Política de Segurança da Informação

Março de 2026 — Versão 1.0

Controle do Documento

1. Objetivo

Esta Política de Segurança da Informação ("Política") estabelece os controles de segurança, padrões e procedimentos que regem todos os ativos de informação, sistemas e infraestrutura da DECADE WEALTH MANAGEMENT LTDA. Seu objetivo é proteger a confidencialidade, integridade e disponibilidade dos dados processados pelas entidades da empresa, em conformidade com os requisitos regulatórios brasileiros e internacionais aplicáveis.

2. Gestão de Identidade e Acesso

2.1 Framework de Autenticação

Toda a autenticação de usuários nos sistemas da DECADE WEALTH MANAGEMENT LTDA é centralizada por meio de um provedor de identidade corporativo (IdP), com Single Sign-On (SSO) para os sistemas corporativos e de produção. A autenticação multifator (MFA) é obrigatória para todas as contas de usuário, sem exceção.

Os fluxos de autenticação voltados ao cliente seguem perfis de segurança de nível financeiro (financial-grade), incorporando vinculação de tokens e proteções contra ataques de replay e interceptação.

2.2 Acesso Privilegiado e Princípio do Menor Privilégio

A DECADE WEALTH MANAGEMENT LTDA aplica o princípio do menor privilégio em todos os sistemas. As concessões de acesso são revisadas trimestralmente e requerem aprovação gerencial. Ações privilegiadas em sistemas de produção exigem justificativa explícita e são registradas para fins de auditoria.

3. Segurança de Rede

3.1 Isolamento de Rede

As cargas de trabalho de produção operam em redes privadas, sem exposição direta à internet. A segmentação é imposta por firewalls stateful que seguem uma postura de negação por padrão: apenas o tráfego explicitamente autorizado é permitido.

3.2 Acesso Remoto Seguro

O acesso a recursos internos por colaboradores remotos ocorre exclusivamente por meio de canais criptografados com autenticação forte, garantindo que nenhum serviço de produção seja exposto à internet pública.

4. Proteção de Dados e Criptografia

4.1 Criptografia em Repouso

Todos os dados em repouso são criptografados na infraestrutura da DECADE WEALTH MANAGEMENT LTDA:

• Dispositivos endpoint: todos os notebooks e estações de trabalho fornecidos pela empresa aplicam criptografia de disco completo, garantindo que os dados permaneçam protegidos em caso de perda ou roubo do dispositivo.
• Bancos de dados: todos os bancos de dados de produção aplicam criptografia em repouso utilizando AES-256 (ou equivalente), com chaves gerenciadas pelo cliente.
• Armazenamento de objetos e backups: todos os dados de armazenamento de objetos, incluindo arquivos de backup, são criptografados em repouso com criptografia no lado do servidor e chaves gerenciadas pelo cliente.

4.2 Criptografia em Trânsito

Todas as comunicações entre serviços, tanto internas quanto externas, são criptografadas em trânsito:

• Autenticação mútua entre serviços (mTLS) é aplicada em toda a comunicação serviço-a-serviço, prevenindo ataques man-in-the-middle e impersonação não autorizada de serviços.
• Tokens de acesso de curta duração são utilizados para autorização entre serviços, minimizando o raio de impacto de qualquer comprometimento potencial de tokens.
• Todos os endpoints voltados ao exterior aplicam TLS 1.2 ou superior, com conjuntos de cifras fortes.

5. Backup e Recuperação de Desastres

5.1 Estratégia de Backup

A DECADE WEALTH MANAGEMENT LTDA mantém um regime abrangente de backup projetado para resiliência contra perda de dados, ransomware e falhas de infraestrutura:

• Backups automatizados diários de todos os bancos de dados de produção e armazenamentos críticos de dados são realizados.
• Os backups são mantidos isolados do ambiente de produção e com redundância geográfica, de modo que um comprometimento do ambiente de produção não conceda acesso aos dados de backup.
• A integridade dos backups é verificada por meio de checksums automatizados, e testes periódicos de restauração são realizados para validar a recuperabilidade.

5.2 Objetivos de Recuperação

Os alvos de Objetivo de Ponto de Recuperação (RPO) e Objetivo de Tempo de Recuperação (RTO) são definidos por nível de classificação de dados e revisados anualmente. Os procedimentos de recuperação de desastres são documentados, testados pelo menos uma vez ao ano e atualizados após cada ciclo de teste.

