Este documento é o resumo público da Política de Segurança Cibernética e de Processamento e Armazenamento de Dados em Nuvem da Aida Pay S.A, CNPJ 66.159.163/0001-20, com sede na Av. Osvaldo Reis, Riviera Business Mall, 3281 — Sala 711, Praia Brava, Itajaí — SC. A versão integral da política é de uso interno e seu conteúdo é de responsabilidade do diretor responsável pela segurança cibernética perante o Banco Central do Brasil.

1. Objetivo

A política define as diretrizes, os princípios e as regras que a Aida Pay adota para preservar a segurança das informações e dos sistemas que sustentam seus produtos — conta digital para pessoa física, conta para pessoa jurídica e MEI, conta global, cartão, PIX, soluções de crédito e integrações com ERP e PDV. São objetivos específicos:

• Tornar públicas a postura institucional e as diretrizes da Aida Pay em matéria de segurança cibernética, de forma clara e acessível a clientes e parceiros.
• Reduzir a probabilidade de ocorrência de incidentes cibernéticos e limitar seus efeitos sobre clientes, parceiros de integração e sobre a própria instituição.
• Elevar a resiliência dos ambientes tecnológicos, de modo que eventuais falhas ou ataques não comprometam a continuidade dos serviços de pagamento.
• Atribuir papéis e responsabilidades inequívocos a administradores, colaboradores, prestadores de serviço e fornecedores.
• Assegurar o cumprimento das obrigações legais e regulatórias aplicáveis às instituições autorizadas a funcionar pelo Banco Central do Brasil e aos provedores de infraestrutura financeira, inclusive as decorrentes do arranjo de BaaS mantido com a UNIDA DTVM.
• Consolidar uma cultura interna em que a proteção da informação seja critério de decisão em todas as etapas do ciclo de vida dos produtos.

2. Abrangência e público-alvo

A observância da política é obrigatória e alcança todas as pessoas que acessam informações, sistemas ou ambientes da Aida Pay, independentemente do vínculo mantido com a instituição. Estão sujeitos às suas regras:

• Administradores, diretores e integrantes dos comitês e fóruns de governança.
• Colaboradores, estagiários e aprendizes, em qualquer área ou nível hierárquico.
• Equipes de engenharia, produto e operações responsáveis por desenvolver, testar, publicar e sustentar sistemas e integrações.
• Pessoas responsáveis pela aquisição, contratação e avaliação de soluções tecnológicas.
• Pessoas responsáveis pela guarda, movimentação, recuperação e descarte de equipamentos e mídias que contenham informações da instituição ou de seus clientes.
• Prestadores de serviço, fornecedores, parceiros de negócio e provedores de serviços de processamento de dados, armazenamento de dados e computação em nuvem.

3. Declaração institucional

A Aida Pay assume o compromisso de proteger toda informação sob sua guarda contra acesso, uso, alteração, divulgação ou destruição não autorizados. A instituição trabalha para identificar, registrar e tratar de forma contínua as vulnerabilidades às quais seus ambientes possam estar expostos, privilegiando a prevenção à remediação.

A Aida Pay entende que o desconhecimento, a omissão ou a negligência no cumprimento das regras de segurança é causa inadmissível de exposição de clientes e da instituição. Por isso, investe em treinamento, em comunicação objetiva e em controles automatizados que reduzam a dependência de decisões individuais.

A instituição manifesta sua disposição de compartilhar informações sobre incidentes relevantes com o Banco Central do Brasil, com as autoridades competentes e com outras instituições do sistema financeiro, sempre nos limites legais, de modo a contribuir para o fortalecimento do ecossistema.

4. Princípios

As decisões de segurança da Aida Pay são orientadas pelos seguintes princípios:

5. Conformidade e governança

5.1. Referências normativas

A Aida Pay é uma fintech autorizada a funcionar pelo Banco Central do Brasil e opera seus produtos de conta, pagamentos e cartão em arranjo de Banking as a Service (BaaS) com a UNIDA DTVM — UNIDA Distribuidora de Títulos e Valores Mobiliários, instituição autorizada a funcionar pelo Banco Central do Brasil responsável pela prestação dos serviços financeiros subjacentes. A política observa, entre outras normas aplicáveis:

• Resolução BCB nº 85/2021, que dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem por instituições de pagamento.
• Resolução CMN nº 4.893/2021, que trata da política de segurança cibernética e da contratação desses serviços no âmbito das instituições autorizadas a funcionar pelo Banco Central do Brasil.
• Resolução BCB nº 16, aplicável à constituição, à autorização e ao funcionamento de instituições de pagamento, inclusive quanto a requisitos de controles internos e de gerenciamento de riscos.
• Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — LGPD) e a regulamentação dela decorrente.
• Demais resoluções, instruções normativas e comunicados do Banco Central do Brasil e das autoridades competentes que venham a incidir sobre as atividades da instituição.

