1332 lines
53 KiB
Markdown
1332 lines
53 KiB
Markdown
|
---
|
||
|
|
title: 10. Gestão de Conformidade
|
||
|
|
sidebar_label: 10. Gestão de Conformidade
|
||
|
|
sidebar_position: 10
|
||
|
|
---
|
||
|
|
|
||
|
|
# 10. Gestão de Conformidade
|
||
|
|
|
||
|
|
## 10.1 Introdução à Gestão de Conformidade
|
||
|
|
|
||
|
|
A Gestão de Conformidade na Pragmatismo estabelece um framework sistemático para garantir que a organização atenda a todos os requisitos legais, regulatórios e contratuais relevantes para suas operações, com foco especial nas normas ISO 27001, HIPAA e LGPD. Este capítulo descreve os processos, controles e responsabilidades necessários para manter um estado contínuo de conformidade, especialmente considerando que a empresa desenvolve e mantém soluções de General Bots que processam dados sensíveis.
|
||
|
|
|
||
|
|
### 10.1.1 Objetivos da Gestão de Conformidade
|
||
|
|
|
||
|
|
1. Identificar e monitorar requisitos de conformidade aplicáveis à Pragmatismo.
|
||
|
|
2. Implementar controles e processos para atender aos requisitos identificados.
|
||
|
|
3. Avaliar e documentar regularmente o status de conformidade.
|
||
|
|
4. Remediar lacunas de conformidade identificadas.
|
||
|
|
5. Promover uma cultura de conformidade em toda a organização.
|
||
|
|
6. Assegurar que produtos e serviços de General Bots estejam em conformidade com normas aplicáveis.
|
||
|
|
7. Manter a integridade e confiabilidade da plataforma de automação.
|
||
|
|
8. Garantir a privacidade e segurança dos dados processados pelos sistemas de IA.
|
||
|
|
|
||
|
|
### 10.1.2 Escopo da Gestão de Conformidade
|
||
|
|
|
||
|
|
Este framework de gestão de conformidade aplica-se a:
|
||
|
|
|
||
|
|
1. **Requisitos Legais**: Leis e regulamentos aplicáveis às operações da empresa em todos os territórios em que atua.
|
||
|
|
2. **Requisitos Regulatórios**: Normas e padrões da indústria aplicáveis ao desenvolvimento e operação de sistemas de IA e automação.
|
||
|
|
3. **Requisitos Contratuais**: Obrigações contratuais com clientes, parceiros e fornecedores.
|
||
|
|
4. **Políticas Internas**: Políticas e procedimentos estabelecidos pela própria organização.
|
||
|
|
5. **Requisitos Específicos para General Bots**: Normas e práticas recomendadas para desenvolvimento e operação de soluções de IA conversacional.
|
||
|
|
|
||
|
|
### 10.1.3 Benefícios da Gestão de Conformidade
|
||
|
|
|
||
|
|
1. Redução de riscos legais e regulatórios.
|
||
|
|
2. Melhoria da confiança de clientes e parceiros.
|
||
|
|
3. Proteção da reputação da empresa.
|
||
|
|
4. Minimização de penalidades por não conformidade.
|
||
|
|
5. Melhoria contínua dos processos de segurança e privacidade.
|
||
|
|
6. Diferenciação competitiva no mercado de soluções de IA.
|
||
|
|
7. Aceleração do processo de vendas com demonstrações claras de conformidade.
|
||
|
|
8. Redução do custo total de propriedade para projetos que exigem certificações.
|
||
|
|
|
||
|
|
## 10.2 Panorama Regulatório
|
||
|
|
|
||
|
|
### 10.2.1 ISO 27001
|
||
|
|
|
||
|
|
ISO 27001 é um padrão internacional para sistemas de gestão de segurança da informação (SGSI) que especifica requisitos para estabelecer, implementar, manter e melhorar continuamente um SGSI no contexto da organização.
|
||
|
|
|
||
|
|
#### 10.2.1.1 Principais Requisitos
|
||
|
|
|
||
|
|
1. **Contexto da Organização**: Compreender questões internas e externas relevantes para o SGSI, incluindo o contexto específico do desenvolvimento de General Bots.
|
||
|
|
2. **Liderança**: Compromisso da alta direção e definição de papéis e responsabilidades na segurança da informação.
|
||
|
|
3. **Planejamento**: Avaliação de riscos e oportunidades, definição de objetivos de segurança.
|
||
|
|
4. **Suporte**: Recursos, competência, conscientização, comunicação e informação documentada.
|
||
|
|
5. **Operação**: Planejamento, implementação e controle de processos.
|
||
|
|
6. **Avaliação de Desempenho**: Monitoramento, medição, análise, avaliação, auditoria interna e análise crítica pela direção.
|
||
|
|
7. **Melhoria**: Não conformidade, ação corretiva e melhoria contínua.
|
||
|
|
|
||
|
|
#### 10.2.1.2 Anexo A - Controles de Segurança
|
||
|
|
|
||
|
|
O Anexo A da ISO 27001 lista 114 controles em 14 seções, dos quais destacamos os mais relevantes para a Pragmatismo:
|
||
|
|
|
||
|
|
1. **Políticas de segurança da informação**
|
||
|
|
- A.5.1.1: Políticas para segurança da informação
|
||
|
|
- A.5.1.2: Análise crítica das políticas para segurança da informação
|
||
|
|
|
||
|
|
2. **Organização da segurança da informação**
|
||
|
|
- A.6.1.1: Papéis e responsabilidades da segurança da informação
|
||
|
|
- A.6.1.5: Segurança da informação no gerenciamento de projetos
|
||
|
|
- A.6.2.1: Política para dispositivos móveis
|
||
|
|
- A.6.2.2: Trabalho remoto
|
||
|
|
|
||
|
|
3. **Segurança em recursos humanos**
|
||
|
|
- A.7.1.1: Seleção
|
||
|
|
- A.7.1.2: Termos e condições de contratação
|
||
|
|
- A.7.2.2: Conscientização, educação e treinamento em segurança da informação
|
||
|
|
- A.7.3.1: Encerramento ou mudança da responsabilidade do contrato de trabalho
|
||
|
|
|
||
|
|
4. **Gestão de ativos**
|
||
|
|
- A.8.1.1: Inventário dos ativos
|
||
|
|
- A.8.1.3: Uso aceitável dos ativos
|
||
|
|
- A.8.2.1: Classificação da informação
|
||
|
|
- A.8.2.3: Tratamento dos ativos
|
||
|
|
|
||
|
|
5. **Controle de acesso**
|
||
|
|
- A.9.1.1: Política de controle de acesso
|
||
|
|
- A.9.2.3: Gerenciamento de direitos de acesso privilegiado
|
||
|
|
- A.9.2.5: Análise crítica dos direitos de acesso de usuário
|
||
|
|
- A.9.4.1: Restrição de acesso à informação
|
||
|
|
|
||
|
|
6. **Criptografia**
|
||
|
|
- A.10.1.1: Política para o uso de controles criptográficos
|
||
|
|
- A.10.1.2: Gerenciamento de chaves
|
||
|
|
|
||
|
|
7. **Segurança física e do ambiente**
|
||
|
|
- A.11.1.2: Controles de entrada física
|
||
|
|
- A.11.1.3: Segurança em escritórios, salas e instalações
|
||
|
|
- A.11.2.1: Localização e proteção do equipamento
|
||
|
|
|
||
|
|
8. **Segurança nas operações**
|
||
|
|
- A.12.1.1: Documentação dos procedimentos de operação
|
||
|
|
- A.12.1.2: Gestão de mudanças
|
||
|
|
- A.12.3.1: Cópias de segurança das informações
|
||
|
|
- A.12.4.1: Registro de eventos
|
||
|
|
- A.12.6.1: Gestão de vulnerabilidades técnicas
|
||
|
|
|
||
|
|
9. **Segurança nas comunicações**
|
||
|
|
- A.13.1.1: Controles de rede
|
||
|
|
- A.13.2.1: Políticas e procedimentos para transferência de informações
|
||
|
|
- A.13.2.4: Acordos de confidencialidade e não divulgação
|
||
|
|
|
||
|
|
10. **Aquisição, desenvolvimento e manutenção de sistemas**
|
||
|
|
- A.14.1.1: Análise e especificação dos requisitos de segurança da informação
|
||
|
|
- A.14.2.1: Política de desenvolvimento seguro
|
||
|
|
- A.14.2.5: Princípios de engenharia de sistemas seguros
|
||
|
|
- A.14.2.8: Testes de segurança do sistema
|
||
|
|
|
||
|
|
11. **Relacionamento com fornecedores**
|
||
|
|
- A.15.1.1: Política de segurança da informação no relacionamento com os fornecedores
|
||
|
|
- A.15.1.2: Identificando segurança da informação nos acordos com fornecedores
|
||
|
|
- A.15.2.1: Monitoramento e análise crítica de serviços de fornecedores
|
||
|
|
|
||
|
|
12. **Gestão de incidentes de segurança da informação**
|
||
|
|
- A.16.1.1: Responsabilidades e procedimentos
|
||
|
|
- A.16.1.2: Notificação de eventos de segurança da informação
|
||
|
|
- A.16.1.5: Resposta a incidentes de segurança da informação
|
||
|
|
|
||
|
|
13. **Aspectos da segurança da informação na gestão da continuidade do negócio**
|
||
|
|
- A.17.1.1: Planejando a continuidade da segurança da informação
|
||
|
|
- A.17.1.2: Implementando a continuidade da segurança da informação
|
||
|
|
- A.17.2.1: Disponibilidade dos recursos de processamento da informação
|
||
|
|
|
||
|
|
14. **Conformidade**
|
||
|
|
- A.18.1.1: Identificação da legislação aplicável e de requisitos contratuais
|
||
|
|
- A.18.1.4: Privacidade e proteção de dados pessoais
|
||
|
|
- A.18.2.1: Análise crítica independente da segurança da informação
|
||
|
|
- A.18.2.2: Conformidade com as políticas e procedimentos de segurança da informação
|
||
|
|
|
||
|
|
#### 10.2.1.3 Aplicação da ISO 27001 no Desenvolvimento de General Bots
|
||
|
|
|
||
|
|
Para garantir que os General Bots desenvolvidos pela Pragmatismo estejam em conformidade com a ISO 27001, aplicamos os seguintes controles específicos:
|
||
|
|
|
||
|
|
1. **Desenvolvimento Seguro**
|
||
|
|
- Implementação de metodologias de desenvolvimento seguro, como DevSecOps
|
||
|
|
- Revisão de código e testes de segurança automatizados
|
||
|
|
- Gestão de configuração segura e versionamento
|
||
|
|
- Princípios de segurança por design e por padrão
|
||
|
|
|
||
|
|
2. **Proteção de Dados**
|
||
|
|
- Criptografia de dados sensíveis em repouso e em trânsito
|
||
|
|
- Mecanismos de anonimização e pseudonimização de dados
|
||
|
|
- Controles de acesso baseados em papéis (RBAC)
|
||
|
|
- Minimização de dados em todas as etapas do processamento
|
||
|
|
|
||
|
|
3. **Operações Seguras**
|
||
|
|
- Monitoramento contínuo de segurança
|
||
|
|
- Gestão de patches e atualizações
|
||
|
|
- Detecção e resposta a incidentes
|
||
|
|
- Logs de auditoria e rastreabilidade
|
||
|
|
|
||
|
|
4. **Segurança na Infraestrutura**
|
||
|
|
- Segmentação de redes
|
||
|
|
- Hardening de sistemas operacionais e aplicações
|
||
|
|
- Proteção contra ameaças avançadas
|
||
|
|
- Gestão segura de APIs
|
||
|
|
|
||
|
|
### 10.2.2 HIPAA (Health Insurance Portability and Accountability Act)
|
||
|
|
|
||
|
|
HIPAA é uma legislação dos EUA que estabelece padrões para a proteção de informações de saúde sensíveis do paciente, relevante para General Bots que possam processar informações de saúde.
