Demonstração: a Empresa SaaS S.A. e os documentos desta página são fictícios.

Trust Center

Empresa SaaS S.A.

A Empresa SaaS desenvolve uma plataforma em nuvem de gestão financeira para empresas. Aqui estão nossas políticas, certificações e subprocessadores.

ISO/IEC 27001Certificada
Relatório de prontidão SOC 2Relatório
Relatório de teste de intrusãoRelatório
SOC 2 Tipo IIEm preparação
Varredura externa de vulnerabilidadesRelatório
LGPDSeguimos
SOC 2Seguimos

Em resumo

O essencial em seis pontos. Cada um é uma resposta aprovada pela Empresa SaaS S.A.

Teste de intrusão independente

Empresa independente testa a plataforma uma vez por ano e a cada mudança relevante de arquitetura.

Autenticação multifator obrigatória

Autenticação multifator para todos os colaboradores e para todo acesso à produção.

Criptografia em repouso

Bancos de dados, arquivos e cópias de segurança criptografados com AES-256.

Cópias de segurança testadas

Cópias diárias dos bancos de dados, guardadas por 35 dias, com teste de restauração a cada trimestre.

Aviso de incidente em até 72 h

Clientes afetados são comunicados em até 72 horas da confirmação de um incidente com os dados deles.

Recuperação em até 4 horas

A plataforma volta em até 4 horas, com perda de no máximo 1 hora de dados.

Teste de intrusão independente

Empresa independente testa a plataforma uma vez por ano e a cada mudança relevante de arquitetura.

Autenticação multifator obrigatória

Autenticação multifator para todos os colaboradores e para todo acesso à produção.

Criptografia em repouso

Bancos de dados, arquivos e cópias de segurança criptografados com AES-256.

Ver os 6 pontos

Cópias de segurança testadas

Cópias diárias dos bancos de dados, guardadas por 35 dias, com teste de restauração a cada trimestre.

Aviso de incidente em até 72 h

Clientes afetados são comunicados em até 72 horas da confirmação de um incidente com os dados deles.

Recuperação em até 4 horas

A plataforma volta em até 4 horas, com perda de no máximo 1 hora de dados.

Conformidade

Certificações, relatórios independentes, o que está em preparação, o questionário de segurança respondido e as referências que o programa segue.

Certificação

ISO/IEC 27001

Emitido por
Certificadora Exemplo Ltda.
Escopo
Desenvolvimento, operação e suporte da plataforma em nuvem de gestão financeira
Relatório independente

Relatório de prontidão SOC 2

Feito por
Consultoria Exemplo em Auditoria Ltda.
Escopo
Critério de Segurança, a plataforma e os processos que a sustentam
Relatório independente

Relatório de teste de intrusão

Feito por
Auditoria Exemplo Segurança Ltda.
Escopo
Aplicação web, API e infraestrutura em nuvem
Em preparação

SOC 2 Tipo II

Relatório independente

Varredura externa de vulnerabilidades

Feito por
Varredura Exemplo Tecnologia Ltda.
Escopo
Endereços públicos da plataforma e da API
Questionário respondido

Questionário de segurança

As respostas às perguntas padrão de segurança e privacidade, em PDF, sob solicitação.

Frameworks que seguimosLGPDSOC 2

Frameworks que seguimos: LGPD, SOC 2

Práticas de segurança

Por tema. São as mesmas respostas aprovadas que a Empresa SaaS S.A. usa nos questionários dos clientes.

Controle de acesso

4
  • Acesso por perfil, só com aprovação do gestor; na produção, também da segurança, e temporário quando possível.
  • Autenticação multifator para todos os colaboradores e para todo acesso à produção.
  • Todos os acessos são revogados imediatamente no desligamento, pelo login único.
Ver as 4 práticas
  • Acessos a sistemas com dados de clientes revisados a cada trimestre; os sem justificativa são removidos.
Controle de acesso4
  • Acesso por perfil, só com aprovação do gestor; na produção, também da segurança, e temporário quando possível.
  • Autenticação multifator para todos os colaboradores e para todo acesso à produção.
  • Todos os acessos são revogados imediatamente no desligamento, pelo login único.
  • Acessos a sistemas com dados de clientes revisados a cada trimestre; os sem justificativa são removidos.

