Política de Gestão de Incidentes de Segurança

Uma violação de segurança é todo incidente que resulte na destruição, perda, alteração acidental ou ilícita, divulgação não autorizada ou acesso não autorizado a dados pessoais tratados pela cepaos.

Isso inclui, entre outros casos:

• Acesso não autorizado a dados pessoais armazenados em nossos sistemas.
• Exfiltração ou cópia de dados pessoais por terceiros não autorizados.
• Perda ou destruição acidental de dados sem possibilidade de recuperação.
• Divulgação acidental de dados a destinatários não autorizados.
• Comprometimento de credenciais de acesso que tenham permitido acesso a dados pessoais.

A cepaos compromete-se a gerir qualquer violação de segurança com transparência, diligência e conformidade com a legislação aplicável de proteção de dados pessoais.

Diante de uma violação confirmada que afete dados pessoais:

• Notificaremos os usuários afetados dentro de 5 dias úteis após determinar o alcance da violação e conter o incidente.
• Notificaremos a autoridade competente de proteção de dados dentro de 72 horas após tomar conhecimento da violação, conforme a legislação aplicável.
• Adotaremos medidas técnicas e organizacionais imediatas para conter o incidente e prevenir sua recorrência.

Quando a cepaos notificar usuários sobre uma violação de segurança que os afete, a comunicação incluirá:

• Natureza do incidente: descrição clara do que ocorreu, em termos compreensíveis.
• Dados afetados: categorias de dados pessoais que podem ter sido acessados, alterados ou divulgados.
• Período do incidente: o período durante o qual os dados estiveram expostos, na medida do determinável.
• Medidas adotadas: ações tomadas pela cepaos para conter o incidente e proteger os dados.
• Recomendações para o usuário: passos concretos que pode tomar para reduzir sua exposição (ex.: alteração de senha).
• Contato: canal direto para consultas e acompanhamento.

As notificações aos usuários afetados serão realizadas pelos seguintes meios:

• E-mail registrado: enviado ao endereço registrado na conta cepaos do usuário.
• Aviso no dashboard: notificação visível ao acessar a plataforma, disponível para todos os membros das organizações afetadas.

Em casos de alta gravidade com impacto generalizado, a cepaos poderá adicionalmente publicar um aviso em seu site.

Se como usuário detectar ou suspeitar de atividade incomum em sua conta cepaos, ou acreditar ter identificado uma vulnerabilidade de segurança na plataforma, pedimos que nos informe imediatamente:

• E-mail de segurança: security@cepaos.com

Comprometemo-nos a responder dentro de 24 horas úteis após o recebimento do seu relato.

Se reportar uma vulnerabilidade de segurança de boa-fé, a cepaos compromete-se a não tomar ações legais contra você por tal relato, desde que não tenha acessado, copiado ou divulgado dados de terceiros.

A cepaos mantém um registro interno de todos os incidentes de segurança declarados.

Na data de atualização desta política (27 de março de 2026), não foram registradas violações de segurança que tenham afetado dados pessoais de usuários.

Este histórico será atualizado diante de qualquer incidente futuro que deva ser comunicado aos usuários afetados.

Esta política enquadra-se na legislação aplicável de proteção de dados pessoais, incluindo, entre outras:

• LGPD (Lei Geral de Proteção de Dados, Lei 13.709/2018) — Brasil.
• RGPD (Regulamento Geral de Proteção de Dados, UE 2016/679) — onde aplicável.
• Legislação nacional de proteção de dados aplicável na jurisdição do usuário.

Para mais informações sobre como a cepaos trata seus dados pessoais, consulte nossa Política de Privacidade.

Para consultas sobre esta política ou para reportar um incidente:

• Segurança: security@cepaos.com
• Privacidade e dados pessoais: privacy@cepaos.com
• cepaos LLC — Wyoming, Estados Unidos