|
||
|
|
|
||
|
|
#### 10.2.2.1 Regra de Privacidade
|
||
|
|
|
||
|
|
1. **Divulgações Permitidas**: Regras para uso e divulgação de informações de saúde protegidas (PHI).
|
||
|
|
- Implementação na Pragmatismo: Políticas estritas de acesso e permissões para General Bots que processam PHI
|
||
|
|
- Registro detalhado de todas as interações com dados sensíveis
|
||
|
|
- Mecanismos de controle sobre quais tipos de dados podem ser processados pelos bots
|
||
|
|
|
||
|
|
2. **Direitos dos Pacientes**: Direito de acesso, alteração e contabilização de divulgações.
|
||
|
|
- Implementação na Pragmatismo: Funcionalidades que permitem aos pacientes acessar seus dados processados pelos bots
|
||
|
|
- Mecanismos de retificação de dados
|
||
|
|
- Funcionalidades de exportação de dados em formatos legíveis
|
||
|
|
|
||
|
|
3. **Avisos de Práticas de Privacidade**: Requisitos para informar pacientes sobre práticas de privacidade.
|
||
|
|
- Implementação na Pragmatismo: Templates de avisos de privacidade integrados aos bots
|
||
|
|
- Obtenção de consentimento explícito antes do processamento de PHI
|
||
|
|
- Documentação clara sobre o ciclo de vida dos dados no sistema
|
||
|
|
|
||
|
|
4. **Limites de Uso**: Uso mínimo necessário de PHI.
|
||
|
|
- Implementação na Pragmatismo: Configurações de minimização de dados
|
||
|
|
- Algoritmos de anonimização automática
|
||
|
|
- Controles para garantir que apenas dados necessários são processados
|
||
|
|
|
||
|
|
#### 10.2.2.2 Regra de Segurança
|
||
|
|
|
||
|
|
1. **Salvaguardas Administrativas**: Políticas e procedimentos para proteger PHI eletrônico.
|
||
|
|
- Implementação na Pragmatismo: Políticas documentadas específicas para General Bots de saúde
|
||
|
|
- Treinamentos regulares para desenvolvedores e administradores de sistemas
|
||
|
|
- Auditorias periódicas de conformidade HIPAA
|
||
|
|
|
||
|
|
2. **Salvaguardas Físicas**: Controles físicos para proteger sistemas e instalações.
|
||
|
|
- Implementação na Pragmatismo: Controles de acesso físico aos servidores
|
||
|
|
- Políticas de mesa limpa e tela limpa
|
||
|
|
- Gerenciamento seguro de dispositivos móveis e remotos
|
||
|
|
|
||
|
|
3. **Salvaguardas Técnicas**: Controles técnicos para proteger PHI eletrônico.
|
||
|
|
- Implementação na Pragmatismo: Criptografia de ponta a ponta para todos os dados de saúde
|
||
|
|
- Autenticação multifator para acesso administrativo aos bots
|
||
|
|
- Segmentação de rede para isolamento de dados sensíveis
|
||
|
|
- Técnicas avançadas de detecção de intrusão
|
||
|
|
|
||
|
|
#### 10.2.2.3 Regra de Notificação de Violação
|
||
|
|
|
||
|
|
1. **Notificação aos Indivíduos**: Requisitos para notificar indivíduos afetados por violações.
|
||
|
|
- Implementação na Pragmatismo: Procedimentos documentados para notificação
|
||
|
|
- Templates de comunicação preparados antecipadamente
|
||
|
|
- Processo de contato de emergência
|
||
|
|
|
||
|
|
2. **Notificação à Mídia**: Requisitos para notificação pública para grandes violações.
|
||
|
|
- Implementação na Pragmatismo: Processo de comunicação de crise
|
||
|
|
- Monitoramento de mídia pós-incidente
|
||
|
|
- Análise de impacto reputacional
|
||
|
|
|
||
|
|
3. **Notificação ao HHS**: Requisitos para notificar o Departamento de Saúde e Serviços Humanos.
|
||
|
|
- Implementação na Pragmatismo: Procedimentos padronizados para reporte
|
||
|
|
- Documentação forense de incidentes
|
||
|
|
- Análise pós-incidente para melhoria contínua
|
||
|
|
|
||
|
|
#### 10.2.2.4 Aplicações de HIPAA em General Bots
|
||
|
|
|
||
|
|
Para General Bots que possam interagir com dados de saúde, a Pragmatismo implementa:
|
||
|
|
|
||
|
|
1. **Processamento Consciente de PHI**
|
||
|
|
- Detecção automática de PHI em textos não estruturados
|
||
|
|
- Controles para prevenir armazenamento não autorizado de PHI em logs ou caches
|
||
|
|
- Mecanismos de alerta quando bots encontram dados potencialmente sensíveis
|
||
|
|
|
||
|
|
2. **Treinamento Especializado**
|
||
|
|
- Módulos específicos de treinamento para equipes que trabalham com bots de saúde
|
||
|
|
- Certificações HIPAA para desenvolvedores e arquitetos de soluções
|
||
|
|
|
||
|
|
3. **Controles de Interação**
|
||
|
|
- Limites nas respostas dos bots para evitar divulgação indevida
|
||
|
|
- Validações de segurança antes de executar ações sensíveis
|
||
|
|
- Monitoramento de padrões anômalos de interação
|
||
|
|
|
||
|
|
### 10.2.3 LGPD (Lei Geral de Proteção de Dados)
|
||
|
|
|
||
|
|
A LGPD (Lei nº 13.709/2018) é a legislação brasileira que regula o tratamento de dados pessoais, online e offline, por pessoa natural ou por pessoa jurídica, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade.
|
||
|
|
|
||
|
|
#### 10.2.3.1 Princípios da LGPD
|
||
|
|
|
||
|
|
1. **Finalidade**: Tratamento para propósitos legítimos, específicos e informados.
|
||
|
|
- Implementação na Pragmatismo: Documentação clara das finalidades de tratamento para cada bot
|
||
|
|
- Configurações de finalidade específica que limitam o escopo de processamento
|
||
|
|
- Validações automáticas para garantir aderência à finalidade declarada
|
||
|
|
|
||
|
|
2. **Adequação**: Compatibilidade do tratamento com as finalidades informadas.
|
||
|
|
- Implementação na Pragmatismo: Revisões regulares para garantir que o processamento permanece adequado
|
||
|
|
- Controles técnicos que previnem desvios da finalidade especificada
|
||
|
|
- Testes de adequação antes de cada release
|
||
|
|
|
||
|
|
3. **Necessidade**: Limitação do tratamento ao mínimo necessário.
|
||
|
|
- Implementação na Pragmatismo: Mecanismos de minimização de dados
|
||
|
|
- Controles que limitam a coleta excessiva de informações
|
||
|
|
- Processos automáticos de limpeza de dados desnecessários
|
||
|
|
|
||
|
|
4. **Livre acesso**: Consulta facilitada sobre o tratamento.
