Política de Segurança da Informação e Privacidade

1. A quem esta política se aplica

Esta política vale para o Krova Hub, a ferramenta de gestão multicanal que o Krova usa para operar as contas de marketplace e de loja virtual dos seus clientes, e para todas as pessoas que trabalham nela em nome do Krova.

2. Princípios

• Mínimo necessário: pedimos às plataformas só as permissões indispensáveis ao serviço contratado e guardamos só os dados necessários.
• Autorização do titular: nenhuma conta é acessada sem a autorização expressa do vendedor.
• Rastreabilidade: toda ação que altera uma conta fica registrada.
• Transparência: o cliente sabe o que é feito na conta dele e pode revogar o acesso quando quiser.

3. Como acessamos as contas dos vendedores

• O acesso acontece apenas pelo fluxo oficial de autorização de cada plataforma (OAuth) ou por chave de API gerada pelo próprio vendedor no painel dele.
• O Krova nunca recebe nem armazena a senha do vendedor em nenhuma plataforma.
• O vendedor pode revogar a autorização a qualquer momento, diretamente no painel da plataforma ou pedindo ao Krova.
• Antes de conectar, o vendedor define os limites do que o Krova pode fazer sozinho (por exemplo, orçamento de anúncios e faixa de ajuste de preço). Ações fora desses limites e qualquer novo gasto só são executados após aprovação do titular, registrada com data, hora, identidade e parâmetros aprovados.
• O Krova não exclui anúncios, produtos ou dados da conta do vendedor.

4. Proteção técnica

• Tokens de acesso e chaves de API são cifrados em repouso (AES-256-GCM) e nunca são exibidos em telas, registros de log, código-fonte ou repositórios.
• Toda comunicação com as plataformas e com os clientes usa conexão criptografada (HTTPS/TLS).
• O painel administrativo do Krova Hub não fica exposto na internet: é acessado apenas por rede privada, por operadores autorizados do Krova, com senha forte e verificação em duas etapas.
• Na internet fica apenas o mínimo necessário para as plataformas se comunicarem com o Hub (retorno de autorização e notificações). Notificações são validadas pela assinatura da plataforma quando ela oferece esse recurso.
• O Hub roda em infraestrutura própria do Krova.
• Linha de base de segurança: bloqueio automático de tela com senha, senhas fortes e únicas em gerenciador de senhas, verificação em duas etapas nas contas da empresa e antivírus ativo (Microsoft Defender) nos computadores da equipe.
• Gestão de vulnerabilidades: atualizações automáticas de segurança no servidor e nos computadores; verificação de vulnerabilidades nas dependências (govulncheck, npm audit) e testes automatizados antes de cada nova versão; varredura antivírus semanal no servidor (ClamAV); proteção da Cloudflare contra ataques no portão público. Vulnerabilidades críticas são corrigidas em até 72 horas, altas em até 7 dias e as demais na versão seguinte.
• Toda ação de escrita nas contas gera registro de auditoria (quem pediu, o que foi feito, valores antes e depois, resultado). As decisões de aprovação dos clientes são gravadas em trilha de evidência encadeada por hash, que não permite apagar ou alterar registros anteriores.

5. Que dados tratamos e para quê

• Dados da loja e do catálogo (produtos, preços, estoque, status de anúncios), dados de pedidos necessários à gestão (identificação, data, status, valores e itens) e indicadores de desempenho e de anúncios.
• O Krova Hub não armazena dados pessoais de compradores, como nome, endereço, telefone ou documento.
• Os dados são usados exclusivamente para prestar o serviço contratado pelo vendedor: sincronizar e atualizar a operação, gerar análises, diagnósticos e relatórios para o próprio vendedor.
• O Krova não vende, não aluga e não compartilha dados de clientes com terceiros para fins próprios deles.
• Serviços de inteligência artificial podem ser usados para análise, recebendo apenas os dados mínimos necessários para cada tarefa e nunca credenciais de acesso.

Classificação dos dados

• Confidencial: credenciais de acesso às contas (tokens e chaves de API), segredos do sistema e dados financeiros dos clientes (repasses, custos e margens). Acesso só pelo sistema e por operadores autorizados; cifrados em repouso (AES-256-GCM) e nunca exibidos.
• Interno: dados de pedidos, produtos, estoque, anúncios e registros de auditoria. Acesso restrito à operação do Krova e ao próprio cliente.
• Público: o que já é público nos canais (anúncios publicados) e o conteúdo do site do Krova.
• Todo dado trafega cifrado: HTTPS/TLS nas conexões com marketplaces e no portão público, e rede privada cifrada (WireGuard) no acesso ao painel.

6. Retenção e exclusão

Os dados são mantidos enquanto durar a prestação do serviço. Após o término do contrato, a desconexão da conta ou um pedido do titular, os dados da conta são excluídos em até 30 dias, exceto registros de auditoria e de aprovação que precisem ser mantidos por obrigação legal ou para defesa de direitos.

7. Incidentes de segurança

Em caso de suspeita de incidente, o Krova contém o problema, revoga e substitui as credenciais afetadas, investiga a causa e comunica os clientes afetados e, quando exigido, a Autoridade Nacional de Proteção de Dados (ANPD), nos termos da Lei Geral de Proteção de Dados (Lei nº 13.709/2018).

Funções e responsabilidades

• Responsável pela segurança (direção do Krova): coordena a resposta, decide sobre contenção e comunicação e responde pelo contato com clientes, plataformas e ANPD.
• Operação técnica: isola o sistema afetado, revoga e troca credenciais, preserva os registros de auditoria e restaura o serviço.
• Toda a equipe: comunica imediatamente qualquer suspeita ao responsável pela segurança.

Como reportar um incidente

• E-mail krova@krova.com.br com o assunto "Incidente de segurança", ou WhatsApp +55 11 97875-4381.
• Confirmamos o recebimento em até 24 horas.

Etapas e prazos

• Contenção imediata e revogação das credenciais envolvidas.
• Comunicação aos vendedores afetados e às plataformas envolvidas (como TikTok Shop, Shopee e Mercado Livre) em até 24 horas da confirmação do incidente, e à ANPD e aos titulares, quando houver risco ou dano relevante, no prazo da regulamentação vigente (hoje, 3 dias úteis).
• Relatório do incidente, com causa, impacto e medidas tomadas, e revisão desta política.

8. Pessoas e acessos internos

• Somente operadores autorizados do Krova acessam o Hub, cada um com credencial própria.
• Acessos são revistos periodicamente e removidos quando deixam de ser necessários.

9. Direitos dos titulares (LGPD)

Clientes e titulares podem pedir acesso, correção, portabilidade ou exclusão de dados, e a revogação do acesso às contas, pelo e-mail do encarregado de proteção de dados (DPO), dpo@krova.com.br.

10. Revisão

Esta política é revista pelo menos uma vez por ano e sempre que houver mudança relevante no Krova Hub.