Política de Segurança da Informação

Última atualização: outubro de 2026

Esta Política descreve como a OneDrop protege a plataforma (app.onedrop.com.br), a sua infraestrutura e os dados de vendedores, fornecedores e compradores que tratamos ao integrar lojas e marketplaces. Ela complementa a nossa Política de Privacidade e vale para todas as pessoas com acesso aos sistemas da OneDrop.

1. Responsabilidade

A segurança da informação é responsabilidade da direção técnica da OneDrop, que aprova esta Política, concede e revoga acessos, coordena a resposta a incidentes e revisa este documento. Dúvidas e relatos de segurança: contato@onedrop.com.br.

2. Classificação dos dados

• Restritos: credenciais e tokens de acesso a marketplaces e lojas, chaves de API e segredos da plataforma. Ficam cifrados em repouso, nunca são exibidos em tela depois de salvos e nunca vão para logs.
• Confidenciais: dados pessoais de vendedores e de compradores (nome, endereço de entrega, documentos), pedidos e dados financeiros. Só são acessíveis a quem precisa deles para operar o pedido.
• Internos: configurações, métricas e documentação operacional.
• Públicos: conteúdo do site e do catálogo publicado.

3. Controle de acesso e menor privilégio

• Cada usuário tem um papel (vendedor, fornecedor ou administrador da plataforma) e só enxerga os dados do próprio papel. O isolamento é aplicado no banco de dados, por regras de segurança em nível de linha, e não só na tela.
• Autenticação em dois fatores (TOTP) é obrigatória para todas as contas administrativas. Senhas de usuário expiram a cada 365 dias.
• Credenciais de serviço ficam somente no servidor; o navegador nunca as recebe.
• O acesso aos servidores de produção é restrito à equipe técnica autorizada e feito apenas por chave SSH individual — login por senha é desativado.
• Acessos são revogados imediatamente quando a pessoa deixa de precisar deles.

4. Criptografia

• Todo o tráfego do site, da plataforma, das APIs e dos webhooks usa HTTPS (TLS 1.2 ou superior), com certificados renovados automaticamente.
• Dados restritos (tokens de acesso a marketplaces e segredos) são cifrados em repouso com AES-256-GCM, com suporte a rotação de chave.

5. Rede e infraestrutura

• Os servidores de produção ficam no Brasil e expõem à internet apenas HTTPS e SSH, protegidos por firewall de host e bloqueio automático de tentativas de acesso repetidas.
• O banco de dados e os serviços internos rodam em rede privada e não são acessíveis pela internet.
• Webhooks e APIs têm limite de requisições; a disponibilidade da plataforma é monitorada continuamente.

6. Estações de trabalho

Computadores usados para acessar a plataforma ou a infraestrutura devem manter antivírus ativo com proteção em tempo real, sistema operacional atualizado, bloqueio de tela e senha forte, e autenticação em dois fatores nas contas de serviço (repositório de código, provedores de nuvem e de e-mail).

7. Gestão de vulnerabilidades

• Dependências de software são revisadas e atualizadas regularmente; correções de segurança críticas são aplicadas em até 7 dias.
• Mudanças em áreas sensíveis (pagamentos, controle de acesso e dados pessoais) passam por revisão de código dedicada antes de ir para produção.
• Erros e eventos de segurança ficam registrados em log, sem dados restritos, para investigação.
• Vulnerabilidades podem ser relatadas a contato@onedrop.com.br; todo relato é avaliado e respondido.

8. Resposta a incidentes

Ao suspeitar de um incidente de segurança, a direção técnica coordena a resposta, nesta ordem: identificar e conter o incidente (por exemplo, revogando credenciais e bloqueando acessos); avaliar quais dados e quem foi afetado; corrigir a causa e restaurar a operação; e registrar o que aconteceu e as medidas para não se repetir.

Incidentes que envolvam dados pessoais são comunicados, sem demora injustificada e em até 72 horas depois de confirmados, aos parceiros afetados (como marketplaces e plataformas integradas), aos vendedores e fornecedores afetados e, quando exigido pela LGPD, à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares.

9. Retenção e exclusão

Dados são mantidos apenas enquanto forem necessários para a prestação do serviço e para obrigações legais. Ao desconectar uma loja ou encerrar a conta, os tokens de acesso daquela integração deixam de ser usados e são excluídos; encerrada a relação, os dados pessoais são eliminados ou anonimizados, salvo o que a lei obriga a guardar. Pedidos de acesso, correção ou exclusão de dados seguem a nossa Política de Privacidade.

10. Revisão

Esta Política é revisada pelo menos uma vez por ano e sempre que houver mudança relevante na plataforma ou depois de um incidente.

11. Contato

Para relatar um problema de segurança ou tirar dúvidas sobre esta Política, escreva para contato@onedrop.com.br ou fale pelo nosso WhatsApp.