Criptografia

3
  • Tráfego externo em TLS 1.2 ou superior; versões antigas do protocolo são recusadas.
  • Bancos de dados, arquivos e cópias de segurança criptografados com AES-256.
  • Chaves em serviço gerenciado, com rotação automática anual e acesso restrito à equipe de infraestrutura.
Criptografia3
  • Tráfego externo em TLS 1.2 ou superior; versões antigas do protocolo são recusadas.
  • Bancos de dados, arquivos e cópias de segurança criptografados com AES-256.
  • Chaves em serviço gerenciado, com rotação automática anual e acesso restrito à equipe de infraestrutura.

Operações e cópias

4
  • Cópias diárias dos bancos de dados, guardadas por 35 dias, com teste de restauração a cada trimestre.
  • Correções de segurança em até 7 dias para as críticas e em até 30 dias para as altas.
  • Registros centralizados, retidos por 12 meses, com alertas para eventos de segurança.
Ver as 4 práticas
  • Ambientes em contas de nuvem separadas; dados reais de clientes só na produção.
Operações e cópias4
  • Cópias diárias dos bancos de dados, guardadas por 35 dias, com teste de restauração a cada trimestre.
  • Correções de segurança em até 7 dias para as críticas e em até 30 dias para as altas.
  • Registros centralizados, retidos por 12 meses, com alertas para eventos de segurança.
  • Ambientes em contas de nuvem separadas; dados reais de clientes só na produção.

Desenvolvimento seguro

2
  • Toda mudança de código passa por revisão de outra pessoa e por análise de segurança automática.
  • Dados reais de clientes não são usados em desenvolvimento nem em homologação.
Desenvolvimento seguro2
  • Toda mudança de código passa por revisão de outra pessoa e por análise de segurança automática.
  • Dados reais de clientes não são usados em desenvolvimento nem em homologação.

Incidentes e continuidade

3
  • Plano de resposta a incidentes testado uma vez por ano, com simulação.
  • Plano de continuidade e de recuperação de desastres aprovado pela Diretoria.
  • A plataforma volta em até 4 horas, com perda de no máximo 1 hora de dados.
Incidentes e continuidade3
  • Plano de resposta a incidentes testado uma vez por ano, com simulação.
  • Plano de continuidade e de recuperação de desastres aprovado pela Diretoria.
  • A plataforma volta em até 4 horas, com perda de no máximo 1 hora de dados.

Fornecedores e pessoas

4
  • Fornecedores com acesso a dados de clientes avaliados antes da contratação; os críticos, todo ano.
  • Contratos com fornecedores que tratam dados de clientes têm cláusulas de segurança e de proteção de dados.
  • Colaboradores e prestadores assinam termo de confidencialidade, que vale também depois do desligamento.
Ver as 4 práticas
  • Treinamento de segurança e privacidade na admissão e todo ano, e simulações de phishing a cada trimestre.
Fornecedores e pessoas4
  • Fornecedores com acesso a dados de clientes avaliados antes da contratação; os críticos, todo ano.
  • Contratos com fornecedores que tratam dados de clientes têm cláusulas de segurança e de proteção de dados.
  • Colaboradores e prestadores assinam termo de confidencialidade, que vale também depois do desligamento.
  • Treinamento de segurança e privacidade na admissão e todo ano, e simulações de phishing a cada trimestre.

