Declarações de segurança

O NowVertical Group Inc. e nossa entidade subsidiária, NowVertical Group, Inc., (coletivamente, “NowVertical”, “nós” e “nosso”) estão comprometidos com práticas sólidas de segurança da informação, incluindo segurança cibernética, garantindo a confidencialidade, integridade e disponibilidade de ativos e proteção contra ameaças externas e internas.

Esta Declaração de Segurança tem como objetivo fornecer a você mais informações sobre nossa infraestrutura e práticas de segurança. Em nossa Política de Privacidade, você pode encontrar mais detalhes sobre como lidamos com os dados que coletamos.

Política de segurança da informação

A NowVertical mantém uma política de segurança da informação escrita que define as responsabilidades dos funcionários e o uso aceitável dos recursos do sistema de informação. Esta política é revisada e atualizada periodicamente conforme necessário. Além disso, recebemos confirmações assinadas de usuários indicando que eles leram, entenderam e concordam em cumprir as regras de comportamento, antes de fornecer acesso autorizado aos sistemas de informação da NowVertical.

Nossas políticas de segurança abrangem tópicos importantes relacionados à segurança, desde padrões gerais que todos os funcionários devem cumprir, como segurança física, de dados e de contas, até padrões de segurança mais especializados que abrangem aplicativos internos e sistemas de informação.

Segurança organizacional

As funções e responsabilidades de segurança da informação são definidas dentro da organização. A equipe de segurança se concentra na segurança da informação, auditoria de segurança global, conformidade e definição dos controles de segurança para proteger os ativos da NowVertical (pessoas, processos e tecnologia). A equipe de segurança recebe notificações de segurança do sistema de informação regularmente e distribui alertas de segurança e informações consultivas para a organização rotineiramente após avaliar o risco e o impacto, conforme apropriado.

Gestão de ativos

Os ativos do sistema de dados e informações da NowVertical normalmente não contêm ativos do cliente ou do usuário final. Nossos ativos corporativos são gerenciados de acordo com nossas políticas e procedimentos de segurança. O pessoal autorizado da NowVertical que lida com esses ativos deve cumprir os procedimentos e diretrizes definidos pelas políticas de segurança da NowVertical. Em casos raros e excepcionais em que os ativos do usuário final estão contidos em nosso ecossistema de tecnologia da informação, as mesmas políticas e procedimentos de segurança de ativos corporativos se aplicam.

Segurança de pessoal

Os funcionários da NowVertical devem se comportar de maneira consistente com as diretrizes da empresa, incluindo aquelas relacionadas à confidencialidade, ética nos negócios, uso adequado e padrões profissionais. Todos os funcionários recém-contratados devem assinar acordos de confidencialidade e reconhecer a política do código de conduta da NowVertical. O código descreve a expectativa da empresa de que todos os funcionários conduzam os negócios de forma legal, ética, íntegra e com respeito mútuo e pelos usuários, parceiros e concorrentes da empresa. Existem processos e procedimentos para abordar os funcionários que estão embarcados e desembarcados da empresa.

Os funcionários recebem treinamento regular de conscientização sobre segurança como parte da orientação para novos contratados. Além disso, cada funcionário da NowVertical deve ler, entender e fazer um curso de treinamento sobre o código de conduta da empresa.

Segurança física e ambiental

A NowVertical tem políticas, procedimentos e infraestrutura para lidar com a segurança física de seus data centers e com o ambiente no qual os data centers operam.

Nossos sistemas de informação e infraestrutura são hospedados em datacenters de classe mundial (Azure, AWS e Digital Ocean) que estão geograficamente dispersos para fornecer alta disponibilidade e redundância para a NowVertical e seus clientes. Fazemos pleno uso dos produtos de segurança incorporados a esses ecossistemas. No mínimo, esses data centers concluíram com êxito as auditorias ISO 27001 e SOC 2 Tipo II.

Conexões de rede seguras

A criptografia HTTPS está configurada para acesso ao aplicativo web do cliente. Isso ajuda a garantir que os dados do usuário em trânsito estejam seguros e disponíveis somente para os destinatários pretendidos. O nível de criptografia é negociado com criptografia SSL ou TLS e depende do que o navegador da Web pode suportar.

Segurança de rede

Nossos servidores de infraestrutura residem atrás de firewalls de alta disponibilidade e são monitorados para detectar e prevenir várias ameaças à segurança da rede. Os firewalls são utilizados para ajudar a restringir o acesso a sistemas de redes externas e entre sistemas internamente. Por padrão, todo o acesso é negado e somente portas e protocolos explicitamente permitidos são permitidos com base nas necessidades comerciais.