|
||
|
|
- Implementação na Pragmatismo: Interfaces de usuário para visualização dos dados coletados
|
||
|
|
- APIs para acesso programático aos dados pessoais
|
||
|
|
- Documentação clara sobre como acessar informações pessoais
|
||
|
|
|
||
|
|
5. **Qualidade dos dados**: Garantia de exatidão e atualização.
|
||
|
|
- Implementação na Pragmatismo: Validações de entrada de dados
|
||
|
|
- Processos periódicos de verificação e limpeza
|
||
|
|
- Mecanismos para correção de dados inexatos
|
||
|
|
|
||
|
|
6. **Transparência**: Informações claras sobre o tratamento.
|
||
|
|
- Implementação na Pragmatismo: Avisos de privacidade integrados aos bots
|
||
|
|
- Documentação acessível sobre práticas de tratamento
|
||
|
|
- UX/UI que comunica claramente as operações de dados
|
||
|
|
|
||
|
|
7. **Segurança**: Medidas técnicas e administrativas para proteção.
|
||
|
|
- Implementação na Pragmatismo: Criptografia de dados pessoais
|
||
|
|
- Controles de acesso baseados em papéis
|
||
|
|
- Monitoramento contínuo de segurança
|
||
|
|
|
||
|
|
8. **Prevenção**: Adoção de medidas para prevenir danos.
|
||
|
|
- Implementação na Pragmatismo: Avaliações de impacto de privacidade (DPIAs)
|
||
|
|
- Implementação de privacy by design e privacy by default
|
||
|
|
- Análises preventivas de riscos
|
||
|
|
|
||
|
|
9. **Não discriminação**: Impossibilidade de tratamento discriminatório.
|
||
|
|
- Implementação na Pragmatismo: Testes de viés em algoritmos de IA
|
||
|
|
- Revisões humanas de decisões automatizadas
|
||
|
|
- Documentação de variáveis utilizadas em modelos preditivos
|
||
|
|
|
||
|
|
10. **Responsabilização e prestação de contas**: Demonstração de medidas eficazes.
|
||
|
|
- Implementação na Pragmatismo: Registros detalhados de tratamento (ROPA)
|
||
|
|
- Documentação de controles implementados
|
||
|
|
- Auditorias periódicas de conformidade
|
||
|
|
|
||
|
|
#### 10.2.3.2 Direitos dos Titulares na LGPD
|
||
|
|
|
||
|
|
1. **Confirmação da existência de tratamento**
|
||
|
|
- Implementação na Pragmatismo: API e interface de usuário para consultas
|
||
|
|
- Respostas automatizadas pelos bots sobre dados tratados
|
||
|
|
|
||
|
|
2. **Acesso aos dados**
|
||
|
|
- Implementação na Pragmatismo: Ferramentas de visualização de dados pessoais
|
||
|
|
- Exportação em formatos abertos e interoperáveis
|
||
|
|
|
||
|
|
3. **Correção de dados incompletos ou inexatos**
|
||
|
|
- Implementação na Pragmatismo: Formulários de retificação
|
||
|
|
- Processos de validação de atualizações
|
||
|
|
|
||
|
|
4. **Anonimização, bloqueio ou eliminação**
|
||
|
|
- Implementação na Pragmatismo: Ferramentas de anonimização automatizada
|
||
|
|
- Processos de bloqueio e eliminação com confirmação
|
||
|
|
|
||
|
|
5. **Portabilidade dos dados**
|
||
|
|
- Implementação na Pragmatismo: Exportação em formatos estruturados
|
||
|
|
- APIs para transferência direta quando aplicável
|
||
|
|
|
||
|
|
6. **Eliminação dos dados**
|
||
|
|
- Implementação na Pragmatismo: Procedimentos de exclusão segura
|
||
|
|
- Verificação de cascata para dados relacionados
|
||
|
|
|
||
|
|
7. **Informação sobre compartilhamento**
|
||
|
|
- Implementação na Pragmatismo: Registros de compartilhamentos
|
||
|
|
- Notificações de compartilhamentos realizados
|
||
|
|
|
||
|
|
8. **Informação sobre não consentimento**
|
||
|
|
- Implementação na Pragmatismo: Opções claras de recusa
|
||
|
|
- Documentação das consequências da recusa
|
||
|
|
|
||
|
|
9. **Revogação do consentimento**
|
||
|
|
- Implementação na Pragmatismo: Processo simplificado de revogação
|
||
|
|
- Confirmação e efeitos da revogação
|
||
|
|
|
||
|
|
10. **Revisão de decisões automatizadas**
|
||
|
|
- Implementação na Pragmatismo: Mecanismos de revisão humana
|
||
|
|
- Explicabilidade das decisões tomadas por bots
|
||
|
|
|
||
|
|
#### 10.2.3.3 Aplicação da LGPD em General Bots
|
||
|
|
|
||
|
|
A Pragmatismo implementa os seguintes recursos específicos para garantir que seus General Bots estejam em conformidade com a LGPD:
|
||
|
|
|
||
|
|
1. **Gestão de Consentimento**
|
||
|
|
- Fluxos de consentimento granular integrados nas interações dos bots
|
||
|
|
- Registros imutáveis de consentimentos obtidos
|
||
|
|
- Verificações periódicas de validade do consentimento
|
||
|
|
|
||
|
|
2. **Proteção de Dados por Design**
|
||
|
|
- Arquitetura projetada com privacidade como requisito fundamental
|
||
|
|
- Configurações restritivas por padrão
|
||
|
|
- Avaliações de privacidade em cada fase de desenvolvimento
|
||
|
|
|
||
|
|
3. **Mecanismos de Exercício de Direitos**
|
||
|
|
- Comandos específicos que permitem aos usuários exercerem seus direitos diretamente via bots
|
||
|
|
- Processos automatizados para atendimento de solicitações de titulares
|
||
|
|
- Prazos automáticos para resposta a solicitações
|
||
|
|
|
||
|
|
4. **Registros de Tratamento**
|
||
|
|
- Documentação detalhada de todas as operações de processamento
|
||
|
|
- Mapeamento de fluxos de dados entre sistemas
|
||
|
|
- Inventário de bases de dados e repositórios
|
||
|
|
|
||
|
|
### 10.2.4 Outras Regulações Relevantes
|
||
|
|
|
||
|
|
#### 10.2.4.1 GDPR (General Data Protection Regulation)
|
||
|
|
|
||
|
|
Para operações ou clientes na União Europeia, a Pragmatismo também implementa controles específicos para conformidade com o GDPR, incluindo:
|
||
|
|
|
||
|
|
1. **Base Legal para Processamento**
|
||
|
|
- Documentação clara da base legal para cada operação de tratamento
|
||
|
|
- Validações prévias de legitimidade
|
||
|
|
|
||
|
|
2. **Transferências Internacionais**
|
||
|
|
- Controles para transferências de dados entre jurisdições
|
||
|
|
- Cláusulas contratuais padrão quando aplicável
|
||
|
|
|
||
|
|
3. **Data Protection Impact Assessments (DPIAs)**
|
||
|
|
- Avaliações de impacto para processamentos de alto risco
|
||
|
|
- Mitigações documentadas para riscos identificados
|
||
|
|
|
||
|
|
#### 10.2.4.2 Regulações Setoriais
|
||
|
|
|
||
|
|
Dependendo do setor de atuação do cliente, a Pragmatismo implementa controles adicionais para:
|
||
|
|
|
||
|
|
1. **Setor Financeiro**
|
||
|
|
- Conformidade com resoluções do Banco Central (quando aplicável)
|
||
|
|
- Controles específicos para Open Banking (quando aplicável)
|
||
|
|
- Requisitos de segurança para transações financeiras
|
||
|
|
|
||
|
|
2. **Setor de Telecomunicações**
|
||
|
|
- Requisitos específicos da ANATEL (quando aplicável)
|
||
|
|
- Controles para metadados de comunicações
|
||
|
|
|
||
|
|
3. **Setor Público**
|
||
|
|
- Requisitos da Lei de Acesso à Informação
|
||
|
|
- Controles específicos para dados de interesse público
|
||
|
|
|
||
|
|
## 10.3 Programa de Gestão de Conformidade
|
||
|
|
|
||
|
|
### 10.3.1 Estrutura Organizacional
|
||
|
|
|
||
|
|
A estrutura de governança de conformidade na Pragmatismo inclui:
|
||
|
|
|
||
|
|
1. **Comitê de Conformidade**
|
||
|
|
- Composição: Liderança executiva, DPO, CISO, representantes jurídicos e técnicos
|
||
|
|
- Responsabilidades: Aprovar políticas e procedimentos, supervisionar o programa de conformidade, revisar incidentes significativos
|
||
|
|
- Frequência de reuniões: Trimestral e sob demanda
|
||
|
|
|
||
|
|
2. **Encarregado de Proteção de Dados (DPO)**
|
||
|
|
- Responsabilidades: Supervisionar a conformidade com leis de proteção de dados, ser ponto de contato para titulares e autoridades, conduzir avaliações de impacto
|
||
|
|
- Reporte: Diretamente ao CEO ou Comitê de Conformidade
|
||
|
|
- Independência: Garantida por políticas internas
|
||
|
|
|
||
|
|
3. **Equipe de Conformidade Técnica**