A instituição adota práticas de segurança alinhadas a padrões e referenciais técnicos amplamente reconhecidos no mercado, sem que isso implique afirmação de obtenção de certificações específicas.

5.2. Papéis e responsabilidades

6. Classificação e tratamento da informação

As informações custodiadas pela Aida Pay são classificadas para que o nível de proteção seja proporcional ao risco. A classificação considera dois eixos combinados:

• Criticidade (baixa, média, alta ou crítica): mede o impacto que a indisponibilidade, a alteração indevida ou a exposição da informação causaria a clientes, parceiros, ao mercado ou à instituição.
• Sensibilidade (baixa, média, alta ou crítica): considera a natureza do dado, distinguindo informações públicas, informações internas, dados anonimizados ou agregados, dados pessoais e dados pessoais sensíveis, nos termos da LGPD.

A classificação determina as exigências de criptografia, de segregação de ambientes, de registro de acesso, de retenção e de compartilhamento com terceiros. Dados de autenticação e de meios de pagamento recebem tratamento diferenciado e não são expostos em telas, registros de aplicação ou relatórios operacionais.

O descarte de informações é formalizado e executado por métodos que impeçam a recuperação do conteúdo, tais como apagamento criptográfico, sobrescrita de mídias, desmagnetização e destruição física de documentos e dispositivos, com registro da operação realizada.

7. Controles de prevenção

• Autenticação de múltiplos fatores para acesso a ambientes administrativos, a ferramentas de operação e a bases que contenham dados pessoais ou financeiros.
• Gestão do ciclo de vida de identidades, com concessão formal de acessos, revisão periódica de privilégios e revogação imediata em caso de desligamento, término de contrato ou suspeita de uso indevido.
• Armazenamento de senhas e segredos de aplicação de forma protegida por mecanismos criptográficos, sem registro em texto claro.
• Criptografia de dados em trânsito e em repouso, com uso de protocolos atualizados e gestão controlada de chaves.
• Segmentação de rede e separação dos ambientes de desenvolvimento, homologação e produção, com restrição de uso de dados reais fora de produção.
• Proteção de perímetro e de aplicações, incluindo filtragem de tráfego, proteção contra softwares maliciosos e mecanismos de mitigação de ataques de negação de serviço.
• Gestão de vulnerabilidades e de atualizações, com varreduras periódicas, correção priorizada por risco e aplicação de atualizações de segurança recomendadas pelos fornecedores.
• Práticas de desenvolvimento seguro, com revisão de código, análise automatizada de dependências, testes de segurança e controle das publicações em produção.
• Cópias de segurança periódicas, mantidas em localidade distinta da base original, protegidas por criptografia e submetidas a testes regulares de integridade e restauração.
• Controles de segurança física e ambiental nas instalações da instituição, incluindo restrição de acesso, proteção contra incêndio e contingência de energia.
• Regras de uso de estações de trabalho e dispositivos móveis, abrangendo cifragem de disco, bloqueio automático e restrição de instalação de programas não autorizados.

8. Controles de detecção

• Registro centralizado de eventos (logs) e trilhas de auditoria que permitam identificar autoria, data, hora e natureza das ações executadas sobre sistemas e dados.
• Monitoramento contínuo de disponibilidade, de desempenho e de indicadores de comportamento anômalo nos ambientes de produção.
• Alertas automatizados para tentativas de acesso não autorizado, elevação indevida de privilégios e desvios nos fluxos transacionais.
• Controles antifraude aplicados às operações de pagamento, com regras de limite, de verificação de identidade e de bloqueio preventivo.
• Testes periódicos de segurança, incluindo varreduras de vulnerabilidades e exercícios de simulação de ataque, com registro das correções decorrentes.
• Proteção dos próprios registros contra alteração e exclusão indevidas, com retenção pelos prazos legais e regulatórios aplicáveis.

