Código de Ética, Conduta e Compliance

1. Mensagem da Liderança da SecureSt8

A SecureSt8 nasceu para resolver, de forma sofisticada, ágil e alinhada ao cliente, os problemas reais de segurança cibernética — especialmente em gestão de exposição e segurança de sistemas com Inteligência Artificial e APIs. Somos uma startup: pequena em estrutura no momento, mas isso não significa menor rigor com a proteção dos dados dos nossos clientes bem como das relações e condutas internas dos nossos colaboradores e terceiros na SecureSt8. Ao contrário — como trabalhamos diretamente com a proteção de dados e ativos digitais de nossos clientes, a confiança é o nosso principal ativo, e a ética é a base sobre a qual essa confiança é construída.

Este Código foi escrito para ser lido, entendido e vivido no dia a dia por todos que representam e trabalham na SecureSt8 — sócios, colaboradores CLT, prestadores PJ, estagiários, consultores e parceiros. Cada um de nós é, ao mesmo tempo, guardião da nossa reputação e da segurança dos dados que nos são confiados.

Contamos com o bom senso, a integridade e o compromisso de cada pessoa que faz parte dessa jornada.

2. Objetivo e abrangência

Este Código estabelece os princípios éticos, as regras de conduta e as obrigações de compliance que orientam a atuação de todas as pessoas físicas e jurídicas que atuam em nome da SecureSt8, incluindo:

• Sócios-fundadores e liderança executiva;
• Colaboradores contratados sob regime CLT;
• Prestadores de serviço pessoa jurídica (PJ) e consultores independentes;
• Estagiários e aprendizes;
• Fornecedores, parceiros comerciais e subcontratados que tenham acesso a dados, sistemas ou ambientes de clientes da SecureSt8.
  O cumprimento deste Código é condição para o início e a continuidade de qualquer vínculo com a SecureSt8, e sua adesão formal (Seção 12) é obrigatória.

3. Nossos Valores como Startup

Somos uma empresa enxuta, e isso molda como aplicamos ética e compliance no dia a dia: sem burocracia desnecessária, mas com disciplina naquilo que protege nossos clientes e nossa gente.

Os pilares que guiam nossas decisões:

• Confiança antes de tudo — protegemos os dados dos clientes como se fossem nossos.
• Transparência radical — comunicamos riscos, erros e incidentes com honestidade, internamente e a clientes porque acreditamos na transparência e confiança como fatores-chames do dia-a-dia da SecureSt8.
• Agilidade com responsabilidade — inovamos rápido, mas nunca à custa de segurança, privacidade ou legalidade.
• Meritocracia e respeito — decisões e oportunidades são baseadas em competência, nunca em relações pessoais ou discriminação.
• Dono do problema — cada pessoa é responsável por identificar e reportar riscos éticos ou de segurança, não apenas a liderança.

4. Marco Regulatório aplicável

Como empresa brasileira que trata dados pessoais — inclusive de forma sensível, em atividades como testes de segurança, avaliação de exposição e resposta a incidentes — a SecureSt8 está sujeita a um conjunto de normas legais e referências técnicas. A tabela abaixo resume o que mais importa para o nosso negócio; ela não substitui orientação jurídica, mas ajuda a situar por que cada regra deste Código existe.

Sempre que um contrato com cliente trouxer exigências regulatórias adicionais (ex.: setor financeiro, saúde, infraestrutura crítica), essas exigências prevalecem como padrão mínimo aplicável àquele projeto, somando-se a este Código.

5. Proteção de Dados e Sigilo das Informações de Clientes

Esta é a seção mais crítica deste Código. A SecureSt8 existe para proteger dados e sistemas — por isso, a forma como tratamos as informações às quais temos acesso é o nosso principal diferencial e a nossa maior responsabilidade legal.

5.1 Princípios de proteção de dados que seguimos internamente

Aplicamos os princípios da LGPD (art. 6º) em todo tratamento de dados pessoais, próprios ou de clientes:

• Finalidade: só coletamos e usamos dados para propósitos legítimos, específicos e informados previamente.
• Necessidade: limitamos o tratamento ao mínimo necessário para realizar a atividade contratada (minimização de dados).
• Transparência: informamos claramente a clientes e titulares como os dados são tratados, quando aplicável.
• Segurança: adotamos medidas técnicas e administrativas para proteger os dados contra acessos não autorizados e incidentes.
• Prevenção e responsabilização (accountability): documentamos nossas decisões e somos capazes de demonstrar conformidade.

