← Voltar para central legal
Documento Jurídico

Plano de Resposta a Incidentes

Vigência atual. Atualizações são publicadas com 30 dias de antecedência via e-mail e no painel administrativo.

📌 Versão 1.0 📅 Vigente desde abril/2026 📧 dpo@cataloga.ai

Plano de Resposta a Incidentes de Segurança da Informação — Cataloga-ai

Versão: 1.0

Última atualização: [DATA]

Responsável: [NOME DO DPO / CISO]

1. Introdução

Este Plano de Resposta a Incidentes de Segurança (também denominado "Incident Response Plan" ou "IRP") estabelece os procedimentos que a [NOME DA EMPRESA] (Cataloga-ai) deve seguir em caso de incidente de segurança que afete dados pessoais, em conformidade com o art. 48 da Lei Geral de Proteção de Dados Pessoais (LGPD).

Objetivos do Plano

2. Definições

2.1. Incidente de Segurança

Qualquer evento confirmado ou suspeito que comprometa a confidencialidade, integridade ou disponibilidade de dados pessoais, incluindo, mas não se limitando a:

2.2. Incidente de Alto Risco (art. 48, LGPD)

Incidente que possa acarretar risco ou dano relevante aos titulares, considerando:

Importante: Nem todo incidente exige comunicação à ANPD. Apenas incidentes de alto risco devem ser notificados.

2.3. Risco ou Dano Relevante (critérios de avaliação)

Considere os seguintes fatores para determinar se há risco relevante (baseado nas orientações da ANPD):

Fator Baixo Risco Alto Risco
Tipo de dado Dados não sensíveis, pseudonimizados Dados sensíveis, financeiros, saúde, biométricos
Quantidade de titulares <100 >1.000
Natureza do acesso Acesso interno breve, sem exfiltração Exposição pública, vazamento externo
Medidas de mitigação Criptografia forte, dados ilegíveis Dados em texto claro, facilmente exploráveis
Contexto do titular Adultos, B2B Crianças, grupos vulneráveis
Potencial de dano Incomodação mínima Fraude, discriminação, dano financeiro, reputacional

Regra prática: Se houver dúvida, trate como alto risco e comunique à ANPD. A notificação indevida é menos grave que a omissão.

3. Comitê de Resposta a Incidentes (CSIRT)

A Cataloga-ai estabelece um Computer Security Incident Response Team (CSIRT) composto pelos seguintes membros:

Função Responsável Contato
Líder do CSIRT [NOME DO CISO / CTO] [E-MAIL / TELEFONE]
Encarregado de Dados (DPO) [NOME DO DPO] [EMAIL DPO]
Responsável Técnico [NOME DO TECH LEAD] [E-MAIL / TELEFONE]
Responsável Jurídico [NOME DO ADVOGADO / ASSESSORIA] [E-MAIL / TELEFONE]
Responsável Comunicação [NOME DO CMO / RELAÇÕES PÚBLICAS] [E-MAIL / TELEFONE]
CEO / Representante Legal [NOME DO CEO] [E-MAIL / TELEFONE]

Responsabilidades do CSIRT:

Contato 24/7: [TELEFONE DE EMERGÊNCIA / E-MAIL CSIRT]

4. Fluxo de Resposta a Incidentes (6 Fases)

Fase 1: Detecção e Identificação

Fase 2: Contenção

Fase 3: Avaliação de Risco e Impacto

Fase 4: Comunicação (ANPD, Titulares, Controladores)

Fase 5: Erradicação e Recuperação

Fase 6: Lições Aprendidas

FASE 1 — Detecção e Identificação

1.1. Canais de Detecção

Incidentes podem ser detectados por:

1.2. Ações Imediatas (< 1 hora)

Qualquer pessoa que identifique um incidente DEVE:

  1. Não tentar "consertar" sozinho (risco de destruir evidências)
  2. Notificar imediatamente o CSIRT via:
  1. Documentar:

O Líder do CSIRT deve:

  1. Acionar o Comitê (reunião emergencial em até 1 hora)
  2. Confirmar se é realmente um incidente (descartar falsos positivos)
  3. Classificar gravidade preliminar:

FASE 2 — Contenção

Objetivo

Impedir que o incidente se agrave, limitar o escopo de danos e preservar evidências.

2.1. Contenção Imediata (Short-term Containment)

Ações típicas (primeiras 2-4 horas):

⚠️ NÃO:

2.2. Contenção de Longo Prazo (Long-term Containment)

Ações (até 24-48 horas):

FASE 3 — Avaliação de Risco e Impacto

Objetivo

Determinar a extensão do incidente e se há risco ou dano relevante aos titulares (gatilho de comunicação à ANPD).

