A Minha Empresa · MAQ
Políticas de segurança e privacidade
Sete procedimentos que orientam a operação de A Minha Empresa. As regras passam a valer em 9 de outubro de 2026; sua adoção não comprova execução anterior nem implantação de todos os controles.
Segurança da informação
Proteger dados, credenciais e a continuidade do serviço.
Procedimento adotado
- Marco Aurélio aprova alterações da operação, registra riscos, valida a mudança e define recuperação e cópia de segurança quando aplicáveis.
- É proibido divulgar credenciais ou dados de clientes em registros, demonstrações e chamados. Testes e exemplos devem usar dados sintéticos ou minimizados.
- Vulnerabilidades são avaliadas pelo impacto, recebem responsável e prazo e têm correção ou exceção documentada. Acesso administrativo deve ser restrito; restaurações devem ser verificadas em ambiente isolado.
Controles verificados
Há HTTPS no acesso público e nas APIs oficiais, controle por empresa e perfil e proteção específica de tokens, senhas e sessões.
Em implantação: A ampliação de criptografia, gestão de chaves, proteção de dispositivos, MFA e monitoramento depende de implantação e verificação. Esta política não atesta cobertura integral desses controles.
Controle de acesso
Conceder a cada pessoa somente o acesso necessário à sua função.
Procedimento adotado
- Contas são individuais. O administrador aprova empresa, finalidade e perfil; o compartilhamento de senha e sessão é proibido.
- Administradores e demais acessos devem ser revistos a cada trimestre e na mudança de função. A autorização encerrada ou suspeita de comprometimento exige suspensão imediata e avaliação das sessões e integrações afetadas.
- Acesso à infraestrutura exige autorização específica. Serviços administrativos externos devem usar MFA quando disponível; sua configuração precisa ser verificada.
Controles verificados
O sistema valida empresa, perfil e suspensão e restringe funções administrativas. Sessões têm duração limitada e podem ser encerradas.
Em implantação: A primeira revisão documentada de acessos e os controles adicionais de autenticação fazem parte da execução desta política. Não há declaração de MFA universal.
Classificação e manuseio
Definir o cuidado necessário antes de compartilhar ou descartar informações.
Procedimento adotado
- Informação pública exige aprovação; informação interna fica entre pessoas autorizadas; dados pessoais, pedidos, resultados e cópias são confidenciais; credenciais e evidências sensíveis de incidentes têm acesso restrito.
- Informação sem classificação recebe tratamento confidencial. Conteúdo misto segue a classe mais restritiva, e exportações e relatos devem conter somente o necessário.
- Dados sensíveis não fazem parte da finalidade normal do produto. Se aparecerem em texto livre ou anexo, o acesso deve ser restrito e a necessidade de conservação deve ser avaliada.
Controles verificados
O fluxo preparado para TikTok limita a projeção persistida a campos operacionais.
Em implantação: A classificação do acervo e a revisão de conteúdo são procedimentos operacionais; não se afirma detecção ou mascaramento automático de todo dado pessoal.
Resposta a incidentes
Conter incidentes, preservar evidências e proteger as pessoas afetadas.
Procedimento adotado
- Marco Aurélio coordena o registro da descoberta e do conhecimento, contenção, avaliação dos dados e titulares, recuperação e revisão. Evidências devem ter acesso restrito e conteúdo minimizado.
- Quando atuar como operadora de dados, a MAQ informa o controlador sem demora injustificada e fornece elementos para avaliação. Prazo contratual mais curto, inclusive de marketplace, deve ser observado quando aplicável.
- Se houver risco ou dano relevante, o controlador comunica ANPD e titulares em 3 dias úteis do conhecimento de que dados pessoais foram afetados, ressalvada norma específica. Comunicação preliminar deve ser justificada e complementada em até 20 dias úteis da comunicação, quando cabível.
- A decisão de comunicar ou não deve ser fundamentada. Registros de incidentes com dados pessoais são conservados por pelo menos 5 anos a partir do registro.
Controles verificados
Existem verificações de saúde e registros operacionais; esses recursos não demonstram plantão de segurança.
Em implantação: Exercícios, escalonamento e aprimoramento de alertas devem ser documentados. Não há promessa de vigilância ou atendimento 24 horas.
Tratamento de dados pessoais
Usar informações para finalidades definidas e registrar responsabilidades.
Procedimento adotado
- Cada operação deve constar do inventário com categoria, origem, finalidade, base legal aplicável, papel da MAQ, destinatários, localização, retenção e proteção.
- A MAQ decide finalidades da própria gestão do serviço. No tratamento sob instruções da empresa cliente, atua como operadora no escopo contratado; cabe à empresa cliente definir a finalidade e a base legal de seus dados.
- Novos campos, integrações, fornecedores e transferências internacionais exigem avaliação antes do uso. É proibido reutilizar dados de pedidos para venda, publicidade, treinamento de modelos ou enriquecimento sem avaliação específica e autorização aplicável.
Controles verificados
As categorias e finalidades do produto estão descritas na política de privacidade. A hospedagem principal informada pelo responsável é Hostgator, em São Paulo, Brasil.
Em implantação: A conclusão do inventário por operação, revisão contratual de fornecedores e avaliação das cópias e transferências fazem parte da execução desta política.
Aviso de privacidade
Manter informação acessível sobre tratamento, direitos e contato.
Procedimento adotado
- O aviso identifica MAQ, o encarregado Marco Aurélio e o canal marco@alomaq.com.br, além de categorias, finalidades, responsabilidades, compartilhamento, proteção e retenção.
- Novas finalidades e mudanças relevantes devem ser avaliadas, versionadas e comunicadas antes do uso. O conteúdo será revisto a cada trimestre e após incidente ou alteração material.
- Desconectar uma loja remove a credencial local e preserva o histórico. Exclusão de dados e revogação no marketplace são ações diferentes, tratadas conforme o pedido e as responsabilidades de cada parte.
Controles verificados
A política de privacidade está disponível em português e inglês, vinculada a este conjunto.
Em implantação: O aviso deve acompanhar mudanças do produto e decisões de retenção, sem antecipar controles ou integrações ainda não verificados.
Retenção, exclusão e direitos
Conservar somente o necessário e responder de forma fundamentada.
Procedimento adotado
- A necessidade de contas e histórico deve ser revista anualmente, no encerramento e quando houver pedido. Toda conservação adicional deve registrar categoria, fundamento, prazo ou critério de término e acesso restrito.
- Pedidos chegam gratuitamente por e-mail. O encarregado registra escopo, verifica identidade ou representação de forma proporcional, identifica o controlador e coordena a resposta e ações autorizadas.
- Confirmação ou acesso têm resposta simplificada imediata ou declaração completa em até 15 dias do pedido, conforme a regra aplicável. Os demais direitos recebem análise individual e justificativa quando houver impedimento.
- Exclusão ou anonimização deve alcançar dados ativos e cópias pertinentes, com execução verificada, comunicação aos responsáveis aplicáveis, prazo de expiração de backups e prevenção de reintrodução após restauração.
Controles verificados
A desconexão apaga credenciais locais e mantém histórico; expiração e encerramento de sessões limitam seu uso.
Em implantação: A tabela definitiva de prazos por categoria, a rotina técnica de exclusão e o ciclo de backups estão em implantação. Não há promessa de exclusão automática ou instantânea de todas as cópias.
Fale sobre seus dados
Solicitações de direitos, dúvidas e relatos de incidentes podem ser enviados gratuitamente ao encarregado Marco Aurélio:
Revisão trimestral e após incidentes ou mudanças relevantes. Próxima revisão programada: 09/01/2027.