5.2 Classificação e sigilo da informação

Toda informação de cliente à qual tenhamos acesso — resultados de testes, vulnerabilidades identificadas, credenciais, arquitetura de sistemas, dados pessoais de usuários finais — é, por padrão, tratada como Confidencial, mesmo sem marcação explícita.

• É proibido copiar, armazenar ou compartilhar dados de clientes fora dos ambientes e ferramentas autorizados pela SecureSt8.
• Vulnerabilidades e achados de testes de segurança nunca são divulgados publicamente, discutidos em redes sociais ou usados como “portfólio” sem autorização expressa e por escrito do cliente.
• Todo colaborador e terceiro assina Acordo de Confidencialidade (NDA) antes de iniciar qualquer atividade com acesso a dados ou ambientes de clientes.
• O dever de sigilo permanece após o encerramento do vínculo com a SecureSt8, por prazo indeterminado quanto a segredos de negócio e dados pessoais.

5.3 Segurança por padrão em nossas operações

• Privacidade e segurança desde a concepção (“privacy/security by design”): novos projetos, ferramentas e serviços da SecureSt8 devem considerar proteção de dados desde o início, não como correção posterior.
• Princípio do menor privilégio: cada pessoa tem acesso apenas aos sistemas e dados estritamente necessários à sua função, com autenticação multifator sempre que disponível.
• Segregação de ambientes de teste/pesquisa e produção; dados de clientes não são usados para treinar modelos, ferramentas internas ou fins de marketing sem autorização contratual expressa.
• Dispositivos usados para acessar dados de clientes devem ter criptografia de disco, senha/PIN e bloqueio automático ativados.

5.4 Gestão de incidentes de segurança

Qualquer suspeita de incidente — vazamento, acesso indevido, perda de dispositivo, comprometimento de credenciais — deve ser reportada imediatamente à liderança de segurança da SecureSt8, e nunca ocultada ou tratada informalmente.

• A SecureSt8 mantém um processo de resposta a incidentes alinhado à LGPD, incluindo avaliação de risco aos titulares e, quando aplicável, comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados, dentro de prazo razoável.
• Clientes impactados por um incidente relacionado à prestação do nosso serviço são comunicados de forma transparente e tempestiva, conforme obrigações contratuais e legais.
• Colaboradores que reportarem incidentes de boa-fé — inclusive erros próprios — não sofrem retaliação; a ocultação deliberada de um incidente é falta grave.

5.5 Retenção e descarte

• Dados de clientes são mantidos apenas pelo prazo definido em contrato ou pelo estritamente necessário à finalidade do serviço.
• Ao final de um projeto, evidências e dados sensíveis são descartados de forma segura (eliminação lógica irreversível), salvo obrigação legal ou contratual de retenção.

6. Conduta ética no ambiente de trabalho

6.1 Respeito, diversidade e ambiente livre de assédio

A SecureSt8 tem tolerância zero com qualquer forma de assédio moral ou sexual, discriminação (por gênero, raça, orientação sexual, religião, deficiência, origem ou qualquer outra condição) ou conduta que fira a dignidade de colegas, clientes ou parceiros.

6.2 Conflito de interesses

• Colaboradores e terceiros devem evitar situações em que interesses pessoais (financeiros, familiares ou de outra natureza) possam influenciar, ou parecer influenciar, decisões profissionais.
• Participação em negócios paralelos que concorram com a SecureSt8, ou prestação de serviço a clientes/potenciais clientes por conta própria, deve ser previamente comunicada e aprovada pela liderança da empresa.

6.3 Presentes, brindes e hospitalidade

• Presentes de valor simbólico e uso institucional (com valor equivalente a no máximo 50 reais como referência) são aceitáveis; presentes de alto valor, dinheiro ou vantagens que possam configurar tentativa de influenciar uma decisão de negócio devem ser recusados e reportados à liderança formalmente.

