A informação é um dos principais bens do mundo dos negócios. A gestão das informações é capaz de decidir o sucesso de uma organização, aumentando sua vantagem competitiva.
Nós, da SMS Soluções, com o SÓLON – Sistema Informatizado de Gestão, buscamos gerenciar adequadamente as informações de nossos clientes, reduzindo os riscos e ameaças internas e externas que possam causar danos. Atentos a isso, publicamos nossa Política de Segurança da Informação em relação ao SÓLON, o alicerce dos esforços de proteção à informação de nossos clientes. Para tanto, estabelecemos os seguintes princípios:
Os dados de entrada são validados no navegador do usuário e no servidor, que verifica os tipos de dados permitidos em cada campo e realiza a checagem contra ataques de injeção de scripts (XSS). Dados inseridos incorretamente geram mensagens de erro para orientação do usuário.
Na migração para a nova interface, em 2026, o código do sistema passou por revisão ampla, com reforço das proteções contra ataques comuns em aplicações web e atualização dos componentes utilizados.
O acesso ao SÓLON é feito com e-mail corporativo e senha. As senhas são armazenadas apenas na forma de hash (algoritmo Bcrypt, fator de custo 12), sem possibilidade de recuperar o valor original. O sistema também oferece login único (SSO) com conta corporativa Microsoft e verificação em duas etapas por e-mail, configuráveis por cliente.
A tela de acesso é protegida pelo Google reCAPTCHA contra tentativas automatizadas. Após cinco tentativas incorretas, a conta é bloqueada por 10 minutos e o usuário recebe um e-mail de aviso.
Para recuperar o acesso, o usuário informa o e-mail corporativo em “Esqueceu sua senha?” e recebe um token para criar uma nova senha. O sistema nunca envia nem exibe a senha em uso.
A sessão é criada no login, registrada no banco de dados e verificada a cada requisição. Ela é encerrada no logout ou automaticamente após 24 horas de inatividade.
Os cookies de sessão e de proteção de formulários são marcados como HttpOnly (inacessíveis a scripts), Secure (enviados apenas por conexão criptografada) e SameSite (protegidos contra uso por outros sites), conforme descrito na Política de Cookies.
Em trânsito: todo acesso ao SÓLON é feito por HTTPS, com protocolo TLS e certificado digital de renovação automática.
Em repouso: os bancos de dados, os arquivos anexados, seus backups e os registros de auditoria do ambiente de nuvem são criptografados com chaves gerenciadas pelo AWS Key Management Service (KMS).
Erros internos da aplicação são registrados com data, hora, tipo e local do erro; os acessos, com horário, usuário, IP de origem, navegador e página, mantidos por 180 dias (art. 15 do Marco Civil da Internet).
Os logs da aplicação são retidos por 90 dias em produção e 30 dias nos demais ambientes. As ações administrativas na nuvem são registradas com verificação de integridade, proteção contra alteração ou exclusão e retenção de cinco anos.
O ambiente é monitorado continuamente, com detecção de ameaças por análise comportamental, verificação de conformidade das configurações, correlação de eventos de segurança (SIEM), firewall de aplicação web, bloqueio automático de ataques na aplicação e alarmes de disponibilidade e desempenho, com aviso imediato à equipe técnica.
Os usuários não têm acesso direto ao banco de dados: todas as operações passam pela aplicação, que valida e trata os dados de entrada.
O banco de dados de produção opera em alta disponibilidade, com réplica em zonas de disponibilidade distintas da região de São Paulo. Backups automáticos são realizados diariamente e mantidos por 7 dias, permitindo restaurar o banco em qualquer ponto desse período. Os anexos são versionados e replicados para um segundo repositório em São Paulo, protegido contra exclusão.
O SÓLON é hospedado na Amazon Web Services (AWS), na região de São Paulo, e o banco de dados e os arquivos do sistema são armazenados no Brasil. A AWS, provedora da infraestrutura, possui as certificações CSA STAR, ISO 9001, ISO/IEC 27001, 27017 e 27018, PCI DSS nível 1 e relatórios SOC 1, SOC 2 e SOC 3. Essas certificações referem-se à infraestrutura da AWS; a segurança da aplicação é responsabilidade da SMS, conforme o modelo de responsabilidade compartilhada (item 9).
O acesso administrativo ao ambiente de nuvem é restrito à equipe técnica autorizada, com alertas automáticos para ações críticas de identidade e acesso.
Homologação e produção têm aplicação, banco de dados e firewall de aplicação próprios. O código é revisado por desenvolvedores seniores antes de chegar à produção, e as credenciais de serviços ficam fora do repositório de código.
As imagens da aplicação são analisadas automaticamente a cada nova versão, e as vulnerabilidades encontradas são tratadas em prazos definidos conforme a sua gravidade.
No SÓLON, o cliente é o controlador dos dados pessoais que insere no sistema, e a SMS atua como operadora, tratando esses dados conforme as instruções do cliente e o contrato. A SMS adota medidas técnicas e administrativas para proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração ou divulgação (art. 46 da LGPD).
Relatórios gerados são enviados por link temporário e eliminados após 8 dias; os demais dados são eliminados conforme os prazos definidos em contrato e na legislação.
Para operar o sistema, a SMS utiliza os seguintes fornecedores (suboperadores): Amazon Web Services (hospedagem, banco de dados e envio de e-mails), Google (proteção da tela de acesso, estatísticas de acesso e fontes tipográficas), Datadog (monitoramento de desempenho e proteção da aplicação) e Microsoft (login único). No atendimento, utilizamos o WhatsApp (Meta) e, em atividades internas, a ferramenta de IA Claude (Anthropic), sem envio de dados pessoais de clientes. Alguns desses serviços tratam dados fora do Brasil.
A AWS é responsável pela segurança da infraestrutura física e dos serviços de nuvem; a SMS, pela segurança da aplicação, das configurações e dos acessos ao ambiente. O cliente é responsável pela gestão dos seus usuários, pela guarda das senhas e pela legitimidade dos dados que insere no sistema.
Incidentes são tratados conforme procedimento interno de gestão de incidentes. Quando um incidente envolver dados pessoais, a SMS comunicará o cliente controlador sem demora, com as informações necessárias para que ele avalie a comunicação à ANPD e aos titulares, nos termos da Resolução CD/ANPD nº 15/2024.
Dúvidas sobre esta política podem ser enviadas ao Encarregado pelo Tratamento de Dados Pessoais (DPO), Anderson de Sá Medeiros, pelo e-mail dpo@smssolucoes.eco.br.
Versão 08 – efetiva a partir de outubro/2020 e atualizada em outubro/2026.
ANDERSON DE SÁ MEDEIROS
Responsável pela Proteção de Dados em Sistemas SÓLON (DPO)
dpo@smssolucoes.eco.br
