POLÍTICA DE SEGURANÇA DA INFORMAÇÃO
RAID HUT LICENCIAMENTO DE JOGOS DIGITAIS LTDA.
CNPJ: 23.877.777/0001-34
| Documento | Política de Segurança da Informação |
| Versão | 1.0 |
| Data de aprovação | 10/08/2026 |
| Aprovação | Aprovada pela maioria absoluta dos sócios que integram o Capital Social da empresa. |
| Responsável | ATILA VALGUEIRO MALTA MOREIRA |
| Próxima revisão | 12 meses da aprovação, ou antes (caso haja evento relevante a suscitar a reanálise dos termos) |
1. OBJETIVO E ABRANGÊNCIA
1.1. Esta Política estabelece as regras de proteção das informações tratadas pela RAIDHUT LICENCIAMENTO DE JOGOS DIGITAIS LTDA. no âmbito da operação do jogo eletrônico With Your Destiny (WYD) - servidores Global e de Temporada, assim como quaisquer servidores temporários, sazonais, de teste ou de evento (doravante denominados, conjuntamente, como “WYD Global”) e das ferramentas internas que lhe dão suporte, em conformidade com a Lei nº 13.709/2018 e com a regulamentação da Autoridade Nacional de Proteção de Dados.
1.2. O disposto nesta Política aplica-se a todos os sócios, colaboradores, estagiários e prestadores de serviço que acessem sistemas, ferramentas administrativas ou bases de dados da empresa, bem como a todos os ambientes tecnológicos utilizados, próprios ou contratados de terceiros.
1.3. A Política foi elaborada em dimensão proporcional ao porte da empresa, qualificada como agente de tratamento de pequeno porte, privilegiando controles efetivamente executáveis e comprováveis.
1.4. Para os fins desta Política, entende-se por “Administração” o administrador ou o conjunto de administradores designados no contrato social da RAID HUT LICENCIAMENTO DE JOGOS DIGITAIS LTDA., a quem competem os atos de gestão e as deliberações previstas nesta Política.
2. RESPONSABILIDADES
2.1. Cabe à Administração, aprovar esta Política, prover os recursos necessários à sua execução, fomentar uma cultura de segurança da informação em toda a organização e deliberar sobre exceções, que devem ser formalizadas por escrito, sendo a ela que o responsável pela segurança da informação se reporta diretamente.
2.2. O responsável pela segurança da informação, função exercida por ATILA VALGUEIRO MALTA MOREIRA, mantém esta Política atualizada, concede e revoga acessos, conduz as revisões periódicas, coordena a resposta a incidentes e preserva a documentação comprobatória dos controles.
2.3. Todos os colaboradores devem utilizar credenciais individuais e intransferíveis, comunicar imediatamente qualquer suspeita de incidente e abster-se de acessar informações estranhas às suas atribuições. A consulta a dados de usuário sem finalidade operacional legítima constitui violação desta Política, ainda que o colaborador possua acesso técnico à informação.
3. CLASSIFICAÇÃO DA INFORMAÇÃO
3.1. As informações classificam-se em:
a) Pública: destinada à divulgação ampla, como comunicados oficiais e conteúdo do sítio eletrônico;
b) Interna: de uso operacional interno, acessível a todos os sócios, colaboradores, estagiários e prestadores de serviço vinculados à empresa, independentemente de autorização específica, como documentação técnica e relatórios;
c) Confidencial: informações de valor estratégico ou econômico para a empresa, cuja divulgação não autorizada possa acarretar prejuízo negocial, reputacional ou concorrencial, como código-fonte e documentação de arquitetura do jogo, parâmetros de balanceamento e mecânicas não divulgadas, planos de lançamento e de monetização, dados financeiros e contábeis, informações comerciais de licenciantes, fornecedores e parceiros, instrumentos contratuais e respectivas tratativas, bem como material protegido por obrigação de sigilo assumida perante terceiros, acessível somente aos que dela necessitem para o desempenho de suas atribuições, mediante autorização nominal; e
d) Restrita: dados pessoais de usuários e colaboradores, credenciais, registros de transação, chaves de integração e endereços de ferramentas administrativas internas, acessível exclusivamente aos titulares de autorização específica, limitada ao mínimo necessário à execução de atribuição operacional determinada.
3.2. O acesso a informação confidencial ou restrita depende de autorização nominal e é integralmente registrado. Como providência visando a salvaguardar a maior proteção informacional possível, sempre que pairar dúvida a respeito da classificação a ser adotada, a informação será tratada como Restrita.
