Política de Segurança da Informação

Introdução

A Política de Segurança da Informação (PSI) da DreamExperience estabelece o compromisso formal da organização com a proteção de dados próprios e de terceiros sob sua custódia. Suas diretrizes são mandatórias para todos os colaboradores e prestadores de serviços com acesso aos ativos de informação da companhia. Seu propósito é estabelecer as diretrizes a serem seguidas no que diz respeito à adoção de procedimentos e mecanismos relacionados à segurança da informação, e em garantir a disponibilidade, integridade, confidencialidade, legalidade, autenticidade e auditabilidade da informação, conforme indicativos nas metodologias ISO:27000 e na legislação da Lei 13709 – Lei Geral de Proteção de Dados Pessoais (LGPD).

É dever de todos considerar a informação como sendo um bem organizacional, um dos recursos críticos para a realização do negócio, que possui grande valor para a DreamExperience e seus parceiros, e que deve sempre ser tratada profissionalmente para proteger a informação contra vários tipos de ameaças, garantir a continuidade dos serviços e produtos, maximizar o retorno sobre os investimentos e possibilitar a geração de novas oportunidades de negócio.

A violação desta política de segurança é qualquer ato que:

Exponha a empresa a uma perda monetária efetiva ou potencial por meio do comprometimento da segurança dos dados ou de informações, ou ainda da perda de equipamento.
Envolva a revelação de dados confidenciais, direitos autorais, negociações, patentes ou uso não autorizado de dados corporativos.
Envolva o uso de dados para propósitos ilícitos, que venham a incluir a violação de qualquer lei, regulamento ou qualquer outro dispositivo governamental.

Objetivo

Este documento estabelece as diretrizes e as responsabilidades gerais para a proteção dos ativos de informação e dados pessoais sob controle e operação da DreamExperience , que devem nortear seu modelo de governança, os processos de negócios implantados, as normas de segurança externas ou internas, capacitação dos usuários, características dos recursos utilizados – tecnológicos ou não, grau de Compliance atingido pela instituição e por terceiros prestadores de serviços que incluem tratamento de dados pessoais impactam diretamente no nível de segurança da informação na instituição.

Abrangência

A PSI aplica-se a todos os colaboradores e prestadores de serviços, incluindo trabalhos executados externamente ou por terceiros, que utilizem o ambiente físico ou lógico, ou tenha acesso a informações pertencentes à DreamExperience.

Todo e qualquer usuário de recursos da organização tem a responsabilidade de preservar a segurança e a integridade das informações e dos equipamentos de informática da organização, estando sua abrangência descrita dentro dos seguintes aspectos: Segurança física humana, Segurança física das instalações, Segurança lógica das informações, Segurança dos recursos empregados no desenvolvimento das atividades diárias. Esta Política Geral de Segurança da Informação e Proteção de Dados Pessoais estabelece padrões comportamentais relacionados à proteção de dados e à segurança das informações, considerando as atividades da DreamExperience, e regulamentação vigente, com destaque – mas não exclusivamente – para as leis federais nº. 13.709/2018 (Lei Geral de Proteção de Dados) e nº. 12.965/2014 (Marco Civil da Internet), tendo como premissa central a busca permanente do aprimoramento em todas as dimensões citadas no parágrafo anterior, sobretudo na capacitação de seus colaboradores e prestadores de serviços, bem como no desenvolvimento de processos e utilização de tecnologias cada vez mais seguras.

As informações ou dados regulados por esta política podem se apresentar sob quaisquer formas, sejam digitais ou analógicos, eletrônicos ou impressos, arquivos, mensagens, banco de dados de uso interno, dados coletados na internet ou mesmo informação circulada oralmente nas dependências da instituição.

Definições

Para fins desta política geral, considera-se:

Dado Pessoal: informação relacionada à pessoa natural identificada ou identificável;
Dado Pessoal Sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou à organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
Tratamento de Dados: toda operação realizada com dados pessoais, tais como coleta, recepção, utilização, acesso, transmissão, processamento, arquivamento e eliminação;
Dado Anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;
Usuário: pessoa que utiliza ou tem acesso a informações da DreamExperience, inclusive terceirizados e outras pessoas prévia e expressamente autorizadas;
Colaborador: empregado, estagiário ou voluntário que, formalmente vinculado à DreamExperience, execute atividades no âmbito da instituição, de forma remunerada ou não;
Prestador de serviço: pessoa física ou jurídica, vinculada a instituição mediante contrato formal ou tácito, que preste ou tenha prestado serviço à DreamExperience;
Comitê de Segurança da Informação e Proteção de Dados: órgão interno responsável pelo acompanhamento e avaliação das políticas de segurança da informação e proteção de dados pessoais, a quem compete, ainda, sugerir normas e procedimentos que fortaleçam o controle da instituição, composto por representantes de diversas áreas da DreamExperience;
Gestor de Ativo de Informação: gestor da DreamExperience formalmente indicado, responsável pela classificação, concessão, manutenção, revisão e cancelamento de autorizações de acesso a determinado conjunto de informações e dados pessoais sob controle e/ou operação desta;
Controlador de Dados: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;
Operador de Dados: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;
Encarregado da Proteção de Dados (DPO): pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);
Ativo de Informação: Qualquer componente (seja humano, tecnológico, software ou etc.) que sustenta um ou mais processos de negócio de uma unidade ou área de negócio.

Estrutura das Normas de Segurança da Informação

A estrutura normativa da segurança da informação e proteção de dados pessoais da DreamExperience é composta por um conjunto de documentos com níveis hierárquicos distintos, assim compreendidos:

Política Geral de Segurança da Informação: representada por este documento, estabelece a estrutura e as diretrizes gerais concernentes à segurança da informação. É aprovada pela Diretoria da DreamExperience e deve ser revisada anualmente ou sempre que necessário;
Guia de Controles de Segurança da Informação (Normas): constituído por definições táticas dos processos e orientações formais relacionadas a gestão de segurança da informação, exigem a aprovação por parte da Diretoria da DreamExperience e deve ser revisado anualmente ou sempre que necessário;
Procedimentos de Segurança da Informação: idealizados no âmbito das gerências e coordenações, cuidam de detalhar o exposto nas políticas e normas de segurança, devendo se apresentar de maneira objetiva, orientando, passo a passo, a atividade operacional. Sua implementação dependerá da aprovação da Diretoria da DreamExperience.

Divulgação e Acesso à Estrutura Normativa

Esta Política Geral de Segurança da Informação, bem como toda e qualquer política complementar da informação implementada deverá permanecer disponível no sítio eletrônico da DreamExperience – em local de fácil acesso ao público em geral – sendo seus conteúdos integralmente compartilhados em toda a rede interna da instituição, de maneira tal que qualquer cliente ou usuário interessado consiga acessar a informação com a máxima presteza possível.

Todos os colaboradores devem ser capacitados regularmente quanto às normas constantes na legislação nacional pertinente, nesta Política Geral e eventuais alterações posteriores, bem como em quaisquer outras informações necessárias para manutenção da eficácia na segurança da informação.

O objetivo da capacitação mencionada neste item é assegurar que cada colaborador possua o conhecimento atualizado da estrutura normativa, a fim de que possa executar suas tarefas de maneira segura e consciente. Aos prestadores de serviços, devem ser fornecidas todas as informações necessárias para que eles tomem conhecimento do conjunto normativo aplicável à respectiva atuação.

Diretrizes Gerais de Segurança da Informação

As diretrizes a seguir listadas devem nortear todos os atos de gestão da informação, incluindo toda e qualquer elaboração ou alteração de políticas, normas e procedimentos de segurança da informação e proteção de dados.

São diretrizes gerais de segurança da informação e proteção de dados pessoais na DreamExperience:

Conscientização: é necessário garantir que cada usuário conheça o seu papel no processo de tratamento de dados e informações, os riscos inerentes à sua atuação, os limites a eles impostos e as consequências de seus atos;
Responsabilidade compartilhada: a responsabilidade de zelar pela segurança das informações e proteção de dados é compartilhada por cada usuário ou colaborador, independentemente do nível hierárquico ou de seu nível de participação no processo de tratamento;
Comprometimento: proteger os dados e as informações tratadas na instituição é fundamental para assegurar a continuidade de sua existência. Sendo assim, é necessário difundir, nos mais diversos níveis da estrutura hierárquica a necessidade e o desejo de colaborar com a implantação e manutenção de boas práticas;
Prevenção: todo e qualquer projeto ou ação da DreamExperience deve ser planejada levando em conta a necessidade de evitar vazamentos de dados pessoais e informações e assegurar a eficácia das estratégias de segurança da informação;
Finalidade: só é permitido o tratamento de dados e informações que obedeçam a propósitos legítimos, específicos, e explicitamente autorizados pelo titular;
Adequação: não é permitido nenhum tratamento com finalidade diferente daquela autorizada pelo titular dos dados ou pela Liderança da DreamExperience;
Não discriminação: nenhum dado pode ser tratado com finalidades discriminatórias, abusivas ou ilícitas;
Responsabilização e prestação de contas: é necessário manter-se capaz de demonstrar, a qualquer tempo, a observância e o cumprimento das normas de proteção de dados pessoais e a eficácia das medidas de controle adotadas;
Análise de riscos: os riscos e vulnerabilidades institucionais devem ser analisados periodicamente e de forma sistemática, a fim de que medidas atenuantes possam ser tomadas antes que ocorram incidentes;
Continuidade: garantir a continuidade do negócio através da adoção, implementação, teste e melhoria contínua de planos de continuidade e recuperação de desastres;
Resposta: ocorrendo incidentes de segurança da informação, a gestão deve, sempre, responder de maneira transparente e ágil, de forma a minimizar os efeitos dos incidentes e preservar a confiança;
Reavaliação: todas as medidas adotadas devem ser, periodicamente, reavaliadas e ajustadas, sempre que necessário

