🎯 1. Objetivo
Este Plano de Resposta a Incidentes (PRI) define os procedimentos, responsabilidades e prazos que a CX Cellerate Ltda deve seguir ao identificar ou suspeitar de um incidente envolvendo dados pessoais tratados pela plataforma SimulaAudit.
O objetivo central é proteger os titulares dos dados — clientes, leads e usuários da plataforma — minimizando danos, cumprindo as obrigações legais da LGPD (Lei nº 13.709/2018, especialmente Art. 48 e Art. 49) e das resoluções da ANPD, e mantendo a confiança dos clientes B2B que nos contratam como operadores de dados.
Um incidente de dados não tratado corretamente pode gerar: (a) sanções administrativas da ANPD de até 2% do faturamento, limitado a R$ 50 milhões por infração; (b) dano reputacional irreversível; (c) responsabilidade civil perante os titulares afetados.
⚠️ 2. O que Caracteriza um Incidente de Dados
Para fins deste plano, considera-se incidente de dados pessoais qualquer evento — acidental ou intencional — que comprometa a segurança, confidencialidade, integridade ou disponibilidade de dados pessoais tratados pelo SimulaAudit. São exemplos:
- Acesso não autorizado ao banco de dados (Supabase/PostgreSQL) por agente externo ou interno sem permissão
- Vazamento de dados de clientes, leads ou usuários para terceiros não autorizados
- Perda ou destruição acidental de dados pessoais sem possibilidade de recuperação
- Alteração indevida de dados cadastrais, resultados de simulação ou informações de conta
- Exposição de credenciais de acesso (API keys, senhas) que permitam acesso a dados pessoais
- Envio acidental de dados de um titular para outro (ex: email com dados errados)
- Ataque de ransomware ou malware que afete sistemas contendo dados pessoais
- Compartilhamento não autorizado de exportação de dados (CSV, relatórios)
Regra prática: Em caso de dúvida se um evento é ou não um incidente, trate como incidente e acione o fluxo de avaliação (Etapas 3 e 4). É melhor investigar e concluir que não houve incidente do que ignorar e descumprir a lei.
🔢 3. As 6 Etapas do Plano de Resposta
A detecção pode ocorrer por diferentes meios. É obrigação de todos que operam a plataforma reportar qualquer suspeita imediatamente ao DPO.
- Monitoramento de logs no Supabase (erros de auth, queries anômalas, acessos fora do padrão)
- Alertas automáticos do Vercel (picos de erro 500, requests suspeitos)
- Reporte de cliente B2B identificando dados inconsistentes ou acesso indevido
- Reporte de usuário final identificando atividade estranha em sua conta
- Descoberta interna durante operação (ex: dashboard com dados de outro cliente)
- Alerta de serviço terceiro (provedor de email, autenticação, CDN)
Ação imediata ao detectar: Registrar data e hora exatas da detecção. Não tentar "resolver primeiro" antes de acionar o DPO. O prazo de notificação à ANPD começa a contar a partir da detecção.
Após a detecção, a prioridade é limitar o escopo do dano. As ações de contenção devem ser executadas dentro de 1 hora da detecção.
- Bloquear acesso comprometido: revogar credenciais, API keys ou sessões suspeitas imediatamente via console Supabase ou painel Vercel
- Isolar sistema afetado: se necessário, pausar o projeto no Supabase ou desativar deploy no Vercel para evitar propagação
- Revogar tokens: invalidar todos os tokens de sessão do usuário ou conta comprometida
- Bloquear IP: se o ataque vier de IP identificável, configurar bloqueio via Vercel Edge ou Cloudflare
- Preservar evidências: exportar e guardar logs antes de qualquer limpeza — essencial para documentação e possível investigação forense
- Comunicação interna: acionar DPO e segunda sócia, não comunicar externamente até avaliação completa (evitar informações incorretas)
Com a contenção em andamento, avaliar o escopo completo do incidente para determinar obrigações de notificação e ações de remediação.
- Quantos titulares afetados? — Identificar usuários, clientes ou leads com dados comprometidos; se incerto, estimar pelo pior cenário
- Quais categorias de dados? — CPF, email, nome, dados profissionais, resultados de simulação, dados de pagamento
- Qual base legal atingida? — contrato (Art. 7, V), legítimo interesse (Art. 7, IX), consentimento (Art. 7, I)
- Há dados sensíveis envolvidos? — LGPD Art. 11 define dados sensíveis; incidentes com esses dados têm tratamento prioritário
- O SimulaAudit age como controlador ou operador? — Determina quem deve ser notificado
Classificação de gravidade:
Se a avaliação confirmar incidente com risco relevante para os titulares, as notificações obrigatórias devem ser feitas conforme os prazos legais.
- ANPD: Prazo de 3 dias úteis (Resolução CD/ANPD nº 15/2024 permite até 6 dias úteis para startups e microempresas). Notificação via Portal da ANPD em gov.br/anpd. Ver documento F3 — Template de Notificação à ANPD
- Clientes B2B (Controladores): Prazo de 24h — como operador, o SimulaAudit deve notificar o cliente controlador sem demora. Ver documento F4 — Template de Notificação a Clientes B2B
- Titulares (usuários finais): "Sem demora indevida" (LGPD Art. 48 § 1º) — na prática, assim que a notificação à ANPD for feita ou simultaneamente. Ver documento F5 — Template de Notificação a Titulares
Exceção: Se o incidente for de baixa gravidade e os dados foram adequadamente protegidos por criptografia (ex: senha hashada com bcrypt que não pode ser revertida), a notificação à ANPD pode ser dispensável. Consultar advogado LGPD antes de decidir não notificar.
