Resumo do Questionário de Segurança & Privacidade – TikTok

1. Segurança de Infraestrutura & Operações

1. Sua organização tem uma política ou programa de segurança da informação publicado?
- Resposta: ❌ NÃO
- Justificativa:
  We selected "No" because we do not maintain a publicly published information security policy, as our solution is a desktop application deployed directly on our clients' local servers. However, we enforce core security measures within the application, including user authentication (username and password) to control access. Furthermore, data security and network protection are maintained through the client's local server environment, secured by their own firewall and network protocols.
2. Sua organização usa segregação de rede e implementa medidas de proteção para monitorar e prevenir ameaças à rede?
- Resposta: ❌ NÃO
- Justificativa:
  We selected "No" because our software is an on-premises desktop application deployed within the client's local infrastructure. Network segregation, intrusion detection/prevention systems, and threat monitoring are managed directly by the client's internal IT and network security team.
3. Sua organização instala software antivírus nos terminais da empresa?
- Resposta: ❌ NÃO
- Justificativa:
  We selected "No" as we do not deploy a centralized antivirus policy across company endpoints; however, access to corporate devices is restricted and system updates are regularly applied to mitigate endpoint threats.
4. Sua organização implementa uma linha de base de segurança para operações diárias? Como bloqueio de tela, complexidade de senha, uma política de mesa limpa, autenticação multifator, etc.
- Resposta: ❌ NÃO
- Justificativa:
  We selected "No" as we do not maintain a centralized operational security baseline policy; however, team members are instructed to follow core security hygiene, such as locking workstations when away and using secure credentials.
5. Sua organização possui um procedimento de gerenciamento de vulnerabilidades ou ameaças em vigor?
- Resposta: ❌ NÃO
- Justificativa:
  We selected "No" because we do not perform formal automated vulnerability scans or periodic penetration tests for our desktop software. However, we maintain active code review practices and release software updates and bug fixes whenever security vulnerabilities or technical issues are identified.

2. Controle de Acesso & Proteção de Dados

6. Sua organização tem uma política de controle de acesso publicada e restringe o acesso a dados pessoais aos sistemas com base no princípio do privilégio mínimo?
- Resposta: ✅ SIM
- Justificativa:
  We selected "Yes" regarding our access restriction practices. We enforce role-based access control (RBAC) and the principle of least privilege across internal systems and within our desktop software, ensuring users and personnel only access data strictly necessary for their specific functions.
7. Sua organização tem uma política de classificação de dados publicada e criptografa dados confidenciais em trânsito e em repouso?
- Resposta: ✅ SIM
- Justificativa:
  We selected "Yes" regarding our data protection standards. All external communication in transit is encrypted using TLS 1.2 or higher (e.g., HTTPS/SSL), and sensitive application data or credentials stored locally are protected using standard strong encryption algorithms.
8. No final da relação contratual, você excluirá todos os dados coletados de clientes em sua posse?
- Resposta: ❌ NÃO
- Justificativa:
  We selected "No" because our solution is a local (on-premises) desktop application, where data is stored directly on the client's local infrastructure under their own control. We do not retain or host client operational databases on our systems.

3. Governança, Privacidade & LGPD

9. Em que países os dados serão fisicamente armazenados ou processados?
- Resposta: Brasil
10. A sua organização tem uma política interna de proteção de dados pessoais atualizada regularmente?
- Resposta: ❌ NÃO
- Justificativa:
  We selected "No" because we do not maintain a formal, written internal data protection policy document. As a desktop application deployed on-premises within client environments, data collection, storage, and lifecycle management are governed directly by the client's internal privacy policies and local infrastructure.
11. Você ajudará os vendedores ou a TikTok Shop a excluir/atualizar/fornecer dados mediante solicitação dos usuários?
- Resposta: ✅ SIM
12. A sua organização mantém uma política de privacidade atualizada regularmente?
- Resposta: ❌ NÃO
13. A sua organização tem um responsável pela proteção de dados (DPO)? Em caso afirmativo, insira o e-mail de contato do DPO.
- Resposta: ✅ SIM
- E-mail de Contato: dataplus@dataplussistemas.com.br
14. Você obteve alguma certificação ISO27001/ISO27701/SOC 2 Tipo 2/ePrivacy ou outras certificações reconhecidas pelo setor relacionadas à segurança da informação ou à privacidade?
- Resposta: ❌ NÃO

4. Gestão de Incidentes & Histórico

15. Sua organização tem uma política de resposta a incidentes publicada com funções e responsabilidades esclarecidas, bem como canais de comunicação/relatórios de incidentes?
- Resposta: ✅ SIM
- Justificativa:
  We selected "Yes" regarding our operational response process. We maintain dedicated communication and support channels for clients to report system issues or critical failures, with defined internal responsibilities for investigating, patching, and restoring software functionality promptly.
16. A sua organização tem um processo de notificação para nos alertar ou aos vendedores sobre violações de dados suspeitas/identificadas?
- Resposta: ✅ SIM
17. Nos últimos 3 anos, você experimentou alguma violação de segurança que levou à exposição acidental ou ilegal de dados pessoais que você notificou (ou foi legalmente obrigado a notificar) para: (I) uma autoridade governamental ou reguladora; ou (II) um cliente antigo ou atual. Em caso afirmativo, forneça informações detalhadas.
- Resposta: ❌ NÃO
- Justificativa:
  We selected "No" as we have not experienced any security breach, data leak, or unauthorized exposure of personal data in the past 3 years that required notification to regulatory authorities or clients.
18. Nos últimos 3 anos, você recebeu uma reclamação, objeção ou notificação ou correspondência semelhante de qualquer autoridade reguladora ou de proteção de dados, ou de qualquer cliente ou indivíduo antigo ou atual, relacionada ao processamento de dados pessoais? Em caso afirmativo, forneça informações detalhadas.
- Resposta: ❌ NÃO
- Justificativa:
  We selected "No" as we have not received any formal complaints, objections, regulatory notifications, or inquiries from data protection authorities, clients, or individuals regarding the processing of personal data in the past 3 years.

5. Comentários (Opcional)

19. Comentários
- Texto:
  Additional Context: Our primary solution operates as an on-premises desktop application installed directly within our clients' local IT infrastructure. Because of this deployment model, infrastructure-level security controls (such as network segregation, server firewalls, host intrusion systems, and server-side encryption) are managed directly by the client's internal IT teams. Our company focuses on application-level security, user authentication, access control mechanisms, and delivering timely software updates and technical support.