Plano de Resposta a Incidentes de Segurança

1. OBJETIVO

1.1. Este Plano estabelece procedimentos para identificar, conter, investigar, remediar e documentar incidentes que possam afetar dados pessoais, sistemas, contas, operações, pagamentos ou continuidade dos serviços da Vou Pescar.

1.2. O Plano aplica-se a empregados, prestadores, parceiros, fornecedores tecnológicos, operadores, administradores e demais pessoas que tenham acesso aos ambientes da plataforma.

1.3. A proteção deverá abranger acessos não autorizados, perda, destruição, alteração, divulgação, indisponibilidade ou uso incompatível de dados e sistemas.

2. DEFINIÇÃO DE INCIDENTE

2.1. Considera-se incidente qualquer evento confirmado ou suspeito capaz de comprometer:

I — confidencialidade de dados;

II — integridade de informações;

III — disponibilidade de sistemas;

IV — segurança de contas;

V — processamento de pagamentos;

VI — funcionamento da plataforma;

VII — dados de clientes, parceiros ou fornecedores.

2.2. São exemplos de incidentes:

I — vazamento de dados;

II — invasão de conta;

III — envio indevido de informações;

IV — infecção por malware;

V — ransomware;

VI — perda de dispositivo;

VII — acesso indevido por colaborador;

VIII — indisponibilidade causada por ataque;

IX — fraude em pagamentos;

X — falha de configuração ou exposição pública de banco de dados.

3. CLASSIFICAÇÃO DE GRAVIDADE

3.1. Nível baixo

Incidente sem evidência de acesso a dados pessoais ou sem impacto relevante na operação.

3.2. Nível moderado

Incidente com acesso limitado, falha localizada ou interrupção temporária de serviço.

3.3. Nível alto

Incidente envolvendo dados pessoais, credenciais, pagamentos, múltiplos titulares, risco de fraude ou indisponibilidade prolongada.

3.4. Nível crítico

Incidente com grande volume de dados, dados sensíveis, crianças ou adolescentes, comprometimento amplo de sistemas, risco financeiro relevante ou ameaça à segurança física de pessoas.

4. COMUNICAÇÃO INICIAL

4.1. Toda pessoa que identificar ou suspeitar de incidente deverá comunicar imediatamente ao responsável pelo Plano.

4.2. A comunicação inicial deverá conter, quando possível:

I — nome do comunicante;

II — data e horário da identificação;

III — sistema ou ambiente afetado;

IV — descrição do fato;

V — dados ou informações potencialmente envolvidos;

VI — medidas já adotadas;

VII — evidências disponíveis.

4.3. O comunicante não deverá apagar arquivos, reiniciar equipamentos ou alterar registros, salvo orientação da equipe responsável ou necessidade de contenção imediata.

5. EQUIPE DE RESPOSTA

5.1. A equipe mínima será composta por:

Pelos sócios

5.2. Compete à equipe:

I — avaliar a gravidade;

II — conter o incidente;

III — preservar evidências;

IV — avaliar riscos;

V — definir comunicações;

VI — coordenar fornecedores;

VII — documentar providências;

VIII — acompanhar a recuperação.

6. CONTENÇÃO IMEDIATA

6.1. Conforme o caso, poderão ser adotadas as seguintes medidas:

I — bloqueio de contas comprometidas;

II — alteração de credenciais;

III — isolamento de equipamento ou sistema;

IV — suspensão temporária de integrações;

V — bloqueio de chaves de acesso;

VI — interrupção de processamento afetado;

VII — preservação de registros e logs;

VIII — remoção de conteúdo exposto;

IX — acionamento de fornecedor especializado.

6.2. A contenção deverá buscar reduzir o dano sem destruir evidências necessárias à investigação.

7. INVESTIGAÇÃO

7.1. A equipe deverá registrar:

I — origem provável do incidente;

II — período de exposição;

III — sistemas envolvidos;

IV — categorias de dados afetados;

V — titulares potencialmente atingidos;

VI — terceiros envolvidos;

VII — medidas de contenção;

VIII — vulnerabilidades identificadas;

IX — possibilidade de recorrência.

7.2. Quando necessário, poderão ser contratados especialistas externos, observadas as obrigações de confidencialidade e proteção de dados.

8. AVALIAÇÃO DE RISCO

8.1. A avaliação deverá considerar:

I — natureza dos dados;

II — quantidade de titulares;

III — existência de dados sensíveis;

IV — presença de crianças ou adolescentes;

V — possibilidade de fraude ou discriminação;

VI — impacto financeiro;

VII — duração da exposição;

VIII — facilidade de identificação dos titulares;

IX — medidas adotadas antes e depois do evento.