3.1. Perguntas-Chave para Investigação

O DPO, Jurídico e Técnico devem responder:

1. Quais dados pessoais foram afetados?

2. Quantos titulares foram afetados?

3. Como os dados foram comprometidos?

4. Os dados estavam protegidos por criptografia?

5. Os dados foram exfiltrados (saíram da organização)?

6. Qual é o potencial de dano aos titulares?

Marque os possíveis danos:

7. Há medidas que mitigam o risco?

3.2. Decision Tree: Comunicar à ANPD?


                    ┌─────────────────────────────────┐
                    │ Incidente confirmado?           │
                    └──────────┬──────────────────────┘
                               │ SIM
                               ▼
                    ┌─────────────────────────────────┐
                    │ Envolve dados pessoais?         │
                    └──────────┬──────────────────────┘
                               │ SIM
                               ▼
                    ┌─────────────────────────────────┐
                    │ Pode acarretar risco/dano       │
                    │ relevante aos titulares?        │
                    │ (veja critérios seção 2.3)      │
                    └──────────┬──────────────────────┘
                               │ SIM
                               ▼
                    ┌─────────────────────────────────┐
                    │ COMUNICAR À ANPD (até 72h)      │
                    │ E AOS TITULARES AFETADOS        │
                    └─────────────────────────────────┘
                               │ NÃO
                               ▼
                    ┌─────────────────────────────────┐
                    │ Registrar incidente internamente│
                    │ Não é obrigatória comunicação   │
                    │ pública/ANPD                    │
                    └─────────────────────────────────┘

Exemplos práticos:

Cenário Comunicar ANPD?
Vazamento de 10.000 CPFs + nomes em texto claro ✅ SIM (alto risco)
Acesso indevido a 50 registros por colaborador interno, sem exfiltração ⚠️ Avaliar (provavelmente não, se contido rapidamente e sem dano)
Ransomware que criptografou backup de dados de lojistas ✅ SIM (indisponibilidade pode gerar dano)
Exposição de IPs e logs de acesso (anonimizados) ❌ NÃO (dados anonimizados não são pessoais — art. 12 LGPD)
Perda de laptop com dados criptografados (AES-256) ⚠️ Avaliar (criptografia forte mitiga risco, mas considere notificar)

FASE 4 — Comunicação

4.1. Comunicação à ANPD (art. 48, § 1º, LGPD)

Prazo: "em prazo razoável" — orientação prática: até 72 horas após ciência do incidente (alinhado ao GDPR europeu, art. 33).

Responsável: Encarregado de Proteção de Dados (DPO)

Canal oficial: Sistema de comunicação de incidentes da ANPD

https://www.gov.br/anpd/pt-br/canais_atendimento/cidadao (verificar canal específico vigente)

Conteúdo mínimo da comunicação (art. 48, § 1º):

I — Descrição da natureza dos dados afetados

II — Informações sobre os titulares envolvidos

III — Indicação das medidas técnicas e de segurança utilizadas para proteção dos dados

IV — Riscos relacionados ao incidente

V — Motivos da demora (se a comunicação ocorrer após 72h)

VI — Medidas adotadas para reverter ou mitigar os efeitos do incidente

Modelo de Comunicação à ANPD: Ver Anexo A ao final deste documento.

4.2. Comunicação aos Titulares Afetados (art. 48, § 2º, LGPD)

Quando comunicar: Sempre que houver risco ou dano relevante.

Prazo: O mais breve possível, idealmente simultaneamente ou logo após a comunicação à ANPD.

Forma:

Responsável: DPO + Equipe de Comunicação

Conteúdo mínimo:

  1. O que aconteceu (de forma clara e acessível, sem jargão técnico)
  2. Quais dados pessoais foram afetados
  3. Quando o incidente ocorreu (data aproximada)
  4. Quando foi detectado
  5. Quais medidas a Cataloga-ai está tomando (contenção, investigação, reforço de segurança)
  6. O que o titular deve fazer (trocar senha, monitorar transações, ficar alerta a phishing)
  7. Contato para dúvidas (e-mail e telefone do DPO/Suporte)
  8. Direitos do titular (acesso, correção, eliminação — arts. 17-22 LGPD)

Tom: Transparente, empático, responsável. Evitar minimizar o incidente ou transferir culpa.

Modelo de Comunicação ao Titular: Ver Anexo B ao final deste documento.

