Descrição da Segurança dos Serviços

Esta Descrição da Segurança dos Serviços ("Descrição de Segurança") é incorporada aos, e faz parte dos, Termos e Condições da Grovity aceitos pelo Cliente, ou de qualquer contrato-quadro de prestação de serviços assinado ou contrato escrito similar entre a Grovity e o Cliente (em conjunto, o "Contrato"). As referências à "Grovity" referem-se à Grovity Services LLC, 600 Campana Ave, Miami, FL 33156, United States, e às suas afiliadas. "Cliente" refere-se ao Cliente contratante e às suas afiliadas.

Esta Descrição de Segurança descreve o programa de segurança aplicável aos Serviços da Grovity ("Serviços") e as salvaguardas que a Grovity mantém para proteger os Dados do Cliente (conforme definidos no Contrato) contra uso, acesso, divulgação, furto ou manipulação não autorizados. O programa de segurança da Grovity evolui continuamente; as atualizações desta Descrição de Segurança não reduzirão de forma relevante as proteções gerais aqui descritas. Os termos iniciados em letra maiúscula não definidos neste documento têm o significado que lhes é atribuído na Política de Privacidade.

O programa de segurança da Grovity é concebido com referência a estruturas reconhecidas do setor, incluindo:

• Os Trust Services Criteria do AICPA SOC 2 (segurança, disponibilidade, confidencialidade e integridade do processamento).
• ISO/IEC 27001 e ISO/IEC 27002.
• O NIST Cybersecurity Framework, o NIST SP 800-53 (famílias de controles) e o NIST SP 800-61 (tratamento de incidentes).
• O AWS Well-Architected Framework, incluindo seus pilares de Segurança e de Confiabilidade.
• O OWASP Application Security Verification Standard (ASVS), o OWASP API Security Top 10 e o OWASP Top 10 for Large Language Model Applications.

Os Serviços são construídos inteiramente sobre serviços gerenciados da Amazon Web Services (AWS) e de outros provedores de nível empresarial, sob um modelo de responsabilidade compartilhada:

• Controles herdados. Os controles físicos, ambientais, de rede e de plataforma são fornecidos pela AWS, que mantém as certificações ISO/IEC 27001, 27017 e 27018, os relatórios SOC 1, SOC 2 Tipo II e SOC 3, e a atestação PCI DSS Level 1 Service Provider. Os Clientes podem verificá-los de forma independente por meio do AWS Artifact. Os demais provedores críticos da Grovity mantêm suas próprias certificações, listadas na página de Suboperadores da Grovity.
• Controles da Grovity. Sobre essa base certificada, a Grovity implementa e opera seus próprios controles de identidade e acesso, criptografia em nível de aplicação e de campo, isolamento de tenant (locatário), desenvolvimento seguro, governança de IA e operações monitoradas, conforme descrito neste documento.

A documentação de segurança detalhada, os diagramas de arquitetura e de fluxo de dados e as respostas a questionários de segurança padrão estão disponíveis para Clientes e potenciais Clientes, mediante acordo de confidencialidade (NDA), por meio de security@grovity.ai.

Esta Descrição de Segurança aplica-se aos controles que a Grovity implementa para os Serviços em produção. Ela não abrange:

• Ofertas Beta ou Alpha (conforme descritas nos Termos e Condições).
• Serviços prestados diretamente por operadoras de telecomunicações, plataformas de mensagens, provedores de IA terceiros, redes de pagamento ou outros terceiros independentes, os quais são regidos pelos próprios termos de segurança desses provedores.
• Ambientes controlados pelo Cliente, incluindo os dispositivos e as redes do Cliente, as integrações desenvolvidas pelo Cliente e qualquer sistema fora do controle razoável da Grovity.

