Segurança da Informação

Versão 1.0 (minuta, setembro de 2026). Documento elaborado na construção deste site para consolidar práticas já publicadas pela Trix (Portal de Proteção de Dados, Código de Conduta e Política de Privacidade). Está sujeito à aprovação formal da Diretoria Executiva e dos comitês e a revisão jurídica; os itens redigidos como diretrizes indicam o padrão a ser mantido e evidenciado pela empresa.

1. Objetivo e escopo

Estabelecer princípios, diretrizes e responsabilidades para a proteção das informações e dos ativos de tecnologia da Trix Tecnologia Inteligente Ltda, aplicáveis a todos os colaboradores, diretores, estagiários, prestadores de serviço, fornecedores e parceiros que acessem ambientes, sistemas ou informações da Trix ou de seus clientes — incluindo os produtos SAW, Portal Operadora, Prontow, GEDAI, Integrador, Intranet, Aspect Face e Xield e os serviços de conectividade em saúde suplementar.

2. Princípios

• Confidencialidade: a informação é acessível apenas a quem tem autorização e necessidade de conhecê-la.
• Integridade: a informação é exata, completa e protegida contra alterações indevidas.
• Disponibilidade: a informação e os sistemas estão acessíveis quando necessários ao negócio e aos clientes.
• Autenticidade e não repúdio: origem e autoria das informações e transações são verificáveis (autenticação, trilhas de auditoria e assinatura digital ICP-Brasil quando aplicável).
• Legalidade: conformidade com a LGPD, normas da ANS (padrão TISS), Marco Civil da Internet e demais legislações e contratos.

3. Diretrizes gerais

As diretrizes desta seção e das seguintes descrevem o padrão de segurança que a Trix adota e evidencia em seus produtos e serviços; onde um controle ainda estiver em implantação, o Comitê de Segurança e Qualidade acompanha o plano de ação.

• As informações são classificadas em pública, interna, confidencial e restrita (incluindo dados pessoais sensíveis de saúde e biométricos), com controles proporcionais ao risco.
• Todo acesso a sistemas é individual, autenticado e registrado; credenciais são pessoais e intransferíveis, e seu compartilhamento constitui violação desta política.
• Estações de trabalho, dispositivos móveis e ambientes de nuvem seguem padrões de configuração segura, atualização de software, antimalware e bloqueio automático.
• O uso de recursos de TI da Trix é destinado às atividades profissionais e pode ser monitorado nos limites da lei.
• Informações confidenciais não devem ser transmitidas por canais não homologados nem armazenadas em serviços não autorizados.

4. Controle de acesso e identidades

• Concessão de acessos pelo princípio do menor privilégio e por perfil de função (médico, atendente, gestão, auditor, administrador etc.), com aprovação formal do gestor.
• Revisão periódica de acessos e revogação imediata em desligamentos ou mudanças de função.
• Senhas fortes, autenticação multifator para acessos administrativos e remotos, e bloqueio após tentativas inválidas.
• Ambientes segregados (desenvolvimento, homologação e produção), com acesso a produção restrito e auditado.

5. Proteção de dados e criptografia

• Criptografia em trânsito (TLS/SSL) em todos os serviços web, APIs e integrações, e em repouso para dados sensíveis e backups.
• Dados pessoais são tratados conforme a Política de Privacidade, com registro em logs de tratamento, minimização e anonimização quando possível.
• Backups periódicos, testados e armazenados com redundância; esquemas redundantes para serviços críticos das operadoras.
• Descarte seguro de mídias e documentos; mesa limpa e tela limpa.

6. Desenvolvimento seguro e operações

• Requisitos de segurança e privacidade desde a concepção (privacy by design) na metodologia PROTRIX; revisão de código, testes de segurança e gestão de vulnerabilidades.
• Controle de versões, gestão de mudanças e trilhas de auditoria de quem fez cada alteração nos sistemas e nos dados.
• Monitoramento contínuo de serviços, capacidade e eventos de segurança, com alertas aos responsáveis.
• Uso de componentes e bibliotecas atualizados; homologação de fornecedores de nuvem (incluindo Oracle Cloud Infrastructure) e de serviços de terceiros.

7. Gestão de incidentes

• Todo colaborador ou terceiro deve reportar imediatamente incidentes ou suspeitas (vazamento, acesso indevido, malware, perda de dispositivo) ao canal seguranca@trixti.com.br ou pelo formulário web.
• O Comitê de Segurança e Qualidade classifica, contém, erradica e registra o incidente, com lições aprendidas.
• Incidentes com dados pessoais são avaliados com o Encarregado (DPO) e, quando exigido, comunicados aos controladores, titulares e à ANPD nos prazos legais.

8. Continuidade de negócios

Planos de continuidade e recuperação de desastres são mantidos para os serviços críticos, com objetivos de tempo e ponto de recuperação definidos, redundância de infraestrutura, testes periódicos e comunicação com os clientes.

9. Fornecedores e terceiros

Fornecedores e parceiros assumem a responsabilidade de operadores de dados e devem aceitar os termos e condições da Trix, participar do programa de capacitação (Trix Academy), mapear o inventário de dados e cumprir esta política e o Código de Conduta. Contratos preveem cláusulas de confidencialidade, segurança, auditoria e sanções.

10. Responsabilidades e sanções

• Alta direção: patrocinar o programa e prover recursos.
• Comitê de Segurança e Qualidade / Security Officer: manter a política, analisar riscos, definir procedimentos, tratar incidentes e garantir treinamentos.
• Gestores: aplicar a política em suas áreas e aprovar acessos.
• Colaboradores e terceiros: cumprir a política, proteger credenciais e informações e reportar incidentes.

O descumprimento sujeita o infrator a medidas disciplinares, rescisão contratual, multas e responsabilização civil e criminal, conforme o caso.

11. Governança e revisão

Esta política deve ser aprovada pela Diretoria Executiva, mantida pelo Comitê de Segurança e Qualidade (Security Officer: Sanclé Landim Albuquerque; patrocinadores: Marcos Soares de Sousa, Daniel Rodrigo da Silva e Nádia Regina) e revisada anualmente ou sempre que mudanças relevantes ocorrerem. Documentos complementares: Política de Privacidade, Código de Conduta, Política de IA e normas internas de acesso, backup e incidentes.

Canal: seguranca@trixti.com.br · (61) 3403-5353 · formulário web.