Política de Classificação de Dados
Última atualização: 24 de junho de 2026
Esta Política define como o Lucras (Finxi Tecnologia LTDA) classifica os dados que trata conforme a sua sensibilidade e aplica controles proporcionais a cada categoria — incluindo criptografia em trânsito e em repouso e minimização. Integra o programa de Segurança da Informação.
1. Objetivo e escopo
Assegurar tratamento adequado a cada tipo de dado, priorizando a proteção dos dados sensíveis e a redução da superfície de exposição. Aplica-se a todos os dados tratados no produto e na operação do Lucras.
2. Categorias
| Categoria | Exemplos |
|---|---|
| Público | Conteúdo institucional, páginas legais, material de marketing. |
| Interno | Configurações operacionais e dados agregados de negócio sem identificação pessoal. |
| Confidencial | Dados cadastrais do lojista (usuário), dados da empresa (CNPJ, regime tributário), dados de uso. |
| Restrito | Credenciais e tokens de integração (OAuth); segredos da aplicação; quaisquer dados pessoais ou fiscais que trafeguem de forma transitória. |
3. Controles por categoria
- Criptografia em trânsito: TLS 1.2+ em todas as conexões (cliente, APIs de marketplace e banco).
- Criptografia em repouso: tokens de integração cifrados com AES-256-GCM; banco com criptografia de disco do provedor.
- Restrito: acesso por privilégio mínimo (ver Controle de Acesso), segredos em cofre, isolamento por organização (RLS), e nunca registrados em logs.
- Confidencial: isolamento multi-inquilino, controle de acesso por papéis e registro de acessos.
4. Minimização e dados pessoais de terceiros
Adotamos minimização (LGPD, art. 6º, III): coletamos apenas o necessário ao cálculo de margem do lojista. Não armazenamos dados pessoais de compradores (nome, CPF, endereço, telefone). De documentos fiscais extraímos apenas dados tributários e a UF de destino; eventuais dados pessoais que trafeguem em respostas de API ou no XML da nota são processados de forma transitória, em memória, e descartados; não são incorporados ao histórico do lojista e, salvo obrigação legal, não são retidos por mais de 30 dias.
5. Responsabilidades e revisão
O responsável pela segurança/Encarregado (DPO) — — mantém esta Política e a revisa periodicamente ou diante de mudança material, com esforços comercialmente razoáveis proporcionais ao porte da operação.