Após conter o incidente e enviar as notificações, corrigir a causa raiz para que o problema não se repita.
- Identificar a causa raiz: falha de configuração, credencial fraca, vulnerabilidade em dependência, erro humano, engenharia social
- Implementar correção permanente: patch de segurança, atualização de dependências, mudança de configuração de acesso, revisão de permissões RLS no Supabase
- Implementar controles adicionais: MFA obrigatório, logs mais granulares, alertas automáticos, revisão da política de senhas
- Testar a solução: verificar que a vulnerabilidade foi de fato corrigida — não apenas "parece corrigida"
- Monitoramento intensificado: nos 30 dias seguintes ao incidente, revisar logs diariamente para garantir que não houve reativação do problema
Independentemente da gravidade, todo incidente deve ser documentado. A documentação serve para: (a) comprovar conformidade perante a ANPD; (b) aprender e melhorar processos; (c) embasar eventual defesa jurídica.
- Data e hora exatas da detecção, da contenção, das notificações e da resolução final
- Descrição do incidente: o que aconteceu, como foi descoberto, por quem
- Dados afetados: categorias, volume estimado de titulares, sistemas envolvidos
- Ações tomadas em cada etapa (com evidências quando possível)
- Copies das notificações enviadas à ANPD, clientes B2B e titulares
- Causa raiz identificada e solução implementada
- Lições aprendidas e mudanças de processo decorrentes
- Responsável pela documentação e assinatura do DPO
Retenção: Manter a documentação de incidentes por no mínimo 5 anos após a data do incidente, em conformidade com LGPD Art. 49 e boas práticas de governança. Armazenar no Google Drive corporativo em /Compliance/LGPD/Incidentes/, acesso restrito ao DPO e sócias.
📊 4. Classificação de Gravidade por Tipo de Dado
Use esta tabela na Etapa 3 (Avaliação) para classificar o incidente. A gravidade determina a urgência das notificações e a profundidade da resposta.
| Tipo de Dado Afetado | Gravidade | Justificativa | Notificação |
|---|---|---|---|
| CPF, RG, dados de identidade | Alta | Risco de fraude de identidade, abertura de crédito indevido | ANPD + Titulares obrigatório |
| Dados financeiros (cartão, conta) | Alta | Risco direto de prejuízo financeiro ao titular | ANPD + Titulares obrigatório |
| Dados sensíveis (LGPD Art. 11) | Alta | Tratamento prioritário por lei — saúde, origem racial, religião, etc. | ANPD + Titulares obrigatório |
| Email + senha (hash fraco) | Alta | Risco de credential stuffing em outros serviços | ANPD + Titulares obrigatório |
| Email + senha (hash bcrypt) | Média | Hash forte dificulta uso — mas email exposto pode ser alvo de phishing | ANPD recomendado; Titulares avaliar |
| Nome + email corporativo | Média | Dados semi-públicos mas podem ser usados em spear phishing | ANPD avaliar; Titulares recomendado |
| Resultados de simulação / auditoria | Média | Dados estratégicos do cliente — confidencialidade empresarial | Cliente B2B obrigatório; ANPD avaliar |
| Logs de acesso / metadados | Baixa | Dados não diretamente sensíveis, mas podem revelar padrão de uso | Documentar; ANPD se volume alto |
👤 5. Responsáveis e Contatos
| Papel | Responsável | Contato | Ativação |
|---|---|---|---|
| DPO — Responsável Principal | Thaís Kurünzi | lgpd@simulaaudit.com.br · (11) 94204-1993 | Todas as etapas — ponto central de coordenação |
| Backup / Substituta | Segunda sócia fundadora | A definir com a contratação | Ausência ou impedimento da DPO |
| Advogado LGPD | A contratar quando necessário | — | Incidentes graves (Alta gravidade) ou consulta sobre dispensa de notificação |
| ANPD | Autoridade Nacional de Proteção de Dados | gov.br/anpd | Notificação obrigatória nos prazos legais |
Ver detalhamento completo em F2 — Definição de Responsáveis.
🔗 6. Documentos Relacionados — Gestão de Incidentes
⚖️ 7. Base Legal
- LGPD Art. 48: O controlador deverá comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares
- LGPD Art. 48 § 1º: A comunicação será feita em prazo razoável e mencionará: natureza dos dados afetados, titulares envolvidos, medidas técnicas e de segurança utilizadas, riscos relacionados ao incidente e as medidas adotadas para reverter ou mitigar os efeitos
- LGPD Art. 49: Os sistemas utilizados para o tratamento de dados pessoais deverão ser estruturados de forma a atender aos requisitos de segurança, padrões de boas práticas e governança
- Resolução CD/ANPD nº 15/2024: Regulamenta comunicação de incidentes; prevê prazo diferenciado de 6 dias úteis para startups, microempresas e EPP
- LGPD Art. 46: O controlador e o operador devem adotar medidas de segurança, técnicas e administrativas, para proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas
🔄 8. Revisão e Atualização
Este documento deve ser revisado:
- Anualmente, preferencialmente em janeiro de cada ano
- Após qualquer incidente real — incorporar lições aprendidas
- Ao publicar nova resolução ou orientação da ANPD sobre incidentes
- Ao contratar a segunda sócia ou qualquer novo membro de equipe
Próxima revisão prevista: Maio/2027
DPO responsável: Thaís Kurünzi · lgpd@simulaaudit.com.br · WhatsApp (11) 94204-1993