|
||
|
|
- Responsabilidades: Implementar controles técnicos, realizar testes de conformidade, apoiar auditorias
|
||
|
|
- Composição: Especialistas em segurança, engenheiros de software, analistas de qualidade
|
||
|
|
|
||
|
|
4. **Representantes de Conformidade por Equipe**
|
||
|
|
- Responsabilidades: Promover a cultura de conformidade, relatar riscos potenciais, facilitar implementação de controles
|
||
|
|
- Treinamento: Capacitação especializada em requisitos de conformidade
|
||
|
|
|
||
|
|
5. **Auditoria Interna**
|
||
|
|
- Responsabilidades: Verificar independentemente a eficácia dos controles, reportar não conformidades
|
||
|
|
- Frequência: Auditorias anuais completas e verificações trimestrais amostrais
|
||
|
|
|
||
|
|
### 10.3.2 Ciclo de Vida da Gestão de Conformidade
|
||
|
|
|
||
|
|
O ciclo de vida da gestão de conformidade na Pragmatismo segue as seguintes etapas:
|
||
|
|
|
||
|
|
1. **Identificação de Requisitos**
|
||
|
|
- Monitoramento contínuo de mudanças regulatórias
|
||
|
|
- Análise de requisitos contratuais de clientes
|
||
|
|
- Avaliação de padrões e frameworks da indústria
|
||
|
|
- Ferramentas: Sistema de monitoramento regulatório, assessoria jurídica
|
||
|
|
|
||
|
|
2. **Avaliação de Riscos**
|
||
|
|
- Análise de lacunas (gap analysis)
|
||
|
|
- Priorização baseada em impacto e probabilidade
|
||
|
|
- Determinação de controles necessários
|
||
|
|
- Metodologia: NIST CSF, ISO 31000
|
||
|
|
|
||
|
|
3. **Implementação de Controles**
|
||
|
|
- Desenvolvimento de políticas e procedimentos
|
||
|
|
- Implementação de controles técnicos
|
||
|
|
- Treinamento e conscientização
|
||
|
|
- Documentação de evidências de conformidade
|
||
|
|
|
||
|
|
4. **Monitoramento e Testes**
|
||
|
|
- Monitoramento contínuo de controles
|
||
|
|
- Testes periódicos de eficácia
|
||
|
|
- Scan automatizado de vulnerabilidades
|
||
|
|
- Verificações de configuração
|
||
|
|
|
||
|
|
5. **Auditoria e Avaliação**
|
||
|
|
- Auditorias internas programadas
|
||
|
|
- Avaliações independentes
|
||
|
|
- Certificações de terceiros
|
||
|
|
- Remediação de não conformidades
|
||
|
|
|
||
|
|
6. **Relatórios e Melhorias**
|
||
|
|
- Relatórios regulares para a liderança
|
||
|
|
- Implementação de melhorias contínuas
|
||
|
|
- Atualização de políticas e procedimentos
|
||
|
|
- Lições aprendidas
|
||
|
|
|
||
|
|
### 10.3.3 Matriz de Requisitos e Controles
|
||
|
|
|
||
|
|
A Pragmatismo mantém uma matriz abrangente de requisitos e controles que mapeia:
|
||
|
|
|
||
|
|
1. **Requisitos Regulatórios**
|
||
|
|
- Origem (lei, regulamento, contrato)
|
||
|
|
- Aplicabilidade (global, regional, setorial)
|
||
|
|
- Impacto potencial em caso de não conformidade
|
||
|
|
|
||
|
|
2. **Controles Implementados**
|
||
|
|
- Descrição do controle
|
||
|
|
- Tipo (técnico, administrativo, físico)
|
||
|
|
- Responsável pela implementação
|
||
|
|
|
||
|
|
3. **Status de Conformidade**
|
||
|
|
- Implementado / Parcialmente implementado / Não implementado
|
||
|
|
- Data da última verificação
|
||
|
|
- Evidências disponíveis
|
||
|
|
|
||
|
|
4. **Remediação**
|
||
|
|
- Planos de ação para lacunas identificadas
|
||
|
|
- Responsáveis e prazos
|
||
|
|
- Status de implementação
|
||
|
|
|
||
|
|
### 10.3.4 Gestão de Documentação
|
||
|
|
|
||
|
|
A documentação de conformidade é gerenciada de forma estruturada:
|
||
|
|
|
||
|
|
1. **Hierarquia de Documentos**
|
||
|
|
- Políticas: Diretrizes de alto nível aprovadas pela liderança
|
||
|
|
- Padrões: Requisitos obrigatórios específicos
|
||
|
|
- Procedimentos: Instruções detalhadas de implementação
|
||
|
|
- Registros: Evidências de atividades de conformidade
|
||
|
|
|
||
|
|
2. **Gestão de Versões**
|
||
|
|
- Controle de revisões documentais
|
||
|
|
- Aprovações formais para alterações
|
||
|
|
- Histórico de mudanças
|
||
|
|
|
||
|
|
3. **Acessibilidade**
|
||
|
|
- Repositório central de documentação
|
||
|
|
- Controles de acesso baseados em funções
|
||
|
|
- Notificações de atualizações importantes
|
||
|
|
|
||
|
|
4. **Retenção**
|
||
|
|
- Períodos de retenção definidos por tipo de documento
|
||
|
|
- Procedimentos de armazenamento seguro
|
||
|
|
- Eliminação segura após período de retenção
|
||
|
|
|
||
|
|
### 10.3.5 Treinamento e Conscientização
|
||
|
|
|
||
|
|
A Pragmatismo implementa um programa abrangente de treinamento em conformidade:
|
||
|
|
|
||
|
|
1. **Treinamento Básico**
|
||
|
|
- Obrigatório para todos os colaboradores
|
||
|
|
- Frequência: Na integração e anualmente
|
||
|
|
- Conteúdo: Princípios básicos de segurança e privacidade, requisitos regulatórios, políticas internas
|
||
|
|
|
||
|
|
2. **Treinamento Avançado**
|
||
|
|
- Para equipes técnicas e líderes
|
||
|
|
- Frequência: Semestralmente
|
||
|
|
- Conteúdo: Implementação de controles, gestão de riscos, requisitos específicos por função
|
||
|
|
|
||
|
|
3. **Treinamento Específico para Desenvolvedor de General Bots**
|
||
|
|
- Para equipes de desenvolvimento de IA
|
||
|
|
- Frequência: Trimestralmente
|
||
|
|
- Conteúdo: Privacy by Design, segurança em IA, controles específicos para sistemas conversacionais
|
||
|
|
|
||
|
|
4. **Campanhas de Conscientização**
|
||
|
|
- Comunicações regulares
|
||
|
|
- Simulações de phishing
|
||
|
|
- Eventos de segurança e privacidade
|
||
|
|
- Reconhecimento de boas práticas
|
||
|
|
|
||
|
|
5. **Avaliação de Eficácia**
|
||
|
|
- Testes pós-treinamento
|
||
|
|
- Métricas de conformidade e segurança
|
||
|
|
- Feedback dos participantes
|
||
|
|
- Análise de tendências de incidentes
|
||
|
|
|
||
|
|
### 10.3.6 Gestão de Terceiros
|
||
|
|
|
||
|
|
A gestão de conformidade de terceiros é um componente crítico para a segurança de dados, especialmente quando esses terceiros têm acesso a sistemas ou dados da Pragmatismo ou de seus clientes:
|
||
|
|
|
||
|
|
1. **Due Diligence Inicial**
|
||
|
|
- Questionários de segurança e conformidade
|
||
|
|
- Verificação de certificações e relatórios de auditoria
|
||
|
|
- Análise de políticas e procedimentos do fornecedor
|
||
|
|
- Avaliação de riscos específicos para integração com General Bots
|
||
|
|
|
||
|
|
2. **Requisitos Contratuais**
|
||
|
|
- Cláusulas padrão de segurança e privacidade
|
||
|
|
- Acordos de nível de serviço (SLAs) para incidentes
|
||
|
|
- Direitos de auditoria e verificação
|
||
|
|
- Obrigações de notificação de violações
|
||
|
|
- Responsabilidades específicas para processamento de dados
|
||
|
|
|
||
|
|
3. **Monitoramento Contínuo**
|
||
|
|
- Avaliações periódicas de conformidade
|
||
|
|
- Monitoramento de performance de segurança
|
||
|
|
- Verificação de vulnerabilidades em interfaces de integração
|
||
|
|
- Revisão de incidentes e problemas
|
||
|
|
|
||
|
|
4. **Gestão de Ciclo de Vida**
|
||
|
|
- Processos de onboarding seguros
|
||
|
|
- Revisões anuais de segurança
|
||
|
|
- Procedimentos de offboarding com remoção segura de acessos
|
||
|
|
- Transferência segura de dados ao término do contrato
|
||
|
|
|
||
|
|
5. **Categorização por Risco**
|
||
|
|
- Classificação de fornecedores por nível de risco
|
||
|
|
- Controles diferenciados por categoria de risco
|
||
|
|
- Frequência de avaliação baseada em criticidade
|
||
|
|
|
||
|
|
## 10.4 Controles Específicos para General Bots
|
||
|
|
|
||
|
|
### 10.4.1 Governança de IA
|
||
|
|
|
||
|
|
A Pragmatismo implementa um framework de governança específico para suas soluções de IA conversacional:
|
||
|
|
|
||
|
|
1. **Política de IA Responsável**
|
||
|
|
- Princípios éticos para desenvolvimento de IA
