Como a ForLogic faz a governança e o compliance de segurança da informação?

Proteger os dados dos clientes exige processo, responsáveis definidos e conformidade comprovada. Neste artigo, você conhece como a ForLogic organiza a governança de segurança da informação, a adequação à LGPD, a gestão de riscos e as políticas internas que sustentam a plataforma Qualiex.

Visão geral

A ForLogic Tecnologia Ltda. (CNPJ 06.266.932/0001-67) é uma empresa brasileira que desenvolve e opera soluções SaaS voltadas à gestão da qualidade, com destaque para a plataforma Qualiex. Toda a infraestrutura de produção é hospedada na nuvem Microsoft Azure, utilizando máquinas virtuais, bancos de dados gerenciados, storage com replicação geográfica e mecanismos nativos de segurança da plataforma.

A operação segue modelo multi-tenant, oferecendo aos clientes dois modelos de segregação de dados: banco compartilhado com segmentação lógica ou banco dedicado por cliente. A região primária de armazenamento é Brasil (South Brazil), com replicação secundária para Estados Unidos (South Central US), garantindo alta disponibilidade e redundância geográfica.

A empresa possui certificações internacionais de segurança e privacidade (ISO 27001, ISO 27701, ISO 27018 e ISO 9001), equipe dedicada de Segurança da Informação, Encarregado de Dados (DPO) formalmente nomeado, políticas corporativas de segurança aprovadas pela alta gestão e processos contínuos de gestão de vulnerabilidades, backup, monitoramento, resposta a incidentes e conformidade com a LGPD.

Governança e compliance

Encarregado de Dados (DPO)

A ForLogic possui um Encarregado pelo Tratamento de Dados Pessoais (DPO) formalmente designado, cujas informações de canal de contato estão publicadas no aviso de privacidade acessível no site institucional. O DPO é responsável por aprovar políticas de segurança, autorizar backups informais em mudanças significativas e atuar como ponto central de governança de dados e privacidade.

Programa de Segurança da Informação

A empresa mantém um Programa de Segurança da Informação formal, instituído por meio de Políticas de Segurança da Informação documentadas, aprovadas pela alta gestão e pelo DPO, com revisão periódica em dia. Essas políticas são publicadas e aplicadas para toda a empresa.

O programa cobre os seguintes temas centrais: controle de acesso, gestão de incidentes, backup e continuidade, segurança de aplicações, privacidade, retenção e descarte de dados, classificação da informação, política de senhas, homologação de software e desenvolvimento seguro.

Conformidade com a LGPD

A adequação à LGPD é sustentada por um conjunto integrado de controles:

DPO formalmente designado e divulgado publicamente.
Aviso de Privacidade publicado no site, contendo informações sobre quais dados pessoais são tratados, como são tratados, por quanto tempo são mantidos e qual o contato do Encarregado.
Políticas internas de privacidade e proteção de dados como parte das Políticas de Segurança da Informação.
Registro de Operações de Tratamento (ROPA/Inventário de Dados), sustentado por mapeamento de dados e relatório de impacto.
Atribuição de base legal para todas as atividades de tratamento em que a empresa é controladora.
Elaboração de Relatório de Impacto à Proteção de Dados Pessoais (RIPD) para atividades classificadas como de alto risco, conforme Resolução nº 2/2022 da ANPD, com implementação de medidas de mitigação previstas nos RIPDs.
Diretrizes para elaboração de RIPD formalizadas nas políticas.
Cláusulas padrão de privacidade adotadas em contratos com clientes.
Canal de atendimento a titulares de dados pessoais (compliance@forlogic.net).
Gestão de consentimento de cookies no site.
Certificações ISO 27001 e ISO 27701 como evidência de maturidade e conformidade.
Treinamentos regulares sobre privacidade e proteção de dados para colaboradores.

Transparência externa

O aviso de privacidade é o principal instrumento de transparência externa, contendo:

identificação do DPO e canal de comunicação;
informações sobre tratamento de dados (quais dados, como, por quanto tempo);
canal para exercício de direitos dos titulares;
gestão de cookies.

Qualquer solicitação relacionada a direitos de titulares pode ser encaminhada via canal de atendimento ou via e-mail compliance@forlogic.net, com fluxo definido para atendimento dentro do prazo legal.

Treinamento e conscientização

A empresa implementa um programa contínuo de capacitação que abrange:

Onboarding: todos os novos colaboradores passam por integração com a equipe de Segurança da Informação, na qual aprendem o essencial sobre segurança e proteção de dados.
Plataforma própria de treinamento: curso de segurança da informação disponibilizado internamente para todos os colaboradores.
Campanhas de phishing: simulações periódicas de phishing realizadas por meio da plataforma Microsoft Defender, com fins de conscientização e avaliação de maturidade.

Privacy by Design e Privacy by Default

A ForLogic declara seguir as metodologias de Privacy by Design (privacidade desde a concepção) e Privacy by Default (privacidade por padrão) no desenvolvimento de seus softwares, produtos e serviços. Existe documentação comprobatória interna da aplicação de ambas as metodologias.

A privacidade é incluída no ciclo de desenvolvimento de software, processos, soluções e produtos desde o início.

Gestão de riscos

Identificação e tratamento de riscos de segurança

O gerenciamento de riscos é realizado de forma contínua e inclui:

Varreduras periódicas automatizadas de vulnerabilidades.
Análise de riscos com priorização baseada em criticidade e impacto ao negócio.
Aplicação de patches de segurança.
Monitoramento de CVEs críticas.
Hardening de sistemas.
Revisões periódicas de configuração.

As tratativas seguem políticas internas de segurança da informação e gestão de vulnerabilidades.

Riscos de proteção de dados

O levantamento de riscos de proteção de dados é realizado com apoio do módulo Riscos da plataforma interna Qualiex, com registro, acompanhamento e plano de ação estruturado.

Além disso, a elaboração de RIPD para atividades de alto risco e a implementação das medidas de mitigação previstas nos relatórios constituem parte do processo de gestão de riscos de privacidade.

Políticas e procedimentos

A ForLogic mantém um conjunto consolidado de Políticas de Segurança da Informação, que funcionam como documento-base de governança de SI e privacidade. Essas políticas são:

formalmente documentadas;
aprovadas pela alta gestão e pelo DPO;
revisadas periodicamente, com revisão em dia;
publicadas e divulgadas para toda a organização;
classificadas como de uso interno/confidencial, o que impede seu compartilhamento integral com terceiros.

O escopo coberto inclui, mas não se limita a:

Segurança da informação (diretrizes gerais).
Política de senhas.
Classificação da informação.
Homologação de software.
Controle de acesso.
Gestão de incidentes de segurança.
Resposta a incidentes envolvendo dados pessoais.
Backup, restore e disaster recovery.
Retenção e descarte de informações.
Privacidade e proteção de dados.
Diretrizes para elaboração de RIPD.
Privacy by Design e Privacy by Default.