Normatizas

Diretrizes internas e externas para proteção de informações, uso aceitável, ativos tecnológicos, plataforma educacional e dados pessoais

1. Identificação institucional

Este documento se aplica à operação educacional da Normatizas, incluindo a oferta, venda, disponibilização e suporte de cursos, treinamentos, trilhas de aprendizagem, conteúdos digitais, programas corporativos, formações ao vivo ou gravadas, atividades práticas, materiais complementares e serviços educacionais correlatos nas áreas de auditoria, consultoria, governança, compliance, segurança, privacidade, normas ISO e temas similares.

Razão social	NORMATIZAS CERTIFICADORA LTDA
Nome fantasia / marca	NORMATIZAS SOLUÇÕES EM COMPLIANCE | Normatizas Academy / Educacional
CNPJ	33.429.304/0001-28
Natureza jurídica	Sociedade Empresária Limitada (206-2)
Sede	Centro Empresarial Norte – SRTVN Qd. 701, Lote 124, Conj. C, Bloco A, Sala 619, Asa Norte, Brasília/DF, CEP 70719-903
Atividade principal	CNAE 7490-1/99 – Outras atividades profissionais, científicas e técnicas não especificadas anteriormente
E-mail institucional	contato@normatizas.com.br
Telefone	+55 (61) 3551-9951
Plataforma educacional	https://ead.normatizas.com

Controle de versão e aprovação

Versão	Data	Descrição	Elaboração	Aprovação
1.0	30/06/2026	Emissão inicial da minuta institucional para revisão e publicação.	Consultoria / Governança	Diretoria Normatizas

Mapa do documento

Seção	Finalidade
Governança de segurança	Define responsabilidades, princípios e classificação da informação.
Uso aceitável	Define regras de uso de contas, e-mail, dispositivos, internet, nuvem, IA e plataformas.
Controle de acesso	Define regras para credenciais, senhas, MFA, permissões e desligamento.
Proteção de dados	Define confidencialidade, LGPD, compartilhamento e retenção.
Incidentes	Define reporte, resposta, evidências e medidas disciplinares.

2. Objetivo

Esta Política estabelece diretrizes de segurança da informação e uso dos recursos tecnológicos da Normatizas, com foco na proteção de dados pessoais, propriedade intelectual, conteúdos educacionais, informações de clientes, credenciais, ativos, sistemas, plataforma EAD, e-mails, ambientes em nuvem e recursos digitais utilizados por colaboradores, instrutores, prestadores, parceiros, alunos e clientes corporativos, conforme aplicável.

3. Princípios de segurança

• Confidencialidade: informações devem ser acessadas apenas por pessoas autorizadas e para finalidades legítimas.
• Integridade: informações, certificados, registros acadêmicos, documentos e evidências devem permanecer completos, corretos e protegidos contra alteração indevida.
• Disponibilidade: sistemas essenciais devem estar disponíveis conforme necessidade do negócio e criticidade do serviço.
• Privacidade: dados pessoais devem ser tratados conforme LGPD, necessidade, finalidade, transparência e segurança.
• Rastreabilidade: acessos e ações relevantes devem manter evidências compatíveis com segurança, auditoria e defesa de direitos.
• Responsabilização: cada usuário responde pelo uso de sua conta, dispositivos, senhas e informações sob sua guarda.

4. Papéis e responsabilidades

Papel	Responsabilidades
Diretoria	aprovar diretrizes, priorizar recursos, apoiar cultura de segurança e decidir riscos relevantes.
Gestão de TI/Segurança	administrar controles, acessos, backups, logs, fornecedores, incidentes e melhorias.
DPO/Privacidade	orientar proteção de dados pessoais, direitos dos titulares e incidentes com dados.
Gestores	garantir que equipe e terceiros conheçam e cumpram a política.
Colaboradores e instrutores	usar recursos de forma segura, preservar sigilo, reportar incidentes e cumprir regras.
Alunos e clientes	proteger credenciais, respeitar direitos autorais, não burlar controles e reportar problemas de segurança.
Fornecedores	cumprir contratos, confidencialidade, segurança mínima e comunicação de incidentes.

5. Classificação da informação

Classificação	Tratamento mínimo
Pública	informações aprovadas para divulgação externa, como páginas comerciais, ementas públicas e materiais promocionais.
Interna	informações operacionais, políticas, procedimentos e comunicações não destinadas ao público.
Confidencial	dados de clientes, propostas, contratos, relatórios, listas de alunos, dados financeiros, conteúdos internos, credenciais indiretas e informações estratégicas.
Restrita/Sensível	dados pessoais sensíveis, credenciais, chaves, incidentes, dados bancários, registros de segurança, investigações, informações de auditoria e documentos sob sigilo.

6. Controle de acesso

• Acessos devem seguir o princípio do menor privilégio, necessidade de saber e segregação de funções.
• Contas individuais são obrigatórias para sistemas críticos; contas compartilhadas devem ser evitadas e justificadas quando inevitáveis.
• Senhas devem ser fortes, únicas e não reutilizadas entre sistemas pessoais e corporativos.
• MFA/autenticação multifator deve ser utilizada sempre que disponível, especialmente em e-mail, nuvem, plataforma, painel administrativo e sistemas financeiros.
• Acesso de terceiros deve ter responsável interno, prazo, escopo definido e revogação ao término da necessidade.
• Desligamento, troca de função ou encerramento de contrato deve gerar revisão imediata de acessos.

