「Política de Segurança e Responsabilidade Compartilhada」

01 Medidas verificáveis

Esta política existe para ser conferida, não apenas lida. Cada número abaixo corresponde a uma configuração real da infraestrutura no momento da revisão, e não a uma meta ou intenção.

Detalhes que, se publicados, reduziriam a própria segurança — como topologia interna, regras de firewall e nomes de credenciais — são fornecidos sob acordo de confidencialidade em processos de avaliação de fornecedor.

02 Camadas de proteção

Nenhum controle isolado protege um sistema. Trabalhamos em camadas, de modo que a falha de uma não exponha diretamente os dados.

03 Onde os dados ficam e quem os processa

Esta é a informação que mais afeta uma avaliação de fornecedor e por isso vem antes das demais, sem rodeios.

Ao contratar, o cliente autoriza esse tratamento. Se a operação exigir que os dados permaneçam fisicamente no Japão, informe antes da contratação: essa condição precisa constar do contrato, pois não é a configuração atual.

04 Comunicação, contas e acesso

Todo acesso aos sistemas ocorre por canal cifrado e sob conta nominal. Não existe conta compartilhada entre pessoas nem acesso anônimo a dado de cliente.

05 Cópias de segurança e continuidade

A cópia é gerada automaticamente todos os dias e enviada para fora do servidor de produção, de modo que a perda do servidor não implique a perda dos dados.

O banco de dados é copiado de forma consistente, sem interromper o serviço. A execução é registrada, o que permite identificar uma falha de backup em vez de descobri-la apenas no momento em que a restauração for necessária.

06 Quem faz o quê

Boa parte dos incidentes reais não nasce de falha técnica do fornecedor, e sim de permissão esquecida, dispositivo desprotegido ou senha compartilhada. Por isso a divisão abaixo é explícita.

07 Resposta a incidente

Se ocorrer acesso indevido, vazamento, perda ou alteração não autorizada de dados, seguimos uma sequência definida. Ela existe para que a reação não dependa de improviso no pior momento.

1. 01ConterInterromper o que estiver em curso e limitar o alcance, mesmo que isso exija suspender temporariamente um recurso.
2. 02PreservarGuardar registros e evidências antes de qualquer correção, para que a causa possa ser determinada depois.
3. 03DeterminarIdentificar o que foi acessado, de quem era o dado e qual o impacto real, sem minimizar.
4. 04NotificarInformar o cliente afetado assim que houver informação confiável, e a autoridade competente quando a lei exigir.
5. 05CorrigirEliminar a causa, não apenas o sintoma, e confirmar que a correção funcionou.
6. 06PrevenirRegistrar a lição e alterar processo ou código para que a mesma falha não volte de outra forma.

08 Inteligência artificial com contexto limitado

Usamos IA em suporte, organização e verificação. Isso amplia a capacidade da equipe, mas também amplia o alcance de um erro. Por isso o uso é limitado por desenho.

• O agente recebe apenas o contexto do produto e do usuário que está sendo atendido.
• Ações irreversíveis e decisões de alto impacto exigem confirmação humana.
• A IA não decide questões jurídicas, médicas, financeiras ou disciplinares em nome da KOMORI ou do cliente.

09 Limites atuais

As medidas abaixo ainda não estão implantadas. Estão listadas porque a ausência delas pode ser relevante para a decisão do cliente, e omitir seria enganoso.

10 Comunicar uma falha de segurança

Se você encontrar uma vulnerabilidade em qualquer sistema da KOMORI, comunique pelo canal de atendimento antes de divulgar publicamente. Comprometemo-nos a responder, analisar e informar o resultado.

• Não acesse, altere nem copie dados de terceiros durante a verificação.
• Não execute testes que degradem o serviço para outros usuários.
• Quem comunica de boa-fé e respeita estes limites não sofrerá medida legal da KOMORI por isso.