Política de Segurança da Informação

Estabelecer os princípios, controles e responsabilidades que regem a segurança da informação na plataforma MorSafe, aplicáveis a todo ambiente, infraestrutura e processo envolvido na operação do sistema — do cadastro de colaboradores ao armazenamento de históricos de auditoria.

Rafael Morgado, Fundador e Diretor da MorSafe, é o responsável atual pela segurança da informação, incluindo a definição de controles técnicos, a avaliação de fornecedores de infraestrutura e a condução de eventuais respostas a incidentes. À medida que a equipe da MorSafe cresça, essas responsabilidades serão formalmente distribuídas e esta Política, atualizada.

• acesso à plataforma exige autenticação individual; não existem contas compartilhadas ou genéricas;
• cada usuário pertence a uma única empresa, e cada empresa enxerga exclusivamente seus próprios dados — o isolamento entre empresas é garantido no próprio banco de dados, por políticas de segurança em nível de linha (Row Level Security), e não depende apenas de regras da aplicação;
• controle de acesso hierárquico por papel de usuário: leitura (consulta), encarregado (operação do dia a dia), administrador (gestão completa da empresa) e super administrador (gestão da MorSafe);
• princípio do menor privilégio: todo novo usuário recebe por padrão o papel de menor acesso, e elevações de papel só podem ser feitas por um administrador da própria empresa — ação que também fica registrada na trilha de auditoria.

• todo o tráfego entre o usuário e a plataforma é criptografado (HTTPS/TLS);
• os dados são armazenados em infraestrutura de banco de dados gerenciada (Supabase/PostgreSQL), com criptografia em repouso provida pelo próprio provedor de infraestrutura;
• a MorSafe não coleta dados sensíveis (saúde, biometria, dados genéticos) — apenas os dados estritamente necessários ao controle de EPI e à conformidade com a NR-06, reduzindo a exposição em caso de incidente.

Toda ação relevante realizada na plataforma — cadastro, edição, desligamento, desativação, reativação, exclusão definitiva, alteração de papel de acesso, importação e exportação de dados, download de fichas, login e logout — gera um registro imutável de histórico, com identificação de quem realizou a ação, o que foi feito e quando. Esse histórico está disponível para consulta pelos administradores de cada empresa, garantindo rastreabilidade completa para fins de segurança e de conformidade.

Cadastros de colaboradores, EPIs e usuários seguem um padrão de exclusão em duas etapas: primeiro a desativação/desligamento (exclusão lógica), e só então — e apenas se não houver nenhum histórico de ações vinculado ao registro — a exclusão definitiva. Essa trava impede a perda acidental de dados necessários à trilha de auditoria e à conformidade com a NR-06.

A MorSafe utiliza os seguintes fornecedores de infraestrutura tecnológica para operar a plataforma:

• Supabase — banco de dados, autenticação e armazenamento;
• Vercel — hospedagem da aplicação.

Ambos os fornecedores mantêm padrões próprios de segurança da informação reconhecidos no mercado. A inclusão de novos subprocessadores será avaliada quanto à compatibilidade com a LGPD e comunicada às empresas clientes quando representar mudança relevante no tratamento de dados.

Considera-se incidente de segurança qualquer evento que comprometa a confidencialidade, integridade ou disponibilidade dos dados tratados na plataforma — acesso não autorizado, vazamento de dados ou indisponibilidade que afete a integridade das informações.

Diante de um incidente, a MorSafe segue o seguinte fluxo:

• detecção e contenção — identificação do incidente e adoção imediata de medidas para conter seu impacto;
• avaliação de impacto — levantamento dos dados e das empresas/titulares potencialmente afetados;
• notificação — comunicação às empresas clientes afetadas em até 48 (quarenta e oito) horas a partir da ciência do incidente, informando natureza, dados afetados, medidas adotadas e recomendações;
• apoio à comunicação aos titulares, quando exigido pela legislação aplicável, em conjunto com a empresa cliente responsável;
• registro e aprendizado — documentação do incidente e das medidas adotadas para reduzir o risco de recorrência.

Incidentes ou suspeitas de incidente podem ser reportados a qualquer momento pelo canal contato.morsafe.br@gmail.com · (11) 94776-6392.

Os dados são mantidos em infraestrutura gerenciada, com rotinas de cópia de segurança (backup) providas pelo provedor de banco de dados contratado, e hospedagem com redundância provida pelo provedor de aplicação. À medida que a base de empresas clientes cresça, a MorSafe formalizará metas específicas de tempo de recuperação, revisadas periodicamente junto aos fornecedores de infraestrutura.

Cabe ao administrador de cada empresa cliente manter o cadastro de usuários atualizado, desativando prontamente o acesso de colaboradores que deixem a empresa ou mudem de função, e concedendo o papel de administrador apenas a quem realmente precise dele. A MorSafe recomenda essa revisão como parte da rotina periódica de segurança de cada empresa cliente.

A MorSafe recomenda às empresas clientes: uso de senhas fortes e individuais por usuário; restrição do papel de administrador ao número mínimo de pessoas necessário; e comunicação imediata à MorSafe, pelo canal indicado no item 8, de qualquer atividade suspeita identificada na plataforma.

Esta Política é revisada ao menos uma vez por ano, ou sempre que houver mudança relevante na infraestrutura, nos processos ou na legislação aplicável. A versão vigente e a data da última atualização estão sempre indicadas no início deste documento.