Política de Segurança da Informação

Esta Política estabelece os controles de segurança da informação adotados por Asura Technologies Ltda., inscrita no CNPJ sob o nº 66.968.122/0001-84 (“a Vryen”), na prestação dos serviços de intermediação técnica de pagamentos por Pix, e as obrigações de segurança impostas a quem contrata esses serviços.

A Política alcança os sistemas, as bases de dados, as interfaces de programação (API) e o painel operados pela Vryen, bem como o pessoal próprio e os prestadores contratados que acessem esses recursos. Não alcança os sistemas do Estabelecimento nem os ambientes de terceiros por ele contratados.

A Vryen atua como subadquirente, prestando serviços de tecnologia e de facilitação de pagamentos. A Vryen não é instituição financeira nem instituição de pagamento autorizada a funcionar pelo Banco Central do Brasil. A liquidação financeira e a custódia de recursos são realizadas por instituições autorizadas pelo Banco Central do Brasil, contratadas pela Vryen como parceiras.

O arranjo operado pela Vryen enquadra-se na Lei nº 12.865/2013 e na Resolução BCB nº 150/2021, que dispensam autorização prévia do Banco Central do Brasil enquanto o arranjo não superar R$ 20 bilhões de movimentação financeira ou 100 milhões de transações em 12 meses. Superado qualquer desses parâmetros, a Vryen protocolará pedido de autorização no prazo de 90 dias.

Definições

• Estabelecimento: a pessoa jurídica que contrata a Vryen e integra a plataforma ao próprio site, aplicativo ou sistema para receber pagamentos.
• Usuário pagador: a pessoa que efetua o pagamento ao Estabelecimento por meio do Pix. O usuário pagador não é parte do contrato firmado entre a Vryen e o Estabelecimento.
• Painel: a interface web disponibilizada pela Vryen ao Estabelecimento para acompanhamento de transações, saques, chamados e configurações da conta.
• Chave de API: o par de credenciais emitido pela Vryen que identifica o Estabelecimento nas chamadas feitas máquina a máquina.
• Incidente de segurança: evento que compromete a confidencialidade, a integridade ou a disponibilidade de informação sob responsabilidade da Vryen, inclusive o acesso não autorizado a dados pessoais.

A Vryen orienta seus controles por três propriedades, cada uma com efeito concreto na operação de pagamento:

• Confidencialidade: dado de transação, credencial e dado pessoal do usuário pagador só são acessíveis a quem precisa deles para executar uma função definida. Consulta a dado de transação de um Estabelecimento por pessoal da Vryen exige finalidade registrada, como atendimento a chamado ou apuração de fraude.
• Integridade: valor, identificação do recebedor e situação de cada transação não podem ser alterados fora do fluxo previsto. Alteração de estado de uma transação ocorre por rotina identificada, com registro de autor, data e hora.
• Disponibilidade: a API de cobrança, o recebimento de notificações e o painel são mantidos em operação contínua, com monitoramento e plano de recuperação. A Vryen não assume índice numérico de disponibilidade nesta Política; parâmetros de serviço, quando existirem, constam do contrato firmado com o Estabelecimento.

A liquidação depende de instituições autorizadas pelo Banco Central do Brasil e da infraestrutura do Pix, regida pela Resolução BCB nº 1/2020. Indisponibilidade originada nessas camadas não é controlada pela Vryen, que informa a ocorrência ao Estabelecimento pelo painel.

A Vryen classifica a informação que trata para definir quem pode acessá-la e como ela é armazenada e descartada.

A Vryen retém registro de transação e de cadastro pelos prazos exigidos pela Lei nº 9.613/1998 e pela Circular BCB nº 3.978/2020, e mantém os registros de acesso a aplicações de internet pelo prazo do art. 15 da Lei nº 12.965/2014. Encerrado o prazo aplicável, o dado é eliminado ou anonimizado.

Privilégio mínimo

Cada pessoa e cada sistema recebem apenas as permissões necessárias à função que exercem. A concessão é nominal, aprovada pelo responsável pela área e revisada periodicamente. Desligamento ou mudança de função implica revogação dos acessos no mesmo dia útil em que a Vryen toma ciência.

Acesso a ambiente de produção exige autenticação individual. A Vryen não utiliza credencial compartilhada entre pessoas para essa finalidade.

Usuários do painel

O Estabelecimento administra os usuários do próprio painel: cria, altera o perfil de permissão e exclui contas. Cada usuário responde pelos atos praticados com sua credencial. A Vryen disponibiliza autenticação em duas etapas e recomenda que o Estabelecimento a exija de todos os usuários com poder de solicitar saque ou alterar dados bancários.

A Vryen encerra a sessão inativa e pode bloquear o acesso após tentativas sucessivas de autenticação malsucedidas. O desbloqueio segue o procedimento de recuperação informado no próprio painel.

