Versão 1.1. Aprovada em 24/10/2026, com vigência a partir de 24/10/2026.
Situação: política aprovada pela administração da pessoa jurídica inscrita no CNPJ 68.116.549/0001-80, responsável pela operação do zseller. Contato institucional: zonegeeklab@gmail.com.
1. Objetivo e abrangência
A marca e a plataforma zseller são operadas pela pessoa jurídica inscrita no CNPJ 68.116.549/0001-80, solicitante do aplicativo zsellerconnector no TikTok Shop Partner Center. Esta política se aplica a essa pessoa jurídica e aos ambientes, sistemas, integrações e pessoas que atuam na operação do zseller.
O objetivo é proteger as informações de clientes, lojistas, usuários e integrações do zseller. Aplica-se aos administradores, colaboradores e prestadores com acesso autorizado a computadores, ambientes, código, dados e credenciais da operação.
2. Responsabilidades e aprovação
A administração da pessoa jurídica responsável pelo zseller responde pela execução e manutenção desta política. Deve atribuir as tarefas de segurança, divulgar as regras às pessoas abrangidas e registrar a ciência dos envolvidos. O responsável deve manter inventário de acessos, ativos, fornecedores e controles, acompanhar pendências e registrar revisões após incidentes ou mudanças relevantes.
Aprovação e vigência: 24/10/2026. O registro interno de aprovação é mantido pela administração. A atribuição individual de tarefas, a divulgação e os registros de ciência devem ser mantidos atualizados, sem exposição de dados pessoais desnecessários na versão pública.
3. Identidade e acesso
Usar contas individuais e o menor privilégio necessário. Revogar acessos quando cessar a necessidade ou o vínculo. Não compartilhar senhas, códigos de segundo fator, certificados, tokens ou chaves de aplicativos. Usar senhas longas e exclusivas, preferencialmente geradas por gerenciador de senhas. Habilitar autenticação multifator nas contas administrativas e nos serviços que a suportem. Guardar códigos de recuperação em local protegido. Revisar acessos periodicamente e após mudanças de função.
4. Computadores e uso diário
Manter sistema operacional e proteção antimalware ativos e atualizados. Configurar bloqueio automático da sessão, bloquear a tela ao se ausentar e controlar o acesso físico aos equipamentos. Não deixar documentos sensíveis, senhas ou dispositivos de armazenamento expostos em mesas e ambientes comuns. Instalar software somente de fontes autorizadas. Não usar equipamentos sem proteção para administrar a plataforma.
5. Infraestrutura e dados
Expor somente os serviços necessários; restringir acesso administrativo e ao banco de dados. Avaliar e manter regras de rede com critérios documentados, sem confundir isolamento por organização com segregação de rede. Utilizar HTTPS, proteger segredos no servidor e aplicar isolamento entre lojistas. Não registrar tokens, senhas ou dados pessoais desnecessários em logs e evidências. Preservar trilhas de auditoria e acesso restrito aos registros. Validar alterações antes da publicação e manter procedimento de reversão.
6. Backups, correções e monitoramento
Realizar e proteger backups conforme procedimento operacional, verificar sua integridade e testar restauração periodicamente em ambiente apropriado. Avaliar atualizações de segurança e manter registro de aplicação das correções. Definir responsáveis e rotina para revisão de logs, alertas e ocorrências. Não declarar monitoramento contínuo, EDR ou IDS/IPS sem implementação comprovada.
7. Incidentes e terceiros
Comunicar suspeitas ao responsável designado. Registrar ocorrência, avaliar impacto, conter o incidente, preservar evidências e acompanhar a recuperação. Revogar ou rotacionar credenciais comprometidas conforme o caso. Avaliar obrigações de comunicação aplicáveis antes de notificar terceiros ou titulares. Limitar dados e acessos de fornecedores ao necessário e acompanhar sua revogação.
A aprovação inicial ocorreu em 21/10/2026. A versão 1.1, de 24/10/2026, estabelece revisão mensal. A periodicidade é um compromisso de revisão pela administração e não representa declaração de revisões mensais anteriores.
8. Evidências e manutenção
Manter registros reais de configuração, revisão, backup, treinamento e incidentes. Identificar controles apenas planejados e pendências de implementação. Não usar imagens geradas, certificados inventados ou telas simuladas como prova de controles existentes. Revisar esta política mensalmente e quando houver mudança relevante de risco ou operação, após sua aprovação.