Governança

4
  • Aprovada pela Diretoria Executiva e lida por todo colaborador na admissão e a cada nova versão.
  • Revisadas ao menos uma vez por ano, ou antes quando há mudança relevante de tecnologia, de negócio ou de regulação.
  • Empresa independente testa a plataforma uma vez por ano e a cada mudança relevante de arquitetura.
Ver as 4 práticas
  • O cliente exporta os dados por 30 dias; depois, eles saem da produção, e as cópias expiram em até 35 dias.
Governança4
  • Aprovada pela Diretoria Executiva e lida por todo colaborador na admissão e a cada nova versão.
  • Revisadas ao menos uma vez por ano, ou antes quando há mudança relevante de tecnologia, de negócio ou de regulação.
  • Empresa independente testa a plataforma uma vez por ano e a cada mudança relevante de arquitetura.
  • O cliente exporta os dados por 30 dias; depois, eles saem da produção, e as cópias expiram em até 35 dias.

Documentos

Os públicos você baixa agora. Os com cadeado, marque e peça: a Empresa SaaS S.A. avalia o pedido e envia os links por e-mail.

  • Código de Conduta e ÉticaPolítica · versão 1 · aprovada em 22/10/2025Baixar PDF
  • Política de Gestão de FornecedoresPolítica · versão 1 · aprovada em 19/02/2026Baixar PDF
  • Política de PrivacidadePolítica · versão 1 · aprovada em 21/12/2025Baixar PDF
  • Política de Segurança da InformaçãoPolítica · versão 1 · aprovada em 26/11/2025Baixar PDF
  • Lista de subprocessadoresFornecedores que tratam dados de clientes · planilha CSVBaixar CSV

Pedir acesso

Documentos neste pedido

    Os links chegam neste e-mail.

    Opcional, mas ajuda a aprovar mais rápido.

