1. Como comunicar uma suspeita
Use o contato abaixo com o assunto “Segurança — possível incidente”. Informe o horário aproximado e o fuso, o recurso ou workspace afetado, o comportamento observado e como podemos retornar. Não envie senhas, tokens, documentos pessoais ou bases completas. Se precisarmos de evidências sensíveis, combinaremos um meio apropriado.
RodAI
Contato: adm@rodai.com.br
Este canal recebe relatos de acesso indevido, exposição, perda ou alteração não autorizada de dados. Erros de funcionamento sem impacto de segurança também podem ser encaminhados ao suporte. Não é necessário comprovar toda a causa para relatar uma suspeita.
2. Responsabilidade e registro
Thiago Lima é o contato responsável pela coordenação da operação. Ao receber um relato, a equipe deve registrar momento da ciência, produto e ambientes envolvidos, responsável pela apuração, indícios, providências e atualizações. O acesso ao registro deve se limitar às pessoas necessárias à resposta.
Este procedimento organiza a resposta e não declara uma central de segurança com cobertura 24 horas nem uma certificação independente. O acionamento técnico deve ocorrer conforme a gravidade identificada.
3. Triagem e contenção
A equipe deve avaliar se o evento afeta confidencialidade, integridade ou disponibilidade; quais titulares, categorias de dados e workspaces podem estar envolvidos; e se há risco em andamento. A contenção pode incluir restringir acessos, revogar sessões ou credenciais comprometidas, pausar uma integração e corrigir a causa, preservando as evidências necessárias.
Medidas devem ser proporcionais e documentadas. A investigação não deve ampliar a exposição, copiar dados sem necessidade ou interromper outros clientes sem justificativa.
4. Apuração e recuperação
Devem ser examinados registros pertinentes, alcance, período, origem provável e eficácia das proteções existentes. Após a correção, a equipe deve validar o funcionamento e a segurança antes de restaurar acessos. A conclusão técnica e suas limitações precisam ser registradas, sem apresentar hipóteses como fatos confirmados.
5. Comunicação aos clientes e autoridades
Quando atuar como operador, a plataforma deve comunicar ao controlador afetado, sem demora injustificada, um incidente confirmado com seus dados. A informação inicial deve trazer o que já se sabe, riscos possíveis, medidas adotadas, providências recomendadas e contato para acompanhamento. Informações ainda em apuração devem ser identificadas e complementadas.
O controlador deve avaliar a comunicação à ANPD e aos titulares quando houver risco ou dano relevante. Conforme a regulamentação aplicável, a regra geral é de três dias úteis a partir da ciência pelo controlador, ressalvadas regras específicas. A avaliação não deve aguardar uma investigação completa para observar o prazo. A equipe deve auxiliar o controlador e cumprir suas próprias obrigações quando atuar nessa qualidade.
Referência oficial: orientação da ANPD sobre comunicação de incidentes.
6. Acompanhamento e prevenção
O responsável deve manter os envolvidos informados sobre mudanças relevantes, registrar a recuperação e revisar a causa para evitar recorrência. Medidas corretivas devem ter responsáveis e acompanhamento. Informações públicas devem proteger titulares e não divulgar segredos técnicos que facilitem novos ataques.
Registros necessários à comprovação de incidentes com dados pessoais devem ser preservados pelo prazo regulatório aplicável, em regra por pelo menos cinco anos, inclusive quando o incidente não exigir comunicação à ANPD. O registro deve conter o necessário à comprovação, evitando conservar desnecessariamente a base de dados afetada.