Instrumentos Operacionais Complementares

# Instrumentos Operacionais Complementares — Eco Tech Financial OS Versão 1.0 — vigência a partir de 23 de agosto de 2026. ## 1. Finalidade Este instrumento consolida regras operacionais mínimas de proteção de dados para clientes, parceiros indicadores, agentes financeiros, fornecedores e administradores. Contratos e anexos específicos prevalecem quando estabelecerem controles adicionais. ## 2. Matriz de papéis Cada operação deve identificar controlador, operador, eventual controladoria conjunta, titular, destinatários e suboperadores. Nenhuma parte será classificada genericamente para todos os fluxos. As instruções, finalidades e responsabilidades devem ser registradas por operação. ## 3. Necessidade e menor privilégio O acesso é limitado ao necessário para função, cliente, produto e etapa. Parceiros acessam somente carteiras e operações atribuídas. Documentos sensíveis devem ser disponibilizados em ambiente controlado, com permissão, expiração e registro de visualização ou download. ## 4. Compartilhamento e Data Room Todo compartilhamento deve identificar operação, destinatário, finalidade, base legal, dados ou documentos, autor, data e expiração. O destinatário não pode reutilizar os dados para finalidade incompatível, repassar a terceiros não autorizados ou manter cópias além do prazo aplicável. ## 5. Fornecedores e suboperadores Fornecedores devem ser inventariados com serviço, dados tratados, país, local de processamento, papel, suboperadores, DPA, avaliação e status. Incidentes, solicitações de titulares e mudanças relevantes devem ser comunicados à Eco Tech nos prazos contratuais. ## 6. Segurança Aplicam-se segregação por tenant, menor privilégio, autenticação reforçada para perfis privilegiados, criptografia em trânsito e repouso quando suportada, URLs temporárias, logs, backups, versionamento, análise de arquivos e resposta a incidentes. Credenciais e chaves não podem ser compartilhadas ou armazenadas em código-fonte. ## 7. Retenção e término Cada categoria deve possuir finalidade, prazo, fundamento e destino. Encerrada a finalidade, os dados serão eliminados, anonimizados, bloqueados ou arquivados quando uma obrigação ou defesa de direito justificar conservação. ## 8. IA e automação Modelos recebem somente dados necessários, preferencialmente mascarados ou tokenizados. Devem ser registrados modelo, versão, categorias de entrada, fatores relevantes, resultado, necessidade de revisão humana e responsável pela revisão. Documentos completos não devem constar de logs ou prompts sem necessidade comprovada. ## 9. Incidentes e auditoria Eventos relevantes devem ser registrados de forma não alterável pelo usuário comum. Incidentes seguem detecção, contenção, avaliação de impacto, decisão de comunicação, remediação e relatório final, com preservação pelo prazo regulamentar aplicável. ## 10. Aceite e atualização Clientes e parceiros devem cumprir este instrumento e seus anexos específicos. Alterações relevantes serão versionadas e comunicadas. Dúvidas: compliance@ecotechsolucoes.com; privacidade: privacidade@ecotechsolucoes.com; segurança: suporte@ecotechsolucoes.com.