Política de Segurança Cibernética e de Privacidade de Dados
Os controles de segurança da informação e de tratamento de dados pessoais aplicados à plataforma 3B Pagamentos. Versão 1.0, de 5 de setembro de 2026.
1. Objetivo e abrangência
Esta política define os controles de segurança da informação e as regras de tratamento de dados pessoais aplicáveis à plataforma 3B Pagamentos, ao site 3bpagamentos.com, ao painel do vendedor, ao aplicativo, às páginas de checkout e a toda a infraestrutura de apoio. Aplica-se a sócios, colaboradores, prestadores e a qualquer pessoa com acesso a sistemas ou a dados da plataforma.
Este documento é também a Política de Segurança da Informação da 3B: ele reúne, num texto único, os controles de segurança da informação, de segurança cibernética e de proteção de dados pessoais.
Ela é parte integrante dos Termos de Uso e complementa a Política de Privacidade, que descreve, em linguagem voltada ao titular, quais dados são coletados e como exercer os seus direitos.
Esta política é revisada no mínimo a cada doze meses, e sempre que houver mudança relevante de arquitetura, de fornecedor crítico ou de legislação aplicável.
2. Governança e responsabilidades
A responsabilidade pela segurança não é difusa: ela tem nome, e a violação desta política sujeita o responsável à revogação de acesso e às medidas contratuais e legais cabíveis.
Responsável técnico
Responde pela arquitetura, pelos controles técnicos, pela gestão de credenciais e pela aplicação desta política nos sistemas.
Responsável operacional
Responde pelo atendimento a solicitações de titulares, pela análise de cadastros, pelo monitoramento da carteira e pelo registro de incidentes.
Canal do titular
privacidade@3bpagamentos.com, para exercer qualquer direito previsto na LGPD.
3. Dados de cartão e escopo PCI DSS
Dado de cartão nunca transita nem é armazenado em servidor da 3B. A captura do número, da validade e do código de segurança acontece em campo hospedado pelo provedor de pagamento, carregado dentro da página de checkout, e o dado é tokenizado na origem. A plataforma recebe e armazena apenas o token, os quatro últimos dígitos e a bandeira.
Por essa arquitetura, a 3B se enquadra no questionário de autoavaliação SAQ A. Não existe, em nenhum ponto do sistema, campo, registro de log, tabela ou arquivo que receba número de cartão completo, e há verificação automatizada no servidor que recusa a requisição caso um valor com estrutura de número de cartão seja enviado no lugar do token.
A autenticação forte do portador (3-D Secure) está habilitada em todos os caminhos de venda com o comprador presente.
4. Dados pessoais e LGPD
O tratamento de dados pessoais observa a Lei nº 13.709/2018.
Finalidade e minimização
Coletamos apenas o necessário para operar a plataforma, processar pagamentos, repassar valores aos fornecedores, prevenir fraude, prestar suporte e cumprir obrigação legal e regulatória. Não vendemos dados pessoais.
Bases legais
Execução de contrato, cumprimento de obrigação legal e regulatória, e legítimo interesse na prevenção à fraude e na segurança da operação.
Direitos do titular
Acesso, correção, portabilidade, anonimização, eliminação e revogação de consentimento, pelo canal privacidade@3bpagamentos.com. A solicitação é registrada e respondida dentro do prazo legal.
Retenção
Os dados são mantidos pelo tempo necessário às finalidades descritas e pelos prazos exigidos pela legislação e pelas regras das bandeiras, em especial os prazos de contestação e de guarda fiscal. Encerrado o prazo, são eliminados ou anonimizados.
Transferência internacional
A infraestrutura e os processadores de pagamento estão sediados no exterior. A transferência observa as hipóteses da LGPD e é feita para fornecedores contratualmente obrigados a padrão de proteção compatível.
5. Controle de acesso
Menor privilégio
O acesso a dados e a funções administrativas é concedido pelo mínimo necessário à função e revogado no desligamento ou no fim da necessidade.
Segregação no banco de dados
As tabelas com dado sensível operam com segurança em nível de linha ativada e sem política de leitura para os perfis do cliente: são acessíveis apenas pelo papel de serviço, no servidor. As colunas sensíveis do cadastro do vendedor são travadas por lista de permissão explícita, de modo que coluna nova nasce inacessível ao cliente por padrão.
Autenticação em dois fatores
A plataforma oferece segundo fator por aplicativo autenticador (TOTP), com códigos de recuperação de uso único guardados em resumo criptográfico. O segredo do fator nunca é gravado em base da 3B.
Contas administrativas
O acesso ao painel administrativo é restrito a pessoas identificadas, e toda ação relevante é atribuída ao seu autor na trilha de auditoria.
6. Criptografia e gestão de segredos
Em trânsito
Todo tráfego é servido exclusivamente por HTTPS com TLS, incluindo site, painel, checkout e chamadas de servidor a servidor.
Em repouso
Banco de dados e armazenamento de arquivos são mantidos em provedor gerenciado com criptografia em repouso.
