Information security policy

Group DW develops e-commerce integrations and platforms. This is the information security policy for that work. It applies to the people, computers, accounts, and systems Group DW uses to deliver services to sellers and marketplace partners, including TikTok Shop.

Group DW is a small organization. The controls below are sized to that operation. Management owns the policy. The contact for a security question or incident is contato@groupdw.com.br.

Production systems are separated from day-to-day development. The website and any environment that stores customer information are hosted behind the provider’s firewall. Production access uses individual accounts. Shared administrator passwords are not allowed. A person receives production access only when the work requires it, and that access is removed when the work ends.

Company computers run anti-malware software with automatic updates. On Windows, Microsoft Defender meets this requirement when it stays enabled and updated. An equivalent product is acceptable. A computer that stores confidential information uses full-disk encryption.

The screen locks automatically after at most five minutes. Passwords are unique, have at least 12 characters, and are stored in a password manager. Multi-factor authentication is required on company email, hosting, source code, and the TikTok Shop partner account. Confidential papers and unlocked devices are not left exposed. Production credentials are not placed in source code and are not sent through ordinary chat.

Access to personal data and to production systems follows least privilege. A person receives only the access required for the current task. Access is reviewed when a role changes and when a contract ends. The same rule applies to seller data processed while an integration is built or operated.

Information is classified as public, internal, confidential, or restricted. Public information is the marketing content on groupdw.com. Internal information is ordinary business material that is not customer data. Confidential information includes personal data, seller operational data, and customer communications. Restricted information includes passwords, API keys, and access tokens.

Confidential and restricted data are encrypted in transit with TLS. Restricted secrets are kept in a password manager or in the host’s access controls, not in the website repository. Confidential data stored on a company computer is kept on an encrypted disk.

Group DW reviews operating-system updates, application dependencies, and notices from the hosting provider at least once a month. A critical update is applied within seven days of a fix becoming available, and sooner when the exposure is active. Confirmed vulnerabilities are recorded, prioritized, and fixed. Dependencies are reviewed before a release.

The person responsible for the Group DW partner account leads the response. Anyone who suspects an incident reports it to contato@groupdw.com.br. Group DW then contains the affected account or system, records what happened, and identifies whether personal data was exposed.

If a suspected or confirmed breach affects a seller or TikTok Shop, Group DW notifies the affected seller and TikTok Shop without undue delay, and within 72 hours of confirmation when the law or the contract requires it. Where the LGPD requires it, Group DW also notifies the Brazilian data-protection authority.

When a customer contract ends, Group DW deletes the personal data collected for that service, except records that Brazilian law requires it to keep, such as accounting records. Those legal records are kept only for that duty. Group DW also asks a subprocessor that still holds a copy under Group DW’s control to delete it.

This policy is reviewed at least once a year and when the service or the systems change. The current version is published at https://groupdw.com/security/.

A Group DW desenvolve integrações e plataformas de e-commerce. Esta é a política de segurança da informação desse trabalho. Ela vale para as pessoas, os computadores, as contas e os sistemas usados na entrega dos serviços a vendedores e parceiros de marketplace, inclusive o TikTok Shop.

A Group DW é uma organização pequena. Os controles abaixo têm o tamanho dessa operação. A administração é a dona da política. O contato para dúvida ou incidente de segurança é contato@groupdw.com.br.

Os sistemas de produção ficam separados do desenvolvimento do dia a dia. O site e qualquer ambiente que guarde informação de cliente ficam atrás do firewall do provedor de hospedagem. O acesso de produção usa contas individuais. Senha de administrador compartilhada não é permitida. Uma pessoa recebe acesso de produção só quando o trabalho exige, e esse acesso é retirado quando o trabalho termina.

Os computadores da empresa rodam software antimalware com atualização automática. No Windows, o Microsoft Defender atende a esta regra quando permanece ligado e atualizado. Um produto equivalente é aceitável. Computador que guarda informação confidencial usa criptografia de disco.

A tela bloqueia sozinha em no máximo cinco minutos. As senhas são únicas, têm pelo menos 12 caracteres e ficam em um gerenciador de senhas. A autenticação multifator é obrigatória no e-mail da empresa, na hospedagem, no código-fonte e na conta de parceiro do TikTok Shop. Papel confidencial e equipamento desbloqueado não ficam expostos. Credencial de produção não entra no código-fonte e não é enviada em conversa comum.

O acesso a dados pessoais e a sistemas de produção segue o privilégio mínimo. A pessoa recebe só o acesso necessário para a tarefa atual. O acesso é revisto quando a função muda e quando um contrato termina. A mesma regra vale para dados de vendedor tratados na construção ou na operação de uma integração.

A informação é classificada como pública, interna, confidencial ou restrita. Pública é o conteúdo de divulgação em groupdw.com. Interna é o material comum de negócio que não é dado de cliente. Confidencial inclui dado pessoal, dado operacional de vendedor e comunicação com cliente. Restrita inclui senha, chave de API e token de acesso.

Dado confidencial e restrito é criptografado em trânsito com TLS. Segredo restrito fica em gerenciador de senhas ou no controle de acesso da hospedagem, não no repositório do site. Dado confidencial gravado em computador da empresa fica em disco criptografado.

A Group DW revisa atualizações do sistema operacional, dependências das aplicações e avisos do provedor de hospedagem pelo menos uma vez por mês. Atualização crítica é aplicada em até sete dias depois que a correção existe, e antes disso quando a exposição está ativa. Vulnerabilidade confirmada é registrada, priorizada e corrigida. Dependências são revisadas antes de uma publicação.

A pessoa responsável pela conta de parceiro da Group DW conduz a resposta. Quem suspeita de um incidente avisa contato@groupdw.com.br. A Group DW então contém a conta ou o sistema afetado, registra o que ocorreu e identifica se houve exposição de dado pessoal.

Se uma violação suspeita ou confirmada afetar um vendedor ou o TikTok Shop, a Group DW avisa o vendedor afetado e o TikTok Shop sem demora injustificada, e em até 72 horas da confirmação quando a lei ou o contrato exigir. Quando a LGPD exigir, a Group DW também avisa a autoridade nacional de proteção de dados.

Quando um contrato termina, a Group DW exclui os dados pessoais coletados para aquele serviço, exceto registros que a lei brasileira obriga a guardar, como registros contábeis. Esses registros legais ficam restritos a essa obrigação. A Group DW também pede a exclusão a um subprocessador que ainda guarde cópia sob controle da Group DW.

Esta política é revisada pelo menos uma vez por ano e quando o serviço ou os sistemas mudam. A versão atual está em https://groupdw.com/security/.