de Segurança

O GitScrum contrata especialistas independentes em segurança de terceiros para conduzir auditorias de segurança regulares, testes de penetração e avaliações de vulnerabilidades. Descobertas são revisadas, priorizadas e remediadas de acordo com a severidade do risco. Embora relatórios de auditoria específicos possam ser confidenciais, informações resumidas podem estar disponíveis para clientes empresariais sob acordos de não divulgação apropriados.

13. Responsabilidades de Segurança do Cliente

Embora o GitScrum implemente controles de segurança abrangentes, os clientes compartilham responsabilidade por:

• Manter senhas fortes e habilitar MFA
• Configurar adequadamente permissões de acesso para seus usuários
• Monitorar atividades suspeitas em suas contas
• Relatar prontamente incidentes de segurança suspeitos ao GitScrum
• Garantir que seus próprios dispositivos e redes estejam seguros

14. Atualizações de Política e Transparência

O GitScrum reserva-se o direito de atualizar esta Política de Segurança para refletir melhorias em nossa postura de segurança, mudanças em requisitos regulatórios ou melhores práticas da indústria em evolução. Mudanças materiais serão comunicadas aos clientes com aviso prévio razoável.

15. Informações de Contato

Para consultas relacionadas à segurança, perguntas sobre esta política ou para relatar incidentes de segurança suspeitos, entre em contato:

Equipe de Segurança GitScrum
Email: security@gitscrum.com
Tempo de Resposta: Reconhecemos relatórios de segurança dentro de 24 horas

Para consultas gerais de privacidade, consulte nossa Política de Privacidade.

16. Conclusão

Segurança e privacidade são fundamentais para a confiança que nossos clientes depositam no GitScrum. Estamos comprometidos com a melhoria contínua de nosso programa de segurança, comunicação transparente e parceria com nossos clientes para proteger os dados confiados à nossa plataforma.