Proteção para dados financeiros, consentimentos e integrações sensíveis.

Integração B3 Investidor

A Rica usa a B3 Investidor para enriquecer o planejamento com posições e movimentações de investimentos autorizadas pelo titular. A consulta considera a última carga disponibilizada pela B3 e usa a API Guia para reduzir chamadas desnecessárias antes de buscar dados detalhados.

Gestão de consentimento

Quando o consentimento é a base legal aplicável, a Rica utiliza fluxos de opt-in em que o titular inicia ou autoriza a conexão antes do tratamento, como nas integrações B3 Investidor e Open Finance. O consentimento é vinculado ao titular, à pessoa, estrutura ou projeto aplicável e à finalidade da integração.

O titular pode gerir ou encerrar consentimentos diretamente no ambiente do provedor responsável pela autorização, como B3 ou instituição financeira/Open Finance, ou solicitar a desconexão pelos canais da Rica. Quando uma autorização é removida na Rica, a empresa deixa de consultar a origem correspondente e remove ou anonimiza os dados sincronizados localmente, salvo retenções necessárias por obrigação legal, auditoria, segurança, prevenção a fraude ou exercício regular de direitos.

Auditoria

Eventos relevantes, como criação de autorização, consulta de status, remoção e acessos negados, são registrados com identificadores operacionais e sem documentos brutos, tokens, certificados, segredos ou payloads sensíveis.

Monitoramento de eventos e proteção de logs

A Rica utiliza registros técnicos da aplicação, logs de execução em infraestrutura gerenciada e trilhas de auditoria específicas para identificar falhas, acessos negados, comportamentos anômalos, erros de integração e eventos relevantes de segurança. Esses registros apoiam a revisão operacional, suporte, análise de ameaça, investigação e mitigação de incidentes.

Logs e auditorias não são expostos a usuários finais e possuem acesso restrito a administradores, serviços e responsáveis técnicos autorizados. A aplicação não oferece recursos públicos para exclusão ou alteração desses registros. Quando há retenção ou descarte de logs, o processo é controlado por regras operacionais, infraestrutura, permissões administrativas e necessidade de auditoria, segurança, suporte ou obrigação legal.

Captura e análise de comportamento anômalo

A Rica captura sinais de comportamento anômalo por meio de logs técnicos, trilhas de auditoria, erros de autenticação ou autorização, acessos negados, falhas repetidas, eventos de integração, webhooks, filas, uso de credenciais e operações sensíveis. Em integrações críticas, como B3 Investidor e Open Finance, eventos de criação, consulta, revogação, falha e acesso negado são tratados como sinais relevantes para revisão.

Quando um padrão fora do esperado é identificado, os responsáveis técnicos avaliam contexto, recorrência, usuário ou serviço envolvido, impacto, dados afetados, origem provável e necessidade de contenção. Conforme a severidade, o tratamento pode incluir bloqueio temporário, revogação ou troca de credenciais, correção de código, ajuste de configuração, abertura de incidente, comunicação aos responsáveis e registro de lições aprendidas.

Incidentes de segurança

A Rica mantém medidas de prevenção, detecção e tratamento para incidentes envolvendo dados pessoais e financeiros. Na prevenção, aplica mínimo acesso, segregação de credenciais, proteção de tokens e certificados fora do frontend e redução de dados sensíveis em logs. Na detecção, utiliza registros operacionais de autorizações, consultas, revogações, erros e acessos negados para análise técnica, suporte e auditoria.

Quando há suspeita ou confirmação de vazamento, acesso indevido, perda ou alteração não autorizada de informações, o procedimento interno prevê triagem do evento, contenção, correção da causa, avaliação de impacto, registro das medidas adotadas e comunicação interna aos responsáveis pela operação. Quando aplicável, a Rica comunica titulares, clientes, parceiros, autoridades competentes ou canais contratuais, conforme a LGPD, obrigações legais e a gravidade do incidente.

Estrutura de gerenciamento de incidentes

A gestão de incidentes combina processos, pessoas e tecnologias. A responsabilidade técnica fica com os responsáveis pela operação da plataforma, que avaliam logs, acessos negados, falhas, integrações, infraestrutura, credenciais, certificados, banco de dados, armazenamento e código. Essa frente conduz triagem, contenção, correção, restauração e validação técnica.