Cabe ao Estabelecimento manter as seguintes práticas, cuja inobservância afasta a responsabilidade da Vryen pelo uso indevido do painel:

• usar senha exclusiva do painel, não reutilizada em outros serviços;
• criar um usuário por pessoa, sem conta genérica compartilhada pela equipe;
• remover o acesso de quem deixa a empresa ou muda de atribuição;
• comunicar à Vryen, pelo endereço seguranca@vryen.com, a suspeita de comprometimento de qualquer credencial.

A chave de API é segredo do Estabelecimento. A Vryen exibe a chave uma única vez, no momento da emissão, e não a armazena em formato que permita nova exibição integral.

A chave deve ser usada apenas em ambiente de servidor controlado pelo Estabelecimento. É vedado ao Estabelecimento:

• embutir a chave em código executado no navegador, em aplicativo móvel ou em qualquer camada de front-end;
• versionar a chave em repositório de código, inclusive privado;
• transmitir a chave por canal não controlado, como mensagem instantânea, planilha compartilhada ou anexo de e-mail;
• reutilizar a mesma chave em ambiente de teste e em ambiente de produção.

Toda chamada autenticada com a chave do Estabelecimento é tratada como ato do próprio Estabelecimento, que responde pelas cobranças criadas, pelas consultas realizadas e pelas solicitações de saque efetuadas por meio dela, ainda que praticadas por terceiro que tenha obtido a chave.

O Estabelecimento pode revogar e emitir nova chave pelo painel, a qualquer tempo. A Vryen revoga a chave por iniciativa própria quando identificar indício de vazamento ou uso incompatível com o padrão da integração, e comunica a revogação ao Estabelecimento no painel, com a indicação do motivo.

A Vryen nunca solicita a chave de API, a senha do painel ou o código de verificação em duas etapas por telefone, mensagem ou e-mail. Pedido nesse sentido deve ser reportado a seguranca@vryen.com.

A comunicação entre o Estabelecimento e a Vryen ocorre por canal cifrado, com protocolo em versão vigente e sem suporte a versões descontinuadas. A Vryen recusa conexão que não atenda a esse requisito.

Dado classificado como restrito ou crítico é armazenado cifrado. Senha de usuário do painel é armazenada apenas como resultado de função de derivação, sem possibilidade de recuperação do valor original: quem perde a senha faz a redefinição, não a consulta.

Chaves criptográficas e segredos de integração ficam em cofre de segredos, com acesso restrito às aplicações que deles dependem e substituição imediata quando houver suspeita de exposição.

As notificações que a Vryen envia ao endereço indicado pelo Estabelecimento (webhooks) são assinadas. O Estabelecimento deve verificar a assinatura antes de dar baixa em pedido e não deve considerar pago um pedido apenas porque recebeu uma requisição em seu endpoint.

A Vryen registra os eventos relevantes de suas aplicações, entre eles a autenticação de usuários, a emissão e a revogação de chave de API, a criação e a alteração de estado de cobranças, a solicitação de saque e a alteração de dados cadastrais e bancários.

Cada registro contém identificação do autor, data e hora, origem da requisição e a operação executada. Os registros são protegidos contra alteração e contra exclusão por quem os gerou.

O Estabelecimento consulta no painel a trilha das operações de sua própria conta. A Vryen usa a trilha para apurar incidentes, instruir pedidos de devolução tratados pelo Mecanismo Especial de Devolução, nos termos da Resolução BCB nº 403/2024 e do Guia de implementação do MED do Banco Central do Brasil, e atender a requisições de autoridade competente.

A Vryen fornece registros a terceiros mediante ordem judicial, requisição de autoridade com competência legal para o pedido ou obrigação regulatória, e informa o Estabelecimento sempre que a lei não vedar a comunicação.

A Vryen mantém inventário dos componentes de software que utiliza e acompanha a publicação de falhas que os afetem. Identificada uma falha, a Vryen atribui uma severidade e trata a correção conforme essa classificação: falha que permita acesso indevido a dado restrito ou crítico, ou que afete a integridade de transação, tem prioridade sobre as demais e é corrigida com o ambiente sob monitoramento reforçado até a aplicação da correção.

Alterações em produção passam por revisão de código por pessoa distinta de quem escreveu a alteração e por testes automatizados. Correção emergencial pode ser aplicada sem o rito ordinário, com registro do motivo e revisão posterior.

A Vryen submete seus ambientes a testes de segurança periódicos, executados por equipe própria ou por prestador contratado. Esta Política não afirma a existência de certificação, selo ou atestado de conformidade de terceiro; o que a Vryen declara é a prática dos controles aqui descritos.

A Vryen mantém cópias de segurança das bases que sustentam a operação, com armazenamento em local distinto do ambiente de produção e teste periódico de restauração. Cópia de segurança não testada não é considerada válida.

A Vryen mantém plano de recuperação que define a ordem de restabelecimento dos serviços, começando pelo registro e pela conciliação das transações já iniciadas. Durante indisponibilidade relevante, a Vryen informa a situação e a previsão de normalização pelos canais de atendimento.

