1. OBJETIVO E ESCOPO
Este Plano de Resposta a Incidentes (PRI) estabelece os procedimentos que a Royal Advice adotará em caso de incidente de segurança que possa causar risco ou dano relevante aos titulares de dados pessoais, em conformidade com os arts. 46 e 48 da Lei nº 13.709/2018 (LGPD).
Aplica-se a todos os dados pessoais tratados pela Royal Advice, sejam de clientes, colaboradores, fornecedores ou terceiros, independentemente do meio de armazenamento (físico ou digital).
2. DEFINIÇÃO DE INCIDENTE
Para fins deste Plano, considera-se incidente de segurança qualquer evento que resulte em:
- Acesso não autorizado a dados pessoais
- Destruição, perda, alteração ou divulgação indevida de dados pessoais
- Vazamento de dados (data breach) — intencional ou acidental
- Sequestro de dados (ransomware) ou ataque cibernético que afete dados pessoais
- Roubo ou extravio de dispositivos com dados pessoais (notebook, pendrive, HD externo)
- Envio equivocado de dados a destinatário não autorizado
- Comprometimento de credenciais de acesso ao Royal Office ou sistemas contábeis
- Falha em sistemas de backup resultando em perda irreversível de dados
3. CLASSIFICAÇÃO DOS INCIDENTES
| Nível | Critérios | Prazo de Resposta Inicial | Notificação ANPD |
|---|
| Crítico |
Vazamento em larga escala (>100 titulares); dados sensíveis afetados; comprometimento sistêmico; extorsão |
Imediato — até 2 horas |
Obrigatória em até 72h (Art. 48) |
| Alto |
Acesso não autorizado confirmado; dados fiscais/bancários expostos; >10 titulares afetados |
Até 4 horas |
Avaliar obrigatoriedade; notificar se houver risco relevante |
| Médio |
Suspeita de acesso indevido; envio equivocado de dados a terceiro; falha de sistema com exposição limitada |
Até 12 horas |
Registro interno; notificação conforme análise |
| Baixo |
Tentativa de acesso bloqueada; erro sem exposição real; 1 titular afetado sem dado sensível |
Até 24 horas |
Registro interno; sem notificação obrigatória |
4. EQUIPE DE RESPOSTA A INCIDENTES (ERI)
| Função | Responsável | Contato |
|---|
| Coordenador / DPO | Pablo Escurra | diretoria@royaladvice.com.br / [TELEFONE] |
| Responsável Técnico (TI) | [NOME DO RESPONSÁVEL TI] | [EMAIL] / [TELEFONE] |
| Responsável Jurídico | [NOME DO ADVOGADO] | [EMAIL] / [TELEFONE] |
| Responsável Comunicação | Pablo Escurra | diretoria@royaladvice.com.br |
| Backup / Substituto | [NOME] | [CONTATO] |
5. FLUXO DE RESPOSTA AO INCIDENTE
5.1 Linha do Tempo — Resposta Obrigatória
H+0 — Detecção e Comunicação Interna
Qualquer colaborador que detectar ou suspeitar de incidente deve comunicar imediatamente ao DPO (Pablo Escurra) por telefone e e-mail. Não tentar resolver sozinho. Preservar evidências.
H+2 — Contenção Inicial
DPO aciona a ERI. Equipe técnica isola sistemas afetados (desconectar da rede se necessário). Revogar credenciais comprometidas. Fazer snapshot/log do estado atual para evidência.
H+4 — Avaliação e Classificação
ERI avalia: quais dados foram afetados, quantos titulares, se houve exposição real, se há risco de dano. Classifica o incidente (Crítico/Alto/Médio/Baixo). Documenta no Registro de Incidentes.
H+24 — Notificação aos Clientes Afetados
Para incidentes Críticos e Altos: comunicar os clientes/titulares afetados por e-mail e/ou telefone, informando o que ocorreu, dados afetados, riscos e medidas tomadas. Linguagem clara e acessível.
H+48 — Notificação à ANPD (se obrigatório)
Para incidentes com risco ou dano relevante: notificar a ANPD através do portal gov.br/anpd, preenchendo o formulário de comunicação de incidente (Art. 48, LGPD). Prazo máximo: 72 horas após a ciência.
D+7 — Relatório Pós-Incidente
ERI elabora relatório completo: causa raiz, impacto, ações de contenção, lições aprendidas e melhorias implementadas. Documentar no Registro de Incidentes. Arquivar por mínimo 5 anos.