4.3. Comunicação aos Lojistas (Controladores)

Quando: Sempre que dados de consumidores finais (controlados pelos lojistas) forem afetados.

Prazo: Até 72 horas após ciência do incidente (conforme Contrato de Operador — Doc. 5, Cláusula 5.6).

Responsável: DPO

Canal: E-mail oficial do lojista + notificação no painel da plataforma

Conteúdo:

4.4. Comunicação Interna

Equipe técnica e operacional: Informar sobre medidas de contenção e recuperação (evitar reincidência).

Diretoria/Board: Relatório executivo sobre impacto financeiro, reputacional e legal.

Colaboradores (geral): Comunicado breve, apenas se o incidente for público ou afetar operações internas.

4.5. Comunicação Externa (Imprensa, Público)

Quando: Apenas em casos de grande repercussão ou vazamento massivo.

Responsável: CMO / Relações Públicas (com aprovação do CEO e orientação jurídica)

Canal: Nota oficial no site, comunicado à imprensa.

Princípios:

FASE 5 — Erradicação e Recuperação

5.1. Erradicação da Causa Raiz

Objetivo: Remover completamente a ameaça e prevenir reincidência.

Ações:

5.2. Recuperação

Objetivo: Restaurar operações normais de forma segura.

Ações:

Checklist de Go-Live pós-incidente:

FASE 6 — Lições Aprendidas (Post-Incident Review)

Objetivo

Documentar o incidente, identificar melhorias e prevenir recorrências.

Quando: Até 30 dias após resolução do incidente.

Responsável: Líder do CSIRT + DPO

6.1. Reunião de Retrospectiva

Participantes: Todo o CSIRT + colaboradores envolvidos na resposta

Agenda:

  1. Linha do tempo do incidente (cronologia detalhada)
  2. O que funcionou bem (sucessos, processos eficazes)
  3. O que pode melhorar (falhas, gargalos, lacunas)
  4. Causa raiz (análise técnica e organizacional)
  5. Ações corretivas (preventivas e reativas)

Perguntas-guia:

6.2. Relatório de Incidente (Template)

Estrutura:

1. Sumário Executivo

2. Detalhamento Técnico

3. Impacto

4. Comunicações Realizadas

5. Ações Corretivas

6. Lições Aprendidas

Arquivo: Relatório deve ser armazenado em local seguro e confidencial, acessível apenas ao CSIRT e auditores.

Retenção: Manter por 5 anos (fins de conformidade e comprovação perante ANPD).

6.3. Atualização de Políticas e Procedimentos

Baseado nas lições aprendidas, atualizar:

5. Registro de Incidentes

A Cataloga-ai manterá registro interno de todos os incidentes de segurança, incluindo aqueles que não exigiram comunicação à ANPD.

Informações registradas:

Formato: Planilha protegida ou sistema de gestão de incidentes (ex.: Jira Service Management, ServiceNow, ou similar).

Acesso: Restrito ao CSIRT, DPO e auditores autorizados.

Retenção: 5 anos após resolução do incidente.

Auditoria: Registro deve estar disponível para inspeção da ANPD, mediante solicitação formal.

6. Treinamento e Conscientização

Todos os colaboradores devem receber treinamento anual sobre:

Equipe técnica e CSIRT devem receber treinamento adicional sobre:

DPO deve participar de capacitações sobre:

Simulações: Realizar ao menos 1 simulação anual de resposta a incidentes (cenário fictício).

7. Ferramentas e Recursos

Ferramentas recomendadas para resposta a incidentes:

Recursos externos:

8. Responsabilidades por Incidentes em Sub-operadores

Quando um sub-operador (Supabase, Vercel, Asaas, GPTMaker, WhatsApp) sofre incidente que afeta dados de consumidores finais:

Obrigação do sub-operador (conforme Contrato de Operador — Doc. 5):

Obrigação da Cataloga-ai:

Responsabilidade legal: Cataloga-ai permanece responsável perante lojistas e ANPD pela atuação de sub-operadores (LGPD art. 42, § 1º).

