(21) 2722-0065 | (21) 2613-1926 | (21) 2613-2192 Fale conosco

Política de Privacidade - LGPD

POLÍTICA DE PRIVACIDADE
 
Política de Segurança da Informação Provimento 213 - Classe 3

Cartório de Notas e Registro de Imóveis - 16º RI de Niterói - RJ
1. OBJETIVO
 
Esta Política de Segurança da Informação (PSI) estabelece as diretrizes, responsabilidades e normas de conduta para garantir a Confidencialidade, Integridade, Disponibilidade, Autenticidade, Rastreabilidade e conformidade legal (compliance) das informações e ativos tecnológicos da NITERÓI CARTÓRIO DO DÉCIMO SEXTO OFÍCIO, em estrita conformidade com o Provimento Nº 213/2026 do CNJ. O foco é garantir a continuidade das atividades notariais e de registro, protegendo o acervo digital, mitigando riscos de incidentes cibernéticos e acessos não autorizados.
 
2. ABRANGÊNCIA
 
As diretrizes aqui estabelecidas aplicam-se integralmente ao delegatário, interino ou interventor, bem como a todos os colaboradores, prepostos, estagiários e fornecedores de serviços tecnológicos que tenham acesso aos dados ou sistemas da serventia.
 
3. PRINCÍPIOS
 
A segurança da informação nesta unidade fundamenta-se nos princípios de: Confidencialidade: Garantia de que a informação seja acessível apenas a quem possui autorização.
Integridade: Salvaguarda da exatidão e completude da informação e dos métodos de processamento.
Disponibilidade: Garantia de que usuários autorizados tenham acesso à informação e aos ativos quando necessário.
Rastreabilidade: Capacidade de identificar e auditar as ações praticadas nos sistemas. Conformidade Legal: Estrita observância à LGPD e às normas do Conselho Nacional de Justiça.

4. ESTRUTURA

4.1 Governança e responsabilidades
A responsabilidade pelo cumprimento integral desta política é pessoal e indelegável do titular da serventia. A serventia manterá um inventário completo e atualizado de ativos tecnológicos, incluindo histórico de atualizações e vigência de suporte. É expressamente proibida a utilização de sistemas operacionais, bancos de dados ou aplicações cujo ciclo de suporte oficial pelo fabricante tenha sido encerrado (End of Life- EOL).
 
Controlador: O responsável pela serventia atua como controlador dos dados pessoais, respondendo pela conformidade com a LGPD, o titular da delegação é o responsável máximo pelo tratamento de dados pessoais.
Encarregado (DPO): Deve ser designado um encarregado pelo tratamento de dados para atuar como canal de comunicação com os titulares e com a Autoridade Nacional de Proteção de Dados (ANPD).
Colaboradores: Devem ser treinados periodicamente sobre as rotinas de segurança e backup, com registro formal das capacitações.
Responsável Técnico (TIC): Responsável pela execução das medidas técnicas previstas no Provimento.
Comité de Segurança: Responsável pela revisão anual desta política ou sempre que houver mudanças regulatórias significativas.
A serventia observará, no mínimo, o Nível Intermediário de trilhas de auditoria (logs), garantindo o registro de autenticação de usuários, operações principais, eventos de erro, alterações cadastrais, exportações de dados e tentativas de acesso não autorizado, assegurando a rastreabilidade integral das ações praticadas. As trilhas de auditoria (logs) de Nível Intermediário serão protegidas contra alterações e mantidas pelo prazo mínimo de 5 (cinco) anos.
 
4.2 Regras de controle e revogação de acesso
É obrigatória a autenticação individualizada, sendo vedado o uso de contas genéricas ou credenciais compartilhadas. A Autenticação Multifator (MFA) é obrigatória para todos os acessos administrativos e bases de dados críticas. Os acessos devem ser revogados imediatamente após o desligamento de qualquer colaborador ou término de contrato com terceiros, admitindo-se contas técnicas automatizadas apenas para integração entre sistemas, desde que possuam privilégios segregados e registros auditáveis.

4.3 Diretrizes de uso aceitável
É proibido o uso dos recursos da serventia para atividades ilícitas, assédio ou instalação de softwares não licenciados para uso comercial, conforme as normas vigentes. Dispositivos móveis que acessem dados da serventia devem seguir diretrizes rígidas de segurança, incluindo o uso obrigatório de senha forte, criptografia de dados e capacidade técnica de limpeza remota em caso de perda ou roubo.
 
4.4 Integração com PCN e PRD, com RTO e RPO definidos
Esta política integra-se ao Plano de Continuidade de Negócios (PCN) e o Plano de Recuperação de Desastres (PRD), estabelecendo para a Classe 3, compreendendo as unidades cuja receita supere o marco da Classe 2, com arrecadação semestral superior a R$ 500.000,00, conforme os critérios de enquadramento previstos no Provimento nº 213/2026.:

RPO (Recovery Point Objective): Máximo de 4 horas.