Comportamento Íntegro

Não importando a forma com que se apresentam, informações estão presentes em cada decisão tomada e em cada atitude levada a cabo.
Assim, manter a informação segura no âmbito da instituição e fazer com que ela sirva, exclusivamente, aos propósitos pelas quais foram colhidas, representando um diferencial na qualidade dos serviços prestados, exige mais que a edição de normas e regulamentos de controle e a adoção de tecnologias de última geração em matéria de segurança.

Toda instituição é formada por pessoas e, para garantir a proteção das informações e dados pessoais sob controle e operação da DreamExperience, faz-se necessário que os colaboradores e prestadores de serviço adotem comportamento íntegro e consistente com o objetivo de proteção das informações e dados pessoais na DreamExperience, com destaque para os seguintes itens:

Colaboradores e prestadores de serviços devem assumir atitudes proativas em respeito à proteção dos dados pessoais e segurança da informação, buscando, dia a dia, a identificação de riscos e vulnerabilidades e a proposição de melhorias de controles e processos administrativos no tratamento destes dados;
Os colaboradores devem ter sempre em mente que as operações da DreamExperience estarão sempre sob ameaças externas à segurança dos dados, devendo permanecer alertas a quaisquer sinais de incidentes;
Os colaboradores devem informar ao Comitê de Segurança da Informação e Proteção de Dados, formal ou informalmente, tão logo tomem conhecimento de qualquer falha de segurança ou vulnerabilidade na estrutura de informação da DreamExperience;
Todo acesso à informação e dados pessoais sob controle e operação da DreamExperience que não for explicitamente autorizado está terminantemente proibido;
A distribuição, divulgação, reprodução ou qualquer outra forma de compartilhamento de informação ou dado pessoal sob controle da DreamExperience, ou mesmo de terceiros que a DreamExperience seja, eventualmente, guardiã, confidencial ou não, está proibida, exceto quando houver autorização expressa do titular dos dados ou da gestão da DreamExperience, nos termos da Lei Geral de Proteção de Dados;
As informações e dados pessoais sob controle e operação da DreamExperience devem ser tratadas (armazenadas, acessadas, manipuladas, transportadas e descartadas, por exemplo), mediante cuidados adequados à sua criticidade;
O tratamento de dados pessoais e armazenamento de informações sob controle da DreamExperience apenas poderá ser realizado em locais -físicos ou digitais – que estejam ao alcance da gestão institucional, de acordo com políticas, normas e procedimentos definidos na forma desta Política Geral de Segurança da Informação;
Arquivos confidenciais, documentos impressos e dados pessoais sob controle e operação da DreamExperience devem ser adequadamente tratados, observando-se, com rigor, a legislação e as normas internas de proteção de dados;
Dados impressos ou em meio digital, quando não estiverem em uso, devem ser guardados de maneira adequada, de preferência, protegidos por chaves ou senhas;
Computadores devem ser bloqueados com senha, impedindo a visualização de arquivos em uso, sempre que o usuário se afastar dos mesmos;
Ao terminar o trabalho diário não deixar nenhum relatório e/ou mídia confidencial e/ou restrito sobre suas mesas (mesa e tela limpa);
O uso de senhas de usuário é obrigatório, pessoal e intransferível para acesso às informações e ao ambiente computacional, ainda que estas venham a ser acessadas remotamente, em equipamentos particulares. Deve-se, ainda, evitar manter as senhas anotadas em papéis ou em outros sistemas visíveis e ao alcance de terceiros;
É expressamente proibida a utilização de senhas ou identificação de outras pessoas;
Cada vez que o usuário receber, da administração, uma nova senha de acesso a qualquer sistema da instituição, deverá alterá-la para outra de seu conhecimento exclusivo, se comprometendo, ainda, a substituí-la periodicamente ou na verificação de indícios de que ela tenha sido descoberta por outrem;
É expressamente proibido desinstalar ou desativar recursos de proteção dos equipamentos da DreamExperience;
Nenhum software poderá ser instalado em equipamentos da DreamExperience sem a expressa autorização da área de operações;
Não é permitida a utilização de softwares, aplicativos ou quaisquer outros documentos ou materiais sem o respectivo licenciamento ou autorização para uso;
Assuntos de trabalho devem ser evitados em eventos e ambientes públicos ou áreas expostas, de onde possam vir ao conhecimento de outras pessoas que não façam parte da instituição;
Dúvidas sobre as Políticas e Normas de Segurança da Informação devem ser esclarecidas com o Comitê de Segurança da Informação e Proteção de Dados da DreamExperience, através do e-mail: dpo@dreamxp.com.br