|
||
|
|
- Requisitos de transparência e explicabilidade
|
||
|
|
- Prevenção de viés e discriminação
|
||
|
|
- Limites claros para automação de decisões
|
||
|
|
|
||
|
|
2. **Comitê de Ética em IA**
|
||
|
|
- Composição multidisciplinar
|
||
|
|
- Revisão de casos complexos de uso
|
||
|
|
- Avaliação de impactos sociais e éticos
|
||
|
|
- Recomendações para mitigação de riscos
|
||
|
|
|
||
|
|
3. **Diretrizes para Desenvolvimento**
|
||
|
|
- Requisitos de auditabilidade de decisões
|
||
|
|
- Padrões para logs de interação
|
||
|
|
- Mecanismos de controle humano quando necessário
|
||
|
|
- Limitações de funcionalidade por design
|
||
|
|
|
||
|
|
4. **Políticas de Treinamento de Modelos**
|
||
|
|
- Requisitos para dados de treinamento
|
||
|
|
- Processos de validação e teste
|
||
|
|
- Controles para prevenção de aprendizado de informações sensíveis
|
||
|
|
- Procedimentos de atualização de modelos
|
||
|
|
|
||
|
|
### 10.4.2 Controles de Privacidade para General Bots
|
||
|
|
|
||
|
|
Os seguintes controles são implementados especificamente para garantir a privacidade em soluções de General Bots:
|
||
|
|
|
||
|
|
1. **Minimização de Dados**
|
||
|
|
- Configurações para limitar a coleta de dados pessoais
|
||
|
|
- Filtros para prevenção de captura incidental de dados sensíveis
|
||
|
|
- Mecanismos de exclusão automática após o uso
|
||
|
|
|
||
|
|
2. **Gestão de Consentimento**
|
||
|
|
- Interfaces conversacionais para obtenção de consentimento
|
||
|
|
- Registros imutáveis de consentimentos obtidos
|
||
|
|
- Mecanismos para verificação da identidade do titular
|
||
|
|
- Opções de revogação simplificada
|
||
|
|
|
||
|
|
3. **Transparência**
|
||
|
|
- Notificações claras sobre processamento de dados
|
||
|
|
- Explicações sobre decisões automatizadas
|
||
|
|
- Informações sobre retenção e compartilhamento
|
||
|
|
- Documentação acessível de políticas de privacidade
|
||
|
|
|
||
|
|
4. **Controles de Armazenamento**
|
||
|
|
- Políticas de retenção granulares por tipo de dado
|
||
|
|
- Criptografia em todo o ciclo de vida
|
||
|
|
- Isolamento de dados sensíveis
|
||
|
|
- Procedimentos de eliminação segura
|
||
|
|
|
||
|
|
5. **Direitos dos Titulares**
|
||
|
|
- Comandos específicos para exercício de direitos
|
||
|
|
- Fluxos automatizados de acesso e portabilidade
|
||
|
|
- Mecanismos de correção de dados
|
||
|
|
- Processos para limitação de tratamento
|
||
|
|
|
||
|
|
### 10.4.3 Controles de Segurança para General Bots
|
||
|
|
|
||
|
|
Para garantir a segurança das soluções de General Bots, a Pragmatismo implementa:
|
||
|
|
|
||
|
|
1. **Autenticação e Autorização**
|
||
|
|
- Autenticação multifator para acessos administrativos
|
||
|
|
- Controle granular de permissões baseado em funções
|
||
|
|
- Federação de identidades quando apropriado
|
||
|
|
- Revogação imediata de acessos quando necessário
|
||
|
|
|
||
|
|
2. **Proteção contra Ameaças**
|
||
|
|
- Validação de entradas para prevenir injeções
|
||
|
|
- Monitoramento de padrões de interação suspeitos
|
||
|
|
- Limitação de taxa para prevenir abusos
|
||
|
|
- Proteção contra ataques de prompt injection
|
||
|
|
|
||
|
|
3. **Proteção de Dados**
|
||
|
|
- Criptografia em trânsito (TLS 1.3+)
|
||
|
|
- Criptografia em repouso (AES-256)
|
||
|
|
- Gestão segura de chaves criptográficas
|
||
|
|
- Tokenização de dados sensíveis quando apropriado
|
||
|
|
|
||
|
|
4. **Monitoramento e Detecção**
|
||
|
|
- Logs detalhados de interações e processamento
|
||
|
|
- Alertas para padrões anômalos
|
||
|
|
- Monitoramento de performance e disponibilidade
|
||
|
|
- Detecção de tentativas de exfiltração de dados
|
||
|
|
|
||
|
|
5. **Resposta a Incidentes**
|
||
|
|
- Procedimentos específicos para incidentes relacionados a IA
|
||
|
|
- Capacidade de desativação emergencial
|
||
|
|
- Isolamento de componentes comprometidos
|
||
|
|
- Análise forense especializada para sistemas de IA
|
||
|
|
|
||
|
|
### 10.4.4 Garantia de Qualidade
|
||
|
|
|
||
|
|
A Pragmatismo implementa práticas rigorosas de garantia de qualidade para seus General Bots:
|
||
|
|
|
||
|
|
1. **Testes de Conformidade**
|
||
|
|
- Verificações automatizadas de requisitos regulatórios
|
||
|
|
- Testes de penetração especializados para IA conversacional
|
||
|
|
- Validação de controles de privacidade e segurança
|
||
|
|
- Simulações de exercício de direitos de titulares
|
||
|
|
|
||
|
|
2. **Revisão de Código**
|
||
|
|
- Análise estática de código para vulnerabilidades
|
||
|
|
- Verificação de conformidade com padrões seguros
|
||
|
|
- Revisão manual de componentes críticos
|
||
|
|
- Validação de implementação de controles
|
||
|
|
|
||
|
|
3. **Testes de Comportamento**
|
||
|
|
- Validação de respostas apropriadas
|
||
|
|
- Testes de viés e discriminação
|
||
|
|
- Verificação de limites e restrições
|
||
|
|
- Análise de robustez contra entrada maliciosa
|
||
|
|
|
||
|
|
4. **Monitoramento Contínuo**
|
||
|
|
- Análise de interações em produção
|
||
|
|
- Avaliação de qualidade de respostas
|
||
|
|
- Métricas de conformidade e segurança
|
||
|
|
- Identificação de desvios comportamentais
|
||
|
|
|
||
|
|
## 10.5 Auditoria e Certificações
|
||
|
|
|
||
|
|
### 10.5.1 Auditorias Internas
|
||
|
|
|
||
|
|
A Pragmatismo mantém um programa de auditorias internas para validar a eficácia dos controles de conformidade:
|
||
|
|
|
||
|
|
1. **Planejamento de Auditorias**
|
||
|
|
- Calendário anual de auditorias
|
||
|
|
- Escopo e objetivos claramente definidos
|
||
|
|
- Metodologias baseadas em risco
|
||
|
|
- Seleção de auditores qualificados e independentes
|
||
|
|
|
||
|
|
2. **Condução de Auditorias**
|
||
|
|
- Revisão de documentação
|
||
|
|
- Entrevistas com stakeholders
|
||
|
|
- Testes de controles
|
||
|
|
- Observação de processos em execução
|
||
|
|
- Análise de logs e evidências
|
||
|
|
|
||
|
|
3. **Relatórios de Auditoria**
|
||
|
|
- Documentação de achados e recomendações
|
||
|
|
- Classificação de riscos identificados
|
||
|
|
- Prazos para remediação
|
||
|
|
- Apresentação para liderança executiva
|
||
|
|
|
||
|
|
4. **Acompanhamento de Remediação**
|
||
|
|
- Planos de ação para achados
|
||
|
|
- Responsabilidades claramente definidas
|
||
|
|
- Prazos de implementação
|
||
|
|
- Verificação de eficácia de correções
|
||
|
|
|
||
|
|
### 10.5.2 Auditorias Externas
|
||
|
|
|
||
|
|
Auditorias externas são conduzidas periodicamente por organizações independentes:
|
||
|
|
|
||
|
|
1. **Preparação para Auditorias**
|
||
|
|
- Avaliações pré-auditoria
|
||
|
|
- Coleta de evidências
|
||
|
|
- Treinamento de equipes
|
||
|
|
- Simulações de entrevistas
|
||
|
|
|
||
|
|
2. **Gerenciamento de Auditorias**
|
||
|
|
- Coordenação com auditores
|
||
|
|
- Disponibilização de documentação e evidências
|
||
|
|
- Suporte durante entrevistas e inspeções
|
||
|
|
- Esclarecimento de questões e dúvidas
|
||
|
|
|
||
|
|
3. **Remediação de Achados**
|
||
|
|
- Análise de causa raiz
|
||
|
|
- Implementação de correções
|
||
|
|
- Documentação de ações tomadas
|
||
|
|
- Validação de eficácia
|
||
|
|
|
||
|
|
### 10.5.3 Certificações
|
||
|
|
|
||
|
|
A Pragmatismo mantém e busca certificações relevantes para demonstrar conformidade:
|
||
|
|
|
||
|
|
1. **ISO 27001**
|
||
|
|
- Escopo da certificação
|
||
|
|
- Processo de certificação
|
||
|
|
- Auditorias de manutenção
|
||
|
|
- Recertificação periódica
|
||
|
|
|
||
|
|
2. **SOC 2 Tipo II**
|
||
|
|
- Princípios de Confiança Aplicáveis
|
||
|
|
- Período de observação
|
||
|
|
- Relatórios e distribuição
