Segurança da Informação e PCI DSS

1. Nosso compromisso

A tecnologia da TKI TECNOLOGIA LTDA (CNPJ 51.792.239/0001-82) movimenta dados de pessoas e valores de empresas. Segurança, para nós, é parte do produto, não um item à parte. Este documento resume os controles que adotamos no TKI Finance, no TKI Gateway, no ORAC e no TKI Verify, o que cabe a cada lado na proteção e como falar conosco sobre segurança.

A TKI é empresa de tecnologia. A custódia de recursos e a liquidação financeira acontecem por meio de instituições financeiras, instituições de pagamento e demais parceiros devidamente autorizados, que mantêm os seus próprios controles. Os controles descritos aqui são os da tecnologia da TKI.

2. Termos usados neste documento

PCI DSS: Padrão de segurança de dados da indústria de cartões de pagamento. Define requisitos para quem armazena, processa ou transmite dados de cartão.
Tokenização: Troca do número do cartão por um código (token) que não tem valor fora do ambiente protegido. Se um token vazar, ele não serve para fazer compras.
Criptografia: Técnica que transforma os dados em algo ilegível para quem não tem a chave. "Em trânsito" protege os dados enquanto viajam pela internet; "em repouso", enquanto estão guardados.
Verificação em duas etapas (2FA): Além da senha, o acesso exige um segundo fator, como um código gerado no celular. Uma senha vazada, sozinha, não basta para entrar.
Vulnerabilidade: Falha em um sistema que poderia ser explorada para acessar, alterar ou indisponibilizar dados ou serviços sem autorização.
Incidente de segurança: Evento confirmado ou suspeito que compromete a confidencialidade, a integridade ou a disponibilidade de dados ou sistemas, como um acesso indevido.

3. Camadas de proteção em resumo

Nenhum controle isolado é suficiente. Por isso, a proteção é feita em camadas: se uma falhar, as outras continuam de pé. A tabela abaixo resume o que a TKI faz em cada uma; as seções seguintes detalham os pontos principais.

Camada	Controles	Na prática
Rede	Segregação de ambientes, isolamento do ambiente que trata dados de cartão, regras que liberam só o tráfego necessário, criptografia de transporte (TLS) e limites contra tráfego abusivo.	Um servidor de relatórios não consegue "conversar" diretamente com o ambiente de cartão, mesmo estando na mesma infraestrutura.
Aplicação	Revisão de código e testes antes de ir para produção, atualização de dependências com prioridade para correções de segurança, validação das entradas, autenticação das APIs por credenciais e notificações de webhook que o cliente pode validar.	Uma biblioteca com falha conhecida é atualizada com prioridade, e uma chamada à API sem credencial válida é recusada.
Dados	Tokenização do número do cartão, não armazenamento de dados sensíveis de autenticação, criptografia em repouso, chaves separadas dos dados, exibição mascarada e cópias de segurança criptografadas.	No painel e nos relatórios, o cartão aparece só com os dígitos permitidos pelo padrão, e o CVV nunca é guardado depois da autorização.
Acesso	Contas individuais, permissões por papel e pelo menor privilégio, verificação em duas etapas, revisão periódica dos acessos e registro das ações administrativas.	Quem cuida do suporte vê o que precisa para atender, mas não consegue alterar regras de pagamento nem exportar bases inteiras.
Operação	Monitoramento 24/7 com alertas, reprocessamento automático de filas, ledger auditável, planos de continuidade, resposta a incidentes e avaliação de segurança de fornecedores.	Se um provedor fica instável por alguns minutos, a transação volta para a fila e é processada de novo, sem se perder nem duplicar valores.

4. Padrão PCI DSS e ambientes de cartão

Os ambientes da TKI que lidam com dados de cartão seguem o PCI DSS, diretamente ou por meio de parceiros e provedores que o atendem. Na prática, isso significa:

Tokenização: o número do cartão é substituído por um token, um código sem valor fora do ambiente protegido. Os sistemas do dia a dia, como painel, relatórios e integrações, trabalham com o token, e não com o número real.
Não armazenamento de dados sensíveis de autenticação: o código de segurança (CVV), a senha do cartão e os dados completos da trilha magnética ou do chip não são guardados depois da autorização da transação.
Segregação de ambiente: o ambiente que trata dados de cartão fica isolado dos demais, com acesso restrito a quem precisa dele para trabalhar e regras de rede que limitam o tráfego ao estritamente necessário.
Exibição mascarada: quando o número do cartão aparece em telas ou comprovantes, aparecem só os dígitos permitidos pelo padrão.