9. Gestão de incidentes, resposta e recuperação

9.1. Comunicação interna de eventos

Qualquer colaborador, prestador de serviço ou parceiro que identifique evento adverso ou suspeita de incidente — como tentativa de acesso não autorizado, uso indevido de credenciais, perda de dispositivo, mensagem fraudulenta ou comportamento anômalo de sistema — deve comunicar imediatamente as áreas de segurança da informação e de riscos, pelos canais internos divulgados, ainda que a suspeita não esteja confirmada.

9.2. Plano de resposta a incidentes

Os incidentes são registrados, classificados por severidade e tratados conforme plano de resposta que define responsáveis, prazos, fluxos de escalonamento e critérios de comunicação. O plano prevê as seguintes etapas:

1. Registro e triagem do evento, com atribuição de severidade preliminar.
2. Contenção imediata, para interromper a propagação e limitar os efeitos sobre clientes e serviços.
3. Investigação e análise, com preservação de evidências e identificação da causa raiz e do alcance.
4. Erradicação da causa e correção das vulnerabilidades exploradas.
5. Recuperação dos serviços e validação da integridade dos dados restaurados.
6. Comunicação às partes interessadas e, quando aplicável, às autoridades competentes.
7. Avaliação posterior, com registro das lições aprendidas e definição de ações corretivas e preventivas acompanhadas até a conclusão.

9.3. Comunicação ao Banco Central e aos titulares

Incidentes classificados como relevantes são levados à diretoria, que deliberará sobre a comunicação ao Banco Central do Brasil e às demais autoridades competentes, na forma e nos prazos exigidos pela regulamentação. Quando o incidente envolver dados pessoais e puder acarretar risco ou dano relevante aos titulares, a Aida Pay realiza a comunicação à autoridade nacional de proteção de dados e aos titulares afetados, informando a natureza dos dados envolvidos, os riscos identificados e as medidas adotadas ou recomendadas para mitigação, nos termos da LGPD.

A Aida Pay mantém registro dos incidentes relevantes e das providências adotadas, inclusive quando a comunicação externa for considerada dispensável, com a devida fundamentação.

10. Continuidade de negócios e resiliência

• As estratégias de resiliência integram o Plano de Continuidade de Negócios, que identifica os processos críticos, os tempos aceitáveis de interrupção e os recursos mínimos necessários à retomada das operações.
• Os ambientes que sustentam serviços críticos são projetados com redundância e com procedimentos documentados de recuperação.
• São realizados testes periódicos, ao menos anuais, abrangendo restauração de cópias de segurança, acionamento de alternativas operacionais e exercícios de simulação de cenários de ataque e de indisponibilidade.
• Os resultados dos testes são registrados, reportados às instâncias de governança e convertidos em planos de ação quando identificadas deficiências.
• Os cenários de indisponibilidade de prestadores de serviço relevantes, inclusive de provedores de nuvem, são considerados nas estratégias de continuidade, com previsão de alternativas e de portabilidade dos dados.

11. Contratação de serviços relevantes de processamento, armazenamento de dados e computação em nuvem

A contratação de serviços de processamento de dados, de armazenamento de dados e de computação em nuvem observa as exigências regulatórias aplicáveis às instituições de pagamento e segue processo estruturado:

1. Avaliação de relevância do serviço, que o classifica como de baixa, média ou alta relevância a partir da criticidade para as atividades da instituição e da sensibilidade dos dados envolvidos.
2. Diligência prévia sobre o prestador, verificando capacidade técnica, governança, controles de segurança, situação econômico-financeira e capacidade de atender à legislação brasileira e às requisições de autoridades.
3. Definição contratual de cláusulas de segurança, contemplando confidencialidade, integridade e disponibilidade dos dados, segregação lógica das informações, notificação tempestiva de incidentes, direito de auditoria e de acesso a informações pela instituição e pelo Banco Central do Brasil, e obrigações aplicáveis a subcontratados.
4. Previsão de procedimentos de migração, de portabilidade e de devolução ou eliminação segura dos dados ao término do contrato.
5. Comunicação prévia ao Banco Central do Brasil nas hipóteses e nos prazos previstos na regulamentação, inclusive quanto à contratação de serviços prestados no exterior, que observa requisitos adicionais relativos à existência de acordo de cooperação ou de instrumento equivalente entre as autoridades supervisoras.
6. Monitoramento da execução contratual durante toda a vigência, com reavaliação periódica dos riscos e dos níveis de serviço acordados.