6.4 Uso de ativos, ferramentas e mídias sociais

• Equipamentos, credenciais, licenças e ambientes de nuvem da SecureSt8 devem ser usados para fins profissionais, com uso pessoal incidental permitido dentro do bom senso.
• Manifestações em redes sociais pessoais não devem sugerir posicionamento oficial da SecureSt8 nem divulgar informações confidenciais de clientes ou da empresa.
• Ferramentas de Inteligência Artificial generativa usadas no trabalho seguem a política interna de uso de IA: dados de clientes não são inseridos em ferramentas de IA de terceiros sem aprovação e garantias contratuais de confidencialidade.

7. Relacionamento com Terceiros, Fornecedores e Parceiros

• Terceiros com acesso a dados ou ambientes de clientes passam por avaliação prévia (due diligence) proporcional ao risco envolvido.
• Contratos com fornecedores e parceiros incluem cláusulas de confidencialidade, proteção de dados (compatíveis com a LGPD) e segurança da informação.
• Subcontratação de qualquer etapa de um projeto que envolva dados de clientes exige aprovação prévia da SecureSt8 e, quando exigido em contrato, do próprio cliente com conhecimento prévio entre ambas partes.
• Este Código de Ética e Conduta se estende contratualmente a fornecedores e parceiros relevantes, que devem aderir a princípios equivalentes.

8. Anticorrupção e Integridade nos Negócios

Em linha com a Lei nº 12.846/2013 (Lei Anticorrupção), a SecureSt8 não tolera qualquer forma de suborno, propina, pagamento de facilitação ou vantagem indevida, seja no setor público ou privado.

• É proibido oferecer, prometer ou dar qualquer vantagem indevida a agente público, cliente ou parceiro para obter benefício para a SecureSt8.
• Processos comerciais e de contratação (inclusive de fornecedores) devem ser conduzidos de forma transparente, com critérios técnicos e documentados.
• Doações, patrocínios e contribuições políticas em nome da empresa requerem aprovação prévia da liderança e registro formal.
• Colaboradores e terceiros que atuarem em nome da SecureSt8 junto a órgãos públicos (ex.: licitações, certificações) devem seguir estritamente a legislação aplicável e reportar qualquer solicitação irregular à liderança da empresa.

9. Canal de Ética e Denúncias

Qualquer pessoa — colaborador, terceiro, cliente ou parceiro — pode e deve reportar condutas que violem este Código, incluindo suspeitas de vazamento de dados, assédio, conflito de interesses não declarado ou atos de corrupção.

• Denúncias podem ser feitas diretamente à liderança da SecureSt8 ou pelo canal de ética designado, podendo ser identificadas ou anônimas.
• Toda denúncia é tratada com confidencialidade e apurada com isenção, proporcional à complexidade do caso.
• É expressamente proibida qualquer forma de retaliação contra quem reportar de boa-fé, mesmo que a denúncia não seja, ao final, confirmada. Consideramos este ponto como valor-chave na SecureSt8 dentro dos nossos valores de transparência e honestidade.
• Denúncias feitas de má-fé, com o objetivo de prejudicar terceiros, também estão sujeitas a apuração e medidas cabíveis.

10. Consequências do descumprimento

O descumprimento deste Código será apurado caso a caso, considerando gravidade, reincidência e impacto para clientes, colegas e para a SecureSt8, podendo resultar em:

• Advertência formal e plano de ação corretiva;
• Suspensão de acessos a sistemas e dados de clientes;
• Rescisão do contrato de trabalho, prestação de serviços ou parceria, conforme a gravidade;
• Comunicação às autoridades competentes, quando a conduta configurar ilícito civil, administrativo ou penal (ex.: violação da LGPD, atos de corrupção, crimes cibernéticos).

11. Governança e Atualização deste código

• Este Código é de responsabilidade da liderança da SecureSt8, que promove sua divulgação e o mantém atualizado frente a mudanças legais, regulatórias ou do próprio negócio.
• Revisões periódicas anualmente ou a cada mudança regulatória relevante serão comunicadas a todos os colaboradores e terceiros vinculados.
• Dúvidas sobre a aplicação deste Código devem ser dirigidas à liderança da SecureSt8 antes de qualquer ação que gere dúvida ética ou legal.