Anexo A — Modelo de Comunicação à ANPD

Assunto: Comunicação de Incidente de Segurança — [NOME DA EMPRESA] — [DATA]

À Autoridade Nacional de Proteção de Dados (ANPD)

Controlador / Operador:

Razão Social: [NOME DA EMPRESA]

CNPJ: [CNPJ]

Endereço: [ENDEREÇO]

Encarregado de Dados (DPO): [NOME DO DPO]

E-mail: [EMAIL DPO]

Telefone: [TELEFONE]

1. Descrição da natureza dos dados pessoais afetados

Categorias de dados comprometidos:

Classificação: Dados pessoais [ ] comuns [ ] sensíveis [ ] de crianças/adolescentes

2. Informações sobre os titulares envolvidos

3. Indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados

Medidas implementadas antes do incidente:

Status de proteção dos dados afetados:

4. Riscos relacionados ao incidente

Possíveis danos aos titulares:

Avaliação de risco: [ ] Alto [ ] Médio [ ] Baixo

Justificativa: _____

5. Descrição do incidente

Data/hora de ocorrência: [DATA/HORA]

Data/hora de detecção: [DATA/HORA]

Como o incidente ocorreu:

Descrição detalhada:

[Narrativa cronológica do incidente, incluindo como foi descoberto, extensão do dano, sistemas afetados]

6. Medidas adotadas para reverter ou mitigar os efeitos do incidente

Contenção:

Comunicação aos titulares:

Assistência aos titulares:

Medidas técnicas adicionais:

Investigação em andamento:

7. Motivos da demora (se comunicação ocorrer após 72h)

[Justificar por que a comunicação não foi feita em até 72h — ex.: "dificuldade de mensurar extensão do incidente", "complexidade técnica da investigação forense", "aguardo de confirmação de sub-operador"]

8. Contato para mais informações

Encarregado de Dados (DPO):

Nome: [NOME DO DPO]

E-mail: [EMAIL DPO]

Telefone: [TELEFONE]

Data da comunicação: [DATA]

Assinatura:

[NOME DO REPRESENTANTE LEGAL]

[CARGO]

Anexo B — Modelo de Comunicação ao Titular

Assunto: Importante: Notificação sobre Incidente de Segurança — [NOME DA EMPRESA]

Prezado(a) [NOME DO TITULAR],

Estamos entrando em contato para informá-lo(a) sobre um incidente de segurança que pode ter afetado alguns dos seus dados pessoais armazenados em nossa plataforma.

O que aconteceu?

Em [DATA], identificamos [DESCRIÇÃO SIMPLES: ex.: "um acesso não autorizado ao nosso sistema" / "uma falha de configuração que expôs dados temporariamente"].

Quais dados foram afetados?

Os seguintes dados pessoais podem ter sido comprometidos:

[IMPORTANTE: Seus dados de pagamento (cartão, senha bancária) NÃO foram afetados.] (se aplicável)

Quando isso aconteceu?

O incidente ocorreu em [DATA] e foi detectado em [DATA]. Desde então, tomamos medidas imediatas para conter o problema e proteger seus dados.

O que estamos fazendo?

O que você deve fazer?

Por precaução, recomendamos que você:

  1. Troque sua senha na plataforma Cataloga-ai imediatamente (se aplicável)
  2. Fique alerta a e-mails ou mensagens suspeitas (tentativas de phishing usando seus dados)
  3. Monitore suas transações bancárias para identificar atividades não autorizadas
  4. Considere ativar autenticação de dois fatores em todas as contas online importantes

Seus direitos (LGPD)

Você tem direito a:

Para exercer esses direitos, entre em contato conosco.

Como entrar em contato conosco?

Se você tiver dúvidas ou preocupações, nossa equipe está à disposição:

Pedimos desculpas

Levamos a segurança dos seus dados muito a sério e lamentamos profundamente este incidente. Estamos comprometidos em proteger suas informações e já implementamos melhorias para evitar que isso aconteça novamente.

Agradecemos sua compreensão e confiança.

Atenciosamente,

[NOME DA EMPRESA]

[NOME DO DPO / CEO]

[EMAIL DPO]

[DATA]

Nota de Revisão Jurídica

IMPORTANTE: Este Plano de Resposta a Incidentes foi elaborado como modelo base e deve ser obrigatoriamente revisado por advogado especializado em proteção de dados e segurança da informação antes de sua implementação. A revisão jurídica é essencial para:

A utilização deste documento sem revisão jurídica adequada é de responsabilidade exclusiva do usuário.

Próximos passos recomendados:

  1. Validar composição do CSIRT e garantir que todos os membros estão cientes de suas responsabilidades
  2. Realizar treinamento inicial da equipe sobre este Plano
  3. Testar procedimentos com simulação de incidente (tabletop exercise)
  4. Estabelecer SLAs internos para cada fase de resposta
  5. Integrar este Plano ao Sistema de Gestão de Segurança da Informação (SGSI) da empresa
  6. Revisar anualmente ou após cada incidente real

Elaborado em conformidade com:

Versão: 1.0

Data: [DATA]

Próxima revisão: [DATA + 1 ano]