1. Escopo e definições
Um Incidente de segurança é um evento que efetivamente compromete, ou apresenta risco relevante e crível para, a confidencialidade, a integridade ou a disponibilidade dos sistemas ou dados da DIRI AI. Uma Violação de dados pessoais é a destruição, perda ou alteração acidental ou ilícita de dados pessoais, ou a divulgação ou o acesso não autorizados a eles, uma vez confirmados.
Varreduras bloqueadas, tentativas de login malsucedidas e alertas de disponibilidade inofensivos não são automaticamente violações de dados pessoais, mas ainda podem ser investigados.
2. Relato
Clientes e pesquisadores devem relatar incidentes suspeitos a security@diriai.com. Solicitações de privacidade ou suspeita de exposição de dados pessoais também podem ser enviadas a privacy@diriai.com. A mensagem inicial deve incluir horário, conta ou rota afetada, comportamento observado e detalhes para reprodução segura, mas não deve incluir senhas, dados completos de cartão nem conteúdo exposto desnecessário.
3. Severidade e resposta
A DIRI AI classifica um evento pela sensibilidade dos dados, pelo número e pela vulnerabilidade das pessoas afetadas, pelo impacto nos limites entre inquilinos, pelos privilégios, pela exploração ativa, pela disponibilidade e pelos deveres legais e contratuais.
| Severidade | Exemplo | Prioridade de resposta |
|---|---|---|
| Crítica | divulgação confirmada entre inquilinos, tomada de controle com privilégios, comprometimento destrutivo ativo | escalonamento imediato ao responsável, contenção e avaliação jurídica e de privacidade |
| Alta | provável acesso não autorizado a Dados Pessoais do Cliente ou falha grave na integridade do serviço | contenção urgente e avaliação no mesmo dia |
| Média | impacto limitado confirmado sem dados sensíveis ou vulnerabilidade controlada | investigação e correção priorizadas |
| Baixa | tentativa bloqueada, fragilidade menor ou ausência de comprometimento confirmado | fila normal de segurança e revisão de tendências |
Essas são prioridades internas, e não prazos de resolução garantidos.
4. Ciclo de resposta
O responsável pelo incidente, de forma proporcional:
- registrará e validará o relato;
- preservará registros de data e hora, logs e outras evidências com acesso restrito;
- conterá as credenciais, rotas, provedores ou fluxos de dados afetados;
- determinará os dados, clientes, pessoas, países e período afetados;
- avaliará os deveres de notificação com a responsabilidade de privacidade e jurídica;
- eliminará a causa, restabelecerá o serviço com segurança e monitorará a recorrência;
- fornecerá as atualizações exigidas; e
- documentará a causa raiz, as lições aprendidas e as ações corretivas.
5. Notificação ao cliente quando a DIRI AI é operadora
Quanto aos Dados Pessoais do Cliente, a DIRI AI notificará o cliente organizacional afetado sem demora injustificada após tomar conhecimento de uma Violação de dados pessoais. A meta operacional é um aviso inicial em até 48 horas, quando razoavelmente possível. As informações poderão ser fornecidas em etapas e incluirão a natureza, as consequências prováveis, os dados e pessoas afetados, as medidas de mitigação e o ponto de contato, à medida que se tornarem disponíveis.
O cliente continua responsável por suas decisões perante a autoridade e os titulares, a menos que a DIRI AI tenha um dever legal distinto. A meta de 48 horas não atrasa um aviso anterior e é um objetivo operacional, e não um prazo contratual garantido.
6. Notificações quando a DIRI AI é controladora
Quando a DIRI AI é controladora, ela documentará toda Violação de dados pessoais e avaliará o risco para as pessoas. Se o GDPR exigir notificação à autoridade, a DIRI AI notificará a autoridade competente sem demora injustificada e, quando viável, em até 72 horas após tomar conhecimento, explicando qualquer atraso. Se for provável que a violação gere alto risco, as pessoas afetadas serão informadas sem demora injustificada, salvo se se aplicar uma exceção legal.
Outros territórios atendidos podem exigir conteúdo diferente ou prazos mais curtos; prevalece o prazo aplicável mais antecipado.
7. Comunicações sobre o status do serviço
Incidentes relevantes de disponibilidade podem ser comunicados por aviso no aplicativo, canal de status verificado ou e-mail. Um aviso público não deve expor detalhes exploráveis, dados de outro cliente nem uma causa não verificada. Os deveres de notificação de segurança e de privacidade não dependem da existência de uma página pública de status.
8. Atualizações e revisão pós-incidente
Em um incidente relevante notificado, a DIRI AI deve fornecer atualizações relevantes até a contenção e um resumo de encerramento quando for razoavelmente seguro. Um relatório empresarial pós-incidente pode descrever a cronologia, o impacto, a causa raiz e as ações corretivas, sujeito à segurança, aos privilégios, à confidencialidade e à lei. Nenhuma notificação é um reconhecimento de responsabilidade.
9. Evidências e retenção
As evidências do incidente têm acesso restrito e são mantidas somente para a resposta, os deveres legais, as reclamações e a melhoria dos controles. O padrão é a duração do caso mais cinco anos, ajustada conforme a severidade, os prazos prescricionais, as instruções da autoridade e as retenções legais. Dados pessoais não relacionados devem ser removidos ou minimizados.
10. Contato e versão
Contato de segurança: security@diriai.com. Contato de privacidade: privacy@diriai.com. Versão: 1.2.0. Data: 30 de agosto de 2026.