Por exemplo, numa cobrança recorrente, o cliente guarda apenas o token do cartão do seu usuário final. Na próxima cobrança, envia o token, e o número real nunca passa pelos sistemas dele.

5. Criptografia em trânsito e em repouso

Os dados que trafegam entre navegadores, aplicativos, APIs e os nossos servidores são protegidos por criptografia de transporte (TLS). Os dados armazenados, como bancos de dados e cópias de segurança, são criptografados em repouso. As chaves criptográficas ficam separadas dos dados que protegem, com acesso restrito e troca periódica.

A infraestrutura roda em nuvem na AWS, o que permite usar recursos de isolamento, criptografia e registro do próprio provedor, somados aos controles da TKI.

6. Controle de acesso e verificação em duas etapas

Cada pessoa tem um acesso individual. Contas compartilhadas não são permitidas.
As permissões são definidas por papel e seguem o menor privilégio necessário para a função.
A verificação em duas etapas (2FA) protege os acessos ao painel e aos sistemas internos.
Acessos são revistos periodicamente e removidos quando a pessoa muda de função ou deixa a empresa.
Ações administrativas e acessos a dados sensíveis são registrados.

No painel do cliente, os mesmos recursos ficam disponíveis: o cliente cria usuários, define papéis e pode exigir a verificação em duas etapas da sua equipe.

7. Monitoramento 24/7 e registros auditáveis

A infraestrutura é monitorada 24 horas por dia, 7 dias por semana, com alertas para indisponibilidade, comportamento anômalo e tentativas de acesso indevido. As filas de processamento têm reprocessamento automático para que uma falha momentânea não faça uma transação se perder.

As movimentações são registradas em um ledger auditável: cada valor tem origem e destino rastreáveis, e os valores são tratados com precisão, sem arredondamentos que causem diferenças. Os registros de acesso e de ações ficam protegidos contra alteração e são guardados pelos prazos da legislação e dos contratos.

8. Gestão de vulnerabilidades

Atualização dos sistemas e das dependências de software, com prioridade para correções de segurança.
Revisão de código e testes antes de mudanças irem para produção.
Varreduras e testes de segurança periódicos, com correção priorizada pela gravidade.
Configurações seguras por padrão e remoção de serviços desnecessários.
Avaliação de segurança de fornecedores que acessam dados ou sistemas.

9. Continuidade do negócio

A TKI mantém cópias de segurança periódicas e criptografadas, infraestrutura com redundância e procedimentos para restaurar os serviços em caso de falha. Os planos de continuidade são revistos e testados de forma periódica. Compromissos específicos de disponibilidade, quando existirem, constam do contrato com cada cliente.

10. Resposta a incidentes e comunicação

Se ocorrer um incidente de segurança, a TKI segue um processo definido:

Identificação e contenção. Isolar o problema e limitar o impacto, por exemplo suspendendo uma credencial exposta ou bloqueando a origem de um ataque.
Investigação. Entender a causa, o alcance e os dados afetados, preservando as evidências.
Correção e recuperação. Eliminar a causa e restabelecer o serviço com segurança.
Comunicação. Avisar os clientes afetados e os parceiros envolvidos, conforme o contrato.
Aprendizado. Registrar o ocorrido e reforçar os controles.

Quando o incidente envolver dados pessoais e puder causar risco ou dano relevante aos titulares, a comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares é feita nos termos da LGPD (Lei 13.709/2018), pelo controlador dos dados. Se a TKI atuar como operadora em nome de um cliente, ela avisa o cliente e o apoia com as informações necessárias para essa comunicação.

11. Responsabilidades compartilhadas

Segurança é trabalho conjunto. A TKI protege a plataforma; o cliente protege o uso que faz dela.

