Política de Segurança da Informação

Última atualização: Outubro de 2026

1. Objetivo e abrangência

Esta política define como a XED Digital (XAVIER MARKETING E PUBLICIDADE DIGITAL LTDA, CNPJ 37.558.317/0001-58) protege as informações que trata ao prestar seus serviços: dados de clientes, credenciais de acesso a plataformas de anúncio, lojas virtuais e marketplaces, e dados de pedidos recebidos por meio de APIs autorizadas pelos próprios lojistas. Vale para todas as pessoas e sistemas que atuam em nome da XED.

2. Responsável

Responsável pela segurança e encarregado de dados (DPO): Luiz Eduardo Brambilla Xavier

Contato: contato@xed.digital

3. Classificação dos dados

Público: conteúdo do site e materiais publicados.
Interno: relatórios, planejamentos e métricas de campanha dos clientes.
Confidencial: credenciais, chaves de API, tokens de acesso e dados pessoais, incluindo nome, endereço e telefone de compradores presentes em pedidos de marketplaces.

Dado confidencial trafega sempre por HTTPS (TLS) e fica em armazenamento com criptografia em repouso do provedor. Nunca é copiado para chat, planilha, e-mail, registro de log ou repositório de código.

4. Controle de acesso

Acesso pelo princípio do privilégio mínimo: cada pessoa ou sistema acessa só os dados necessários para a tarefa, e somente das contas de clientes que atende.
Contas usadas na operação (Google, Cloudflare, Meta, TikTok e marketplaces) com verificação em duas etapas.
Servidores acessados apenas por chave SSH, com login por senha desativado.
Credenciais guardadas em cofre e em variáveis secretas dos sistemas, nunca no código-fonte.
Acesso revogado ao fim do contrato ou da função, e tokens de marketplaces invalidados quando o lojista revoga a autorização.

5. Infraestrutura e rede

Serviços publicados atrás da Cloudflare, com TLS e proteção contra tráfego malicioso.
Firewall de borda que libera apenas as portas necessárias; a origem dos serviços web aceita somente conexões vindas da Cloudflare.
Bloqueio automático de tentativas repetidas de acesso indevido (fail2ban) e serviços isolados em contêineres.
Integrações com marketplaces executadas em ambiente serverless isolado, com tokens armazenados criptografados e acessíveis apenas pela própria aplicação.

6. Estações de trabalho

Antivírus com proteção em tempo real e atualização automática em todos os computadores da empresa.
Senhas com no mínimo 12 caracteres, incluindo caracteres especiais, guardadas em gerenciador de senhas, trocadas ao menos uma vez por ano (validade máxima de 365 dias), e verificação em duas etapas (MFA) em todas as contas.
Atualizações de segurança do sistema operacional aplicadas automaticamente.

7. Gestão de vulnerabilidades

Atualizações de segurança dos servidores aplicadas automaticamente todos os dias.
Atualização automática dos serviços com backup prévio e retorno à versão anterior em caso de falha.
Manutenção semanal com verificação de disco, serviços e registros de erro.
Código e dependências revisados antes de cada publicação.

8. Resposta a incidentes

Um incidente é qualquer acesso não autorizado, perda, vazamento ou alteração indevida de dados. Diante de suspeita ou confirmação:

Conter: revogar credenciais e tokens envolvidos e isolar o sistema afetado.
Avaliar: identificar dados, clientes e titulares atingidos.
Comunicar: avisar os clientes e as plataformas envolvidas em até 24 horas após a detecção (incidentes com dados da Amazon são reportados a security@amazon.com nesse prazo; TikTok Shop, Shopee e Mercado Livre pelos canais oficiais de cada um), e a ANPD e os titulares quando exigido pela LGPD.
Corrigir e registrar: eliminar a causa, documentar o ocorrido e as medidas adotadas.

O responsável da seção 2 coordena a resposta. Este plano de resposta a incidentes é revisado e testado a cada 6 meses. Incidentes podem ser reportados a qualquer momento para contato@xed.digital.

9. Dados de lojas e marketplaces

Acesso somente com autorização expressa do lojista, pelo fluxo oficial de cada plataforma.
Dados de pedidos usados apenas para operar a loja autorizada: cadastro de produtos, estoque, emissão de nota fiscal, envio, acompanhamento de entregas, devoluções e repasses.
Pedidos de titulares (acesso, correção ou exclusão) atendidos em conjunto com o lojista e a plataforma.
Ao fim do contrato ou quando a autorização é revogada, tokens e dados do lojista são excluídos em até 30 dias, salvo obrigação legal de guarda.

10. Revisão

Esta política é revisada ao menos uma vez por ano e sempre que houver mudança relevante nos sistemas ou na legislação. Ela complementa a nossa Política de Privacidade.