    Termo de confidencialidade

    TERMO DE CONFIDENCIALIDADE Este termo vale entre a organização que mantém este Trust Center, identificada pelo nome e pelo endereço desta página ("Organização"), e você, que pede acesso aos documentos, em nome próprio e da empresa informada no campo Empresa ("Empresa"). Se você não informou empresa, aceita só em nome próprio. Você e a Empresa são chamados juntos de "Destinatário". 1. Finalidade 1.1. O Destinatário pode usar as Informações Confidenciais somente para avaliar a segurança da informação e a proteção de dados pessoais da Organização, em vista de uma relação comercial, atual ou futura, entre a Empresa e a Organização ("Finalidade"). 1.2. Qualquer outro uso depende de autorização escrita da Organização. 2. Informações Confidenciais 2.1. São Informações Confidenciais os documentos liberados por este pedido, todo o seu conteúdo e tudo o que o Destinatário produzir a partir deles (cópias, resumos, anotações, extratos e análises), em qualquer formato. 2.2. Não são Informações Confidenciais aquelas que o Destinatário comprovar que: (a) já eram públicas, ou se tornaram públicas sem descumprimento deste termo; (b) já estavam legitimamente em seu poder, sem dever de sigilo, antes deste pedido; (c) recebeu de terceiro que podia divulgá-las sem dever de sigilo; ou (d) desenvolveu de forma independente, sem usar as Informações Confidenciais. 3. Obrigações do Destinatário 3.1. Manter as Informações Confidenciais em sigilo, com cuidado pelo menos igual ao que usa para as suas próprias informações confidenciais, e nunca inferior ao razoável. 3.2. Dar acesso somente a empregados, administradores e assessores profissionais da Empresa (como advogados, auditores e consultores) que precisem delas para a Finalidade e estejam obrigados a sigilo pelo menos equivalente a este termo. O Destinatário responde pelos atos dessas pessoas. 3.3. Não fazer cópias além das necessárias para a Finalidade, incluído o registro nos sistemas internos de avaliação de fornecedores da Empresa, com acesso restrito. 3.4. Não divulgar, publicar, vender nem repassar as Informações Confidenciais a terceiros, nem inseri-las em ferramenta ou serviço de terceiro, inclusive de inteligência artificial, que guarde o conteúdo ou o use para fins próprios, como o treinamento de modelos. 3.5. Não usar as Informações Confidenciais para identificar, testar ou explorar vulnerabilidades, fazer engenharia reversa, testes de intrusão, varreduras ou qualquer ataque a sistemas da Organização ou de terceiros, nem para obter vantagem competitiva. 3.6. Não remover, encobrir nem alterar a marca d'água ou a identificação de quem baixou os documentos. 3.7. Não repassar os links de acesso, que são pessoais e são enviados ao e-mail informado neste pedido. 3.8. Avisar a Organização sem demora ao tomar conhecimento de acesso, uso ou divulgação não autorizados, e colaborar para contê-los. 4. Divulgação exigida por lei 4.1. Se lei, ordem judicial ou autoridade competente exigir a divulgação, inclusive autoridade que regule ou supervisione a Empresa, o Destinatário poderá divulgar somente o que for exigido, informando que o material é confidencial. Quando a lei permitir, avisará a Organização antes, para que ela possa se manifestar. 5. Devolução e eliminação 5.1. Ao fim da avaliação, ou a pedido da Organização, o Destinatário eliminará ou devolverá as Informações Confidenciais em até 30 dias e, se solicitado, confirmará por escrito. 5.2. Podem permanecer apenas as cópias em salvaguardas automáticas (backups) ou guardadas por exigência legal ou regulatória, que continuam sujeitas a este termo até serem eliminadas. 6. Prazo 6.1. As obrigações deste termo começam no aceite e duram 5 (cinco) anos. As obrigações sobre dados pessoais (item 8) duram enquanto o Destinatário mantiver esses dados. 7. Sem licença e sem garantia 7.1. Este termo não concede licença nem qualquer direito sobre as Informações Confidenciais além do uso para a Finalidade. 7.2. Os documentos são fornecidos no estado em que se encontram, refletem a situação na data de cada um e não constituem garantia, declaração ou promessa. Compromissos da Organização só valem se constarem de contrato assinado entre ela e a Empresa. 7.3. A Organização pode negar ou encerrar o acesso a qualquer momento. Este termo não obriga nenhuma das partes a contratar. 8. Dados pessoais contidos nos documentos 8.1. Os documentos podem conter dados pessoais, como nomes e cargos de responsáveis, contatos e registros técnicos. O Destinatário tratará esses dados somente para a Finalidade, com medidas de segurança adequadas, e os eliminará junto com as Informações Confidenciais, conforme a Lei nº 13.709/2018 (LGPD). 8.2. O Destinatário avisará a Organização sem demora sobre qualquer incidente de segurança que envolva esses dados. 9. Seus dados neste pedido 9.1. Para controlar o acesso e comprovar este aceite, a Organização registra o seu nome, e-mail, empresa, endereço IP, data e hora, os documentos pedidos, a versão deste termo e um resumo criptográfico do texto aceito, e guarda esse registro pelo prazo das obrigações deste termo e pelo prazo legal para o exercício de direitos relacionados a ele. A Organização é a controladora desses dados. 9.2. Este Trust Center funciona na plataforma Logos Trust, operada por LOGOS SOLUCOES EM TECNOLOGIA DA INFORMACAO LTDA, CNPJ 69.812.410/0001-33, que trata esses dados em nome da Organização e, quanto aos registros de acesso que a lei a obriga a guardar, por obrigação própria. A operadora da plataforma não é parte deste termo e não responde pelo conteúdo dos documentos. 9.3. Pedidos sobre os seus dados devem ser dirigidos à Organização, pelo contato de privacidade indicado nesta página ou, na falta dele, pelos canais de atendimento dela. 10. Declarações de quem aceita 10.1. Você declara que os dados informados neste pedido são verdadeiros e que tem poderes para obrigar a Empresa a este termo. 10.2. Se não tiver esses poderes, você responde pessoalmente pelo cumprimento deste termo. Em qualquer caso, você fica pessoalmente obrigado quanto às Informações Confidenciais a que tiver acesso. 10.3. Se você atua por conta de um cliente seu (por exemplo, como consultor ou auditor), só pode repassar as Informações Confidenciais a esse cliente se ele estiver obrigado a sigilo pelo menos equivalente a este termo, e responde pelo cumprimento por ele. 11. Aceite eletrônico 11.1. Ao marcar "Li e aceito o termo de confidencialidade" e enviar o pedido, você aceita este termo por meio eletrônico. As partes reconhecem esse meio como válido para manifestar a vontade e comprovar a autoria e a integridade deste termo (Medida Provisória nº 2.200-2/2001, art. 10, § 2º). 11.2. O registro descrito no item 9.1 e o envio dos links de acesso ao e-mail informado servem de prova do aceite e do texto aceito. 11.3. Vale para os documentos deste pedido a versão que você aceitou, mesmo que o termo seja alterado depois. 12. Descumprimento 12.1. O Destinatário responde pelos danos que causar ao descumprir este termo, e a Organização poderá adotar medidas judiciais para impedir ou fazer cessar o uso ou a divulgação indevidos. 13. Disposições gerais 13.1. Se houver acordo de confidencialidade assinado entre a Organização e a Empresa que trate destas informações, ele prevalece naquilo em que for diferente deste termo. 13.2. A invalidade de uma cláusula não afeta as demais. 13.3. A tolerância com um descumprimento não é renúncia ao direito. 13.4. Este termo é regido pelas leis da República Federativa do Brasil. Fica eleito o foro da comarca da sede da Organização para resolver qualquer disputa sobre ele.