A contratação de serviços relevantes não transfere ao prestador a responsabilidade da Aida Pay pela segurança das informações e pela regularidade de suas operações.

12. Gestão de terceiros e parceiros de integração

• Fornecedores, parceiros de negócio e clientes que consomem as interfaces de integração da instituição são avaliados conforme o risco do acesso concedido e os dados envolvidos.
• Os acessos de terceiros são nominais, limitados ao necessário, registrados e revisados periodicamente, com revogação imediata ao término da relação ou da necessidade.
• Credenciais e chaves de integração são emitidas de forma individualizada, com possibilidade de revogação e rotação, e seu uso é monitorado.
• Os contratos preveem obrigações de confidencialidade, de proteção de dados pessoais, de notificação de incidentes e de cooperação em investigações e auditorias.
• Deficiências identificadas em avaliações ou auditorias de terceiros resultam em planos de ação acompanhados até a conclusão, podendo motivar a suspensão do acesso ou a rescisão contratual.

13. Cultura de segurança e capacitação

• Programa estruturado de conscientização, com treinamentos obrigatórios e periódicos para colaboradores, prestadores de serviço e terceiros com acesso a informações da instituição.
• Conteúdos voltados ao uso seguro de dispositivos e credenciais, à identificação de tentativas de engenharia social e fraude, ao tratamento adequado de dados pessoais e aos procedimentos de comunicação de incidentes.
• Comunicação contínua por meio de comunicados internos, materiais de orientação e exercícios práticos, como simulações de mensagens fraudulentas.
• Apresentação da política no momento da admissão ou do início da prestação de serviços, com adesão formal por termo de compromisso.
• Capacitação técnica específica para as equipes que desenvolvem, operam e sustentam sistemas e integrações.
• Orientação periódica a clientes sobre boas práticas de proteção de credenciais e sobre os canais oficiais de atendimento da Aida Pay, de modo a reduzir a exposição a golpes.

14. Plano de ação e relatório periódico

• A área responsável pela tecnologia e pela segurança da informação mantém plano de ação e de resposta a incidentes que descreve rotinas, controles, projetos e prazos para implementar as diretrizes desta política, revisto no mínimo anualmente.
• É elaborado relatório periódico com a avaliação da efetividade da implementação do plano, o resumo dos incidentes relevantes ocorridos, os resultados dos testes de continuidade e as medidas corretivas e preventivas adotadas.
• O relatório é submetido às instâncias de governança competentes e ao diretor responsável pela segurança cibernética, nos prazos definidos pela regulamentação aplicável, e permanece à disposição do Banco Central do Brasil.

15. Responsabilidades e sanções

O cumprimento desta política é obrigatório. O descumprimento, por ação ou omissão, sujeita os envolvidos às medidas previstas na legislação, na regulamentação e nos instrumentos contratuais aplicáveis.

• No plano regulatório, a instituição e seus administradores estão sujeitos às sanções previstas na legislação e na regulamentação do Banco Central do Brasil, que podem incluir advertência, multa, proibição de praticar determinadas atividades, inabilitação para o exercício de cargos de administração e cassação da autorização para funcionamento.
• No plano interno, colaboradores estão sujeitos a advertência, suspensão e rescisão do contrato de trabalho, inclusive por justa causa, conforme a gravidade da conduta.
• Prestadores de serviço, fornecedores e parceiros estão sujeitos à suspensão de acessos, à aplicação das penalidades contratuais previstas e à rescisão do contrato, sem prejuízo da responsabilização civil e criminal cabível.

16. Revisão, divulgação e contato

• A política é revista no mínimo anualmente e, de forma extraordinária, sempre que ocorram mudanças relevantes na estrutura, nos produtos, nos ambientes tecnológicos, no cenário de ameaças ou nos requisitos legais e regulatórios.
• A elaboração, a guarda, o controle de versões e a divulgação do documento cabem à área de compliance, e a aprovação cabe à diretoria, com a participação do diretor responsável pela segurança cibernética.
• A versão integral é de uso interno e de acesso restrito; este resumo é mantido publicamente disponível no site da Aida Pay.

Dúvidas, solicitações relativas a dados pessoais e comunicações sobre segurança podem ser encaminhadas para contato@aidapay.co. Caso a resposta recebida não seja satisfatória, o canal de ouvidoria está disponível em ouvidoria@aidapay.co.