Compliance & Segurança
Última atualização: Fevereiro de 2026
Na DDM, a segurança da informação é o pilar central da nossa arquitetura. Desenvolvemos nossa plataforma seguindo os princípios de "Security by Design" e "Privacy by Design" para atender aos requisitos regulatórios e às expectativas das maiores empresas do Brasil.
LGPD Compliant
Conformidade total com a Lei Geral de Proteção de Dados (Lei 13.709/2018). Ferramentas nativas para atender solicitações de titulares (acesso, correção, portabilidade, exclusão e anonimização). DPO nomeado e canal de comunicação ativo.
Criptografia de Ponta
Criptografia AES-256 para dados em repouso e TLS 1.3 para todos os dados em trânsito. Chaves gerenciadas com rotação automática, garantindo que apenas processos autorizados acessem os dados descriptografados.
GDPR Ready
Infraestrutura preparada para atender requisitos do Regulamento Geral sobre a Proteção de Dados da União Europeia. DPA (Data Processing Agreements) firmados com todos os sub-processadores. Mecanismos de exportação e exclusão de dados conforme Art. 17 e 20 do GDPR.
Marco Civil da Internet
Conformidade com a Lei 12.965/2014 e seu regulamento. Logs de acesso mantidos pelo prazo legal de 6 meses com integridade garantida. Procedimentos estabelecidos para atendimento a ordens judiciais.
Segurança no Uso de Inteligência Artificial
A DDM utiliza modelos de IA para funcionalidades de análise, projeções e relatórios. Adotamos as seguintes medidas de segurança específicas para o uso de IA:
- Sessões Efêmeras: Os dados enviados à IA são processados em sessões isoladas e descartados da memória ao final de cada interação;
- Sem Treinamento: Nenhum dado do cliente é utilizado para treinar, fine-tunar ou melhorar modelos de IA públicos ou de terceiros;
- Minimização de Dados: Enviamos à IA apenas os dados estritamente necessários para a análise solicitada, nunca o dataset completo;
- DPA com Google: Contrato de processamento de dados firmado com Google Cloud, garantindo conformidade com LGPD e GDPR;
- Auditabilidade: Todas as interações com IA são logadas para fins de auditoria e transparência.
Práticas de Desenvolvimento Seguro
Segurança incorporada desde a concepção da arquitetura, não como camada adicional
Revisão obrigatória de código para todas as alterações antes do merge em produção
Verificação automática de vulnerabilidades em dependências de terceiros
Testes automatizados de segurança integrados ao pipeline de CI/CD
Cada componente e serviço opera com as permissões mínimas necessárias
Ambientes de desenvolvimento, staging e produção completamente separados
Gestão de Incidentes de Segurança
Mantemos um processo estruturado de resposta a incidentes conforme exigido pela LGPD (Art. 48):
Identificação automática via sistemas de monitoramento. Contenção imediata para limitar o impacto. Time de resposta acionado em até 1 hora.
Análise da natureza, extensão e gravidade do incidente. Classificação de risco conforme impacto aos titulares de dados. Identificação de dados e clientes potencialmente afetados.
Notificação à ANPD em prazo razoável conforme Art. 48 da LGPD. Comunicação direta aos clientes afetados com detalhes do incidente, dados envolvidos e medidas adotadas. Transparência total sobre o ocorrido.
Correção da vulnerabilidade e restauração dos serviços. Análise post-mortem para identificar causa raiz. Implementação de melhorias para prevenir recorrência. Documentação completa do incidente.
Backup e Continuidade de Negócio
| Item | Especificação |
|---|---|
| Frequência de Backup | Backups automáticos diários (completos) + incrementais a cada hora |
| Retenção | 30 dias de backups disponíveis para restauração |
| Criptografia de Backup | Backups criptografados em repouso (AES-256) |
| RPO (Recovery Point Objective) | Máximo de 1 hora de perda de dados em caso de falha catastrófica |
| RTO (Recovery Time Objective) | Restauração em até 4 horas para incidentes críticos |
| Infraestrutura | Supabase (AWS) com alta disponibilidade e failover automático |
Encarregado de Proteção de Dados (DPO)
Conforme exigido pela LGPD (Art. 41), nomeamos um Encarregado de Proteção de Dados:
Nome: Paulo Henrique Berti Garbelini
Cargo: CTO / Encarregado de Proteção de Dados
Email: suporte@ddmtech.com.br
O DPO é responsável por: aceitar reclamações e comunicações dos titulares, receber comunicações da ANPD, orientar os funcionários sobre práticas de proteção de dados e executar as demais atribuições determinadas pelo controlador.