1. O que é um incidente

Qualquer evento que comprometa, ou possa ter comprometido, a confidencialidade, a integridade ou a disponibilidade de dados ou sistemas. Exemplos:

• acesso não autorizado a uma conta, a uma loja conectada ou ao banco de dados;
• vazamento ou exposição de token de acesso, chave de API ou chave de criptografia;
• dados de um cliente visíveis para outro cliente;
• ação executada numa loja sem autorização do vendedor;
• perda, alteração ou indisponibilidade prolongada de dados;
• computador ou conta da equipe comprometidos (malware, phishing, roubo de aparelho).

2. Quem responde

Qualquer pessoa da equipe que perceber um possível incidente deve avisar o coordenador imediatamente, por telefone ou mensagem, sem esperar ter certeza. Terceiros podem relatar problemas de segurança pelo e-mail eduardo@metalivre.com.br.

3. Etapas e prazos

4. Ferramentas de contenção

• Interruptor geral que suspende na hora toda escrita automática da plataforma nas lojas.
• Desfazer: toda ação executada numa loja guarda o estado anterior e pode ser revertida.
• Revogação de sessões e senhas de usuários, e desligamento de contas de colaboradores.
• Descarte dos tokens de acesso de uma loja (o vendedor também pode revogar a autorização pelo marketplace) e reconexão com token novo.
• Troca das chaves de API dos marketplaces e da chave de criptografia, o que invalida todos os tokens guardados.
• Registros de auditoria (ações executadas, mudanças de configuração e trilha de acesso por usuário) para reconstruir o que aconteceu.

5. Notificação — em até 72 horas

Confirmado um incidente que envolva dados pessoais ou dados de lojas, a MetaClick notifica, em até 72 horas da confirmação:

• o marketplace parceiro cujos dados foram afetados — TikTok Shop (pelos canais oficiais do Partner Center e do gerente de parceiros), Mercado Livre e Shopee (pelos canais oficiais de desenvolvedor) —, conforme os termos de cada um;
• os vendedores (clientes) cujas lojas ou dados foram afetados, por e-mail e por aviso dentro da plataforma;
• a Autoridade Nacional de Proteção de Dados (ANPD), quando o incidente puder gerar risco ou dano relevante aos titulares, nos termos do art. 48 da LGPD e da Resolução CD/ANPD nº 15/2024; e
• os titulares dos dados (por exemplo, compradores), nos mesmos casos — diretamente ou por meio do vendedor, que é quem tem relação com o comprador.

A comunicação informa, no mínimo: o que aconteceu e quando; quais dados e quantas lojas ou pessoas foram afetadas; os riscos; as medidas já tomadas e as recomendadas; e o contato do encarregado. Se nem tudo for conhecido em 72 horas, enviamos a comunicação inicial no prazo e complementamos assim que houver informação nova.

Quando o próprio marketplace ou o vendedor nos avisar de um incidente, colaboramos com a investigação e entregamos as informações e registros de que dispusermos.

6. Registro e guarda

Todo incidente, inclusive os que não exigiram notificação, fica registrado com a análise, as decisões tomadas e as comunicações feitas, e esse registro é guardado por no mínimo 5 anos.

7. Histórico

Nos últimos três anos a MetaClick não teve incidente de vazamento de dados que exigisse notificação, nem recebeu reclamação de autoridade ou de cliente sobre tratamento de dados.

8. Teste e revisão

O Plano é exercitado (simulação de mesa) e revisado ao menos uma vez por ano e após cada incidente real. Dúvidas: eduardo@metalivre.com.br.

1. What is an incident

Any event that compromises, or may have compromised, the confidentiality, integrity or availability of data or systems. Examples:

• unauthorized access to an account, a connected store or the database;
• leak or exposure of an access token, API key or encryption key;
• one customer's data visible to another customer;
• an action performed on a store without the seller's authorization;
• loss, alteration or prolonged unavailability of data;
• a team computer or account compromised (malware, phishing, stolen device).

2. Who responds

Anyone on the team who notices a possible incident must alert the coordinator immediately, by phone or message, without waiting to be certain. Third parties may report security issues to eduardo@metalivre.com.br.

3. Phases and deadlines

4. Containment tools

• A global kill switch that immediately suspends all automated writes to stores.
• Undo: every action performed on a store keeps the previous state and can be reverted.
• Revocation of user sessions and passwords, and deactivation of collaborator accounts.
• Disposal of a store's access tokens (the seller can also revoke the authorization in the marketplace) and reconnection with a new token.
• Rotation of marketplace API keys and of the encryption key, which invalidates every stored token.
• Audit logs (executed actions, configuration changes and per-user access trail) to reconstruct what happened.

5. Notification — within 72 hours

Once an incident involving personal data or store data is confirmed, MetaClick notifies, within 72 hours of confirmation:

• the affected marketplace partner — TikTok Shop (through the official Partner Center channels and the partner manager), Mercado Livre and Shopee (through their official developer channels) — as required by each one's terms;
• the sellers (customers) whose stores or data were affected, by e-mail and by an in-platform notice;
• the Brazilian Data Protection Authority (ANPD), when the incident may cause relevant risk or harm to data subjects, under article 48 of the LGPD and ANPD Resolution CD/ANPD No. 15/2024; and
• the data subjects (e.g., buyers) in the same cases — directly or through the seller, who holds the relationship with the buyer.

The notice includes at least: what happened and when; which data and how many stores or people were affected; the risks; the measures taken and recommended; and the DPO's contact. If not everything is known within 72 hours, we send the initial notice on time and supplement it as new information becomes available.

When a marketplace or a seller notifies us of an incident, we cooperate with the investigation and provide the information and logs we hold.

6. Records and retention

Every incident, including those that did not require notification, is recorded with the analysis, decisions made and communications sent, and the record is kept for at least 5 years.

7. History

In the last three years MetaClick has had no data breach requiring notification and has received no complaint from any authority or customer regarding data processing.

8. Testing and review

The Plan is exercised (tabletop simulation) and reviewed at least once a year and after every real incident. Questions: eduardo@metalivre.com.br.