RTO (Recovery Time Objective): Máximo de 8 horas, devendo a demonstração de atendimento ocorrer por meio de testes formais e documentados de restauração integrados ao dossiê técnico.
O planejamento deve contemplar medidas de curto (30 dias) e médio prazo (90 dias) para tratamento de incidentes e para a restauração da normalidade operacional.
 
4.5 Proteção física de ativos
Equipamentos críticos devem ser mantidos em espaço físico isolado e seguro, com controle de acesso restrito e proteção contra incêndio, inundações e variações térmicas.

A arquitetura tecnológica da serventia deverá obrigatoriamente dispor de mecanismos de tolerância a falhas (Fault Tolerance) ou alta disponibilidade (HA), compatíveis com a criticidade do acervo e com os prazos de recuperação estabelecidos para a Classe 3.

É obrigatória a utilização de Sistema de Alimentação Ininterrupta (SAI/UPS) com autonomia mínima de 30 minutos para assegurar o encerramento seguro das transações e o desligamento ordenado dos equipamentos. A infraestrutura elétrica deve possuir aterramento funcional tecnicamente aferido, mantendo-se laudo atualizado subscrito por profissional habilitado com a devida Anotação de Responsabilidade Técnica (ART).
 
4.6 Procedimentos de Gestão de Incidentes
Incidentes de segurança classificados como críticos devem ser comunicados à Corregedoria competente no prazo máximo de 72 horas após a ciência do evento, a serventia estabelece como meta de governança a comunicação à Corregedoria
competente em até 24 (vinte e quatro) horas da ciência do evento, visando mitigar potenciais impactos sistêmicos. Todo incidente, independentemente de sua gravidade, deve ser objeto de análise de causa raiz e registro formal das medidas corretivas adotadas e das lições aprendidas para evitar reincidências.
 
4.7 Gestão de Vulnerabilidades
As vulnerabilidades classificadas como críticas devem ser tratadas no prazo máximo de
30 dias, prazo este que deve ser reduzido para uma mitigação imediata, preferencialmente em até 72 horas, quando houver evidência de exploração ativa ou risco iminente. É expressamente vedada a utilização de quaisquer componentes tecnológicos cujo suporte oficial pelo fabricante tenha sido encerrado (End of Life), devendo a serventia manter evidência documental da vigência do suporte técnico, em suma:

Prazos: Vulnerabilidades críticas tratadas em 30 dias (ou 72 horas se houver exploração ativa).
Proibição EOL: Vedado o uso de sistemas ou aplicações com suporte oficial encerrado (End of Life).
 
4.8 Proteção de Dados Pessoais (LGPD)
A serventia deve assegurar a observância integral da Lei nº 13.709/2018 (LGPD), mantendo o registro atualizado de todas as operações de tratamento de dados pessoais realizadas no âmbito da unidade. O titular da delegação é caracterizado como o controlador de dados, responsável por implementar procedimentos para o atendimento aos direitos dos titulares e por comunicar incidentes que possam acarretar risco relevante à ANPD e à Corregedoria competente.
 
4.9 Criptografia
A criptografia deve ser aplicada obrigatoriamente aos dados em trânsito, mediante protocolos seguros atualizados como TLS 1.2 ou superior, e aos dados críticos em repouso com robustez equivalente ao padrão AES-256. Para o armazenamento em nuvens comerciais, a criptografia deve ser aplicada na origem antes do envio, garantindo que a chave de descriptografia permaneça sob custódia exclusiva da serventia e não do provedor de armazenamento. Deve haver um cronograma para a renovação tempestiva de certificados digitais e um mecanismo de revisão periódica dos padrões criptográficos para substituição imediata de protocolos que se tornem vulneráveis, em suma:
Trânsito e Repouso: Uso de TLS 1.2+ e AES-256 para dados críticos e backups.
 
Nuvem: Criptografia aplicada na origem, com chave sob custódia exclusiva da serventia.
 
4.10 Gestão de fornecedores
Os contratos com fornecedores devem prever cláusulas obrigatórias de confidencialidade, reversibilidade, gestão de incidentes e portabilidadeintegral do acervo em formato estruturado, interoperável e não proprietário. É necessária a realização de avaliação prévia de segurança antes de qualquer contratação, bem como o monitoramento contínuo do cumprimento contratual para assegurar a autonomia da serventia e a inexistência de dependência estrutural não mitigada de fornecedores exclusivos.
 
4.11 Simulação de Portabilidade
A serventia realizará a simulação documentada de extração integral do acervo digital em formato estruturado, interoperável e não proprietário, no mínimo a cada 24 (vinte e quatro) meses. Este teste é condição obrigatória para a declaração de conformidade da Etapa 5 e deve assegurar a inexistência de dependência estrutural não mitigada de
fornecedores.

