📋 1. Instruções de Uso
Este documento contém dois templates de email para notificar os titulares de dados pessoais (usuários da plataforma) em caso de incidente de segurança, conforme exige o Art. 48 da LGPD. Os emails devem ser disparados via Mautic para todos os titulares identificados como afetados.
A linguagem deve ser clara, direta e sem juridiquês. O titular tem o direito de entender o que aconteceu com seus dados sem precisar de formação jurídica. Textos confusos ou que minimizam o problema geram desconfiança e agravam a crise reputacional.
⏰ Prazo: A LGPD Art. 48 § 1º usa a expressão "sem demora indevida" — na prática, a notificação aos titulares deve acontecer junto com ou logo após a notificação à ANPD. Não há prazo fixo em dias, mas o padrão de mercado é 72h a 5 dias úteis após a detecção.
🔴 2. Versão Grave — Incidente com Risco Real ao Titular
Usar quando: dados sensíveis foram expostos, há risco de fraude, o acesso foi não autorizado e há evidência de uso indevido, ou quando houver exposição de email+senha (mesmo hasheada).
Olá, [Nome do usuário]!
Precisamos te contar algo importante sobre a segurança da sua conta no SimulaAudit. Identificamos, em [data], um problema de segurança que pode ter afetado alguns dados seus em nossa plataforma.
Preferimos ser diretos e transparentes — é o mínimo que você merece.
[Descrever o incidente em linguagem simples, sem termos técnicos. Ex: "Identificamos que um acesso não autorizado ocorreu em nossos sistemas entre os dias X e Y. Durante esse período, dados de algumas contas podem ter sido visualizados por terceiros."]
[Listar claramente os dados afetados. Ex: "Seu nome, endereço de email e cargo cadastrado na plataforma. Informações financeiras e documentos como CPF NÃO foram afetados."]
Seus dados de pagamento não estão armazenados em nossos servidores e não foram afetados.
Assim que identificamos o problema, agimos imediatamente:
[Descrever ações tomadas. Ex: "Bloqueamos o acesso suspeito, reforçamos a segurança dos nossos sistemas e contratamos especialistas para investigar como isso aconteceu."]
Também notificamos a ANPD (Autoridade Nacional de Proteção de Dados), conforme exige a lei brasileira.
Para garantir que sua conta está segura, recomendamos fortemente:
🔒 Troque sua senha no SimulaAudit agora — acesse simulaaudit.com.br, clique em "Esqueci minha senha" e crie uma nova senha forte (mínimo 12 caracteres, com letras, números e símbolos).
🛡️ Se você usa a mesma senha em outros sites (email, banco, redes sociais), troque neles também — por segurança.
👀 Fique atento a emails suspeitos — se receber mensagens pedindo informações pessoais ou com links estranhos, não clique. Golpistas podem usar dados como nome e email para tentar te enganar.
📱 Ative a verificação em dois fatores nos serviços que você usa quando disponível.
Como titular dos seus dados, você tem direitos garantidos pela LGPD (Lei Geral de Proteção de Dados):
✔ Saber quais dados temos seus e para que usamos
✔ Pedir a correção de dados incorretos
✔ Solicitar a exclusão dos seus dados
✔ Revogar seu consentimento a qualquer momento
✔ Apresentar reclamação à ANPD se sentir que seus direitos foram violados
Para exercer qualquer um desses direitos, entre em contato com nossa DPO.
Estamos aqui para responder qualquer dúvida que você tiver. Não hesite em nos contatar:
Thaís Kurünzi — DPO (Encarregada de Proteção de Dados)
Email: lgpd@simulaaudit.com.br
WhatsApp: (11) 94204-1993
Lamentamos sinceramente o ocorrido e estamos trabalhando para que isso não aconteça de novo.
Thaís Kurünzi
Encarregada de Proteção de Dados (DPO)
SimulaAudit · CX Cellerate Ltda
lgpd@simulaaudit.com.br · (11) 94204-1993
🔵 3. Versão Leve — Incidente com Risco Baixo
Usar quando: o incidente foi detectado e contido rapidamente, os dados expostos são poucos ou de baixa sensibilidade, não há evidência de uso indevido, e os dados foram protegidos por criptografia forte.
Olá, [Nome do usuário]!
Identificamos recentemente uma ocorrência de segurança em nossos sistemas. Por transparência — e porque acreditamos que você merece saber — estamos entrando em contato para te informar.
[Descrever o incidente em linguagem simples. Ex: "Em [data], identificamos uma configuração inadequada em um dos nossos sistemas que, por um curto período, poderia ter permitido acesso não autorizado a algumas informações básicas de perfil."]
O problema foi identificado e corrigido rapidamente. Com base na nossa análise, não há evidência de que seus dados foram acessados ou usados indevidamente.
Os dados envolvidos limitam-se a: [listar]. Informações financeiras e documentos sensíveis não foram afetados.
Neste caso específico, não há ação urgente necessária da sua parte. Mas como sempre recomendamos boas práticas de segurança:
🔒 Mantenha uma senha forte e única no SimulaAudit
👀 Fique atento a emails suspeitos pedindo seus dados
📞 Se notar qualquer atividade estranha em sua conta, nos avise imediatamente
Você tem direitos garantidos pela LGPD — acesso, correção, exclusão e portabilidade dos seus dados. Para exercê-los ou tirar qualquer dúvida:
Thaís Kurünzi — DPO · lgpd@simulaaudit.com.br · (11) 94204-1993
✅ 4. Checklist — Antes de Disparar via Mautic
- Escolhi a versão correta do template (Grave ou Leve) com base na avaliação do incidente
- Preenchi todos os campos com informações específicas do incidente
- Revisei o texto para garantir que é claro, sem juridiquês e factualmente correto
- Criei o segmento no Mautic com apenas os titulares identificados como afetados
- Testei o email com um endereço interno antes do disparo em massa
- Verifiquei que o nome do usuário está sendo personalizado corretamente no campo [Nome do usuário]
- A DPO revisou e aprovou o texto final do email
- Documentei a data e hora do disparo e o volume de emails enviados
- Monitorarei as respostas e retornos dos titulares — com DPO pronta para responder
- Arquivei cópia do email enviado na pasta /Compliance/LGPD/Incidentes/ do Drive
ℹ️ Após o disparo: Ficar atento às respostas dos titulares nas próximas 48–72h. Titulares com dúvidas ou reclamações devem receber resposta em até 24h. Respostas recebidas devem ser documentadas no registro do incidente.
⚖️ 5. Base Legal
- LGPD Art. 48: O controlador deverá comunicar ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares
- LGPD Art. 48 § 1º: A comunicação ao titular deverá ser feita sem demora indevida e conter: natureza dos dados afetados, informações sobre os titulares, riscos relacionados ao incidente, e medidas adotadas para reverter ou mitigar os efeitos
- LGPD Art. 18: Lista os direitos dos titulares que devem ser mencionados na comunicação
- LGPD Art. 46: Obriga o controlador a adotar medidas de segurança para proteger dados pessoais de acessos não autorizados