8.2. A equipe deverá concluir se o incidente pode acarretar risco ou dano relevante aos titulares.

9. COMUNICAÇÃO À ANPD E AOS TITULARES

9.1. Quando aplicável, a Vou Pescar avaliará a comunicação à autoridade nacional e aos titulares afetados.

9.2. A comunicação deverá ser clara, objetiva e compatível com as informações confirmadas.

9.3. Poderão constar da comunicação:

I — descrição da natureza do incidente;

II — categorias de dados afetados;

III — informações sobre os titulares envolvidos;

IV — riscos identificados;

V — providências adotadas;

VI — medidas recomendadas aos titulares;

VII — canal para esclarecimentos.

9.4. A LGPD prevê comunicação de incidente que possa acarretar risco ou dano relevante.

9.5. Nenhuma comunicação pública deverá atribuir culpa, confirmar fatos ainda não apurados ou divulgar dados desnecessários.

10. COMUNICAÇÃO A PARCEIROS

10.1. Parceiros, operadores ou fornecedores deverão informar imediatamente incidentes que atinjam dados ou sistemas relacionados à Vou Pescar.

10.2. A comunicação deverá ocorrer pelo canal

10.3. O parceiro deverá cooperar com a investigação, preservar evidências e cumprir as orientações da Vou Pescar.

11. COMUNICAÇÃO EXTERNA

11.1. Somente o responsável designado poderá emitir comunicação pública, resposta à imprensa, aviso em redes sociais ou comunicado a clientes.

11.2. As mensagens deverão ser previamente avaliadas pelo responsável jurídico e pelo responsável por privacidade, quando possível.

11.3. O objetivo será informar sem expor dados pessoais, comprometer investigações ou aumentar o risco de fraude.

12. RECUPERAÇÃO

12.1. A recuperação poderá incluir:

I — restauração de backups;

II — correção de vulnerabilidades;

III — substituição de credenciais;

IV — atualização de sistemas;

V — revisão de permissões;

VI — validação de integridade;

VII — monitoramento reforçado;

VIII — retorno gradual dos serviços.

12.2. O restabelecimento somente deverá ocorrer após avaliação de segurança suficiente para evitar reincidência imediata.

13. PRESERVAÇÃO DE EVIDÊNCIAS

13.1. Deverão ser preservados, quando pertinentes:

I — logs de acesso;

II — registros de autenticação;

III — mensagens e comunicações;

IV — arquivos relacionados ao incidente;

V — relatórios técnicos;

VI — registros de alterações;

VII — comprovantes de providências;

VIII — comunicações com titulares e autoridades.

13.2. As evidências deverão ser armazenadas com controle de acesso e registro de alterações.

14. ENCERRAMENTO DO INCIDENTE

14.1. O incidente poderá ser encerrado quando:

I — a causa provável tiver sido identificada;

II — a exposição tiver sido contida;

III — os sistemas estiverem estabilizados;

IV — as comunicações necessárias tiverem sido avaliadas;

V — os riscos remanescentes estiverem documentados;

VI — o relatório final tiver sido aprovado.

15. RELATÓRIO FINAL

15.1. O relatório final deverá conter:

I — resumo do incidente;

II — linha do tempo;

III — sistemas e dados envolvidos;

IV — titulares potencialmente afetados;

V — causa provável;

VI — medidas de contenção;

VII — comunicações realizadas;

VIII — custos e impactos;

IX — medidas corretivas;

X — responsáveis e prazos.

15.2. O relatório será classificado como confidencial, salvo determinação legal ou necessidade de compartilhamento com autoridade competente.

16. PREVENÇÃO E MELHORIA CONTÍNUA

16.1. Após cada incidente, a Vou Pescar deverá avaliar a necessidade de:

I — atualizar políticas;

II — revisar contratos;

III — treinar usuários;

IV — alterar permissões;

V — aprimorar backups;

VI — modificar sistemas;

VII — substituir fornecedores;

VIII — realizar novo teste de segurança.

16.2. O Plano deverá ser testado periodicamente por meio de simulações ou exercícios internos.

17. DISPOSIÇÕES FINAIS

17.1. Este Plano integra a Política de Privacidade, a Política de Cookies, os Termos de Uso e os acordos firmados com parceiros e fornecedores.

17.2. O Plano deverá ser revisado anualmente ou após incidente relevante, alteração tecnológica ou mudança regulatória.

Cacoal/RO, 07 de outubro de 2026.

VOU PESCAR INTERMEDIAÇÃO DE NEGÓCIOS E TECNOLOGIA LTDA.

Assinatura eletrônica: __________________________________

Responsáveis pela elaboração jurídica:

Maria Pereira da Silva — OAB/RO nº 11.586

Silvana Pinheiro — OAB/RO nº 11.555