Responsabilidades Gerais na Gestão da Segurança da Informação

Nesse documento, estão descritas as responsabilidades gerais no que tange à segurança da informação e dados pessoais sob controle e operação da DreamExperience. Para cada área ou atividade específica, estas responsabilidades serão elencadas nas respectivas políticas específicas ou normas criadas a partir das diretrizes apresentadas neste documento.

Cabe a cada colaborador e prestador de serviços da DreamExperience:

Manter-se constantemente atualizado em relação às normas de segurança da informação e proteção de dados pessoais publicadas pela DreamExperience;
Cumprir todas as políticas, normas e procedimentos de segurança da informação e proteção de dados pessoais da DreamExperience;
Solicitar ajuda ao superior hierárquico ou, em casos específicos, ao Comitê de Segurança da Informação e Proteção de Dados ou ao Encarregado da Proteção de Dados (DPO), sempre que houver dúvidas quanto à segurança da informação e proteção de dados sob controle e operação da DreamExperience;
Assinar termo de responsabilidade, declarando ciência e aceitação das políticas, normas e procedimentos de segurança da informação e proteção de dados pessoais, e assumindo a responsabilidade pela realização de suas atribuições sempre em consonância com estas regras;
Empregar todos os esforços no intuito de proteger as informações e dados pessoais, que estiverem sob sua guarda, contra tratamentos indevidos, alterações e supressão inadequadas, bem como acessos não autorizados;
Garantir a estrita utilização dos recursos disponíveis, tecnológicos ou não, bem como das informações, para as finalidades decorrentes de suas atribuições funcionais, determinadas pela DreamExperience;
Observar com rigor a legislação pertinente à propriedade intelectual e à legislação de regência, no tocante à proteção de dados pessoais;
Comunicar imediatamente ao Encarregado da Proteção de Dados (DPO) na observação de qualquer descumprimento ou violação das Políticas, das Normas ou dos Procedimentos de Segurança da Informação e Proteção de Dados Pessoais da DreamExperience.

Cabe às Chefias, Gerências e Coordenações:

Cumprir e fazer cumprir a política geral de segurança da informação, as políticas complementares (normas) e os procedimentos de segurança da informação e proteção de dados pessoais da DreamExperience, bem como a legislação de regência pertinentes à segurança da informação e proteção de dados pessoais;
Garantir às suas equipes o pleno conhecimento da política geral de segurança da informação, das políticas complementares (normas) e dos procedimentos de segurança da informação e proteção de dados da DreamExperience, bem como o fácil acesso aos textos regulamentares do tema para eventuais consultas;
Garantir a inclusão de cláusulas de segurança da informação nos instrumentos jurídicos firmados com outras instituições, bem como meios de garantir seu cumprimento ou a responsabilização em casos de incidentes;
Propor a alteração ou criação de procedimentos de segurança da informação e proteção de dados pessoais, relacionados às suas respectivas áreas;
Manter os procedimentos referentes às suas áreas de atuação atualizados, dentro do cronograma de revisão periódica;
Comunicar imediatamente ao Comitê de Segurança da Informação e Proteção de Dados eventuais situações que possam representar risco e/ou vulnerabilidades relacionadas à segurança da informação e proteção de dados pessoais;
Em eventuais casos de violação de segurança da informação e proteção a dados pessoais sob controle e operação da DreamExperience, tomar, imediatamente, as ações cabíveis junto aos seus colaboradores e/ou usuários, comunicando o fato, prontamente, ao Encarregado da Proteção de Dados (DPO);
Realizar constantemente o envio dos artefatos gerados em seu equipamento para os servidores de versionamento ou drives na nuvem para garantir proteção e backup.