D+30 — Revisão de Controles
Revisar e atualizar controles de segurança, políticas e procedimentos para prevenir recorrência. Treinar equipe conforme necessidade.
6. PROCEDIMENTOS DE CONTENÇÃO POR TIPO DE INCIDENTE
6.1 Vazamento de Dados (Data Breach)
- Identificar a origem e o escopo do vazamento
- Suspender acesso ao sistema/arquivo comprometido
- Revogar tokens e senhas expostos imediatamente
- Contactar o destinatário dos dados, se conhecido, solicitando exclusão e não divulgação
- Preservar logs de acesso como evidência forense
- Classificar e acionar fluxo de notificação conforme Seção 5
6.2 Ransomware / Ataque Cibernético
- Isolar imediatamente os dispositivos afetados da rede (desligar Wi-Fi/cabo)
- NÃO pagar o resgate sem orientação jurídica
- Acionar suporte técnico especializado em resposta a ransomware
- Verificar integridade dos backups e iniciar processo de recuperação
- Registrar Boletim de Ocorrência na Polícia Civil (crimes informáticos)
- Notificar ANPD e clientes conforme classificação (Crítico)
6.3 Roubo ou Extravio de Dispositivo
- Reportar imediatamente ao DPO
- Identificar quais dados pessoais estavam no dispositivo
- Revogar credenciais de acesso remoto associadas ao dispositivo
- Realizar limpeza remota (wipe), se disponível
- Registrar Boletim de Ocorrência
- Avaliar notificação à ANPD conforme dados afetados
6.4 Envio Indevido de Dados
- Contactar imediatamente o destinatário e solicitar exclusão e confirmação escrita
- Registrar o ocorrido com prints/evidências
- Avaliar o risco para o titular (dados sensíveis? volume?)
- Notificar o titular afetado, se o risco for relevante
- Revisar processo interno que originou o erro
7. NOTIFICAÇÃO À ANPD — INFORMAÇÕES OBRIGATÓRIAS (Art. 48)
O formulário de notificação à ANPD deve conter:
- Identificação do controlador (Royal Advice — CNPJ, endereço, DPO)
- Descrição da natureza dos dados pessoais afetados
- Número aproximado de titulares afetados
- Data de ocorrência e data de ciência do incidente
- Possíveis consequências do incidente
- Medidas técnicas e de segurança adotadas para proteção dos dados
- Riscos relacionados ao incidente
- Indicação se os titulares foram ou serão comunicados e quando
Portal de Notificação ANPD: gov.br/anpd → Comunicação de Incidentes
8. REGISTRO DE INCIDENTES
Todo incidente, independentemente do nível, deverá ser registrado no Registro de Incidentes de Segurança (planilha/sistema de gestão de incidentes), contendo:
- Número de referência e data/hora do incidente
- Descrição do ocorrido e classificação
- Dados afetados (categorias e volume estimado)
- Titulares afetados e impacto
- Ações tomadas e responsáveis
- Notificações realizadas (ANPD, titulares, terceiros)
- Status (em andamento / encerrado)
- Lições aprendidas e melhorias implementadas
Os registros deverão ser mantidos por mínimo de 5 anos.
9. TREINAMENTO E CONSCIENTIZAÇÃO
A Royal Advice realizará:
- Treinamento inicial sobre proteção de dados para todos os novos colaboradores
- Reciclagem anual sobre segurança da informação e procedimentos deste Plano
- Simulações de incidente (tabletop exercises) semestrais
- Comunicados internos sobre boas práticas sempre que incidentes de mercado forem relevantes
10. REVISÃO E ATUALIZAÇÃO DO PLANO
Este Plano deverá ser revisado:
- Anualmente, pelo DPO
- Após qualquer incidente classificado como Alto ou Crítico
- Quando houver alteração relevante na legislação ou nos sistemas da Royal Advice
- Quando houver mudanças significativas na estrutura organizacional
Pablo Escurra
Diretor / DPO — Royal Advice
CPF: ___.___.___-__
Responsável Técnico
[NOME]
CPF: ___.___.___-__
[CIDADE/UF], _____ de __________________ de 2026
Royal Advice Assessoria e Consultoria Contábil | privacidade@royaladvice.com.br | royaladvice.com.br
Plano elaborado em conformidade com os arts. 46 e 48 da Lei nº 13.709/2018 — LGPD