01Como a OperVyn trabalha com dados
A OperVyn constrói sistemas sob medida. Em cada projeto os dados são do cliente. O cliente é o controlador, decide o que é coletado e para quê. A OperVyn é a operadora, trata os dados só pelas instruções do cliente e pelo que o contrato autoriza. Essa divisão fica escrita num acordo de tratamento de dados assinado junto com o contrato do projeto.
Dois compromissos que valem para todo projeto. Dados de um cliente nunca são copiados para outro. Dados de cliente não são usados para publicidade, para desenvolver outros produtos nem para treinar modelo de inteligência artificial.
02Medidas que existem hoje
Estas medidas estão implementadas na base de código dos sistemas da OperVyn, com teste registrado em 28/10/2026, e são levadas para cada projeto entregue.
Acesso
Login individual por pessoa. Senha guardada com scrypt, nunca em texto. Dez tentativas erradas bloqueiam o acesso por quinze minutos. Sessão nova a cada login e encerramento de todas as sessões de uma pessoa quando ela sai da equipe ou troca a senha.
Papéis
Dois níveis. Administrador apaga registros, exporta a base, lê a auditoria e gere logins. Equipe faz o trabalho do dia. Ninguém tem mais acesso do que precisa.
Auditoria
Toda entrada, falha de entrada, saída, criação, edição, exclusão, importação e exportação fica registrada com pessoa, data, origem e alvo. Só administrador lê. Guardada por no mínimo doze meses.
Proteção da aplicação
Política de segurança de conteúdo sem script embutido, bloqueio de exibição dentro de outros sites, checagem de origem em toda gravação, validação de cada campo no servidor, proteção contra fórmula maliciosa em exportação de planilha.
Backup
Rotina de cópia do banco com data, cifra AES-256 e teste de restauração que abre a cópia e confere a integridade. Guardado também fora do computador de origem.
Retenção
Política escrita de quanto tempo cada dado fica e rotina que lista e apaga o que venceu, com registro na auditoria.
Dependências
Bibliotecas auditadas antes de cada entrega. Scripts de terceiros carregados com verificação de integridade.
Transporte
Sistemas expostos à internet só atrás de HTTPS, com cookie de sessão marcado como seguro e HSTS.
03O que ainda não temos
Transparência também é dizer o que falta.
- Não temos certificação ISO 27001, SOC 2 ou qualquer outra. Usamos essas normas como referência, não como selo.
- Não passamos por teste de invasão independente. Está no plano antes de atender empresas de grande porte.
- Autenticação em dois fatores ainda não está nos sistemas. Está no plano para contas de administrador.
- Somos uma empresa pequena. Não há equipe de segurança dedicada nem monitoramento 24 horas. O que há é um procedimento de incidente com responsável e prazo.
04Incidentes
Se um incidente de segurança atingir dados pessoais, a OperVyn avisa o cliente controlador assim que confirmar o fato, com o que se sabe até ali, para que ele consiga comunicar a ANPD e os titulares dentro do prazo da Resolução CD/ANPD nº 15/2024, que é de três dias úteis a partir do conhecimento. Para os dados em que a OperVyn é controladora, a comunicação é feita por ela mesma. O procedimento completo, com papéis, horas e modelo de comunicação, faz parte do pacote de diligência.
Encontrou uma vulnerabilidade num sistema nosso? Escreva para PENDENTE. E-mail de segurança. Respondemos em até cinco dias úteis e não acionamos juridicamente quem relata de boa fé.
05Onde os dados ficam e quem mais toca neles
Hospedagem e fornecedores são definidos por projeto, no contrato, com preferência por região no Brasil quando o fornecedor oferece. A lista de fornecedores e suboperadores de cada projeto é entregue ao cliente e atualizada quando muda. Para o site e o atendimento comercial da própria OperVyn, a lista está no aviso de privacidade.
Quando um fornecedor fica fora do Brasil, a transferência segue os mecanismos da Resolução CD/ANPD nº 19/2024 e isso fica registrado no acordo de tratamento de dados.
06Quem responde pelo quê
| Tema | Cliente (controlador) | OperVyn (operadora) |
|---|---|---|
| Finalidade e base legal dos dados | Define | Segue a instrução |
| Aviso de privacidade para os usuários finais | Publica | Fornece a descrição técnica do sistema |
| Pedidos de titulares | Recebe e responde | Executa no sistema e encaminha o que receber |
| Segurança da aplicação | Mantém as contas e senhas da equipe dele | Entrega e mantém os controles da seção 02 |
| Hospedagem e backup | Conforme o contrato | Conforme o contrato |
| Comunicação de incidente à ANPD | Faz | Avisa o cliente e ajuda com as informações |
07Pacote de diligência
Para empresas em avaliação de fornecedor, a OperVyn disponibiliza um pacote com descrição da arquitetura, matriz de responsabilidades, modelo de acordo de tratamento de dados, modelo de acordo de nível de serviço, procedimento de incidente, política de backup e continuidade, lista de fornecedores e evidências dos testes dos controles. O resumo público é esta página. A versão completa é entregue sob pedido e acordo de confidencialidade.
Peça pelo e-mail PENDENTE. E-mail oficial.
08Histórico
| Data | O que mudou |
|---|---|
| 28/10/2026 | Primeira versão. Controles de acesso, papéis, auditoria, backup e cabeçalhos implementados e testados na base de código. |