Cabe ao Comitê de Segurança da Informação e Proteção de Dados da DreamExperience:

Realizar o Planejamento de campanhas de conscientização e comunicação do Sistema de Gestão de Segurança da Informação;
Conduzir avaliações e revisões de riscos de Segurança da Informação, estabelecendo as ações necessárias para tratamento dos riscos;
Revisar periodicamente as medidas de segurança da informação;
Planejar e coordenar auditorias internas do Sistema de Gestão de Segurança da Informação;
Conduzir em conjunto com a Liderança as reuniões de Análise Crítica do SGSI.

Cabe à Liderança da DreamExperience:

Prover os recursos necessários para a manutenção e melhoria do Sistema de Gestão e da Segurança da Informação;
Revisão e aprovação das Políticas Organizacionais;
Engajar os demais líderes e colaboradores a respeito do cumprimento de processos e objetivos organizacionais.

Monitoramento e Controle

Todas as informações e dados controlados e operados pela DreamExperience assim como seus arquivos físicos, equipamentos diversos e todos os demais recursos estão destinados, exclusivamente, ao desenvolvimento de suas atividades, sendo vedado o uso para fins pessoais ou em favor de outras organizações, exceto quando pactuado com a direção da DreamExperience.

A cada colaborador, independente do vínculo existente, deve ser dada ciência de que o tratamento desses dados pessoais ou uso das informações da DreamExperience podem ser monitorados e que eventuais descumprimentos das políticas, normas e procedimentos de segurança serão detectados e utilizados para a instauração de procedimentos administrativos ou judiciais, dependendo do caso concreto, cabíveis.

No caso de procedimentos internos, as infrações serão submetidas ao rito administrativo vigente na DreamExperience. Para as ações legais, serão observadas as normas de Direito aplicáveis à cada situação.

Diretrizes Gerais para Incidentes de Segurança da Informação

Os eventuais cenários de Incidentes de Segurança da Informação devem ser reportados, preferencialmente, via ferramenta de tickets corporativos, quando comunicados por colaboradores e prestadores de serviço. Na impossibilidade de registro na ferramenta supracitada, é permitido comunicar via canal DPO (dpo@dreamxp.com.br). Para as partes externas (fornecedores, clientes etc), a comunicação deve ser reportada ao canal DPO (dpo@dreamxp.com.br).

Este processo está documentado em P.SGSI.01 – Resposta a Incidentes de Segurança da Informação.

A tabela abaixo permite a consulta rápida para identificar como devemos reportar:

Respeito à Política de Segurança da Informação

Além das penalidades aplicáveis aos atores que desrespeitarem as políticas, normas ou procedimentos de segurança da informação e proteção de dados, todo ato de infração será considerado grave e, tão logo identificado, sem prejuízo do devido processo administrativo ou judicial, serão suspensas todas as autorizações para acesso aos equipamentos ou serviços de informática, bem como aos arquivos físicos de guarda dos dados, até que seja concluída a apuração dos fatos.

Casos omissos

Os casos omissos serão avaliados pelo Comitê de Segurança da Informação e Proteção de Dados para posterior deliberação.

As diretrizes estabelecidas nesta política e nas demais normas e procedimentos de segurança, não se esgotam em razão da contínua evolução tecnológica e constante surgimento de novas ameaças. Desta forma, não se constitui rol enumerativo, sendo obrigação de todos os colaboradores da DreamExperience adotar, sempre que possível, outras medidas de segurança além das aqui previstas, com o objetivo de garantir proteção as informações da DreamExperience.

Políticas Relacionadas

Ao firmar a presente Política de Segurança da Informação (PSI), o signatário declara plena ciência e concordância não apenas com as diretrizes aqui descritas, mas também com as demais normas, procedimentos e políticas internas da DreamExperience. A assinatura deste documento implica na aceitação integral do ecossistema normativo da organização, sendo estas políticas complementares e indissociáveis entre si.

Revisões

Esta política é revisada com periodicidade anual ou conforme o entendimento do pelo Comitê de Segurança da Informação e Proteção de Dados da DreamExperience.

Gestão da Política de Segurança da Informação

A presente Política Geral de Segurança da Informação foi aprovada pela Diretoria da DreamExperience em 15/05/2026, sendo a versão 3.0 do documento.