Política de Segurança da Informação

DECLARAÇÃO DA LIDERANÇA

A segurança da informação e a privacidade dos dados são pilares estratégicos para a sustentabilidade do nosso negócio. Elas asseguram a proteção contra vazamentos, fraudes e perdas de informações críticas, promovendo a confiança de clientes, parceiros e colaboradores. Além disso, garantem a conformidade com legislações como a LGPD e suportam a continuidade operacional, refletindo diretamente na qualidade e na credibilidade dos serviços prestados. No dia a dia, isso se traduz em processos mais seguros, decisões mais assertivas e um ambiente corporativo mais resiliente.

OBJETIVO

A Surfix Cloud & Data Center estabelece sua política de segurança da informação e privacidade, como parte integrante do seu sistema de gestão corporativo, alinhada às boas práticas do mercado, à normas internacionalmente aceitas e as legislações brasileiras pertinentes como:

Lei Geral de Proteção de Dados Pessoais (LGPD) Lei nº 13.709/2018;
Marco Civil da Internet (Lei nº 12.965/2014);
Lei de Crimes Cibernéticos (Lei nº 12.737/2012);
Lei de Defesa da Segurança da Informação (Lei nº 13.819/2019).

Com o objetivo de garantir níveis adequados de proteção a informações e dados pessoais operados pela organização, de seus clientes e colaboradores sob sua responsabilidade.

PROPÓSITO

Esta política tem por propósito estabelecer diretrizes e normas de segurança da informação e privacidade dos dados que orientem os colaboradores da Surfix Cloud & Data Center a adotar padrões de comportamento seguro.

Orientar quanto à adoção de controles e processos para atendimento dos requisitos para segurança da Informação e privacidade dos dados pessoais;
Resguardar as informações da Surfix Cloud & Data Center, garantindo requisitos básicos de confidencialidade, integridade e disponibilidade;
Prevenir possíveis causas de incidentes e responsabilidade legal da instituição e seus colaboradores, clientes, fornecedores e parceiros;
Minimizar os riscos de perdas financeiras, de participação no mercado, da confiança de clientes ou de qualquer outro impacto negativo no negócio da Surfix Cloud & Data Center como resultado de falhas de segurança.

POLÍTICA

Esta política se aplica a todos os colaboradores, fornecedores e parceiros da Surfix Cloud & Data Center, que possuem acesso às informações e dados pessoais da organização e/ou fazem uso de recursos computacionais compreendidos na infraestrutura interna.

É POLÍTICA DA SURFIX CLOUD & DATA CENTER

Elaborar, implantar e seguir por completo políticas, normas e procedimentos de segurança da informação, garantindo que os requisitos básicos de confidencialidade, integridade e disponibilidade das informações e dados pessoais operados na Surfix Cloud & Data Center sejam atingidos através da adoção de controles contra ameaças provenientes de fontes tanto externas quanto internas;

Disponibilizar políticas, normas e procedimentos de segurança a todas as partes interessadas e autorizadas, tais como: Colaboradores, terceiros contratados, fornecedores e, onde pertinente, clientes.

Garantir a educação através de treinamentos e certificações sobre as práticas de segurança da informação e privacidade de dados adotadas pela Surfix Cloud & Data Center para colaboradores (funcionários, prestadores de serviços e sócios).
Conscientizar os fornecedores e clientes sobre a importância da segurança da informação e proteção de dados.
Atender integralmente requisitos de segurança da informação e privacidade dos dados aplicáveis ou exigidos por regulamentações, leis e/ou cláusulas contratuais;
Tratar integralmente incidentes de segurança da informação e a privacidade de dados, garantindo que eles sejam adequadamente registrados, classificados, investigados, corrigidos, documentados e, quando necessário, comunicando as autoridades apropriadas;
Garantir a continuidade do negócio através da adoção, implantação, teste e melhoria contínua de planos de continuidade e recuperação de desastres;
Melhorar continuamente a gestão de segurança da informação e privacidade através da definição e revisão sistemática de objetivos de segurança em todos os níveis da organização.

PAPÉIS E RESPONSABILIDADES

A. Comitê Gestor de Segurança da Informação – CGSI: Fica constituído o Comitê Gestor de Segurança da Informação – CGSI, contando com a participação dos responsáveis relacionados:

Diretoria Administrativa;
Diretoria de Operações para dar suporte na infraestrutura física;
Consultor técnico para dar suporte na infraestrutura lógica;
Setor de Relacionamento com o cliente;
Analista administrativo com foco em qualidade;
Setor de Tecnologia para dar suporte nos sistemas;

B. É responsabilidade do CGSI: Analisar, revisar e propor a aprovação de políticas e normas relacionadas à segurança da informação:

Garantir a disponibilidade dos recursos necessários para uma efetiva gestão de segurança da informação;
Garantir que as atividades de segurança da informação e privacidade de dados sejam executadas em conformidade com esta política;
Promover a divulgação da PSI e tomar as ações necessárias para disseminar uma cultura de segurança da informação e privacidade de dados pessoais no ambiente da Surfix Cloud & Data Center.

SANÇOES E PUNIÇÕES

As violações, mesmo que por mera omissão ou tentativa não consumada, desta política, bem como demais normas e procedimentos de segurança, serão passíveis de penalidades que incluem advertência verbal, advertência por escrito, suspensão não remunerada e a demissão por justa causa aos colaboradores celetistas. Quanto aos colaboradores pessoa jurídica e cooperados, poderá implicar a imediata rescisão do contrato entre as partes;
A aplicação de sanções e punições será realizada conforme a análise do comitê gestor da qualidade, devendo-se considerar a gravidade da infração, efeito alcançado e recorrência, podendo o CGSI, repassar a informação da infração ao Gestor imediato que, aplicará a pena quando identificada a falta grave;
No caso de terceiros contratados ou prestadores de serviço, o CGSI deve analisar a ocorrência e deliberar sobre a efetivação das sanções e punições conforme termos previstos em contrato;
Para o caso de violações que impliquem em atividades ilegais, ou que possam incorrer em dano a Surfix Cloud & Data Center, o infrator será responsabilizado pelos prejuízos, cabendo aplicação das medidas legais

CASOS OMISSOS

Os casos omissos serão avaliados pelo Comitê Gestor de Segurança da Informação para posterior deliberação.
As diretrizes estabelecidas nesta política e nas demais normas e procedimentos de segurança, não se esgotam em razão da contínua evolução tecnológica e constante surgimento de novas ameaças. Desta forma, não se limita, sendo obrigação do usuário da informação da Surfix Cloud & Data Center adotar, sempre que possível, outras medidas de segurança além das aqui previstas, com o objetivo de garantir proteção às informações e dados pessoais.

POL.GQ.02 – Política de Segurança da Informação – v.4 – 2025 – Surfix