Política de Descarte, Sanitização e Devolução de Equipamentos

Esta política estabelece os requisitos obrigatórios e procedimentos operacionais para a classificação, sanitização, descarte, devolução e controle de dispositivos computacionais (notebooks corporativos e pessoais, e demais mídias descritas na Seção 8) utilizados pelas equipes de Suporte, Consultoria e Infraestrutura. O objetivo principal é assegurar a confidencialidade, integridade e disponibilidade dos dados de clientes em ecossistemas SAP e ambientes correlatos, em estrita conformidade com a ISO/IEC 27001:2022, o framework COBIT 2019, a NIST SP 800-88 Rev. 1 e a Lei Geral de Proteção de Dados (Lei 13.709/2018 – LGPD).

Esta política complementa, e não substitui, a Política de Classificação da Informação e a Política de Gestão de Fornecedores da empresa.

Para garantir accountability em cada etapa do ciclo de vida do ativo, ficam definidos os seguintes papéis:

O Encarregado de Dados (DPO) é responsável por avaliar impactos à privacidade, atender solicitações de titulares relacionadas à eliminação de dados, e ser o ponto de contato em incidentes envolvendo dados pessoais durante o processo de descarte.

A equipe de TI Interna / Segurança da Informação é responsável por executar ou supervisionar a sanitização, emitir os certificados técnicos, manter o inventário de ativos e conduzir a due diligence dos parceiros de destruição.

Os Gestores de Área (Suporte, Consultoria, Infraestrutura) são responsáveis por comunicar a saída de colaboradores ou o encerramento de projetos em até 24 horas à Segurança da Informação, garantindo o cumprimento do prazo de revogação de acessos.

O RH é responsável por formalizar, no desligamento, a coleta do ativo corporativo ou a execução do termo BYOD antes da liberação final do colaborador.

Qualquer exceção a esta política (ex: impossibilidade temporária de destruição física, prorrogação de prazos) deve ser formalmente aprovada pela Segurança da Informação e registrada com justificativa, prazo e responsável.

Antes de qualquer procedimento de descarte, a mídia deve ser avaliada quanto ao nível de dado que armazenou, conforme a Política de Classificação da Informação vigente:

• Dados classificados como Públicos ou Internos permitem sanitização por Clear (limpeza lógica padrão).
• Dados classificados como Confidenciais (ex: dados de clientes, credenciais, código-fonte) exigem sanitização por Purge, conforme NIST SP 800-88 Rev. 1, com sobrescrita completa e verificação.
• Dados classificados como Restritos ou Sensíveis (dados pessoais sensíveis conforme art. 5º, II da LGPD, segredos industriais de clientes) exigem Destroy — destruição física da mídia, sem exceção, independentemente do estado do dispositivo.

Em caso de dúvida sobre a classificação, a mídia deve ser tratada com o nível de exigência mais alto (Destroy).

É terminantemente vedado o download e armazenamento local (em SSD ou HDD local) de bases de dados SAP, dumps de banco, arquivos de código-fonte (ABAP/Java/Fiori), relatórios operacionais ou credenciais de acesso de clientes.

Todo e qualquer trabalho de suporte, consultoria ou administração de infraestrutura deve ser conduzido exclusivamente via canais seguros homologados: VPNs dedicadas, Bastion Hosts, SAP GUI/Fiori sobre TLS/HTTPS, ou SSH com autenticação multifator.

Mediante o encerramento do vínculo contratual de um colaborador ou finalização de projeto, todos os perfis, contas, certificados e chaves de acesso aos ambientes do cliente serão sumariamente revogados em até no máximo 2 horas, contadas a partir da comunicação formal do Gestor de Área.

Toda a informação pessoal tratada durante atividades de suporte (logs, tickets, gravações de tela) deve observar prazo de retenção definido em contrato com o cliente ou, na ausência deste, prazo padrão de 12 meses, findo o qual será eliminada ou anonimizada, salvo obrigação legal de guarda.

Aplica-se a todos os notebooks de propriedade direta da empresa fornecidos às equipes operacionais.

5.1. Criptografia Nativa e Gerenciamento Central

Todos os ativos corporativos possuem criptografia de disco total (Full Disk Encryption – FDE via BitLocker/FileVault) habilitada por padrão, com gerenciamento centralizado de chaves via MDM (Mobile Device Management). O status de criptografia é auditado trimestralmente pela equipe de Segurança da Informação.

5.2. Procedimentos de Sanitização de Dados (Data Wiping)

Para reutilização interna (Purge/Clear), equipamentos redirecionados a novos colaboradores passam por sanitização de mídia utilizando software homologado conforme a norma NIST SP 800-88 Rev. 1, garantindo a sobrescrita completa de todos os blocos de memória, com verificação pós-processo.