A frente de privacidade e negócio avalia impacto a titulares, clientes, contratos, parceiros e obrigações da LGPD, define necessidade de comunicação, acompanha evidências e registra decisões. Donos de produto, tecnologia e operação aprovam medidas relevantes, como bloqueio temporário de acesso, revogação de credenciais, correções emergenciais, comunicação externa e ajustes permanentes de controle.

Correções emergenciais

Quando uma falha crítica ou vulnerabilidade exige resposta rápida, a Rica pode aplicar correção emergencial por hotfix. O processo considera identificação do problema, classificação de severidade, definição de impacto, aprovação dos responsáveis técnicos, de produto ou operação, implementação da correção, validação mínima proporcional ao risco e publicação por pipeline ou procedimento controlado.

O registro da correção é mantido em evidências operacionais, como histórico Git, commits, execução de pipeline, logs de build/deploy, mensagens de acompanhamento e validações pós-publicação. Quando a correção envolve credenciais, integrações, dados pessoais ou disponibilidade do serviço, os owners avaliam necessidade de revogação de segredos, bloqueio temporário, rollback, comunicação e acompanhamento posterior.

Pós-incidente e melhoria contínua

Após a contenção de um incidente ou evento relevante de segurança, a Rica realiza revisão para identificar causa raiz, impacto, sistemas afetados, dados potencialmente envolvidos, eficácia das medidas adotadas, comunicação necessária, correções definitivas e ações preventivas para reduzir recorrência.

As lições aprendidas e planos de ação são mantidos em registros operacionais, como histórico do incidente, mensagens de acompanhamento, issues ou tarefas internas, commits, evidências de pipeline, logs e documentos de suporte. Quando aplicável, esses registros alimentam sínteses gerenciais com indicadores como severidade, status, responsável, prazo, tempo de detecção, tempo de contenção, tempo de correção, sistemas afetados e ações pendentes.

Criptografia

As conexões públicas da Rica e suas integrações são realizadas por canais HTTPS/TLS. Fluxos de autenticação usam OAuth 2.0 e OpenID Connect, com tokens Bearer/JWT emitidos por provedores de identidade e validados no backend. Credenciais, tokens, certificados, chaves e segredos de integração não são expostos no frontend.

Identificadores sensíveis usados em integrações, como documentos vinculados a autorizações B3, são protegidos no backend por criptografia autenticada AES-GCM com chaves de 256 bits e por hashes HMAC-SHA256 para permitir busca e conciliação sem exposição do documento bruto. Senhas temporárias de anexos também são protegidas com AES-GCM. Quando uma integração exige certificado cliente, o material criptográfico é carregado pelo backend e mantido fora da aplicação pública.

Gestão de chaves e segredos

Chaves criptográficas, segredos de API, certificados cliente, senhas de certificados, tokens e credenciais de integração são tratados como ativos restritos. Esses itens são provisionados e mantidos em configurações de backend, variáveis de ambiente, cofres de chaves ou mecanismos equivalentes de infraestrutura, com acesso limitado a administradores e serviços autorizados.

O ciclo de vida desses ativos considera geração por mecanismos seguros, distribuição apenas para os serviços que necessitam do segredo, uso fora do frontend, troca quando há alteração de ambiente, substituição de fornecedor, suspeita de exposição ou necessidade operacional, e revogação ou remoção quando o segredo deixa de ser necessário. Certificados e chaves privadas usados em integrações são carregados pelo backend e devem permanecer fora de repositórios públicos, logs, respostas de API e interfaces de usuário.

Origem dos dados e bases legais

A Rica mantém mapeamento simplificado das principais atividades de tratamento de dados pessoais, registrando origem dos dados, finalidade, categorias tratadas, base legal, compartilhamentos necessários, retenção e controles aplicáveis. Esse registro é revisado quando novas funcionalidades, integrações ou fornecedores passam a tratar dados pessoais.

Os dados podem ser fornecidos diretamente pelo cliente, gerados pelo uso da plataforma, enviados em documentos, recebidos por integrações autorizadas pelo titular, como B3 Investidor e Open Finance, ou tratados por fornecedores necessários à prestação do serviço. As bases legais são definidas conforme a finalidade, incluindo execução de contrato, consentimento, cumprimento de obrigação legal ou regulatória, exercício regular de direitos e legítimo interesse para segurança, suporte e prevenção a fraude.

Não aquisição de bases de dados

A Rica não compra, aluga ou adquire bases de dados pessoais de terceiros. Os dados tratados são fornecidos pelo próprio titular, gerados pelo uso da plataforma ou obtidos por integrações iniciadas e autorizadas pelo titular para a prestação do serviço.