Segredos
Chaves de processador, segredos de webhook e credenciais de serviço ficam em cofre de variáveis de ambiente, jamais no repositório de código e jamais em qualquer artefato entregue ao navegador. O código publicado ao cliente carrega apenas chaves públicas.
Rotação
Credencial é rotacionada imediatamente diante de suspeita de exposição, de desligamento de pessoa com acesso ou de exigência do provedor, com substituição feita diretamente no cofre, sem passar por canal de mensagem, arquivo local ou captura de tela.
7. Documentos e dados sensíveis de cadastro
Documento de identidade e comprovantes enviados no cadastro do vendedor são gravados em armazenamento privado, sem acesso público, e não são servidos por endereço permanente. A leitura só acontece por link assinado de curta validade, emitido pelo servidor para um analista identificado, e cada abertura de documento é registrada na trilha de auditoria com o autor e o horário.
Documento fiscal, dados bancários e demais campos sensíveis ficam em tabela apartada do cadastro comum, acessível apenas pelo papel de serviço, e são exibidos mascarados por padrão na tela de análise. A exibição do valor completo é ação explícita e também entra na trilha.
8. Integridade das transações
Valor resolvido no servidor
Preço, taxas, valor devido ao fornecedor e conta de destino são sempre resolvidos no servidor, a partir da base de dados. O navegador do comprador nunca informa valor, taxa ou destino, e nada vindo do cliente é aceito como verdade sobre dinheiro.
Confirmação assinada
A confirmação de pagamento é aceita apenas por webhook com assinatura verificada sobre o corpo original da requisição, com comparação em tempo constante, janela de tolerância de reenvio e recusa de mensagem com data futura. Sem segredo configurado, nenhuma mensagem é aceita.
Idempotência
Eventos e cobranças carregam chave de idempotência e índice único, de modo que reentrega ou repetição não gera cobrança dupla, entrega dupla nem crédito indevido.
Livro-razão
Cada venda registra bruto, taxa, reserva e líquido do fornecedor, com conferência contra o extrato do processador.
9. Trilha de auditoria
Ações relevantes sobre cadastro de vendedor, documentos, decisões de análise, exibição de dado sensível e remoção de segundo fator são gravadas em trilha somente de acréscimo, com autor, horário, motivo e desfecho. A trilha não é editável pela aplicação e serve para reconstruir qualquer decisão com a informação disponível no momento em que ela foi tomada.
10. Fornecedores e subprocessadores
A plataforma é executada sobre provedores de infraestrutura, banco de dados, borda e envio de e-mail contratados sob termos que incluem obrigações de segurança e de proteção de dados, além dos processadores de pagamento. A contratação de fornecedor com acesso a dado pessoal ou a dado de transação é avaliada quanto a controles de segurança, localização e obrigações contratuais antes da integração.
11. Resposta a incidentes
Incidente de segurança é qualquer evento que comprometa, ou possa comprometer, a confidencialidade, a integridade ou a disponibilidade de dados ou de sistemas, incluindo exposição de credencial, acesso não autorizado e indisponibilidade relevante.
Detecção e registro
O evento é registrado com data, hora, origem e escopo suspeito.
Contenção
Revogação e rotação imediata das credenciais envolvidas, corte do acesso comprometido e bloqueio do vetor.
Avaliação
Determinação de quais dados e titulares foram afetados e do risco resultante.
Comunicação
Havendo risco relevante a titulares, comunicação à Autoridade Nacional de Proteção de Dados e aos titulares afetados em prazo razoável, na forma do art. 48 da LGPD, e comunicação ao processador de pagamento e a parceiros quando o incidente afetar a trilha de pagamento.
Correção e registro final
Correção da causa, revisão do controle que falhou e registro do desfecho.
12. Continuidade e disponibilidade
Banco de dados e arquivos são mantidos em provedor gerenciado com rotina automática de cópia de segurança e possibilidade de restauração. O código-fonte é versionado em repositório remoto, o que permite reconstruir e republicar a aplicação. A camada pública é servida por rede de borda distribuída, com proteção contra tráfego malicioso e sobrecarga.
13. Desenvolvimento e mudança
Toda alteração passa por verificação estática de tipos antes da publicação e é registrada em histórico de versões com autor e descrição. Mudança na trilha de pagamento é publicada apenas depois de registrada nesse histórico, de modo que exista sempre uma versão anterior para retorno. Segredo não entra em código. Um ambiente de homologação separado do de produção é usado para revisar alterações antes da publicação.
14. Vigência e revisão
Esta política entra em vigor na data de sua emissão e substitui qualquer orientação interna anterior sobre os mesmos temas. A Política de Privacidade, os Termos de Uso e a Política de Uso Aceitável integram este mesmo conjunto normativo.
Esta política é adotada também pela 3B Sistemas Digitais Ltda, inscrita no CNPJ 68.622.953/0001-25, responsável pela operação brasileira em habilitação.