Política de Segurança da Informação e Segurança Cibernética

1. Objetivo e abrangência

Aplica-se a todos os sistemas, dados, colaboradores e fornecedores que tenham acesso a informações da LofyPay ou de seus usuários.

2. Controles adotados

• Criptografia de dados em trânsito (HTTPS) e em pontos críticos de armazenamento;
• Controle de acesso por perfil, com o mínimo de privilégio necessário;
• Autenticação em dois fatores disponível para as contas;
• Chaves de API separadas para produção e testes, com restrição opcional por endereço IP;
• Webhooks assinados digitalmente, para que o sistema do cliente confirme a origem das notificações;
• Limites de requisições e bloqueio de padrões abusivos;
• Monitoramento contínuo e registros de auditoria dos eventos relevantes.

3. Responsabilidades do usuário

• Manter as credenciais de acesso em sigilo e não compartilhá-las;
• Guardar a chave secreta da API apenas no servidor, nunca no navegador ou em aplicativos;
• Ativar a autenticação em dois fatores;
• Avisar imediatamente a LofyPay sobre qualquer suspeita de acesso indevido.

4. Gestão de incidentes

Incidentes de segurança são registrados, analisados e tratados com prioridade. Quando um incidente puder causar risco ou dano relevante aos titulares, a LofyPay comunicará os afetados e a Autoridade Nacional de Proteção de Dados, nos termos da LGPD.

5. Fornecedores

Provedores de infraestrutura, processadores de pagamento e demais parceiros com acesso a dados são avaliados e obrigados a manter níveis de segurança compatíveis com esta Política.

6. Continuidade

A plataforma adota backups e procedimentos de recuperação para reduzir o impacto de falhas e manter a disponibilidade do serviço.

7. Como reportar uma vulnerabilidade

Se você identificar uma vulnerabilidade, envie os detalhes para info@lofypay.com. Pedimos que não explore a falha além do necessário para demonstrá-la nem divulgue publicamente antes da correção.