3.3. A informação classificada como Confidencial não pode ser compartilhada com terceiros sem prévia autorização escrita da Administração e sem a celebração de instrumento de confidencialidade, devendo ser armazenada e transmitida exclusivamente por canais oficiais da empresa.
4. CONTROLE DE ACESSO
4.1. O acesso a ferramentas administrativas e a bases que contenham dados pessoais é permitido exclusivamente a contas nominais e individuais, vinculadas a endereço de e-mail do domínio corporativo. É vedado o uso de contas genéricas, compartilhadas ou vinculadas a endereços pessoais ou de terceiros.
4.2. É vedada a existência de fluxo de criação autônoma de conta em qualquer ferramenta administrativa. A criação de contas depende de solicitação formal e de aprovação do responsável pela segurança da informação, sendo realizada exclusivamente por administrador autorizado.
4.3. A concessão observa o princípio do privilégio mínimo e é formalizada em registro do qual constem o solicitante, a justificativa, o perfil concedido e a data. A revogação é imediata no desligamento, no encerramento do contrato ou na mudança de função que torne o acesso desnecessário.
4.4. O responsável pela segurança da informação revisará, a cada 6 (seis) meses, as contas administrativas ativas e os privilégios atribuídos, revogando os desnecessários. Com o intuito de assegurar a observância da periodicidade estabelecida, a revisão será registrada em documento datado.
4.5. As regras de leitura e escrita nas bases de dados devem restringir o acesso exclusivamente a usuários autenticados e previamente autorizados, vedada qualquer configuração que permita acesso por usuário não autenticado ou sem privilégio específico. Alterações nessas regras dependem de aprovação do responsável e serão registradas.
5. CREDENCIAIS E CHAVES DE ACESSO
5.1. As senhas de acesso interno devem observar requisitos mínimos de complexidade e ser individuais, vedado o seu compartilhamento por qualquer meio.
5.2. A autenticação em múltiplos fatores (MFA) é obrigatória para o acesso às seguintes ferramentas e sistemas críticos: (i) Painéis de administração do jogo; (ii) Banco de dados de produção; (iii) E-mail corporativo dos administradores; (iv) Repositórios de código-fonte (ex: GitHub/GitLab); (v) paineis administrativos de gateways; e, (vi) - não se limitando - consoles administrativos de infraestrutura de hardware e software.
5.3. Chaves de integração e demais segredos não podem constar de código publicado ou de páginas acessíveis ao público, devendo ser mantidos em mecanismo de armazenamento com acesso restrito e substituídos imediatamente em caso de suspeita de exposição.
6. SEGURANÇA EM DISPOSITIVOS E TRABALHO REMOTO
6.1. É proibido o armazenamento de dados sensíveis ou restritos em mídias removíveis (pen drives, HDs externos) que não estejam devidamente criptografados.
6.2. Dispositivos utilizados para o acesso a sistemas administrativos devem possuir antivírus atualizado e bloqueio automático de tela após 5 minutos de inatividade.
6.3. O acesso a ferramentas administrativas fora do ambiente físico da empresa deve ser realizado preferencialmente via rede segura ou VPN corporativa, sendo vedada a utilização de redes Wi-Fi públicas sem proteção adicional.
6.4. Política de Mesa e Tela Limpa: Aplica-se a todos os colaboradores a política de "mesa limpa" e "tela limpa", sendo obrigatório o bloqueio da estação de trabalho sempre que o usuário se ausentar de sua mesa física ou ambiente de trabalho, bem como a não exposição de senhas ou documentos contendo dados de usuários em locais acessíveis a terceiros.
7. EXPOSIÇÃO DE RECURSOS INTERNOS
7.1. Ferramentas administrativas, painéis de gestão e ambientes de teste não podem ser referenciados, vinculados ou tornados identificáveis a partir de páginas públicas, do código-fonte dessas páginas ou de qualquer material acessível a usuários finais.
7.2. A publicação de novas páginas ou funcionalidades públicas deve ser precedida de verificação quanto à eventual exposição de recursos internos.
7.3. Devem permanecer ativas as proteções contra enumeração de endereços de e-mail, de modo a impedir que terceiros verifiquem, por tentativas sucessivas de cadastro ou de recuperação de acesso, se determinado endereço integra a base de usuários.
7.4. Páginas públicas que exibam informações de usuários, como listagens de classificação, devem apresentar apenas os elementos necessários à sua finalidade, vedada a exibição de dados cadastrais.