• para responder às suas comunicações e solicitações

• para atender aos requisitos legais, regulatórios, de auditoria, segurança e financeiros de acordo com as regulamentações federais e provinciais

• para manter registros comerciais por períodos de tempo razoáveis

• para realizar pesquisas de mercado e coletar informações demográficas e estatísticas sobre nossos usuários, a fim de gerenciar e melhorar nossos negócios

• para lhe fornecer nossos comunicados à imprensa, alertas e atualizações, de acordo com a lei aplicável. Você pode cancelar a assinatura de tais comunicações a qualquer momento clicando no link de cancelamento incluído em cada comunicação.

O NowVertical mantém ambientes separados de desenvolvimento e produção. Garantimos a segmentação adequada da rede por meio do estabelecimento de zonas de segurança que controlam o fluxo do tráfego da rede. Políticas rígidas de segurança de firewall definem esses fluxos de tráfego.

Ferramentas automatizadas são implantadas na rede para oferecer suporte à análise de eventos quase em tempo real e apoiar a detecção de ataques no nível do sistema.

Ciclo de vida de desenvolvimento de software

Seguimos uma metodologia definida para desenvolver software seguro projetado para aumentar a resiliência e a confiabilidade de nossos produtos. Nossos produtos são implantados em um ciclo de vida de desenvolvimento iterativo e de lançamento rápido. Os testes de segurança e segurança são implementados em toda a metodologia de desenvolvimento de software. A garantia de qualidade está envolvida em cada fase do ciclo de vida, e as melhores práticas de segurança são um aspecto obrigatório de todas as atividades de desenvolvimento.

Nosso ciclo de vida de desenvolvimento seguro segue as práticas de segurança padrão, incluindo testes de vulnerabilidade, testes de regressão, testes de penetração e avaliações de segurança de produtos. As equipes de arquitetura da NowVertical revisam nossa metodologia de desenvolvimento regularmente para incorporar a consciência de segurança em evolução e as práticas do setor e medir sua eficácia.

Relações com fornecedores e fornecedores

A NowVertical gosta de fazer parcerias com fornecedores e fornecedores que operam com os mesmos valores ou valores semelhantes em relação à legalidade, ética e integridade que a NowVertical opera. Como parte de seu processo de análise, selecionamos nossos fornecedores e fornecedores e os vinculamos às obrigações apropriadas de confidencialidade e segurança, especialmente se eles gerenciam dados de clientes.

Realizamos auditorias de tempos em tempos nos fornecedores e fornecedores da NowVertical em um esforço para garantir a confidencialidade, integridade e disponibilidade dos dados que nossos fornecedores ou fornecedores terceirizados possam manipular.

Gerenciamento de mudanças

O NowVertical mantém um processo de gerenciamento de mudanças para garantir que todas as alterações feitas no ambiente de produção sejam aplicadas de forma deliberada. As mudanças são revisadas, aprovadas, testadas e monitoradas após a implementação para garantir que as mudanças esperadas estejam funcionando conforme o esperado. Mudanças nos sistemas de informação, dispositivos de rede e outros componentes do sistema e mudanças físicas e ambientais são monitoradas e controladas por meio de um processo formal de controle de mudanças.

Manteremos as Informações Pessoais somente pelo tempo necessário para os fins para os quais foram coletadas ou conforme exigido por lei. Usamos meios seguros de descartar informações pessoais.

Auditoria e registro

O Site pode conter links para plataformas de terceiros às quais a Política não se aplica. Se você selecionar esse link, sairá do site NowVertical. Observe que não monitoramos nem controlamos o conteúdo que aparece nesses sites de terceiros e esse conteúdo pode estar em constante mudança. Se você visualizar esses sites de terceiros, os sites podem atribuir um cookie. A NowVertical não controla esses cookies, nem é responsável por qualquer marketing ou outro uso de suas informações por esses terceiros. Todas as informações pessoais que você fornecer por meio desses sites de terceiros serão regidas pelas políticas de privacidade aplicáveis a esses sites e não por esta Política. Recomendamos que você revise todas essas políticas de privacidade antes de fornecer qualquer informação pessoal a sites de terceiros.

Proteção antivírus e malware

As ferramentas antivírus (XDR) são configuradas para executar escaneamentos, detecção de vírus, atividade de gravação de arquivos em tempo real e atualizações de arquivos de assinatura. A proteção antivírus (XDRs) e de código malicioso é gerenciada e configurada centralmente para recuperar as assinaturas e definições atualizadas disponíveis. As políticas de proteção de códigos maliciosos aplicam automaticamente atualizações a esses mecanismos de proteção. Usuários de notebooks e usuários remotos estão cobertos pela proteção contra vírus.