6. Ciclo de Vida de Desenvolvimento Seguro de Software

A DECADE WEALTH MANAGEMENT LTDA aplica controles de gestão de mudanças sobre as bases de código de produção, incluindo revisão obrigatória por múltiplos aprovadores antes de qualquer implantação, proteção das branches de produção e verificações automatizadas de segurança (análise estática e varredura de vulnerabilidades de dependências) no pipeline de integração e entrega contínua. Nenhum indivíduo pode, isoladamente, implantar código em produção.

7. Registro, Monitoramento e Resposta a Incidentes

7.1 Registro e Trilha de Auditoria

Todos os eventos de autenticação, decisões de controle de acesso, ações privilegiadas e alterações nas configurações de segurança são registrados em uma plataforma de registro centralizada e resistente a adulterações. Os registros são retidos por um período mínimo consistente com os requisitos regulatórios aplicáveis.

7.2 Monitoramento e Alertas

O monitoramento automatizado é configurado para detectar atividades anômalas, incluindo, mas não se limitando a: padrões incomuns de autenticação, tentativas de acesso não autorizado, escalação de privilégios e indicadores de exfiltração de dados. Os alertas são encaminhados à equipe de operações de segurança para triagem e resposta.

7.3 Resposta a Incidentes

A DECADE WEALTH MANAGEMENT LTDA mantém um Plano de Resposta a Incidentes documentado, revisado anualmente, abrangendo identificação, contenção, erradicação, recuperação e revisão pós-incidente. Incidentes de segurança relevantes são reportados às autoridades reguladoras competentes (CVM, BCB, ANPD) dentro dos prazos prescritos pela regulamentação aplicável.

8. Segurança de Terceiros e Fornecedores

Todos os prestadores de serviços terceirizados com acesso a dados ou sistemas da DECADE WEALTH MANAGEMENT LTDA são submetidos a due diligence de segurança antes da contratação. Os contratos com fornecedores incluem obrigações de proteção de dados, requisitos de notificação de violações e direito de auditoria. A conformidade contínua dos fornecedores é revisada pelo menos anualmente.

9. Alinhamento Regulatório

Esta Política foi elaborada para atender aos requisitos de, entre outros:

• BCB Resolução 4893/2021 — Requisitos de política de cibersegurança para instituições autorizadas pelo Banco Central do Brasil.
• CVM Resolução 175 — Requisitos operacionais e de conformidade para entidades reguladas de valores mobiliários.
• LGPD (Lei 13.709/2018) — Obrigações de proteção de dados e privacidade, incluindo medidas de segurança técnicas e organizacionais.
• Código de Autorregulação ANBIMA — Melhores práticas para gestão e distribuição de ativos, incluindo controles de segurança da informação.
• ISO/IEC 27001 — Referenciada como framework orientador para gestão de segurança da informação, embora a certificação formal ainda não tenha sido buscada.

10. Governança da Política

10.1 Papéis e Responsabilidades

O Diretor de Compliance & Tecnologia é o responsável designado por esta Política e é responsável por sua manutenção, aplicação e revisão periódica. Todos os colaboradores são responsáveis por cumprir esta Política e reportar prontamente incidentes de segurança suspeitos.

10.2 Revisão e Alteração

Esta Política é revisada pelo menos anualmente, ou sempre que ocorra uma mudança relevante no cenário de ameaças, no ambiente regulatório ou na infraestrutura tecnológica da empresa. Alterações requerem aprovação do Conselho de Administração.

10.3 Exceções

Qualquer exceção a esta Política deve ser formalmente documentada, avaliada quanto ao risco, aprovada pelo responsável pela Política e sujeita a controles compensatórios. As exceções são revisadas trimestralmente e expiram após um máximo de 12 meses, salvo se renovadas.

11. Sanções

Violações desta Política podem resultar em ação disciplinar, incluindo rescisão de contrato de trabalho ou de prestação de serviços, e encaminhamento às autoridades legais competentes quando exigido por lei.

Privacy Policy · Terms & Conditions · Information Security · Suitability · PLD/FTP · Código de Ética · Investimentos Pessoais · Formulário de Referência