Fornecedores e suboperadores necessários à operação, como infraestrutura, autenticação, pagamento e suporte, podem processar dados conforme a finalidade contratada, contratos, termos aplicáveis, controles de segurança e instruções da Rica, sem caracterizar aquisição de bases pessoais de terceiros.

Plano de adequação à LGPD

A adequação à LGPD é tratada pela Rica como um processo contínuo. O plano inclui manutenção da Política de Privacidade e Termos de Uso, definição de bases legais por finalidade, mapeamento simplificado das atividades de tratamento, canal para exercício de direitos dos titulares, regras de retenção e exclusão, controle de acesso, gestão de incidentes e avaliação de fornecedores e integrações que tratam dados pessoais.

As medidas são revisadas quando há novas funcionalidades, integrações, fornecedores ou mudanças relevantes no tratamento de dados pessoais, especialmente em fluxos com informações financeiras, B3 Investidor e Open Finance.

Localização de hospedagem

Os dados principais da aplicação são hospedados em ambientes no Brasil, incluindo recursos de aplicação e armazenamento em Azure Brazil South e banco de dados gerenciado em região São Paulo/Brasil. Esses ambientes concentram os dados transacionais da plataforma e arquivos necessários à prestação do serviço.

Serviços auxiliares, como autenticação, provedores de infraestrutura, pagamento, comunicação, suporte e ferramentas de segurança, podem envolver processamento por provedores globais ou no exterior, conforme a finalidade contratada, termos aplicáveis, controles técnicos, segurança, confidencialidade e requisitos da LGPD.

Atendimento aos direitos dos titulares

Titulares de dados pessoais podem solicitar atendimento dos direitos previstos na LGPD, incluindo confirmação de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade, portabilidade quando aplicável, informação sobre compartilhamentos, revogação de consentimento e revisão de decisões automatizadas.

As solicitações são recebidas pelo canal de privacidade da Social Rica, avaliadas conforme a identidade do solicitante, o contexto do tratamento, a base legal aplicável e eventuais obrigações legais, regulatórias, contratuais ou de segurança que justifiquem retenção ou limitação do atendimento.

Capacitação e reciclagem

A Rica mantém capacitação contínua de profissionais, colaboradores e responsáveis operacionais por meio de materiais de apoio, documentação, cursos, orientações de uso da plataforma e atualizações sobre privacidade, segurança e governança de dados.

Os conteúdos reforçam princípios de LGPD, confidencialidade, mínimo acesso, uso adequado de dados pessoais e financeiros, tratamento de integrações autorizadas, proteção de credenciais, prevenção de exposição indevida de dados, atendimento a titulares e comunicação de incidentes quando aplicável.

Retenção e descarte de dados

A Rica mantém dados pessoais pelo período necessário ao cumprimento das finalidades informadas, à prestação do serviço e ao atendimento de obrigações legais, regulatórias, contratuais, auditoria, segurança, prevenção a fraude ou exercício regular de direitos.

Encerrada a finalidade e inexistindo obrigação de retenção, os dados podem ser excluídos, anonimizados ou ter seu acesso bloqueado, conforme a natureza do dado, do sistema envolvido e da solicitação aplicável. Exceções de retenção devem estar associadas a uma base legal, obrigação contratual, requisito regulatório, necessidade de segurança ou exercício regular de direitos.

Análise de risco e RIPD

A Rica avalia riscos de privacidade e segurança nas atividades de tratamento que envolvem dados financeiros, documentos, integrações autorizadas, credenciais, identificadores pessoais ou maior exposição para o titular. A análise considera finalidade, necessidade, base legal, volume e sensibilidade dos dados, origem, compartilhamentos, retenção, controles de acesso, criptografia, logs, fornecedores e possibilidade de impacto aos titulares.

Quando a avaliação indicar tratamento de alto risco ou houver exigência legal, regulatória ou contratual aplicável, a Rica pode formalizar Relatório de Impacto à Proteção de Dados Pessoais (RIPD), registrando descrição do tratamento, riscos identificados, medidas de mitigação, responsáveis e decisão sobre continuidade ou ajustes do tratamento.

LGPD

A Rica trata dados financeiros para execução do serviço contratado e para integrações autorizadas pelo titular. O encarregado de proteção de dados da Social Rica é Felipe Reis. Solicitações sobre acesso, correção, exclusão, privacidade, segurança de dados ou incidentes podem ser enviadas pelo e-mail dpo@socialrica.com.br.