Política de Segurança da Informação

01Princípios

O programa de segurança da Versell é orientado pelos seguintes princípios:

• Confidencialidade: a informação é acessada apenas por pessoas e sistemas autorizados;
• Integridade: a informação é mantida exata, completa e protegida contra alterações indevidas;
• Disponibilidade: a informação e os serviços estão acessíveis quando necessário;
• Rastreabilidade: as ações relevantes são registradas e auditáveis.

02Governança

A segurança da informação é tratada como tema de governança, com responsáveis designados, políticas e procedimentos internos aprovados pela administração, revisões periódicas e avaliação contínua de riscos.

Todos os colaboradores, prestadores de serviços e parceiros com acesso a informações da Versell estão sujeitos a obrigações de confidencialidade e às políticas internas de segurança.

03Controle de acesso

• Concessão de acessos com base no princípio do menor privilégio e na necessidade de conhecer;
• Autenticação multifator (MFA) para acessos administrativos e ao painel do Cliente;
• Revisão periódica e revogação imediata de acessos em desligamentos ou mudanças de função;
• Segregação de funções e de ambientes (desenvolvimento, homologação e produção).

04Criptografia e proteção de dados

• Criptografia em trânsito por meio de TLS em todas as comunicações com sites, painéis e APIs;
• Criptografia em repouso para bases de dados e backups;
• Gestão segura de chaves criptográficas e segredos;
• Tokenização de dados de cartão de pagamento.

4.1 PCI-DSS

Os dados de cartão são processados em ambiente aderente ao padrão PCI-DSS (Payment Card Industry Data Security Standard), por meio de provedores certificados. A Versell não armazena o número completo do cartão nem o código de segurança (CVV) em seus próprios sistemas.

05Segurança de APIs

• Autenticação por credenciais e chaves de API exclusivas por Cliente, com possibilidade de rotação;
• Assinatura e validação de webhooks;
• Limites de requisição (rate limiting) e proteção contra abuso;
• Restrição por endereços IP, quando aplicável;
• Validação de entradas e testes de segurança no ciclo de desenvolvimento.

06Monitoramento e registros

A Versell mantém monitoramento contínuo de sua infraestrutura e aplicações, com registro de eventos de segurança, logs de acesso e trilhas de auditoria, permitindo a detecção de comportamentos anômalos, tentativas de intrusão e fraudes.

07Gestão de vulnerabilidades

• Varreduras periódicas de vulnerabilidades;
• Testes de intrusão (pentests) realizados periodicamente e após mudanças relevantes;
• Aplicação de correções e atualizações de segurança com priorização baseada em risco;
• Revisão de código e de dependências de software.

08Continuidade de negócios e recuperação de desastres

A Versell adota arquitetura de alta disponibilidade, redundância de componentes críticos, backups periódicos e planos de continuidade de negócios e de recuperação de desastres, testados periodicamente, com o objetivo de minimizar interrupções nos serviços.

09Gestão de terceiros e computação em nuvem

Fornecedores e parceiros que tratam informações da Versell são avaliados quanto a seus controles de segurança e estão sujeitos a cláusulas contratuais de confidencialidade e proteção de dados.

A utilização de serviços de processamento e armazenamento de dados em nuvem observa as diretrizes de segurança cibernética e de contratação de serviços em nuvem previstas na regulamentação aplicável às instituições autorizadas pelo Banco Central do Brasil, como a Resolução CMN nº 4.893/2021 e a Resolução BCB nº 85/2021, aplicáveis à Instituição de Pagamento Parceira.

10Resposta a incidentes

A Versell mantém processo estruturado de resposta a incidentes, contemplando identificação, contenção, erradicação, recuperação e análise pós-incidente.

Incidentes que envolvam dados pessoais e possam acarretar risco ou dano relevante aos titulares serão comunicados à Autoridade Nacional de Proteção de Dados (ANPD), aos titulares e às demais autoridades competentes, conforme exigido pela legislação.

11Conscientização e treinamento

Os colaboradores recebem treinamentos periódicos sobre segurança da informação, proteção de dados, engenharia social e prevenção à fraude.

12Responsabilidades do Cliente

A segurança é compartilhada. O Cliente é responsável por:

• Manter sob sigilo senhas, credenciais, tokens e chaves de API, não as compartilhando com terceiros;
• Ativar a autenticação multifator e manter dispositivos e sistemas atualizados;
• Proteger seus próprios servidores e integrações e validar as assinaturas de webhooks;
• Rotacionar imediatamente credenciais em caso de suspeita de comprometimento e comunicar a Versell.

13Divulgação responsável de vulnerabilidades

Pesquisadores que identificarem possíveis vulnerabilidades nos sistemas da Versell podem reportá-las pelo e-mail contato@versellpay.com, com a descrição do problema e os passos para reproduzi-lo.

Solicitamos que a vulnerabilidade não seja explorada além do necessário para demonstrá-la, que não sejam acessados ou alterados dados de terceiros e que a divulgação pública aguarde a correção.

14Atualizações

Esta Política é revisada periodicamente e poderá ser atualizada a qualquer tempo para refletir alterações legais, regulatórias, tecnológicas ou operacionais. A versão vigente estará sempre disponível nos canais oficiais da Versell.