A Grovity mantém um programa de segurança da informação baseado em riscos, que abrange salvaguardas administrativas, técnicas e físicas adequadas à natureza dos Serviços, ao porte e à complexidade das operações da Grovity e à sensibilidade dos dados tratados. O programa abrange os seguintes domínios:

• Políticas e procedimentos
• Gestão de ativos
• Gestão de identidades e acessos
• Criptografia e gestão de chaves
• Segurança física e ambiental (fornecida por meio de regiões de nuvem certificadas)
• Segurança das operações e das comunicações
• Continuidade de negócios e recuperação de desastres
• Segurança de pessoal
• Desenvolvimento seguro e segurança de aplicações
• Segurança da infraestrutura de nuvem e de rede
• Gestão de vulnerabilidades e de patches
• Gestão de riscos de terceiros e de fornecedores
• Monitoramento de segurança e resposta a incidentes
• Governança de IA
• Conformidade

As políticas de segurança da informação são revisadas pelo menos anualmente. A segurança conta com patrocínio no nível executivo, sendo o Chief Technology Officer o responsável pelo programa de segurança. A Grovity mantém um roteiro (roadmap) de segurança, que é compartilhado com Clientes corporativos, mediante NDA, como parte de sua avaliação de risco de fornecedores.

A Grovity mantém controles para proteger a confidencialidade dos Dados do Cliente de acordo com o Contrato. O pessoal e os prestadores de serviços da Grovity com acesso aos Dados do Cliente estão vinculados a obrigações de confidencialidade que subsistem ao término de sua relação com a Grovity.

O programa de segurança de pessoal da Grovity abrange a integração (onboarding), a confidencialidade, a conscientização em segurança e o desligamento (offboarding). O acesso é concedido de acordo com a função e revogado prontamente quando do desligamento. Quando permitido pela legislação local e justificado pela função, a Grovity poderá realizar verificação de antecedentes. O pessoal recebe orientações sobre as políticas de segurança da Grovity, as práticas de desenvolvimento seguro, a engenharia social e os princípios de privacidade.

A Grovity utiliza provedores terceiros (tais como provedores de infraestrutura de nuvem, de banco de dados, de modelos de IA, de voz e de observabilidade) para prestar os Serviços. A Grovity opera um programa de Gestão de Riscos de Terceiros, no âmbito do qual os provedores são avaliados de acordo com sua criticidade antes da contratação, incluindo a análise de suas certificações de segurança e de seus termos de proteção de dados, e ficam sujeitos a supervisão contínua. Os Dados do Cliente devem ser devolvidos ou eliminados ao término da relação com um provedor.

A lista atual de suboperadores está publicada em https://www.grovity.ai/subprocessors. As operadoras de telecomunicações, as plataformas de mensagens e as redes de pagamento selecionadas ou contratadas pelo Cliente não são suboperadores da Grovity; seus serviços são regidos por seus próprios termos.

A Grovity celebra contratos escritos com seus suboperadores que incluem obrigações de confidencialidade, segurança e proteção de dados compatíveis com a legislação aplicável, incluindo compromissos de que os Dados do Cliente não sejam utilizados para treinar os modelos de uso geral dos provedores.

A plataforma da Grovity está hospedada na AWS nos Estados Unidos (região us-east-1), com regiões adicionais disponíveis para Clientes específicos mediante acordo comercial separado. A plataforma possui uma arquitetura multi-tenant e nativa de nuvem, definida como Infraestrutura como Código (Infrastructure-as-Code), o que garante reprodutibilidade, gestão de mudanças auditável e escalabilidade automática. O processamento principal é serverless e assíncrono, utilizando filas gerenciadas com filas de mensagens não entregues (dead-letter queues), de modo que as mensagens recebidas durante degradações parciais sejam retidas e processadas.

As cargas de trabalho de produção são executadas em ambientes de rede logicamente isolados e dedicados à Grovity. O isolamento de tenant é aplicado no lado do servidor: cada registro tratado pelos Serviços está vinculado a um identificador de tenant, e cada requisição e consulta é delimitada a esse identificador, independentemente da entrada do usuário ou da saída do modelo. A recuperação de informações da base de conhecimento pelos agentes de IA é igualmente delimitada ao tenant e ao agente solicitantes.

A infraestrutura utiliza múltiplas zonas de disponibilidade dentro da região da AWS para seus serviços gerenciados.

A Grovity segue o princípio do menor privilégio, utilizando acesso baseado em funções aos sistemas internos. O pessoal somente pode acessar os Dados do Cliente na medida exigida por sua função e suas responsabilidades. Os direitos de acesso são revisados periodicamente e revogados prontamente em caso de mudança de função ou desligamento.