    Versão 2, de 29/10/2026

    Esta página é uma demonstração: use dados fictícios.

    Os dados deste pedido são de responsabilidade da Empresa SaaS S.A.; o Logos Trust é a plataforma que opera esta página para ela. Usamos o seu nome, e-mail e empresa para avaliar o pedido e enviar os links dos documentos por e-mail. Guardamos o pedido e os downloads por 2 anos depois do seu último uso, e o registro do aceite do termo, se algum documento for liberado, enquanto ele puder ser cobrado. Como tratamos os dados de quem visita esta página

    Ao aceitar, registramos o seu nome, e-mail, empresa, endereço IP, a data e a versão do termo.

    Tem um questionário de segurança próprio?

    Envie para seguranca@empresa-saas.example. Respondemos em até 3 dias úteis.

    Enviar por e-mail

    Privacidade e dados

    Compromissos de privacidade e de incidentes, os países dos subprocessadores e o encarregado.

    Aviso de incidente em até 72 h

    Clientes afetados são comunicados em até 72 horas da confirmação de um incidente com os dados deles.

    Registro das operações de tratamento

    Registro das operações de tratamento de dados pessoais, com finalidades e bases legais, revisado a cada semestre.

    Encarregado designado

    O Encarregado de Proteção de Dados é o Gerente Jurídico e de Privacidade.

    Países dos subprocessadores

    • Brasil
    • Estados Unidos

    Subprocessadores

    Fornecedores que tratam dados de clientes · 7

    Baixar CSV
    FornecedorServiço prestadoDados compartilhadosPaís
    Amazon Web ServicesInfraestrutura em nuvem (região de São Paulo)Todos os dados da plataforma, criptografadosBrasil
    DatadogMonitoramento e registros técnicosRegistros técnicos de acesso, sem dados financeirosEstados Unidos
    Google WorkspaceE-mail e documentos internosDados de contato de clientes e colaboradoresEstados Unidos
    HubSpotCRM e comunicação comercialDados de contato de clientes e interessadosEstados Unidos
    PluggyConexão bancária da conciliaçãoExtratos bancários das empresas clientes, com autorização delasBrasil
    SentryRegistro de erros da aplicaçãoRegistros técnicos de erro, com dados de contato mascaradosEstados Unidos
    ZendeskAtendimento ao clienteDados de contato e conteúdo dos chamadosEstados Unidos

    Contato

    Segurança e incidentes

    Privacidade e encarregado

    Gerente Jurídico e de Privacidade ·

    Relatar uma vulnerabilidade

    security.acme.com.br

    Página de status

    status.acme.com.br