Política de Segurança da Informação da Smartek
Última atualização: 20 de janeiro de 2026

Esta Política de Segurança da Informação (“PSI”) estabelece diretrizes, atribuições e responsabilidades para a proteção de informações e ativos tecnológicos da SMARTEK LIFE LTDA (“Smartek”, “Nós” ou “Companhia”).

1. Termos e Definições

Acesso Privilegiado: Permissão especial concedida a usuários ou processos para executar ações além das capacidades de usuários comuns nos sistemas e plataformas da Smartek.

Ativo: Todo elemento que possua valor para a Smartek, incluindo informações, equipamentos, softwares, redes, sistemas e pessoas.

Ativos de Informação: Objetos capazes de criar, receber, transmitir, processar, armazenar, trafegar e descartar informações relacionadas à Smartek.

Autenticidade: Propriedade que assegura a verificação e confiabilidade da origem de uma informação ou da identidade de um usuário.

Colaborador: Qualquer pessoa que atue para a Smartek em regime CLT, PJ, estágio, jovem aprendiz ou equivalente.

Confidencialidade: Garantia de que informações sejam acessadas apenas por pessoas autorizadas.

Custodiante: Área, setor ou pessoa que mantém informação sob sua guarda e responsabilidade.

Dado Pessoal: Informação relacionada a pessoa natural identificada ou identificável, como nome, e-mail, RG, CPF, telefone, endereço, imagem, geolocalização, IP, identificadores de dispositivo, preferências e comportamentos.

Dado Pessoal Sensível: Dados sobre origem racial/étnica, convicção religiosa, opinião política, filiação sindical ou a organização religiosa/filosófica/política, dado referente à saúde ou vida sexual, dado genético ou biométrico.

Disponibilidade: Propriedade que garante acesso e uso de informações e ativos por usuários autorizados, quando necessário, sem interrupções indevidas.

Gestor: Responsável por área, time ou função dentro da estrutura organizacional da Smartek.

Incidente de Segurança da Informação e/ou Privacidade: Evento ou série de eventos indesejados ou inesperados que possam comprometer operações, ativos, dados e/ou privacidade de titulares.

Informação: Conjunto organizado de dados que constitui uma mensagem sobre um evento ou fenômeno no contexto da Smartek, em qualquer formato (impresso, digital, transmitido ou exibido).

Integridade: Propriedade que garante exatidão e completude da informação, protegendo-a contra alterações não autorizadas.

Não Repúdio: Capacidade de comprovar a ocorrência de um evento/ação e a autoria dentro dos sistemas da Smartek.

Segurança da Informação: Preservação da Confidencialidade, Integridade, Disponibilidade, Autenticidade e Sigilo das informações em qualquer meio.

Sigilo: Garantia de não divulgação de informações a pessoas, entidades ou processos não autorizados.

Terceiros: Pessoas sem vínculo empregatício/estágio com a Smartek, como prestadores, parceiros, consultores, auditores e fornecedores.

Time: Grupo de colaboradores que executa atividades específicas na mesma área.

2. Objetivo

Esta PSI tem por objetivo estabelecer diretrizes para proteção das informações e ativos da Smartek, preservando Confidencialidade, Integridade, Disponibilidade, Autenticidade e Não Repúdio, orientando o uso adequado dos ativos e fortalecendo a capacidade da Companhia de prevenir, detectar, responder e reduzir vulnerabilidades a incidentes de segurança e incidentes relacionados a dados pessoais, observando os seguintes princípios:

• Confidencialidade: acesso apenas por pessoas autorizadas
• Integridade: proteção contra alterações indevidas
• Disponibilidade: acesso quando necessário, sem indisponibilidades indevidas
• Autenticidade: garantia de origem/identidade confiável
• Não Repúdio: rastreabilidade e responsabilização sobre ações e eventos

3. Diretrizes

A Smartek adota diretrizes e controles para proteção de suas informações e ativos, incluindo:

3.1 Compromissos e governança

• Compromisso da Alta Direção: fornecimento de estrutura organizacional e tecnológica adequada, com melhoria contínua dos controles de segurança.
• Alinhamento estratégico: esta PSI deve estar alinhada ao planejamento do negócio e à gestão de riscos.
• Cultura de segurança: conscientização e engajamento contínuo de colaboradores e terceiros.

3.2 Controles e processos mínimos

1. Gestão de Riscos
   A Smartek mantém práticas para identificação, avaliação e tratamento de riscos de segurança, observando boas práticas e regulamentações aplicáveis.
2. Continuidade de Negócios
   Planos de continuidade documentados, testados e revisados periodicamente para serviços essenciais, considerando requisitos de segurança da informação.

III. Testes de Continuidade
Cenários mínimos contemplados:

• processos críticos (BIA, quando aplicável)
• interrupções decorrentes de incidentes de segurança
• critérios de crise e resposta

1. Proteção de Dados Pessoais
   A Smartek aplica diretrizes de privacidade e segurança para dados pessoais, em consonância com o Aviso de Privacidade e requisitos legais aplicáveis.
2. Gestão de Incidentes
   Incidentes devem ser registrados, classificados, analisados e tratados conforme criticidade e impacto, com objetivo de:

• reduzir impacto operacional e de privacidade
• notificar autoridades e titulares quando aplicável (ex.: ANPD), conforme critérios legais
• assegurar resposta interna e externa adequada

1. Reporte de incidentes relevantes
   A Smartek poderá compartilhar informações com autoridades e/ou instituições parceiras quando necessário e permitido por lei.