O acesso administrativo à infraestrutura de produção utiliza identidades individuais e atribuíveis, por meio de um provedor de identidade centralizado (AWS IAM Identity Center), com sessões criptografadas. Não são utilizadas contas compartilhadas para acesso humano. As ações administrativas na infraestrutura de nuvem são registradas em logs de auditoria (AWS CloudTrail).

As credenciais dos usuários do Cliente são gerenciadas por meio do Amazon Cognito e armazenadas utilizando hashing unidirecional robusto. Os Clientes podem habilitar a autenticação multifator para seus usuários. A federação com o provedor de identidade corporativo do Cliente (OIDC ou SAML 2.0) está disponível para Clientes corporativos. O acesso à API utiliza tokens que são armazenados como hashes e podem ser rotacionados ou revogados.

As mudanças no software e na infraestrutura são gerenciadas por meio de controle de versões e de Infraestrutura como Código, com revisão por pares antes da implantação em produção. As implantações são rastreáveis até a mudança correspondente, e há procedimentos de reversão (rollback) disponíveis. As configurações e os prompts dos agentes são versionados, de modo que seja possível identificar a configuração vigente em qualquer momento.

Os endpoints públicos da plataforma exigem TLS 1.2 ou superior. Protocolos legados (SSLv3, TLS 1.0 e TLS 1.1) não são suportados. As conexões com bancos de dados e com provedores são criptografadas.

Os Dados do Cliente em repouso são criptografados com AES-256 utilizando o AWS Key Management Service (KMS) ou a criptografia nativa equivalente de cada serviço gerenciado. Os dados mais sensíveis (tais como credenciais de terceiros, tokens de acesso a canais e chaves de integração) recebem uma camada adicional de criptografia em nível de aplicação.

As chaves de criptografia são gerenciadas no AWS KMS, que utiliza módulos de segurança de hardware validados segundo o FIPS 140. Os segredos das aplicações são armazenados no AWS Secrets Manager e no AWS Systems Manager Parameter Store, nunca no código-fonte. O acesso a chaves e segredos é restrito a funções autorizadas e registrado em log. Chaves gerenciadas pelo cliente (BYOK) podem ser oferecidas a Clientes corporativos mediante acordo comercial separado.

A Grovity utiliza certificados TLS emitidos por autoridades certificadoras reconhecidas, com renovação automática.

Os endpoints públicos são precedidos por serviços gerenciados pela AWS que incluem a proteção do AWS Shield Standard contra ataques DDoS comuns nas camadas de rede e de transporte. A Grovity aplica controle de vazão (throttling) e limitação de taxa (rate limiting) às suas APIs, e validação tipada de entradas com listas de campos permitidos (allowlists) em seus endpoints.

A Grovity gerencia as vulnerabilidades com base em riscos. As dependências são fixadas por meio de arquivos de bloqueio (lockfiles) e mantidas atualizadas. Como os Serviços são executados principalmente em serviços gerenciados e serverless, a aplicação de patches do sistema operacional dessa infraestrutura é realizada pelo provedor de nuvem; os componentes que a Grovity opera diretamente recebem patches mediante sua reconstrução e reimplantação. As vulnerabilidades identificadas são priorizadas e corrigidas de acordo com sua gravidade.

O programa de segurança da Grovity prevê testes de intrusão independentes da plataforma, abrangendo o perímetro externo, as APIs, o isolamento de tenant e a superfície dos agentes de IA (incluindo o OWASP Top 10 for LLM Applications). Os Clientes corporativos podem solicitar informações sobre os testes de segurança, mediante NDA, como parte de sua avaliação de risco de fornecedores. Os Clientes não podem realizar seus próprios testes de segurança dos Serviços sem um acordo escrito prévio de testes com a Grovity (consulte a Política de Uso Aceitável).

A Grovity mantém procedimentos de gestão de incidentes alinhados ao NIST SP 800-61, que abrangem detecção, análise, contenção, erradicação, recuperação e revisão pós-incidente.

Ao descobrir ou ser notificada de um incidente de segurança que afete os Dados do Cliente, a Grovity irá:

• Investigar prontamente o incidente e adotar medidas de contenção.
• Notificar o Cliente afetado sem demora injustificada e, em qualquer caso, em até setenta e duas (72) horas após tomar conhecimento razoável de um incidente que afete ou possa afetar os Dados do Cliente, salvo se um prazo menor for estabelecido no Contrato ou no SLA aplicável.
• Fornecer as informações razoavelmente disponíveis sobre a natureza do incidente, as categorias de dados afetadas, as medidas adotadas e as ações corretivas planejadas.
• Cooperar com o Cliente nas notificações regulatórias e nas comunicações aos Titulares, na medida em que o incidente esteja dentro do controle razoável da Grovity.

