Política de Segurança da Informação e Privacidade — Gogh

Documento único, em quatro partes: 1. Segurança da Informação, 2. Classificação de Dados, 3. Resposta a Incidentes e 4. Privacidade e Proteção de Dados.

Vale para todas as pessoas da Gogh e para todo sistema que a Gogh opera em nome de vendedores de marketplace.

Revisão obrigatória a cada 6 meses, e sempre que houver incidente ou mudança relevante de sistema. Próxima revisão: março de 2027.

Quem somos e o que tocamos

A Gogh é uma agência de consultoria de marketplace. Gerimos contas de vendedores em Shopee, Mercado Livre e TikTok Shop — operação, anúncios e automação.

Para isso operamos o gogh-connect, sistema próprio que se conecta às APIs oficiais desses marketplaces mediante autorização explícita do vendedor.

O que o sistema acessa: informações da loja e do catálogo de produtos das lojas que o vendedor autorizou.

O que o sistema NÃO acessa: dados financeiros, dados bancários, dados pessoais de compradores, senhas de vendedor.

A Gogh nunca solicita, recebe ou armazena a senha da conta de marketplace do vendedor. O acesso é sempre por autorização OAuth concedida pelo próprio vendedor, revogável por ele a qualquer momento, sem intermediação da Gogh.

1. Segurança da Informação

1.1 Princípios

1. Menor privilégio. Solicitamos apenas as permissões necessárias ao serviço contratado. Ampliar permissão exige nova autorização do vendedor.
2. Isolamento entre clientes. Dado de um vendedor nunca é acessível a partir do contexto de outro.
3. Segredo não circula. Chave, token e segredo de aplicação não passam por chat, e-mail, mensagem, captura de tela, chamado ou repositório de código.
4. Registro do que foi feito. Toda operação em conta de cliente é registrada.

1.2 Controle de acesso

• O acesso aos tokens é exclusivo do processo servidor. Nenhuma pessoa da Gogh visualiza tokens de vendedor, nem em tela, nem em log.
• As estações de trabalho que operam o sistema têm permissão de arquivo restrita a contas nominais; contas de terceiros na mesma máquina não têm leitura sobre o diretório de trabalho.
• Repositórios de código da agência são privados.

1.3 Linha de base das estações de trabalho

Obrigatório em toda máquina que acessa sistema ou conta de cliente:

• Autenticação multifator em todas as contas que a ofereçam — marketplace, e-mail, repositório de código, provedor de nuvem
• Bloqueio de tela automático por inatividade, com senha para destravar
• Senha forte e única por serviço, sem reuso entre contas
• Disco criptografado e sistema operacional com atualizações em dia
• Mesa limpa e tela limpa: nada de credencial em papel, quadro, bloco de notas ou captura de tela
• Nenhuma conta compartilhada para acesso a sistema de cliente
• Antivírus ativo e atualizado em toda estação, com proteção em tempo real e atualização automática de assinaturas

1.3.1 Onde os dados ficam

Todos os dados são armazenados e processados no Brasil, na infraestrutura operada pela Gogh. Não há transferência internacional de dados de vendedor, e não há processamento por subcontratado em outro país.

1.4 Gestão de vulnerabilidades

• Zero dependências de terceiros na aplicação, por decisão de projeto: não há cadeia de suprimento de software para monitorar, e não há pacote de terceiro executando junto do código que toca token de cliente.
• Atualização do runtime e do sistema operacional acompanhada continuamente; correção de segurança é aplicada assim que publicada.
• Suíte de testes automatizados roda a cada alteração, cobrindo isolamento entre clientes, validação de state e assinatura de requisição. Alteração que quebre qualquer uma dessas garantias não entra.
• Falha ou vulnerabilidade encontrada é registrada com o que era, como foi descoberta e o que mudou por causa dela — registro sem a terceira parte não conta como registro.
• Canal aberto para relato externo de vulnerabilidade: goghconsultoria@gmail.com.

1.5 Criptografia

A criptografia em repouso usa o identificador do cliente como dado autenticado adicional (AAD). O efeito prático: um registro copiado do contexto de um cliente para o de outro falha na decifragem. O isolamento não depende de alguém escrever a consulta certa — é garantido pela criptografia.

A chave mestra é mantida fora do banco de dados, em variável de ambiente protegida, nunca versionada em repositório.

Há suíte de testes automatizados que verifica o isolamento entre clientes a cada alteração do sistema.

1.6 Proteção da aplicação

• Anti-CSRF: todo fluxo de autorização usa parâmetro state de uso único e prazo curto, validado no retorno. Nenhum marketplace é presumido como responsável por essa validação.
• Código de autorização de uso único, trocado imediatamente por token.
• Rotação de token transacional: a troca do par de tokens é atômica — grava inteira ou não grava.
• Log sem segredo: a query string nunca é registrada, porque é por ela que transitam códigos de autorização. Mensagens de erro nunca reproduzem o corpo da requisição, que contém o segredo da aplicação.