VII. Prevenção a vazamento de dados
Adoção de controles para prevenir perda, roubo, uso indevido ou vazamento, incluindo monitoramento de endpoints e controles de tráfego e transferência.

VIII. Classificação e tratamento de informação
Informações e ativos devem ser tratados conforme grau de sigilo e relevância ao longo do ciclo de vida (criação, armazenamento, uso, compartilhamento e descarte).

1. Gestão de Pessoas
   Processos de recrutamento, admissão, movimentação e desligamento devem considerar controles de segurança e confidencialidade.
2. Gestão de Acessos
   Acessos físicos e lógicos devem ser concedidos por necessidade, revisados e revogados conforme mudanças de função ou desligamento. Controles de identificação podem incluir credenciais e mecanismos equivalentes de autenticação.
3. Acesso Privilegiado
   Acessos privilegiados devem ser identificados, controlados, monitorados e auditáveis, conforme nível de criticidade do ativo.

XII. Senhas e autenticação
Senhas são pessoais e intransferíveis, com requisitos mínimos de complexidade e boas práticas. Quando aplicável, recomenda-se autenticação multifator.

XIII. Mesa e tela limpas
Responsabilidade do colaborador proteger informações físicas e digitais, evitando exposição indevida.

XIV. Uso de Ativos de TI
Somente ativos, softwares e ferramentas autorizadas/homologadas devem ser utilizadas para fins corporativos.

1. Backup
   Informações relevantes devem ser protegidas por mecanismos de backup, retenção e testes de restauração.

XVI. Descarte e destruição segura
Ativos e mídias devem ser descartados/destruídos com segurança para evitar vazamento de informações.

XVII. Criptografia
Uso adequado de criptografia para armazenamento e transmissão segura de informações, quando aplicável.

XVIII. Segurança de redes
Controles de rede devem restringir acessos e garantir segmentação, proteção e monitoramento.

XIX. Relacionamento com Terceiros
Terceiros devem ser avaliados por critérios de segurança e privacidade, com exigências contratuais compatíveis. Acesso a ativos críticos deve ser supervisionado e rastreável.

1. Aquisição, desenvolvimento e manutenção de sistemas
   Aplicação de práticas de desenvolvimento seguro e avaliações periódicas de segurança (inclusive em sistemas de terceiros, quando aplicável).

XXI. Auditoria e conformidade
Avaliação periódica de conformidade e aderência a esta PSI e à legislação aplicável.

XXII. Monitoramento e logs
A Smartek poderá monitorar o uso de ativos e sistemas corporativos, conforme legislação vigente, para detecção proativa e rastreabilidade.

XXIII. Gestão de mudanças
Mudanças em ambientes e sistemas devem ser avaliadas, testadas, documentadas e implementadas de forma controlada.

XXIV. Gestão de patches
Atualizações de segurança devem ser aplicadas em tempo razoável conforme criticidade e estabilidade.

XXV. Controles contra malware
Controles de prevenção e detecção em endpoints e ambientes corporativos.

XXVI. Gestão de vulnerabilidades
Varreduras e procedimentos periódicos para identificar e reduzir vulnerabilidades.

XXVII. Testes de intrusão
Testes internos/externos periódicos (no mínimo anuais ou conforme risco), para aferir camadas de segurança.

XXVIII. Computação em nuvem (Cloud)
Contratações de cloud devem passar por avaliação de segurança e privacidade, com regras contratuais e monitoramento contínuo.

4. Atribuições e Responsabilidades

I. Segurança da Informação (ou Comitê/área responsável)

• coordenar ações, controles e projetos de segurança
• conduzir conscientização e treinamentos
• responder e tratar incidentes
• avaliar exceções a esta PSI
• realizar varreduras e testes periódicos
• reportar desempenho de segurança à direção, quando aplicável

II. Tecnologia da Informação (TI)

• operacionalizar controles e procedimentos de TI relacionados à PSI
• garantir backups, restauração, inventário e hardening
• manter logs e trilhas de auditoria
• corrigir vulnerabilidades conforme priorização
• gerir redes, segmentação, criptografia e patches
• impedir uso indevido de dados produtivos em ambientes não produtivos sem controles adequados

III. Governança e Conformidade (ou DPO/Encarregado, quando aplicável)

• apoiar metodologia de riscos e conformidade
• atuar como interface com órgãos reguladores quando necessário
• coordenar revisão e aprovação documental, quando aplicável

IV. Recursos Humanos (RH)

• garantir onboarding e treinamentos de segurança
• comunicar desligamentos, movimentações e alterações de vínculo
• disponibilizar normas e diretrizes de segurança aplicáveis

V. Colaboradores e Partes Interessadas

• conhecer e cumprir esta PSI e normas correlatas
• reportar incidentes e desconformidades
• proteger ativos e informações sob sua responsabilidade
• manter sigilo durante e após o vínculo, conforme contratos e regras internas

5. Considerações Finais

Compromissos e penalidades: O descumprimento desta PSI pode ser considerado falta grave e resultar em medidas disciplinares, sanções contratuais e/ou legais, conforme aplicável.

Treinamento e conscientização: A Smartek poderá promover treinamentos periódicos e ações educativas para reforçar boas práticas de segurança e privacidade.

6. Reporte e Canais de Contato

Dúvidas ou relatos de incidentes e violações desta PSI devem ser encaminhados pelos canais oficiais:

📧 E-mail para dúvidas e reporte: [email protected]

A Smartek busca garantir confidencialidade e não retaliação a reportes realizados de boa-fé.