🎯 1. Objetivo
Este documento designa formalmente os responsáveis pela gestão de incidentes de segurança envolvendo dados pessoais no SimulaAudit, em conformidade com a LGPD e as melhores práticas de governança de dados. A designação formal é um requisito de conformidade: em caso de incidente, a ANPD avalia se a organização tinha processos e responsáveis definidos previamente.
A ausência de responsável designado — ou a designação de alguém sem capacidade técnica mínima — é considerada falta grave de governança e agrava a avaliação da ANPD em caso de sanção.
👤 2. Responsável Principal — DPO
A DPO é o ponto central de contato em todos os incidentes de dados. É sua responsabilidade ativar o PRI (Plano de Resposta a Incidentes), coordenar todas as etapas, assinar todas as comunicações oficiais à ANPD e garantir que a documentação seja completa e retida pelo prazo legal.
Atribuições específicas da DPO em contexto de incidente:
- Receber e avaliar notificações de suspeita de incidente de qualquer fonte (interna, cliente B2B, usuário final, terceiro)
- Ativar e coordenar as 6 etapas do PRI conforme documento F1
- Decidir o nível de gravidade e as obrigações de notificação correspondentes
- Assinar e enviar a notificação formal à ANPD dentro do prazo legal
- Comunicar clientes B2B afetados (como controladores) dentro de 24h
- Coordenar o envio de comunicação aos titulares afetados via Mautic
- Manter toda a documentação do incidente por mínimo 5 anos
- Reportar o incidente internamente e propor medidas corretivas
- Ser o ponto de contato com eventual advogado LGPD externo
- Apresentar relatório pós-incidente com lições aprendidas
🤝 3. Substituta — Backup da DPO
Sócia fundadora da CX Cellerate Ltda (CNPJ 65.230.554/0001-20), conforme Contrato Social registrado na JUCESP em 20/01/2026 (NIRE 35268919444). Assume automaticamente o papel de backup do DPO para fins de gestão de incidentes, com as mesmas atribuições e poderes da DPO principal nos casos de ativação previstos neste documento.
Condições de ativação do backup:
A segunda sócia assume todas as responsabilidades da DPO em caso de: (a) ausência planejada da DPO por mais de 24h durante um incidente ativo; (b) impossibilidade de contato com a DPO por qualquer razão de força maior; (c) impedimento legal ou conflito de interesse da DPO no incidente específico.
Ao assumir o papel de backup, a substituta tem as mesmas atribuições listadas para a DPO na seção anterior, com a única diferença de que as comunicações formais à ANPD devem identificá-la como "responsável em substituição ao DPO designado".
📋 4. Tabela de Papéis, Responsabilidades e Contatos
| Papel | Responsável Atual | Contato | Responsabilidade no Incidente | Ativação |
|---|---|---|---|---|
| DPO — Responsável Principal | Thaís Kurünzi | lgpd@simulaaudit.com.br (11) 94204-1993 |
Coordenação geral, notificações ANPD e titulares, documentação | Sempre — ponto central de todas as etapas |
| Backup DPO | Fabiana de Oliveira Vinhas | A definir | Todas as atribuições do DPO em caso de impedimento | Ausência ou impedimento da DPO |
| Responsável Técnico | Thaís Kurünzi (acumulado) | Idem DPO | Contenção técnica: revogar credenciais, isolar sistemas, preservar logs, aplicar patches | Etapas 2 (Contenção) e 5 (Remediação) |
| Advogado LGPD Externo | A contratar | — | Consultoria jurídica sobre obrigações de notificação; representação perante ANPD em casos graves | Incidentes de gravidade Alta ou quando houver dúvida jurídica sobre obrigações |
| ANPD | Autoridade Nacional | gov.br/anpd | Destino da notificação formal de incidente | Incidentes com risco relevante — prazo 3–6 dias úteis |
| Cliente B2B (Controlador) | Por empresa contratante | Conforme contrato | Receptor da notificação de 24h quando dados de seus usuários forem afetados | Qualquer incidente que envolva dados de usuários de clientes B2B |
📡 5. Fluxo de Escalonamento
O escalonamento define quando e como envolver terceiros externos além da equipe interna.
🎓 6. Treinamento Mínimo Necessário
O responsável designado — DPO ou backup — deve ter conhecimento mínimo nas seguintes áreas para exercer a função com competência em um incidente real:
| Área de Conhecimento | Nível Mínimo | Como Obter |
|---|---|---|
| LGPD — Conceitos Fundamentais | Obrigatório | Curso ANPD (gratuito em gov.br/anpd), certificação EXIN ou equivalente |
| LGPD Art. 48 — Incidentes e Notificação | Obrigatório | Leitura da lei + Resolução CD/ANPD nº 15/2024 + este documento |
| Operação Técnica — Supabase | Recomendado | Documentação Supabase, acesso ao painel de administração e logs |
| Operação Técnica — Vercel | Recomendado | Documentação Vercel, acesso ao painel de logs e deployment |
| Comunicação de crise | Recomendado | Guias de comunicação ANPD; prática com os templates F3/F4/F5 |
| Direitos dos Titulares (LGPD Art. 18) | Obrigatório | Leitura da lei; política de direitos dos titulares do SimulaAudit |
Treinamento prático recomendado: Ao menos uma vez por ano, simular internamente um cenário de incidente (tabletop exercise) percorrendo as 6 etapas do PRI — sem incidente real, mas como exercício de preparação. Documentar o exercício como evidência de conformidade.
🔄 7. Revisão Anual da Designação
A designação dos responsáveis deve ser revisada formalmente uma vez por ano, com os seguintes objetivos:
- Confirmar que o DPO e backup ainda estão aptos e disponíveis para o papel
- Atualizar contatos e informações de acesso
- Verificar se houve mudanças societárias ou contratuais que impactem a designação
- Registrar formalmente a reconfirmação com data e assinatura das partes
- Avaliar se o nível de treinamento segue adequado para os sistemas e dados tratados
Próxima revisão prevista: Maio/2027
DPO responsável: Thaís Kurünzi · lgpd@simulaaudit.com.br · WhatsApp (11) 94204-1993
⚖️ 8. Base Legal
- LGPD Art. 41: O controlador deverá indicar encarregado pelo tratamento de dados pessoais (DPO), cuja identidade e contato deverão ser divulgados publicamente
- LGPD Art. 41 § 2º: O encarregado atuará como canal de comunicação entre o controlador, os titulares e a ANPD
- LGPD Art. 48: Define as obrigações de comunicação de incidentes
- Resolução CD/ANPD nº 15/2024: Regulamenta os procedimentos para comunicação de incidentes à ANPD