1.7 Rede

A aplicação roda em servidor dedicado ao serviço, exposto à internet apenas pelas rotas necessárias ao fluxo de autorização e à operação, sempre sobre HTTPS. O banco de dados não é exposto à rede pública.

A Gogh não opera hoje segregação de rede corporativa nem monitoramento contínuo de ameaças de rede. A mitigação é reduzir a superfície: aplicação pequena, sem dependências de terceiros, sem porta aberta além da necessária, e segredos cifrados de modo que o acesso ao arquivo do banco não revele token.

Esta é uma limitação conhecida e declarada, não uma omissão. Está no plano de evolução conforme a operação crescer.

1.8 Desenvolvimento

• Zero dependências de pacotes de terceiros na aplicação, por decisão de projeto: menos código de terceiro é menos superfície de ataque e menos cadeia de suprimento para auditar.
• Testes automatizados cobrindo isolamento entre clientes, validação de state e assinatura de requisição.
• Toda alteração é versionada, com registro de motivo.

2. Classificação de Dados

Quatro níveis. A classificação define o tratamento, e o tratamento não é opcional.

Regra de trânsito: dado Crítico e Confidencial não é enviado a serviço externo, ferramenta de terceiro ou canal de mensagem. Na dúvida sobre o nível, trata-se como o mais restritivo.

3. Resposta a Incidentes

3.1 O que conta como incidente

Acesso não autorizado a dados de vendedor; exposição de token, segredo ou chave; alteração indevida em conta de cliente; indisponibilidade que impeça a operação contratada; qualquer suspeita fundamentada dos anteriores.

Suspeita é tratada como incidente até prova em contrário.

3.2 Papéis

3.3 Como agir

1. Conter — revogar tokens afetados, suspender a integração envolvida
2. Avaliar — quais vendedores, quais dados, qual janela de tempo
3. Notificar — vendedores afetados e o marketplace envolvido, em até 72 horas da confirmação, com o que se sabe, o que foi feito e o que falta
4. Corrigir — eliminar a causa, não o sintoma
5. Registrar — o que houve, como foi descoberto, o que mudou por causa disso

3.4 Canais

Qualquer pessoa — de dentro ou de fora da Gogh — pode relatar por esses canais. Relato de boa-fé nunca é motivo de retaliação.

Os endereços acima devem estar ativos antes da publicação desta política.

4. Privacidade e Proteção de Dados

4.1 Base e finalidade

A Gogh trata dados de vendedores exclusivamente para executar o serviço contratado de gestão de contas de marketplace. Não há uso secundário: os dados não alimentam produto próprio, não são agregados para venda, não treinam modelo, não geram base de prospecção.

4.2 Compartilhamento

A Gogh não compartilha, vende, aluga nem cede dados de vendedor a terceiros.

As únicas transmissões que ocorrem são para as APIs oficiais do próprio marketplace ao qual o dado pertence, para executar o que o vendedor autorizou.

4.2.1 Formulário de contato do site

O site não guarda nada. O que a pessoa preenche no formulário de contato vira uma mensagem no WhatsApp dela, que ela confere e envia; a Gogh usa esses dados só para responder ao contato. Eles não são dados de loja conectada: o que as seções 1.3.1 e 4.1 dizem sobre armazenamento no Brasil e uso exclusivo para o serviço contratado vale para os dados que o sistema acessa com autorização da loja. A conversa de contato fica no WhatsApp, serviço da Meta, e pode ser apagada a pedido, pelo canal da seção 4.3.

4.3 Direitos do titular e pedidos do vendedor

A Gogh atende pedidos de exclusão, atualização e fornecimento de dados feitos pelo vendedor ou encaminhados pelo marketplace, em até 15 dias corridos, pelo canal goghconsultoria@gmail.com.

4.4 Revogação

O vendedor pode revogar a autorização a qualquer momento, sozinho, pelo painel do próprio marketplace, sem precisar avisar ou pedir à Gogh.

Ao receber a notificação de desautorização, o sistema apaga os tokens daquela loja.

4.5 Retenção e descarte

Ao fim da relação contratual, todos os dados do cliente em posse da Gogh são excluídos, mediante confirmação ao cliente. Excetua-se apenas o que houver obrigação legal de guardar.

4.6 Conformidade

O tratamento segue a Lei Geral de Proteção de Dados (Lei 13.709/2018) e os termos de desenvolvedor e de parceiro das plataformas em que a Gogh opera.

A Gogh não possui certificação ISO 27001, SOC 2 ou ePrivacy. Declarado abertamente: somos uma operação recente e não vamos afirmar certificação que não temos.

Histórico