5. GESTÃO DE BACKUPS (CÓPIAS DE SEGURANÇA)

A política de backups prevê a realização de cópias completas em intervalos não superiores a 24 (vinte e quatro) horas, além de mecanismos incrementais que assegurem o cumprimento do RPO de 4 horas definido para a Classe 3. As rotinas de backup serão submetidas a testes formais e documentados de restauração com periodicidade mínima semestral, cujos resultados deverão integrar o dossiê técnico.
Periodicidade: Realização de backups completos em intervalos não superiores a 24 (vinte e quatro) horas e cópias incrementais contínuas para garantir o RPO de 4 horas.
Armazenamento: Os dados devem ser mantidos em, no mínimo, dois ambientes tecnicamente independentes (ex: local e nuvem com redundância geográfica), garantindo que pelo menos um deles possua isolamento lógico ou bloqueio contra exclusão administrativa (imutabilidade). A criptografia aplicada aos dados em nuvem deve ser obrigatoriamente realizada na origem (antes do envio), garantindo que a chave de descriptografia permaneça sob custódia exclusiva da serventia.
Testes: Realização obrigatória de testes semestrais documentados de restauração para validar a integridade do acervo e o cumprimento dos tempos de recuperação (RTO e RPO).
 
6. CONECTIVIDADE E SEGURANÇA DE REDE
 
A conexão à internet para a Classe 3 deve possuir velocidade mínima de referência de
50 Mbps para garantir o desempenho efetivo dos sistemas e as integrações obrigatórias. A serventia deverá utilizar, preferencialmente, múltiplos links ou tecnologia equivalente que assegure desempenho compatível com a sua classe. A segmentação lógica de rede é obrigatória e deve ser implementada mediante mecanismos formais
como VLANs ou soluções tecnicamente equivalentes. Os mecanismos de proteção perimetral deverão contemplar a inspeção ativa de tráfego em nível de rede e a capacidade de detecção e bloqueio de ameaças avançadas (IDS/IPS).

6.1 Segmentação Formal / VLANs
É obrigatória a implementação de mecanismos formais de segmentação de rede (VLANs), deve ser configurada para impedir a comunicação irrestrita entre dispositivos de uso administrativo e dispositivos de uso público ou externo.

6.2 Validação de Desempenho
O requisito de conectividade de 50 Mbps será validado mediante testes documentados que comprovem a capacidade efetiva da infraestrutura em concluir o backup incremental e a sincronização de dados dentro do RPO de 4 (quatro) horas estabelecido para a Classe 3. Considera-se atendido o requisito de conectividade quando a serventia demonstrar, por meio de testes documentados, que a infraestrutura contratada permite a integridade do acervo e a conclusão das rotinas de segurança dentro dos prazos previstos, independentemente da largura de banda nominal contratada.

6.3 Proteção de Endpoint
A serventia manterá obrigatoriamente uma solução de proteção de endpoint (antivírus, antimalware ou solução tecnicamente equivalente) instalada e ativa em todas as estações de trabalho e servidores utilizados na unidade.
Esta proteção constitui condição mínima de integridade operacional da infraestrutura e deve observar as seguintes diretrizes:
 
Licenciamento Comercial: Todos os softwares de proteção devem possuir licenciamento regular para uso comercial, sendo vedado o uso de versões domésticas ou sem suporte.
Monitoramento Ativo: A configuração deve prever proteção em tempo real, varreduras periódicas e atualizações automáticas de definições de ameaças.
Proibição de EOL: É expressamente proibida a utilização de soluções de segurança cujo ciclo de suporte oficial pelo fabricante tenha sido encerrado (End of Life – EOL), devendo a serventia manter evidência documental da vigência do suporte e das atualizações.
Evidência de Conformidade: A eficácia da proteção será demonstrada no Dossiê Técnico (Relatório Simplificado) por meio de relatórios da console de gerenciamento, notas fiscais e registros de logs, que devem ser mantidos por 5 (cinco) anos.
 
7. CONSCIENTIZAÇÃO E TREINO
 
Todos os colaboradores, prepostos e estagiários passarão por treinamento anual obrigatório sobre operação segura dos sistemas, proteção de dados e rotinas de segurança da informação e de backup, devendo cada capacitação ser devidamente registrada em ata para fins de comprovação.
 
8. PENALIDADES
 
O descumprimento injustificado das normas e diretrizes estabelecidas nesta política, quando caracterizada negligência, imprudência ou omissão relevante, poderá acarretar sanções administrativas e disciplinares ao titular e seus prepostos, nos termos do Artigo 24 do Provimento nº 213/2026 e da Lei nº 8.935/1994.
 
9. REVISÃO E AUDITORIA
 
Atualização obrigatória da Política Interna de Segurança da Informação sempre que  houver alteração legislativa ou regulatória relevante, especialmente em matéria de  proteção de dados pessoais, devendo-se adotar interpretação sistemática e evolutiva  das obrigações legais aplicáveis.

A comprovação de conformidade será formalizada por meio de dossiê técnico acompanhado de relatório de hash assinado digitalmente . A serventia deverá realizar, no mínimo a cada 2 (dois) anos, teste de intrusão (pentest) ou metodologia técnica equivalente para validação dos controles de segurança. Adicionalmente, deve ser realizada a simulação documentada de extração integral do acervo digital em formato interoperável no mínimo a cada 24 (vinte e quatro) meses.