La 2CLIX sabe que su seguridad y privacidad son importantes y se preocupa mucho por ello.
El objetivo de este documento es definir los parámetros y requisitos legales, normativos y contractuales a los cuales debe adherirse el Sistema de Gestión de Seguridad de la Información (SGSI) de 2CLIX TECNOLOGIA EIRELI.
Este documento es aplicable a todos los demás documentos, procesos y actividades que componen el SGSI.
El acceso a esta documentación es PÚBLICO.
Los controles relacionados con la Seguridad de la Información deben basarse y ser coherentes con los requisitos de los clientes, con las buenas prácticas definidas en normas y, principalmente, con las leyes del sector.
De esta manera, es necesario tener cuidado con posibles conflictos entre estas fuentes de requisitos al definir políticas, procesos o controles para la Seguridad de la Información. El mecanismo utilizado por la organización para definir la prioridad de cada requisito fue la creación de una jerarquía entre estos tipos de fuentes, enumeradas a continuación en orden de mayor a menor prioridad:
Existen diversas leyes nacionales relacionadas con la seguridad de la información en diferentes áreas. Las leyes nº 12.737 del 30 de noviembre de 2012 y nº 14.155 del 25 de mayo de 2021 tratan sobre delitos cibernéticos y sus penalidades. La ley nº 12.527 del 18 de noviembre de 2011 trata del acceso a las informaciones presentes en instituciones públicas.
Para organizaciones privadas, las leyes que más definen requisitos y obligaciones en materia de seguridad de la información son la ley nº 12.965 del 23 de abril de 2014, que establece la definición de internet ante la ley brasileña y los derechos y deberes de ciudadanos e instituciones. En 2018, la ley nº 13.709 del 14 de agosto fue aprobada, ampliando los requisitos y obligaciones sobre la seguridad de datos personales y definiendo los derechos de los ciudadanos sobre sus propios datos.
Además de las leyes relacionadas con datos y seguridad, la organización también debe cumplir legislaciones correlatas como:
Ley nº 9.610 (19/02/1998): derechos de autor,
Ley nº 8.078 (11/09/1990), nº 10.741 (01/10/2003) y nº 14.181 (01/07/2021): protección del consumidor.
A nivel internacional, están las leyes regionales de privacidad, como el GDPR (General Data Protection Regulation) de Europa, que deben ser observadas durante la expansión internacional del Portal de la Calidad.
La norma principal en la cual se basa esta documentación es la ISO/IEC 27000 y sus correlatas, especialmente la 27001 y la 27002.
El mantenimiento y control de los tipos de datos recibidos por los clientes y usuarios se realiza mediante un inventario de datos. Como existe la posibilidad de crear campos personalizados, pueden generarse campos conteniendo Datos Personales o Sensibles. En estos casos, mensualmente se genera una lista de los campos creados para garantizar visibilidad sobre los datos presentes en la plataforma y validar si los marcadores de cifrado están correctamente implementados.
Todos los campos estándar del sistema se refieren solo a datos personales básicos como nombre o códigos internos. Sin embargo, los usuarios pueden crear campos personalizados o importar campos según la integración utilizada.
Para reducir riesgos, durante la importación de datos, todos los campos creados serán clasificados automáticamente como Datos Sensibles y almacenados cifrados.
En campos creados manualmente, el usuario podrá definir si el campo contiene datos sensibles. Campos creados sin esta señalización deberán pasar por una confirmación secundaria antes de ser creados.
Datos marcados como “sensibles” serán almacenados cifrados. Durante las revisiones del inventario, si un revisor identifica campos que reciben datos sensibles pero no están marcados, podrá solicitar ajustes.
La base de datos utiliza cifrado tipo Rijndael, mientras que la copia de seguridad utiliza AES-256.
Las claves se almacenan en un cofre electrónico con acceso exclusivo del CEO y Director del equipo de Administración. Las claves deben actualizarse cada dos años.
La transmisión de datos utiliza HTTPS y protocolo TLS 1.2+, garantizando transmisión cifrada.
El titular puede solicitar sus derechos de acceso a los datos utilizados en el Portal de la Calidad a través de un formulario enviado al DPO o soporte. Enlace para completar el formulario.
Este documento es válido a partir de su aprobación más reciente y está bajo responsabilidad del equipo de proyectos de 2CLIX TECNOLOGIA EIRELI. El ciclo de actualización es anual y debe llevarse a cabo de acuerdo con la evaluación de eficacia y adecuación de este documento frente a las demás políticas y procesos de la empresa.
Para garantizar una evaluación clara y consistente, los siguientes criterios serán utilizados:
Los registros de incidentes relacionados a este documento serán archivados en una carpeta específica en el directorio de documentos de 2CLIX TECNOLOGIA EIRELI.