7. Uso aceitável de recursos tecnológicos

• Recursos tecnológicos devem ser utilizados para finalidades profissionais, educacionais e institucionais autorizadas.
• É proibido utilizar sistemas para fins ilícitos, ofensivos, discriminatórios, fraudulentos, concorrenciais indevidos, violação de direitos autorais ou acesso não autorizado.
• Não é permitido instalar software não autorizado, extensões inseguras, ferramentas de captura indevida, cracks, keygens, pirataria ou programas sem licença.
• É proibido desativar antivírus, EDR, firewall, criptografia, bloqueios corporativos ou mecanismos de segurança sem autorização.
• Dados de clientes e alunos não devem ser armazenados em dispositivos pessoais ou serviços não aprovados, salvo autorização e controles adequados.

8. E-mail, mensagens e engenharia social

• Verificar remetentes, links e anexos antes de abrir ou responder.
• Nunca informar senhas, tokens, códigos de MFA, chaves API ou dados sensíveis por e-mail ou mensagem não segura.
• Suspeitas de phishing, boleto falso, fraude, falsidade de identidade ou malware devem ser reportadas imediatamente.
• Informações confidenciais devem ser enviadas apenas a destinatários autorizados, com cuidado em listas, cópias e anexos.
• Envios em massa devem observar LGPD, opt-out, base legal e boas práticas de comunicação.

9. Dispositivos, trabalho remoto e BYOD

Dispositivos corporativos ou pessoais utilizados para atividades da Normatizas devem possuir atualização de segurança, senha de bloqueio, proteção contra malware e cuidados contra furto, perda e acesso indevido. Quando houver uso de dispositivo pessoal (BYOD), a Normatizas poderá exigir requisitos mínimos de segurança e restringir armazenamento local de dados confidenciais.

• Evitar uso de redes públicas sem proteção adequada.
• Não deixar sessões abertas em computadores compartilhados.
• Utilizar armazenamento em nuvem institucional quando indicado.
• Comunicar imediatamente perda, roubo, furto ou suspeita de comprometimento de dispositivo.

10. Plataforma educacional e conteúdos

• Acesso administrativo à plataforma deve ser restrito, registrado e revisado periodicamente.
• Conteúdos de curso, certificados, listas de alunos e relatórios são ativos protegidos.
• Uploads devem ser verificados para evitar malware, dados indevidos, violação de direitos autorais ou exposição de informações confidenciais.
• Certificados e registros acadêmicos devem ter controles para evitar adulteração, duplicidade ou emissão indevida.

11. Uso de inteligência artificial e ferramentas externas

O uso de ferramentas de inteligência artificial, tradução, transcrição, automação, análise de documentos ou serviços externos deve respeitar confidencialidade, propriedade intelectual, LGPD, contratos com clientes e segurança da informação.

• Não inserir dados pessoais sensíveis, credenciais, contratos sigilosos, listas de alunos, relatórios confidenciais ou informações de clientes em ferramentas não aprovadas.
• Validar resultados gerados por IA antes de uso profissional, publicação ou entrega a cliente.
• Não utilizar conteúdo de curso, materiais proprietários ou dados de alunos para treinar modelos externos sem autorização formal.

12. Backup, continuidade e retenção

Informações críticas devem possuir rotinas de backup, retenção, teste de restauração e proteção contra exclusão indevida, conforme criticidade e viabilidade técnica. Registros fiscais, contratuais, acadêmicos, certificados, logs e evidências devem respeitar prazos legais, contratuais e de defesa de direitos.

13. Monitoramento e privacidade

A Normatizas poderá monitorar acessos, logs, uso de sistemas, eventos de segurança, tráfego, mensagens corporativas e atividades na plataforma para segurança, suporte, auditoria, prevenção a fraude, proteção de dados e cumprimento de políticas. O monitoramento deve ser proporcional, transparente quando aplicável e compatível com a legislação.

14. Gestão de incidentes

1. Identificar e comunicar o incidente ou suspeita imediatamente.
2. Preservar evidências, prints, e-mails, logs, horários, dispositivos e envolvidos.
3. Conter o incidente, alterando senhas, bloqueando acessos, isolando máquinas ou suspendendo compartilhamentos quando necessário.
4. Classificar impacto em confidencialidade, integridade, disponibilidade, dados pessoais, clientes e operação.
5. Acionar responsáveis: TI/Segurança, DPO, Diretoria, jurídico, fornecedor ou cliente, conforme o caso.
6. Registrar causa, ações corretivas, lições aprendidas e medidas preventivas.

15. Violações e medidas disciplinares

Violações desta Política poderão resultar em orientação, advertência, suspensão de acesso, medidas contratuais, desligamento, cobrança de perdas e danos, comunicação a cliente ou autoridade, e outras providências cabíveis, conforme gravidade, dolo, reincidência e legislação aplicável.

Anexo I – Termo de responsabilidade pelo uso de recursos tecnológicos

• Declaro estar ciente de que contas e senhas são pessoais e intransferíveis.
• Declaro que protegerei dados pessoais, informações de clientes, conteúdos educacionais e ativos da Normatizas.
• Declaro que reportarei imediatamente incidentes, perdas, suspeitas de acesso indevido e violações de segurança.
• Declaro que não utilizarei recursos da Normatizas para finalidades ilícitas, não autorizadas ou incompatíveis com esta Política.

Referências legais e normativas principais

• Lei nº 13.709/2018 – LGPD.
• Lei nº 12.965/2014 – Marco Civil da Internet.
• Decreto nº 8.771/2016 – regulamentação do Marco Civil da Internet.
• Lei nº 9.609/1998 – proteção da propriedade intelectual de programa de computador.
• Lei nº 9.610/1998 – direitos autorais.
• Boas práticas inspiradas em ISO/IEC 27001, ISO/IEC 27002, ISO/IEC 27701 e princípios de segurança, privacidade, confidencialidade, integridade e disponibilidade.