Central Legal

Segurança da Informação

Versão 1.0 · Vigência a partir de 15 de outubro de 2026 · Resumo público

A SecurityPag protege dados de pagamento com tokenização em ambiente PCI DSS, criptografia, acesso mínimo necessário e monitoramento contínuo. Este resumo descreve os controles adotados e o que esperamos dos Usuários. A política completa é interna e revista pelo menos uma vez por ano.

1. Referências

O programa segue o PCI DSS versão 4.0.1, o art. 46 da LGPD, a Resolução CD/ANPD nº 15/2024 sobre incidentes e os requisitos de segurança das Bandeiras e das Instituições Parceiras. As normas ISO/IEC 27001 e 27701 e o OWASP são usados como referência de boas práticas.

Situação PCI DSS: a SecurityPag está em conformidade com o PCI DSS no Nível 1, validada anualmente por Relatório de Conformidade (ROC) e Atestado de Conformidade (AOC), e realiza teste de intrusão anual.

2. Governança

• Responsável por segurança da informação: Setor de Compliance, com a equipe de segurança (security@securitypag.com).
• Políticas aprovadas pela diretoria e revistas anualmente.
• Classificação de informações e inventário de ativos e de dados pessoais.
• Gestão de riscos de segurança com plano de ação acompanhado pela diretoria.

3. Proteção de dados de pagamento

• Dados de cartão capturados apenas pelo Checkout ou pelo tokenizador e substituídos por token. O código de segurança do cartão nunca é armazenado após a autorização.
• Tráfego protegido por TLS 1.2 ou superior; dados sensíveis em repouso cifrados com AES-256 e chaves gerenciadas em módulo seguro ou serviço de gestão de chaves.
• Ambiente de dados de cartão segmentado do restante da rede.
• Autenticação 3-D Secure 2 e carteiras digitais tokenizadas.

4. Controle de acesso

• Acesso concedido pelo mínimo necessário e revisto periodicamente.
• Autenticação multifator para colaboradores e para operações sensíveis dos Usuários.
• Ambientes de teste e produção separados, com chaves de API distintas.
• Registro de acessos e ações administrativas, guardado conforme a lei.

5. Desenvolvimento seguro

• Revisão de código e análises estática e dinâmica no ciclo de desenvolvimento.
• Teste de intrusão por empresa independente pelo menos uma vez por ano e após mudanças relevantes.
• Correção de vulnerabilidades em prazos por criticidade: críticas em até 7 dias, altas em até 30 dias.
• Controle de scripts no Checkout, exigido pelo PCI DSS 4.0.1, para impedir código malicioso na página de pagamento.

6. Monitoramento e resposta a incidentes

• Monitoramento 24 horas com alertas para comportamento anômalo.
• Plano de resposta a incidentes testado pelo menos uma vez por ano.
• Incidentes que possam gerar risco ou dano relevante aos titulares são comunicados à ANPD e aos titulares em até 3 dias úteis, conforme a Resolução CD/ANPD nº 15/2024, e às Instituições Parceiras, Bandeiras e ao Banco Central quando exigido.
• Incidentes que afetem o serviço são informados em https://securitypag.com.

7. Continuidade

• Infraestrutura redundante em mais de uma zona de disponibilidade.
• Cópias de segurança cifradas e testadas periodicamente.
• Plano de continuidade com teste anual. Os objetivos de tempo de recuperação e de perda máxima de dados dos sistemas de pagamento são definidos no plano e revistos a cada teste.

8. Fornecedores

Fornecedores com acesso a dados ou sistemas passam por avaliação de segurança antes da contratação e por revisão periódica. Os contratos incluem cláusulas de sigilo, proteção de dados, comunicação de incidentes e direito de auditoria.

9. Pessoas

Colaboradores assinam termo de confidencialidade, passam por verificação de antecedentes compatível com a função e recebem treinamento anual de segurança e de prevenção a golpes.

10. Antifraude

Cada Transação passa por análise de risco em tempo real, com identificação de dispositivo, regras de velocidade, listas de restrição e modelos estatísticos. A Plataforma detecta e bloqueia testes de cartão em massa.

11. O que esperamos dos Usuários

• Ativar a autenticação em dois fatores e não compartilhar Credenciais.
• Guardar chaves de API em cofre seguro e substituí-las se houver suspeita de exposição.
• Validar a assinatura dos webhooks antes de liberar produtos.
• Manter plugins, lojas e servidores atualizados.
• Usar o tokenizador ou o Checkout para cartões; quem trafegar dados abertos de cartão precisa de certificação PCI DSS própria.

12. Divulgação responsável de vulnerabilidades

12.1. Encontrou uma vulnerabilidade? Envie os detalhes para security@securitypag.com. Confirmamos o recebimento em até 2 dias úteis e informamos o andamento.

12.2. Não tomaremos medidas legais contra quem agir de boa-fé, sem acessar dados além do mínimo para demonstrar o problema, sem degradar o serviço, sem engenharia social e sem divulgar antes da correção.

13. Golpes em nome da SecurityPag

A SecurityPag nunca pede senha, código de verificação ou chave de API, nem solicita pagamento para liberar saldo. Nossos canais oficiais constam da Cláusula 27 dos Termos de Uso. Mensagens suspeitas podem ser encaminhadas a security@securitypag.com.

Outros documentos da Central Legal