7.5. É vedada a utilização de dados pessoais reais de usuários em ambientes de desenvolvimento, teste ou homologação.
8. REGISTRO DE EVENTOS E MONITORAMENTO
8.1. Todas as ações praticadas em ferramentas administrativas, notadamente consultas a fichas de usuário, alterações de conta e operações sobre ativos do jogo, são registradas em log contendo a identificação do operador, a data e a hora do evento e a operação realizada.
8.2. Os registros são preservados por prazo não inferior a 12 (doze) meses e protegidos contra alteração e exclusão, inclusive por parte dos próprios operadores administrativos.
8.3. A empresa mantém alerta automatizado para detecção de padrões anômalos de acesso às interfaces administrativas, notadamente acessos fora do horário habitual de operação, volume atípico de consultas e tentativas de autenticação por conta não autorizada. Os alertas são dirigidos ao responsável pela segurança da informação, que registra a verificação realizada.
9. CÓPIAS DE SEGURANÇA, RETENÇÃO E DESCARTE
9.1. São mantidas cópias de segurança (backups) das bases de produção com periodicidade semanal, mediante rotina automatizada, conservando-se as cópias por prazo não inferior a 30 (trinta) dias, armazenadas em ambiente com controle de acesso equivalente ao de produção. É obrigatória a realização e o registro de teste de restauração em ambiente isolado ao menos uma vez por ano, a fim de garantir a eficácia da recuperação.
9.2. Os dados pessoais são conservados apenas pelo período necessário ao cumprimento das finalidades que justificaram sua coleta, observados os prazos legais de guarda, sendo providenciada a sua deleção ou anonimização ao término desse período.
9.3. A eliminação de dados deve ser realizada por método que impeça a recuperação da informação.
9.3.1. Os equipamentos que tenham armazenado informação classificada como Confidencial ou Restrita, sempre que deixarem a esfera de controle do usuário a que estavam vinculados, são previamente submetidos a procedimento de sanitização por método que impeça a recuperação da informação, notadamente a sobrescrita segura, a destruição da chave de criptografia da mídia ou a destruição física, conforme a destinação. Aplica-se a exigência às hipóteses de descarte definitivo, alienação, doação, devolução ao locador ou ao proprietário, bem como de realocação do equipamento a outro colaborador ou a outra função.
9.4. O envio de equipamento a terceiro para manutenção, reparo ou assistência técnica deverá ser precedido da remoção ou da sanitização da mídia de armazenamento. Quando a natureza do defeito impedir a adoção dessas medidas, o envio depende de autorização do responsável pela segurança da informação e da celebração de instrumento de confidencialidade com o profissional que ficará responsável pela manutenção, reparo ou assistência técnica, do qual conste a vedação de acesso, cópia ou retenção dos dados e a obrigação de devolução ou destruição das mídias substituídas.
10. MUDANÇAS E FORNECEDORES
10.1. Alterações relevantes em configurações de autenticação, autorização, regras de banco de dados ou exposição de recursos devem ser documentadas, indicando a mudança, o responsável, a data e o resultado da verificação posterior.
10.2. Toda correção de vulnerabilidade é submetida a teste de validação, incluindo tentativa de acesso não autorizado, antes de ser considerada concluída.
10.3. A contratação de fornecedores que tratem dados pessoais em nome da empresa deve prever obrigações de confidencialidade, adoção de medidas de segurança compatíveis com esta Política e comunicação imediata de incidentes. O acesso concedido é nominal, limitado ao escopo contratado e revogado ao término da contratação - oportunidade em que o fornecedor ficará, contratualmente, obrigado à deleção dos dados pessoais tratados.
10.4. A empresa mantém registro simplificado das operações de tratamento de dados pessoais, nos termos do art. 37 da LGPD e do art. 8º do Regulamento aprovado pela Resolução CD/ANPD nº 2/2022, revisado junto com esta Política.
11. VULNERABILIDADES REPORTADAS POR TERCEIROS
11.1. A empresa mantém canal voltado ao recebimento de comunicações sobre vulnerabilidades identificadas por usuários ou pesquisadores externos, no endereço de suporte oficial.
11.2. Recebida a comunicação, o responsável pela segurança da informação registra o comunicado, avalia sua procedência em prazo não superior a 2 (dois) dias úteis e, sendo o caso, inicia o procedimento previsto na Cláusula 11.