|
||
|
|
- Atualização anual
|
||
|
|
|
||
|
|
3. **Certificações Específicas de Setor**
|
||
|
|
- Certificações para setores regulados (quando aplicável)
|
||
|
|
- Qualificações específicas para clientes governamentais
|
||
|
|
- Certificações locais para mercados específicos
|
||
|
|
|
||
|
|
4. **Atestados de Conformidade**
|
||
|
|
- Autodeclarações documentadas
|
||
|
|
- Verificações de terceiros
|
||
|
|
- Questionários padronizados (como CAIQ)
|
||
|
|
|
||
|
|
## 10.6 Gestão de Não Conformidades
|
||
|
|
|
||
|
|
### 10.6.1 Identificação de Não Conformidades
|
||
|
|
|
||
|
|
A Pragmatismo implementa processos estruturados para identificação de não conformidades:
|
||
|
|
|
||
|
|
1. **Fontes de Identificação**
|
||
|
|
- Auditorias internas e externas
|
||
|
|
- Monitoramento contínuo
|
||
|
|
- Relatos de colaboradores
|
||
|
|
- Feedback de clientes
|
||
|
|
- Incidentes de segurança
|
||
|
|
- Reclamações de titulares de dados
|
||
|
|
|
||
|
|
2. **Classificação**
|
||
|
|
- Por gravidade (crítica, alta, média, baixa)
|
||
|
|
- Por área de impacto (segurança, privacidade, legal)
|
||
|
|
- Por requisito afetado (ISO 27001, LGPD, HIPAA)
|
||
|
|
- Por tempo para remediação necessário
|
||
|
|
|
||
|
|
3. **Registro e Documentação**
|
||
|
|
- Sistema centralizado de registro
|
||
|
|
- Descrição detalhada do problema
|
||
|
|
- Evidências relacionadas
|
||
|
|
- Impacto potencial ou real
|
||
|
|
- Requisitos violados
|
||
|
|
|
||
|
|
### 10.6.2 Tratamento de Não Conformidades
|
||
|
|
|
||
|
|
O processo de tratamento inclui:
|
||
|
|
|
||
|
|
1. **Análise de Causa Raiz**
|
||
|
|
- Identificação de fatores contribuintes
|
||
|
|
- Determinação de causa principal
|
||
|
|
- Avaliação de impacto
|
||
|
|
- Identificação de controles falhos
|
||
|
|
|
||
|
|
2. **Plano de Ação Corretiva**
|
||
|
|
- Medidas imediatas para contenção
|
||
|
|
- Ações corretivas de longo prazo
|
||
|
|
- Responsáveis e prazos
|
||
|
|
- Recursos necessários
|
||
|
|
- Métricas de sucesso
|
||
|
|
|
||
|
|
3. **Implementação**
|
||
|
|
- Execução das ações planejadas
|
||
|
|
- Documentação das mudanças
|
||
|
|
- Treinamento quando necessário
|
||
|
|
- Comunicação aos stakeholders
|
||
|
|
|
||
|
|
4. **Verificação de Eficácia**
|
||
|
|
- Validação das correções
|
||
|
|
- Testes de controles implementados
|
||
|
|
- Reavaliação de riscos
|
||
|
|
- Fechamento formal do caso
|
||
|
|
|
||
|
|
### 10.6.3 Aprendizado e Melhoria Contínua
|
||
|
|
|
||
|
|
A Pragmatismo utiliza não conformidades como oportunidades de melhoria:
|
||
|
|
|
||
|
|
1. **Análise de Tendências**
|
||
|
|
- Identificação de padrões recorrentes
|
||
|
|
- Análise de áreas problemáticas
|
||
|
|
- Métricas de não conformidades ao longo do tempo
|
||
|
|
|
||
|
|
2. **Ações Preventivas**
|
||
|
|
- Implementação de melhorias sistêmicas
|
||
|
|
- Redesenho de processos problemáticos
|
||
|
|
- Fortalecimento de controles deficientes
|
||
|
|
|
||
|
|
3. **Compartilhamento de Lições Aprendidas**
|
||
|
|
- Comunicações internas
|
||
|
|
- Atualizações de treinamento
|
||
|
|
- Revisões de políticas e procedimentos
|
||
|
|
|
||
|
|
4. **Medição de Progresso**
|
||
|
|
- KPIs de conformidade
|
||
|
|
- Redução de recorrências
|
||
|
|
- Tempo médio de resolução
|
||
|
|
- Eficácia de controles pós-implementação
|
||
|
|
|
||
|
|
## 10.7 Relatórios e Comunicação
|
||
|
|
|
||
|
|
### 10.7.1 Relatórios Internos
|
||
|
|
|
||
|
|
A Pragmatismo mantém uma estrutura de relatórios internos para manter a liderança informada:
|
||
|
|
|
||
|
|
1. **Relatórios Executivos**
|
||
|
|
- Frequência: Trimestral
|
||
|
|
- Conteúdo: Status de conformidade, riscos principais, métricas-chave, planos estratégicos
|
||
|
|
- Audiência: Comitê Executivo e Conselho Administrativo
|
||
|
|
|
||
|
|
2. **Relatórios Operacionais**
|
||
|
|
- Frequência: Mensal
|
||
|
|
- Conteúdo: Status de projetos, não conformidades, métricas operacionais, atividades planejadas
|
||
|
|
- Audiência: Gerentes e líderes de equipe
|
||
|
|
|
||
|
|
3. **Relatórios de Incidentes**
|
||
|
|
- Frequência: Sob demanda
|
||
|
|
- Conteúdo: Detalhes do incidente, impacto, ações tomadas, status de remediação
|
||
|
|
- Audiência: Partes interessadas relevantes
|
||
|
|
|
||
|
|
4. **Dashboards de Conformidade**
|
||
|
|
- Frequência: Contínua (atualização em tempo real)
|
||
|
|
- Conteúdo: Métricas-chave, status de controles, tendências
|
||
|
|
- Audiência: Todo o time de segurança e conformidade
|
||
|
|
|
||
|
|
### 10.7.2 Comunicações Externas
|
||
|
|
|
||
|
|
A comunicação com partes externas é gerenciada de forma estruturada:
|
||
|
|
|
||
|
|
1. **Comunicações com Reguladores**
|
||
|
|
- Relatórios obrigatórios
|
||
|
|
- Notificações de incidentes
|
||
|
|
- Respostas a consultas
|
||
|
|
- Documentação de conformidade
|
||
|
|
|
||
|
|
2. **Comunicações com Clientes**
|
||
|
|
- Declarações de conformidade
|
||
|
|
- Relatórios de status de segurança
|
||
|
|
- Notificações de incidentes quando necessário
|
||
|
|
- Atestados e certificações
|
||
|
|
|
||
|
|
3. **Comunicações com Titulares de Dados**
|
||
|
|
- Avisos de privacidade
|
||
|
|
- Respostas a solicitações de direitos
|
||
|
|
- Notificações de violação quando aplicável
|
||
|
|
- Atualizações de políticas
|
||
|
|
|
||
|
|
4. **Comunicações com Fornecedores**
|
||
|
|
- Requisitos de conformidade
|
||
|
|
- Resultados de avaliações
|
||
|
|
- Notificações de não conformidade
|
||
|
|
- Planos de remediação
|
||
|
|
|
||
|
|
### 10.7.3 Gestão de Crise
|
||
|
|
|
||
|
|
A Pragmatismo mantém um plano específico para comunicação em situações de crise relacionadas à conformidade:
|
||
|
|
|
||
|
|
1. **Equipe de Comunicação de Crise**
|
||
|
|
- Composição multidisciplinar
|
||
|
|
- Papéis e responsabilidades predefinidos
|
||
|
|
- Árvore de escalação
|
||
|
|
- Contatos de emergência
|
||
|
|
|
||
|
|
2. **Templates e Scripts**
|
||
|
|
- Modelos de comunicação pré-aprovados
|
||
|
|
- Pontos de discussão para diferentes cenários
|
||
|
|
- Perguntas e respostas comuns
|
||
|
|
- Declarações oficiais
|
||
|
|
|
||
|
|
3. **Canais de Comunicação**
|
||
|
|
- Canais primários e alternativos
|
||
|
|
- Protocolos para cada canal
|
||
|
|
- Listas de distribuição atualizadas
|
||
|
|
- Cronogramas de notificação
|
||
|
|
|
||
|
|
4. **Simulações e Testes**
|
||
|
|
- Exercícios de mesa regulares
|
||
|
|
- Avaliação de desempenho
|
||
|
|
- Refinamento de procedimentos
|
||
|
|
- Lições aprendidas
|
||
|
|
|
||
|
|
## 10.8 Recursos e Ferramentas
|
||
|
|
|
||
|
|
### 10.8.1 Tecnologias de Suporte à Conformidade
|
||
|
|
|
||
|
|
A Pragmatismo utiliza as seguintes ferramentas para automatizar e aprimorar os processos de conformidade:
|
||
|
|
|
||
|
|
1. **Gestão de Conformidade e Riscos (GRC)**
|
||
|
|
- Mapeamento de requisitos regulatórios
|
||
|
|
- Avaliações de riscos automatizadas
|
||
|
|
- Monitoramento de controles
|
||
|
|
- Gestão de planos de ação
|
||
|
|
|
||
|
|
2. **Gestão de Privacidade**
|
||
|
|
- Registro de Atividades de Tratamento (ROPA)
|
||
|
|
- Gestão de consentimento
|
||
|
|
- Automação de direitos de titulares
|
||
|
|
- Avaliações de impacto (DPIAs)
|
||
|
|
|
||
|
|
3. **Segurança e Monitoramento**
|
||
|
|
- SIEM (Security Information and Event Management)
|
||
|
|
- Gestão de vulnerabilidades
|
||
|
|
- Monitoramento contínuo de configurações
|
||
|
|
- Detecção de anomalias
|
||
|
|
|
||
|
|
4. **Gestão Documental**
|
||
|
|
- Sistema centralizado de políticas
|
||
|
|
- Controle de versões
|
||
|
|
- Fluxos de aprovação