Para obsolescência ou descarte definitivo (Destroy), SSDs e HDDs destinados ao descarte passam por processo de destruição física (trituração ou desmagnetização) conduzido por parceiro especializado e homologado, conforme critérios da Seção 7.

5.3. Certificação e Descarte Ecológico

Todo descarte físico de e-waste é realizado sob estritos padrões ambientais, em conformidade com a Política Nacional de Resíduos Sólidos (Lei 12.305/2010).

A equipe de TI Interna gera um Termo e Certificado de Sanitização contendo número de série do dispositivo, modelo, método empregado, responsável técnico e data da execução, disponibilizado para auditoria de clientes mediante solicitação e retido por, no mínimo, 5 anos.

Aplica-se aos consultores e especialistas que utilizam dispositivos de sua propriedade no exercício das atividades operacionais.

6.1. Arquitetura de Isolamento e Prevenção DLP

A prestação de serviços a partir de dispositivos pessoais ocorre obrigatoriamente dentro de contêineres virtuais gerenciados (VDI / Desktop Virtual) dotados de políticas ativas de Data Loss Prevention (DLP), incluindo: bloqueio total de cópia e cola (clipboard) entre a sessão do cliente e o sistema operacional hospedeiro, incapacidade de mapeamento de unidades de disco locais na sessão remota, e bloqueio de captura de tela e impressão local.

6.2. Desmobilização e Wipe Seletivo (Enterprise Wipe)

A desmobilização de dispositivos BYOD segue três etapas obrigatórias e sequenciais: primeiro, o Enterprise Wipe remoto, com execução do apagamento remoto exclusivo do perfil profissional e contêiner corporativo, sem qualquer interferência nos dados ou arquivos pessoais do proprietário; segundo, a revogação de agentes e certificados, com remoção de perfis MDM/MAM, certificados digitais e agentes VPN instalados; terceiro, a assinatura do Termo de Declaração BYOD, no qual o colaborador declara a desmobilização completa do ambiente profissional e a inexistência de dados corporativos remanescentes no dispositivo.

O colaborador tem o direito de solicitar, a qualquer momento durante o vínculo, a exclusão do perfil corporativo de seu dispositivo pessoal, sem prejuízo funcional, mediante comunicação formal à Segurança da Informação.

Parceiros responsáveis pela destruição física de mídias devem, previamente à contratação, passar por avaliação de due diligence, incluindo verificação de certificações ambientais e de segurança aplicáveis. Devem também firmar Acordo de Confidencialidade (NDA) e cláusula contratual específica de proteção de dados, alinhada à LGPD, e Acordo de Nível de Serviço (SLA) definindo prazo máximo entre a coleta do ativo e a efetiva destruição.

A empresa reserva-se o direito de auditar anualmente os parceiros homologados, com renovação da qualificação sujeita a essa auditoria. A ausência de renovação da qualificação suspende automaticamente o uso do fornecedor para novos descartes.

Além de notebooks, esta política se estende, com as mesmas exigências de sanitização e certificação previstas nas Seções 3, 5 e 7, aos seguintes ativos: pendrives e HDs/SSDs externos utilizados em atividades de suporte ou consultoria, celulares e tablets corporativos com acesso a ambientes de cliente, e mídias de backup físico (fitas, discos) eventualmente utilizadas em projetos de infraestrutura.

Qualquer das situações a seguir deve ser reportada imediatamente à Segurança da Informação e ao Encarregado de Dados (DPO), no prazo máximo de 24 horas a partir da identificação: falha comprovada no processo de sanitização, perda, furto ou roubo de dispositivo antes da conclusão da destruição física, ou inconsistência ou invalidade em certificado emitido por parceiro terceirizado.

O incidente será tratado conforme o Plano de Resposta a Incidentes de Segurança da Informação vigente, com avaliação de necessidade de comunicação à ANPD e aos titulares de dados afetados, conforme critérios da LGPD (art. 48).

Todos os colaboradores das equipes de Suporte, Consultoria e Infraestrutura devem receber treinamento obrigatório sobre esta política no momento da admissão e em reciclagem anual, com registro de participação mantido para fins de auditoria.

A G2 Tecnologia reserva-se o direito de solicitar, a qualquer momento e a seu exclusivo critério, evidências, comprovantes ou validações técnicas de cumprimento de todas as obrigações e requisitos de segurança estabelecidos neste termo (incluindo, mas não se limitando a: comprovantes de licenciamento de software, relatórios de atualização do sistema operacional e status de conformidade da solução de Antivírus/Endpoint Protection).

O PRESTADOR compromete-se a fornecer as evidências solicitadas no prazo máximo de até [48 horas úteis] a contar da notificação formal encaminhada pela equipe de TI ou Segurança da Informação.