Código de Conduta e Ética | ISO 27001

Código de Conduta, Programa de Integridade e Diretrizes de Segurança da Informação em conformidade com a ISO/IEC 27001

Sou Legal Armazenamento Digital LTDA – Nome Fantasia Renave Total.

CNPJ nº 16.837.490/0001-15

Vigência: a partir da data de aprovação pela Direção até nova versão.

1. Objetivo, Escopo e Público-Alvo

Este Código tem por objetivo estabelecer padrões de conduta, integridade, conformidade e segurança da informação aplicáveis às atividades da Renave Total, especialmente no tratamento de dados, na operação de integrações autorizadas e na proteção dos ativos de informação da organização.

Suas diretrizes aplicam-se a sócios, administradores, colaboradores, estagiários, prestadores de serviço, parceiros e terceiros que atuem em nome da empresa ou tenham acesso a informações, sistemas, credenciais, ambientes tecnológicos ou processos relacionados às suas operações.

2. Compromisso da Alta Direção

A empresa atua com ética, transparência, respeito à legislação vigente e compromisso com a segurança da informação. Para isso, adota diretrizes alinhadas aos princípios da ISO/IEC 27001 para gestão de riscos, proteção dos ativos de informação e aperfeiçoamento contínuo dos controles internos.

A empresa não tolera corrupção, suborno, fraude, favorecimento indevido, uso impróprio de informações ou qualquer prática irregular em suas relações com órgãos públicos, parceiros, clientes e demais partes interessadas, incluindo a Secretaria Nacional de Trânsito (SENATRAN).

A Alta Direção compromete-se a apoiar a implementação, manutenção e melhoria contínua das diretrizes de segurança da informação, de forma compatível com o porte, o contexto, os riscos e as obrigações regulatórias da empresa.

3. Diretrizes de Ética no Processamento de Dados

O uso de dados de trânsito deve observar as finalidades autorizadas, preservar a confidencialidade, integridade e disponibilidade das informações e seguir critérios de segurança, necessidade, rastreabilidade e gestão de riscos.

Uso permitido: informações sobre veículos, condutores, infrações e outros dados acessados por integrações autorizadas são confidenciais e só podem ser usadas para as finalidades aprovadas.
Uso indevido proibido: é vedado utilizar esses dados para fins pessoais, comerciais, promocionais ou para qualquer finalidade fora do escopo autorizado.
Responsabilidade pelo acesso: cada colaborador, prestador ou terceiro autorizado deve proteger suas credenciais e utilizá-las de forma correta e individual.
Compartilhamento proibido: compartilhar senhas, chaves de API, credenciais AWS ou outros meios de autenticação é falta grave e pode gerar medidas disciplinares e legais.
Classificação da informação: informações relacionadas a veículos, condutores, infrações, credenciais, logs, chaves de acesso e integrações devem ser tratadas conforme sua criticidade, confidencialidade e finalidade autorizada.
Uso aceitável dos ativos: sistemas, credenciais, ambientes AWS, dispositivos, documentos e demais ativos de informação devem ser utilizados apenas para atividades corporativas autorizadas e em conformidade com esta política.

4. Governança Técnica, SGSI e Segurança da Informação

Sob a coordenação do Diretor de TI e Responsável Técnico, a empresa adota controles técnicos, administrativos e organizacionais para proteger os dados tratados em ambiente de nuvem e apoiar a gestão contínua da segurança da informação.

Infraestrutura e serviços de nuvem: a infraestrutura em Amazon Web Services deve seguir boas práticas de segurança para reduzir riscos de vazamento, perda, alteração indevida, acesso não autorizado, indisponibilidade ou uso inadequado dos dados. A contratação, configuração e operação de serviços AWS devem considerar requisitos de segurança, responsabilidades compartilhadas, proteção de dados, continuidade, monitoramento e registro de evidências.
Identidades, acessos e credenciais: os acessos devem seguir o princípio do privilégio mínimo, com credenciais individuais, autenticação adequada, revisão periódica de permissões e separação de responsabilidades.
Monitoramento, registros e auditoria: logs e registros de acesso devem ser mantidos e verificados periodicamente para identificar atividades incomuns, falhas, acessos indevidos, eventos relevantes ou possíveis incidentes de segurança.
Incidentes e resposta: qualquer suspeita de violação, vazamento, uso indevido, falha de segurança ou comprometimento de ativos de informação deve ser comunicada imediatamente ao responsável técnico, registrada, avaliada e tratada conforme os procedimentos internos.
Gestão de riscos e conformidade: riscos relacionados ao tratamento de dados, uso de serviços em nuvem, acessos privilegiados, terceiros, continuidade operacional e conformidade regulatória devem ser identificados, avaliados e tratados de forma proporcional ao impacto e à probabilidade de ocorrência.
Continuidade e disponibilidade: a empresa deve manter práticas compatíveis com a continuidade das operações críticas, incluindo medidas de backup, recuperação, redundância ou resposta proporcional à criticidade dos serviços prestados.

5. Conscientização, Treinamento e Responsabilidades

A empresa deverá promover orientação periódica, proporcional ao porte e às funções exercidas, para que colaboradores, administradores, prestadores de serviço e terceiros autorizados compreendam suas responsabilidades em relação à ética, integridade, proteção de dados e segurança da informação.

As responsabilidades relacionadas à segurança da informação devem ser comunicadas de forma clara, incluindo regras de uso aceitável, proteção de credenciais, classificação da informação, comunicação de incidentes, preservação de evidências e cumprimento das políticas internas.

6. Canal de Relatos de Integridade

A empresa mantém um canal oficial para receber dúvidas, comunicações, denúncias ou relatos sobre ética, integridade, conformidade, segurança da informação, proteção de dados, incidentes, fragilidades ou descumprimento de controles internos.

Canal oficial: compliance@renavetotal.com.br

Colaboradores, parceiros, prestadores de serviço e terceiros devem comunicar imediatamente qualquer suspeita ou ocorrência de conduta antiética, fraude, tentativa de suborno, descumprimento legal, incidente de segurança, vulnerabilidade, perda de informação ou uso indevido de ativos.

A empresa tratará os relatos de forma sigilosa, preservará a identidade do denunciante de boa-fé, quando aplicável, não permitirá retaliação e registrará as providências adotadas para fins de rastreabilidade e melhoria contínua.

7. Sanções e Penalidades

O descumprimento das regras deste Código, das diretrizes de segurança da informação ou dos controles internos aplicáveis poderá resultar em medidas disciplinares internas, como advertência, suspensão, encerramento de contrato ou demissão por justa causa, conforme a gravidade da infração.

Essas medidas não impedem eventual responsabilização civil, administrativa ou penal perante as autoridades competentes, quando aplicável, nem a adoção de ações corretivas para reduzir riscos recorrentes e fortalecer os controles de segurança.

8. Declaração de Ciência, Compromisso e Melhoria Contínua

Todos os colaboradores, administradores, prestadores de serviço e terceiros autorizados devem conhecer este Código e cumprir suas diretrizes, especialmente quanto ao uso ético, seguro e autorizado das informações tratadas, ao cumprimento dos controles de segurança da informação e à melhoria contínua das práticas internas.

Curitiba, 18 de agosto de 2026

Renave Total