A Vryen contrata terceiros para infraestrutura, liquidação financeira e serviços de apoio. Antes da contratação, a Vryen avalia os controles de segurança do fornecedor e, no contrato, exige dever de sigilo, restrição de uso da informação à finalidade contratada e comunicação de incidente à Vryen.

A Vryen responde perante o Estabelecimento pelos serviços que presta, inclusive quando executados por terceiro contratado, nos limites do contrato firmado entre as partes. A relação do Estabelecimento com fornecedores que ele próprio contrate não é alcançada por esta Política.

Ao tomar ciência de incidente de segurança, a Vryen executa as seguintes etapas:

1. contém o evento, isolando o componente afetado e revogando as credenciais envolvidas;
2. apura a extensão do incidente, identificando os dados e as contas atingidos;
3. corrige a causa e restabelece o serviço;
4. comunica os afetados e as autoridades competentes, quando o caso exigir;
5. registra a ocorrência, as medidas adotadas e as providências destinadas a evitar repetição.

Quando o incidente envolver dados pessoais e puder acarretar risco ou dano relevante aos titulares, a Vryen comunica a Autoridade Nacional de Proteção de Dados e os titulares afetados, na forma do art. 48 da Lei nº 13.709/2018. A comunicação à ANPD observa o prazo de 3 (três) dias úteis contados da ciência do incidente, fixado pela Resolução CD/ANPD nº 15/2024, e informa a natureza dos dados, os titulares envolvidos, as medidas técnicas adotadas e os riscos identificados.

Quando a Vryen atuar como operadora de dados pessoais do Estabelecimento, a Vryen comunica o incidente ao Estabelecimento assim que confirmada a ocorrência e lhe presta as informações necessárias ao cumprimento dos deveres que a Lei nº 13.709/2018 atribui ao controlador.

O Estabelecimento comunica à Vryen, pelo endereço seguranca@vryen.com, o incidente ocorrido em seu próprio ambiente que possa afetar a integração, o vazamento de chave de API e o acesso não autorizado ao painel. Dúvidas sobre tratamento de dados pessoais são dirigidas ao encarregado, pelo endereço privacidade@vryen.com; questões operacionais e de atendimento, ao endereço suporte@vryen.com.

Quem identificar vulnerabilidade nos sistemas da Vryen pode reportá-la pelo endereço seguranca@vryen.com, descrevendo o comportamento observado, o endereço afetado e os passos para reprodução. A Vryen confirma o recebimento, avalia o relato e informa ao autor o desfecho da análise.

A pesquisa deve observar as seguintes regras:

• usar apenas contas e dados próprios, sem acessar dado de Estabelecimento ou de usuário pagador que não seja seu;
• interromper o teste assim que a falha for demonstrada, sem extrair, alterar ou apagar dados;
• não executar ataque de negação de serviço, envio de mensagem em massa nem engenharia social contra pessoal da Vryen, de Estabelecimentos ou de fornecedores;
• não divulgar a falha a terceiros antes de a Vryen aplicar a correção ou antes de decorrido o prazo acordado entre as partes;
• não condicionar a entrega das informações a pagamento.

A Vryen não adota medida judicial nem extrajudicial contra quem reportar vulnerabilidade de boa-fé e observar as regras acima. O compromisso não alcança quem exfiltrar dados, extorquir, causar dano deliberado ou explorar a falha em proveito próprio.

A Vryen não mantém programa de recompensa financeira por relato de vulnerabilidade. O envio do relato não gera direito a remuneração.

A segurança do fluxo de pagamento depende de medidas que só o Estabelecimento pode executar em seu ambiente. Cabe ao Estabelecimento:

• guardar a chave de API em servidor sob seu controle e mantê-la fora do front-end e de repositórios de código;
• manter a gestão dos usuários do painel, com credencial individual e revogação tempestiva;
• verificar a assinatura das notificações recebidas antes de liberar produto ou serviço ao usuário pagador;
• manter atualizados os dados cadastrais e bancários informados à Vryen e conferir alteração solicitada por terceiro antes de efetivá-la;
• informar ao usuário pagador, em seu próprio site, quem é o fornecedor do produto ou serviço e quais são os canais de atendimento e de devolução;
• atender às requisições da Vryen relativas a apuração de fraude, a pedido de devolução e a obrigações de prevenção à lavagem de dinheiro, nos prazos indicados na comunicação.

O descumprimento destas obrigações autoriza a Vryen a suspender a integração, a revogar a chave de API e a reter o repasse das transações atingidas pelo prazo necessário à apuração, com comunicação ao Estabelecimento no painel e indicação das transações envolvidas.

Esta Política vigora a partir da data de sua publicação e substitui as versões anteriores. A Vryen pode alterá-la para refletir mudança normativa ou mudança nos controles adotados, publicando a nova versão nesta página com a respectiva data de atualização. Alteração que imponha nova obrigação ao Estabelecimento é comunicada pelo painel antes de produzir efeito.