O que a TKI protege

Infraestrutura, rede e ambiente de cartão; código e APIs da plataforma; criptografia e tokenização; acessos da equipe TKI; monitoramento, ledger, cópias de segurança e resposta a incidentes na plataforma.

O que fica com o cliente

Senhas, chaves de API e credenciais de webhook; usuários e permissões da sua equipe no painel; os seus próprios sistemas, sites e apps integrados; a relação com os seus usuários finais.

Cabe ao cliente, entre outros pontos:

guardar com cuidado senhas, chaves de API e credenciais de webhook, sem expô-las em código público;
ativar a verificação em duas etapas e dar a cada pessoa só o acesso de que ela precisa;
remover acessos de quem deixar a sua equipe;
proteger os próprios sistemas que se integram à TKI e validar as notificações recebidas por webhook;
não coletar nem armazenar dados de cartão fora dos fluxos previstos pela plataforma;
avisar a TKI imediatamente se suspeitar de acesso indevido.

Por exemplo, se uma chave de API for publicada por engano em um repositório público, o cliente deve revogá-la e gerar outra no painel o quanto antes e avisar a TKI. A plataforma não tem como saber que quem usa uma chave válida não é o cliente.

A TKI nunca pede sua senha, código de verificação, chave de API ou dados completos de cartão por telefone, WhatsApp ou e-mail. Se receber um pedido assim em nome da TKI, não responda e avise pelo e-mail contato@tkitecnologia.com.

12. Como reportar uma vulnerabilidade

Se você encontrou uma possível falha de segurança na tecnologia ou no site da TKI, queremos saber. Siga estes passos:

Escreva para o canal de segurança. Envie um e-mail para contato@tkitecnologia.com com o assunto "Segurança".
Inclua o necessário para reproduzir. Descreva o problema e o produto, endereço ou API afetados; os passos para reproduzi-lo; a prova de conceito, se houver (prints, requisições, trechos de código); o impacto que você imagina; a data e o horário dos testes; e um meio de contato para conversarmos.
Não divulgue antes da correção. Mantenha a falha em sigilo até que a TKI tenha tido tempo razoável para corrigi-la. Se pretende publicar o achado depois, combine isso conosco.
Acompanhe a análise. A TKI confirma o recebimento, analisa o relato, prioriza a correção conforme a gravidade e pode pedir mais informações. Quando fizer sentido, avisamos quando a falha for corrigida.

Para que a pesquisa seja considerada de boa-fé, pedimos que você siga regras razoáveis:

não acesse, altere, copie ou apague dados de terceiros além do mínimo necessário para demonstrar a falha; se encontrar dados pessoais, pare e nos avise;
use apenas contas e dados seus ou de teste;
não prejudique a disponibilidade dos serviços, por exemplo com testes de negação de serviço ou envio massivo de requisições;
não use engenharia social, phishing ou contato com colaboradores, clientes ou usuários finais da TKI;
não tente acesso físico a instalações nem instale códigos que permaneçam nos sistemas;
não exija pagamento ou qualquer vantagem em troca de não divulgar a falha.

Divulgação responsável: a TKI não vai tomar medidas judiciais nem pedir a abertura de investigação contra quem, agindo de boa-fé, encontrar e relatar uma vulnerabilidade seguindo as regras desta seção. Esse compromisso vale para os sistemas da TKI e não alcança sistemas de terceiros, como parceiros autorizados e provedores, que têm os seus próprios canais e regras.

13. Alterações deste documento

Este documento pode ser atualizado para refletir mudanças na tecnologia, nos controles ou na legislação. A versão vigente fica nesta página, com a data da última atualização e o número da versão.

Versão 1.1: inclusão de glossário, tabela de camadas de proteção, quadro de responsabilidades compartilhadas e passo a passo de divulgação responsável de vulnerabilidades.

14. Contato

Segurança e vulnerabilidades: contato@tkitecnologia.com, assunto "Segurança". Dados pessoais e privacidade: privacidade@tkitecnologia.com.

TKI TECNOLOGIA LTDA · CNPJ 51.792.239/0001-82 · Rua do Encanamento, 846, Sala 1304, Empresarial Santa Luzia, Casa Amarela, Recife/PE, CEP 52070-015.