11.3. O comunicado de boa-fé, sem exploração além do necessário à demonstração da falha, sem divulgação pública e sem extração de dados, não enseja medida sancionatória contra o comunicante. A empresa não mantém programa de recompensa por identificação de vulnerabilidades.
11.4. Quando o comunicado revelar acesso a dados pessoais, a empresa empreenderá esforços visando à celebração de instrumento de confidencialidade com a assunção, pelo comunicante, de obrigação de destruição das informações visualizadas, sem prejuízo do dever de comunicar o incidente às autoridades competentes e aos titulares, o qual permanecerá hígido para todos os fins.
12. GESTÃO DE INCIDENTES DE SEGURANÇA
12.1. Qualquer colaborador que identifique ou suspeite de incidente deve comunicá-lo imediatamente ao responsável pela segurança da informação, por qualquer meio disponível, sendo vedado aguardar horário comercial ou confirmação prévia da suspeita.
12.2. Identificado o incidente, adotam-se, nesta ordem de prioridade: (i) a contenção do vetor de acesso, para cessar a exposição no menor prazo possível; (ii) a preservação dos registros de acesso, vedada alteração ou exclusão; (iii) a apuração da extensão, com identificação dos titulares e das categorias de dados alcançadas; (iv) a correção definitiva da causa, validada por teste; e (v) a comunicação à Autoridade Nacional de Proteção de Dados e aos titulares, dentro dos prazos estipulados pelo ordenamento jurídico.
12.3. O responsável registrará, no primeiro dia útil seguinte à ciência, a data e a hora do conhecimento do incidente, marco a partir do qual os prazos serão contados.
12.4. A comunicação à Autoridade e aos titulares observará o prazo do art. 6º da Resolução CD/ANPD nº 15/2024, contado em dobro em razão do enquadramento da empresa como agente de tratamento de pequeno porte.
12.5. A comunicação aos titulares deverá conter, em linguagem clara, a descrição e a data do incidente, as categorias de dados alcançadas, os riscos e consequências, as medidas adotadas e as recomendadas ao titular, e o canal de contato. Quando houver grupos com exposição de gravidade distinta, a comunicação será segmentada, garantindo que a resposta ao usuário final seja personalizada conforme a gravidade do incidente que o afetou, conforme diretrizes estabelecidas na Política de Privacidade da empresa.
12.6. Serão preservadas as evidências de expedição das comunicações, incluindo registros da plataforma de envio, cópias das mensagens individuais e das publicações em canais públicos, observado que, quanto a registros mantidos em plataformas de terceiros, a preservação fica condicionada aos respectivos períodos de retenção, por não se situarem na esfera de ingerência da empresa.
12.7. Todo incidente, ainda que não comunicável à Autoridade, é registrado em relatório interno contendo a data de ocorrência e de ciência, a causa, a extensão, as medidas adotadas e as ações preventivas decorrentes.
13. CONSCIENTIZAÇÃO E DESCUMPRIMENTO
13.1. Os colaboradores com acesso a dados pessoais recebem orientação sobre esta Política no início do vínculo e, ao menos anualmente, sobre proteção de dados, reconhecimento de tentativas de engenharia social e procedimento de comunicação de incidentes. A realização é registrada com data e lista de participantes.
13.2. A equipe de atendimento recebe orientação específica quanto à vedação de solicitar senha ao titular e quanto ao procedimento de verificação de identidade previamente ao fornecimento de informações sobre a conta.
13.3. O descumprimento desta Política sujeita o infrator às medidas disciplinares e contratuais cabíveis, sem prejuízo das responsabilidades civis e criminais aplicáveis.
14. REVISÃO E VIGÊNCIA
14.1. Esta Política entra em vigor na data de sua aprovação e será revisada, no mínimo, a cada 12 (doze) meses, ou em prazo inferior na ocorrência de incidente relevante, de alteração material da infraestrutura ou de modificação da legislação aplicável.
14.2. Cada revisão gerará nova versão, com registro da data de aprovação e do responsável, sendo as versões anteriores preservadas para fins de comprovação perante autoridades, servindo para regular todos os eventos materializados durante a sua vigência.
14.3. A execução dos controles previstos nesta Política deve produzir evidência documental datada, apta a demonstrar conformidade perante autoridades, notadamente quanto à concessão e revisão de acessos, à configuração de alertas, à correção de vulnerabilidades, aos treinamentos e ao tratamento de incidentes.
Olinda/PE, 10/08/2026.