Backups do sistema

O NowVertical tem padrões e diretrizes de backup e procedimentos associados para realizar backup e restauração de dados de maneira programada e oportuna. Embora normalmente não armazenemos dados de clientes, pois nossos produtos são implantados nas instalações do cliente, podemos oferecer suporte e aconselhar nossos clientes sobre os mecanismos de backup apropriados a serem empregados em nossas soluções implantadas. Os controles são estabelecidos para ajudar a proteger os dados de backup (no local e fora do local). Testes periódicos são realizados para testar se os dados podem ser recuperados com segurança dos dispositivos de backup. Qualquer dúvida, preocupação ou gostaria de obter mais informações sobre a coleta, uso ou divulgação de suas informações pessoais pela NowVertical, você pode entrar em contato conosco da seguinte forma: vice-presidente executivo de desenvolvimento corporativo e assuntos jurídicos, privacy@nowvertical.com.

Proteção de dados

A NowVertical trabalha continuamente para desenvolver produtos que suportem os mais recentes pacotes e protocolos de criptografia segura recomendados para criptografar o tráfego em trânsito. Monitoramos de perto as mudanças no cenário criptográfico e trabalhamos para atualizar nossos produtos para responder às novas fraquezas criptográficas à medida que são descobertas e implementamos as melhores práticas à medida que evoluem. Para criptografia em trânsito, fazemos isso e, ao mesmo tempo, equilibramos a necessidade de compatibilidade com clientes mais antigos.

Aplicamos um conjunto comum de princípios de gerenciamento de dados pessoais aos dados do cliente que podemos processar, manipular e armazenar. Protegemos os dados pessoais usando medidas de segurança físicas, técnicas e organizacionais apropriadas. Qualquer informação não pública que a NowVertical possa processar, manipular ou armazenar é criptografada em repouso.

Damos atenção e cuidado adicionais aos dados pessoais confidenciais e respeitamos as leis e os costumes locais, quando aplicável. A NowVertical processa apenas informações pessoais de uma forma que seja compatível e relevante para a finalidade para a qual foram coletadas ou autorizadas de acordo com nossa Política de Privacidade. Tomamos todas as medidas razoáveis para proteger as informações que recebemos de nossos usuários contra perda, uso indevido ou acesso, divulgação, alteração e/ou destruição não autorizados.

Gerenciamento de vulnerabilidades

As avaliações de segurança são feitas para identificar vulnerabilidades e determinar a eficácia do programa de gerenciamento de patches. Cada vulnerabilidade é analisada para determinar se é aplicável, classificada com base no risco e atribuída à equipe apropriada para remediação.

Gerenciamento de patches

A NowVertical se esforça para aplicar os patches e atualizações de segurança mais recentes em sistemas operacionais, aplicativos e infraestrutura de rede para mitigar a exposição a vulnerabilidades. Os patches são testados antes de serem implantados na produção. Existem processos de gerenciamento de patches para implementar atualizações de patches de segurança à medida que os fornecedores as lançam.

Gerenciamento de incidentes

A NowVertical tem um plano de resposta a incidentes formalizado (Plano de Resposta a Incidentes) e procedimentos associados no caso de um incidente de segurança da informação. O Plano de Resposta a Incidentes define as responsabilidades do pessoal-chave e identifica processos e procedimentos para notificação. O pessoal de resposta a incidentes é treinado e a execução do plano de resposta a incidentes é testada periodicamente.

Uma equipe de resposta a incidentes é responsável por fornecer uma capacidade de tratamento de incidentes de segurança, incluindo preparação, detecção e análise, contenção, erradicação e recuperação.

Continuidade de negócios e recuperação de desastres

Implementamos um programa de recuperação de desastres para minimizar as interrupções do serviço devido a falhas de hardware, desastres naturais ou catástrofes. Esse programa inclui vários componentes para minimizar o risco de qualquer ponto único de falha. Além disso, aproveitamos a redundância incorporada às ferramentas que usamos.

Autenticação e autorização

Exigimos que os usuários autorizados sejam provisionados com IDs de conta exclusivos. Nossa política de senhas abrange todos os sistemas de informação, aplicativos e bancos de dados aplicáveis. Nossas políticas de senha impõem o uso de senhas complexas, que são implantadas para proteger contra o uso não autorizado de senhas.

Agora, os funcionários da Vertical recebem um conjunto limitado de permissões padrão para acessar os recursos da empresa, como seus e-mails e a intranet corporativa. Os funcionários têm acesso a determinados recursos adicionais com base em suas funções de trabalho específicas. As solicitações de acesso adicional seguem um processo formal que envolve uma solicitação e aprovação do proprietário, gerente ou outros executivos dos dados ou do sistema, conforme definido pelas nossas diretrizes de segurança.

Acesso baseado em funções

Controles de acesso baseados em funções são implementados para acesso a sistemas de informação. Existem processos e procedimentos para abordar funcionários que são demitidos voluntária ou involuntariamente. Os controles de acesso a dados confidenciais em nossos bancos de dados, sistemas e ambientes são definidos com base na necessidade de conhecer/no menor privilégio necessário. As listas de controle de acesso definem o comportamento de qualquer usuário em nossos sistemas de informação, e as políticas de segurança os limitam a comportamentos autorizados.