|
||
|
|
- Distribuição e confirmação de leitura
|
||
|
|
|
||
|
|
5. **Ferramentas Específicas para IA**
|
||
|
|
- Sistemas de explicabilidade
|
||
|
|
- Monitoramento de viés
|
||
|
|
- Testes de robustez
|
||
|
|
- Validação ética
|
||
|
|
|
||
|
|
### 10.8.2 Recursos Humanos
|
||
|
|
|
||
|
|
A Pragmatismo investe nos seguintes recursos humanos para suportar a conformidade:
|
||
|
|
|
||
|
|
1. **Equipe Dedicada**
|
||
|
|
- DPO (Encarregado de Proteção de Dados)
|
||
|
|
- Especialistas em Segurança da Informação
|
||
|
|
- Analistas de Conformidade Regulatória
|
||
|
|
- Especialistas em IA Responsável
|
||
|
|
|
||
|
|
2. **Qualificações e Certificações**
|
||
|
|
- CIPP/E, CIPM (IAPP)
|
||
|
|
- CISSP, CISM (Segurança da Informação)
|
||
|
|
- ISO 27001 Lead Implementer/Auditor
|
||
|
|
- Certificações específicas de IA
|
||
|
|
|
||
|
|
3. **Desenvolvimento Profissional**
|
||
|
|
- Planos de treinamento contínuo
|
||
|
|
- Participação em conferências e eventos
|
||
|
|
- Assinaturas de serviços de inteligência regulatória
|
||
|
|
- Grupos de trabalho da indústria
|
||
|
|
|
||
|
|
4. **Parcerias Externas**
|
||
|
|
- Consultoria especializada
|
||
|
|
- Auditores independentes
|
||
|
|
- Assessoria jurídica
|
||
|
|
- Especialistas em nichos específicos
|
||
|
|
|
||
|
|
### 10.8.3 Métricas e KPIs
|
||
|
|
|
||
|
|
A Pragmatismo monitora as seguintes métricas para avaliar a eficácia do programa de conformidade:
|
||
|
|
|
||
|
|
1. **Métricas de Conformidade**
|
||
|
|
- Taxa de conformidade geral
|
||
|
|
- Número de não conformidades por área
|
||
|
|
- Tempo médio para resolução
|
||
|
|
- Eficácia de controles
|
||
|
|
|
||
|
|
2. **Métricas de Risco**
|
||
|
|
- Perfil de risco geral
|
||
|
|
- Tendências de risco ao longo do tempo
|
||
|
|
- Eficácia de mitigações
|
||
|
|
- Número de incidentes materializados
|
||
|
|
|
||
|
|
3. **Métricas Operacionais**
|
||
|
|
- Tempo de resposta a solicitações de titulares
|
||
|
|
- Conclusão de treinamentos
|
||
|
|
- Cobertura de avaliações
|
||
|
|
- Tempo médio entre auditorias
|
||
|
|
|
||
|
|
4. **Métricas de Maturidade**
|
||
|
|
- Nível de maturidade por domínio
|
||
|
|
- Evolução da maturidade ao longo do tempo
|
||
|
|
- Comparação com benchmarks da indústria
|
||
|
|
- Alcance de marcos de maturidade
|
||
|
|
|
||
|
|
## 10.9 Gestão de Conformidade no Ciclo de Vida de Desenvolvimento
|
||
|
|
|
||
|
|
A Pragmatismo integra requisitos de conformidade em todo o ciclo de vida de desenvolvimento de suas soluções de General Bots:
|
||
|
|
|
||
|
|
### 10.9.1 Fase de Concepção e Requisitos
|
||
|
|
|
||
|
|
1. **Avaliação Inicial de Conformidade**
|
||
|
|
- Identificação de requisitos regulatórios aplicáveis
|
||
|
|
- Mapeamento de dados sensíveis a serem processados
|
||
|
|
- Definição de limites de uso e processamento
|
||
|
|
- Determinação de bases legais para tratamento
|
||
|
|
|
||
|
|
2. **Privacy by Design e Security by Design**
|
||
|
|
- Incorporação de princípios de privacidade nos requisitos
|
||
|
|
- Definição de controles de segurança desde o início
|
||
|
|
- Arquitetura com minimização de dados por padrão
|
||
|
|
- Especificação de mecanismos de consentimento e transparência
|
||
|
|
|
||
|
|
3. **Avaliação de Impacto de Privacidade (DPIA)**
|
||
|
|
- Análise de riscos para direitos e liberdades
|
||
|
|
- Documentação de fluxos de dados previstos
|
||
|
|
- Identificação de medidas mitigatórias
|
||
|
|
- Consulta a stakeholders quando necessário
|
||
|
|
|
||
|
|
### 10.9.2 Fase de Design e Arquitetura
|
||
|
|
|
||
|
|
1. **Revisão de Arquitetura**
|
||
|
|
- Análise de conformidade da arquitetura proposta
|
||
|
|
- Avaliação de controles de segurança planejados
|
||
|
|
- Verificação de mecanismos de proteção de dados
|
||
|
|
- Validação de limites de acesso e compartimentalização
|
||
|
|
|
||
|
|
2. **Modelagem de Ameaças**
|
||
|
|
- Identificação de potenciais vetores de ataque
|
||
|
|
- Análise de cenários de abuso
|
||
|
|
- Determinação de superfícies de ataque
|
||
|
|
- Planejamento de contramedidas
|
||
|
|
|
||
|
|
3. **Design de Controles**
|
||
|
|
- Especificação detalhada de controles técnicos
|
||
|
|
- Definição de interfaces para exercício de direitos
|
||
|
|
- Projeto de mecanismos de auditoria e logs
|
||
|
|
- Especificação de criptografia e pseudonimização
|
||
|
|
|
||
|
|
### 10.9.3 Fase de Implementação
|
||
|
|
|
||
|
|
1. **Práticas de Codificação Segura**
|
||
|
|
- Utilização de frameworks e bibliotecas seguras
|
||
|
|
- Seguimento de guidelines de codificação segura
|
||
|
|
- Implementação adequada de validações e sanitizações
|
||
|
|
- Uso apropriado de técnicas criptográficas
|
||
|
|
|
||
|
|
2. **Revisão de Código**
|
||
|
|
- Análise estática de código
|
||
|
|
- Revisão manual de componentes críticos
|
||
|
|
- Verificação de implementação de controles
|
||
|
|
- Validação de tratamento adequado de erros
|
||
|
|
|
||
|
|
3. **Gestão de Dependências**
|
||
|
|
- Avaliação de segurança de bibliotecas de terceiros
|
||
|
|
- Monitoramento de vulnerabilidades em componentes
|
||
|
|
- Processo para atualizações de segurança
|
||
|
|
- Validação de licenciamento adequado
|
||
|
|
|
||
|
|
### 10.9.4 Fase de Testes
|
||
|
|
|
||
|
|
1. **Testes de Segurança**
|
||
|
|
- Testes de penetração
|
||
|
|
- Testes de fuzzing para APIs
|
||
|
|
- Análise de configurações
|
||
|
|
- Verificação de hardening
|
||
|
|
|
||
|
|
2. **Testes de Privacidade**
|
||
|
|
- Validação de implementação de controles de privacidade
|
||
|
|
- Teste de interfaces para exercício de direitos
|
||
|
|
- Verificação de minimização de dados
|
||
|
|
- Validação de mecanismos de consentimento
|
||
|
|
|
||
|
|
3. **Testes de Conformidade**
|
||
|
|
- Verificação de requisitos regulatórios específicos
|
||
|
|
- Validação de controles documentados
|
||
|
|
- Análise de logs e trilhas de auditoria
|
||
|
|
- Simulação de cenários de investigação regulatória
|
||
|
|
|
||
|
|
### 10.9.5 Fase de Implantação
|
||
|
|
|
||
|
|
1. **Revisão Pré-Implantação**
|
||
|
|
- Checklist final de conformidade
|
||
|
|
- Verificação de documentação necessária
|
||
|
|
- Validação de configurações de produção
|
||
|
|
- Confirmação de aprovações necessárias
|
||
|
|
|
||
|
|
2. **Gestão de Mudanças**
|
||
|
|
- Processo formal de aprovação
|
||
|
|
- Documentação de alterações
|
||
|
|
- Planos de rollback
|
||
|
|
- Notificações a stakeholders relevantes
|
||
|
|
|
||
|
|
3. **Documentação Final**
|
||
|
|
- Atualização de registros de tratamento
|
||
|
|
- Documentação de controles implementados
|
||
|
|
- Evidências de testes e validações
|
||
|
|
- Manuais e guias operacionais
|
||
|
|
|
||
|
|
### 10.9.6 Fase de Operação e Manutenção
|
||
|
|
|
||
|
|
1. **Monitoramento Contínuo**
|
||
|
|
- Detecção de anomalias e incidentes
|
||
|
|
- Verificação de integridade de controles
|
||
|
|
- Análise de logs e eventos
|
||
|
|
- Monitoramento de performance de segurança
|
||
|
|
|
||
|
|
2. **Gestão de Vulnerabilidades**
|
||
|
|
- Scans regulares de vulnerabilidades
|
||
|
|
- Aplicação de patches e atualizações
|
||
|
|
- Remediação priorizada de fraquezas
|
||
|
|
- Comunicação com stakeholders
|
||
|
|
|
||
|
|
3. **Melhoria Contínua**
|
||
|
|
- Incorporação de lições aprendidas
|
||
|
|
- Atualização de controles baseada em ameaças emergentes
|
||
|
|
- Refinamento de políticas e procedimentos
|
||
|
|
- Adaptação a mudanças regulatórias
|
||
|
|
|
||
|
|
## 10.10 Estratégia de Conformidade para IA Generativa
|
||
|
|
|
||
|
|
Considerando a natureza específica dos General Bots e sistemas de IA generativa, a Pragmatismo implementa controles adicionais:
|
||
|
|
|
||
|
|
### 10.10.1 Salvaguardas Específicas para IA Generativa
|
||
|
|
|
||
|
|
1. **Monitoramento de Conteúdo**
|
||
|
|
- Detecção de conteúdo impróprio ou prejudicial
|
||
|
|
- Filtros para evitar respostas sensíveis
|
||
|
|
- Análise de sentimento e contexto
|
||
|
|
- Mecanismos de contenção para desvios
|
||
|
|
|
||
|
|
2. **Explicabilidade e Transparência**
|
||
|
|
- Documentação de fontes de dados de treinamento
|
||
|
|
- Explicação de processos decisórios quando possível
|
||
|
|
- Divulgação de limitações conhecidas
|
||
|
|
- Clareza sobre natureza de conteúdo gerado por IA
|
||
|
|
|
||
|
|
3. **Limites de Uso**
|
||
|
|
- Restrições claras para casos de uso proibidos
|
||
|
|
- Limitações técnicas para prevenir abusos
|
||
|
|
- Supervisão humana para decisões de alto impacto
|
||
|
|
- Documentação de fronteiras éticas
|
||
|
|
|
||
|
|
4. **Feedback e Aprendizado Responsável**
|
||
|
|
- Mecanismos para reportar resultados problemáticos
|
||
|
|
- Processos para incorporar feedback ético
|
||
|
|
- Validação de melhorias antes de implantação
|
||
|
|
- Registro de decisões de ajuste de modelos
|
||
|
|
|
||
|
|
### 10.10.2 Padrões Emergentes para IA
|
||
|
|
|
||
|
|
A Pragmatismo monitora e adere a padrões emergentes para governança de IA:
|
||
|
|
|
||
|
|
1. **Frameworks de Regulação**
|
||
|
|
- EU AI Act (quando aplicável)
|
||
|
|
- NIST AI Risk Management Framework
|
||
|
|
- ISO/IEC relacionados à IA (como 42001)
|
||
|
|
- Regulamentações setoriais específicas
|
||
|
|
|
||
|
|
2. **Princípios de IA Responsável**
|
||
|
|
- Adoção de frameworks éticos reconhecidos
|
||
|
|
- Alinhamento com declarações de direitos humanos
|
||
|
|
- Implementação de princípios de beneficência
|
||
|
|
- Compromisso com não-maleficência
|
||
|
|
|
||
|
|
3. **Avaliações de Impacto Algorítmico**
|
||
|
|
- Metodologia estruturada para avaliação
|
||
|
|
- Documentação de potenciais impactos
|
||
|
|
- Análise de riscos específicos
|
||
|
|
- Planos de mitigação para impactos negativos
|
||
|
|
|
||
|
|
4. **Supervisão Externa**
|
||
|
|
- Auditorias independentes de algoritmos
|
||
|
|
- Revisão por especialistas em ética de IA
|
||
|
|
- Participação em iniciativas da indústria
|
||
|
|
- Diálogo com stakeholders e comunidades impactadas
|
||
|
|
|
||
|
|
### 10.10.3 Governança de Dados para IA
|
||
|
|
|
||
|
|
Práticas específicas de governança de dados para sistemas de IA:
|
||
|
|
|
||
|
|
1. **Qualidade e Representatividade**
|
||
|
|
- Avaliação da qualidade de dados de treinamento
|
||
|
|
- Análise de viés e representatividade
|
||
|
|
- Documentação de limitações conhecidas
|
||
|
|
- Processos de validação e limpeza
|
||
|
|
|
||
|
|
2. **Ciclo de Vida de Dados**
|
||
|
|
- Gestão de dados desde aquisição até descarte
|
||
|
|
- Controles de acesso em cada fase
|
||
|
|
- Procedimentos de anonimização
|
||
|
|
- Atualização e refrescamento de dados
|
||
|
|
|
||
|
|
3. **Propriedade Intelectual**
|
||
|
|
- Garantia de uso legítimo de dados de treinamento
|
||
|
|
- Respeito a direitos autorais e licenças
|
||
|
|
- Documentação de fontes e permissões
|
||
|
|
- Políticas para geração de conteúdo derivativo
|
||
|
|
|
||
|
|
4. **Federação e Compartilhamento**
|
||
|
|
- Protocolos para uso federado de dados
|
||
|
|
- Contratos para compartilhamento interorganizacional
|
||
|
|
- Proteção de dados em transferências
|
||
|
|
- Rastreabilidade de origem e uso
|
||
|
|
|
||
|
|
## 10.11 Resposta a Mudanças Regulatórias
|
||
|
|
|
||
|
|
A Pragmatismo mantém processos estruturados para se adaptar a um cenário regulatório em constante evolução:
|
||
|
|
|
||
|
|
### 10.11.1 Monitoramento Regulatório
|
||
|
|
|
||
|
|
1. **Fontes de Informação**
|
||
|
|
- Serviços de inteligência regulatatória
|
||
|
|
- Associações da indústria e grupos de trabalho
|
||
|
|
- Assessoria jurídica especializada
|
||
|
|
- Autoridades regulatórias e órgãos governamentais
|
||
|
|
|
||
|
|
2. **Processo de Análise**
|
||
|
|
- Triagem inicial de novas regulamentações
|
||
|
|
- Avaliação de impacto e aplicabilidade
|
||
|
|
- Priorização com base no risco e escopo
|
||
|
|
- Documentação de requisitos específicos
|
||
|
|
|
||
|
|
3. **Disseminação Interna**
|
||
|
|
- Resumos executivos para liderança
|
||
|
|
- Alertas para equipes afetadas
|
||
|
|
- Atualizações de treinamento e conscientização
|
||
|
|
- Revisão de políticas e procedimentos
|
||
|
|
|
||
|
|
### 10.11.2 Implementação de Mudanças
|
||
|
|
|
||
|
|
1. **Planejamento de Adaptação**
|
||
|
|
- Análise de lacunas (gap analysis)
|
||
|
|
- Estimativa de recursos necessários
|
||
|
|
- Cronograma de implementação
|
||
|
|
- Comunicação de mudanças
|
||
|
|
|
||
|
|
2. **Atualização de Controles**
|
||
|
|
- Modificação de controles técnicos
|
||
|
|
- Revisão de processos operacionais
|
||
|
|
- Atualização de documentação
|
||
|
|
- Treinamento de equipes
|
||
|
|
|
||
|
|
3. **Validação e Certificação**
|
||
|
|
- Testes de novos controles
|
||
|
|
- Auditorias internas
|
||
|
|
- Certificação externa quando aplicável
|
||
|
|
- Atualização de declarações de conformidade
|
||
|
|
|
||
|
|
### 10.11.3 Comunicação Externa
|
||
|
|
|
||
|
|
1. **Clientes e Parceiros**
|
||
|
|
- Notificação de mudanças relevantes
|
||
|
|
- Atualização de contratos e SLAs
|
||
|
|
- Suporte para conformidade do cliente
|
||
|
|
|
||
|
|
2. **Autoridades Regulatórias**
|
||
|
|
- Submissão de documentação quando necessário
|
||
|
|
- Participação em consultas públicas
|
||
|
|
- Relacionamento proativo com reguladores
|
||
|
|
|
||
|
|
3. **Mercado e Público**
|
||
|
|
- Atualização de políticas públicas
|
||
|
|
- Comunicação transparente sobre práticas
|
||
|
|
- Posicionamento em fóruns da indústria
|
||
|
|
|
||
|
|
---
|
||
|
|
|
||
|
|
## 10.12 Conclusão
|
||
|
|
|
||
|
|
A Gestão de Conformidade na Pragmatismo é um pilar essencial para garantir que a organização e suas soluções de General Bots operem dentro dos mais altos padrões de segurança, privacidade e ética. Ao implementar um framework robusto e adaptável, a empresa não apenas mitiga riscos regulatórios, mas também constrói confiança com clientes, parceiros e o mercado em geral.
|
||
|
|
|
||
|
|
A abordagem proativa adotada pela Pragmatismo inclui:
|
||
|
|
|
||
|
|
1. **Monitoramento contínuo** do cenário regulatório em evolução, especialmente em tecnologias emergentes como IA generativa.
|
||
|
|
2. **Integração de conformidade** em todas as fases do ciclo de vida de desenvolvimento de produtos.
|
||
|
|
3. **Cultura organizacional** que valoriza a conformidade como um diferencial competitivo.
|
||
|
|
4. **Transparência e responsabilidade** em todas as operações e interações.
|
||
|
|
|
||
|
|
À medida que o ambiente regulatório continua a evoluir, particularmente no campo da IA, a Pragmatismo mantém o compromisso de não apenas cumprir os requisitos atuais, mas antecipar e moldar as melhores práticas do setor. Esta postura permite que a empresa inove com responsabilidade, oferecendo soluções de General Bots que são não apenas poderosas e eficientes, mas também éticas, seguras e em plena conformidade com as expectativas regulatórias e sociais.
|
||
|
|
|
||
|
|
O programa de Gestão de Conformidade descrito neste documento é dinâmico e será regularmente revisado e atualizado para refletir mudanças no ambiente de negócios, tecnológico e regulatório, garantindo que a Pragmatismo permaneça na vanguarda da conformidade e excelência operacional.
|