A Grovity acolhe relatos de vulnerabilidades de segurança feitos por pesquisadores e Clientes. Os relatos podem ser enviados 24 horas por dia, 7 dias por semana, para security@grovity.ai e devem incluir uma descrição do problema e os passos para reproduzi-lo. A Grovity confirmará o recebimento, manterá o relator informado sobre o andamento e não adotará medidas judiciais contra pesquisas de boa-fé que: não acessem, modifiquem ou retenham dados de outros usuários além do estritamente necessário para demonstrar o problema; não degradem os Serviços; e concedam à Grovity prazo razoável para a correção antes de qualquer divulgação pública. O arquivo de contato legível por máquina da Grovity está publicado em https://www.grovity.ai/.well-known/security.txt.

Os Serviços utilizam serviços gerenciados com escalabilidade automática, distribuídos em múltiplas zonas de disponibilidade. O processamento assíncrono com filas e filas de mensagens não entregues (dead-letter queues) evita a perda de mensagens durante degradações parciais, e a definição como Infraestrutura como Código permite que o ambiente seja reconstruído de forma controlada. O monitoramento e os alertas (Amazon CloudWatch e rastreamento de erros da aplicação) notificam a equipe de operações sobre anomalias em tempo real.

Os compromissos de disponibilidade do serviço, os tempos de resposta a incidentes e os objetivos de recuperação estão estabelecidos no Acordo de Nível de Serviço (SLA) publicado em https://www.grovity.ai/sla ou no Contrato do Cliente.

Os dados críticos (informações de conta, configuração, histórico de conversas, arquivos e outros dados operacionais) são objeto de backup utilizando os recursos de backup gerenciado dos provedores de banco de dados e de armazenamento da Grovity. Os backups são criptografados, armazenados de forma redundante e retidos de acordo com ciclos de retenção definidos, após os quais são sobrescritos ou eliminados.

A infraestrutura de produção da Grovity está hospedada nos Estados Unidos. O pessoal da Grovity que presta suporte pode estar localizado nos Estados Unidos, na Colômbia, no Brasil, na Guatemala e na Jamaica, e acessa a plataforma somente pelos canais controlados descritos na Seção 9. As transferências internacionais de dados pessoais são regidas pela Política de Privacidade e pelos mecanismos contratuais aplicáveis. A implantação em uma região adicional está disponível mediante acordo comercial separado.

A Grovity mantém registro centralizado de logs, monitoramento e rastreamento de erros. Credenciais, tokens e dados pessoais são mascarados ou ocultados nos logs operacionais. Os logs são acessíveis somente ao pessoal autorizado e retidos de acordo com a política de retenção da Grovity e com os compromissos contratuais.

Os agentes de IA operam dentro de uma camada de orquestração controlada: somente podem invocar funções de negócio predefinidas que lhes tenham sido atribuídas, com parâmetros tipados validados no lado do servidor; as instruções de sistema são mantidas separadas do conteúdo dos Usuários Finais; e a recuperação de conhecimento é delimitada ao tenant solicitante. Dados de cartões de pagamento (PAN, CVV) nunca são incluídos em prompts. O Conteúdo do Cliente não é utilizado para treinar modelos de terceiros. Mais detalhes estão disponíveis na declaração de IA Responsável da Grovity.

Os Serviços podem ser configurados para tratar dados sensíveis, incluindo informações relacionadas à saúde, sujeito ao Adendo de Dados de Saúde e às obrigações do Cliente nele descritas. As Informações de Saúde Protegidas (PHI) nos termos da HIPAA somente podem ser tratadas no âmbito de um Business Associate Agreement celebrado com a Grovity.

O Cliente é responsável por: (i) manter seguras suas credenciais e seus fatores de autenticação e habilitar a autenticação multifator para seus usuários; (ii) configurar adequadamente seu tenant, incluindo as funções de acesso, as instruções dos agentes e as credenciais de integração; (iii) garantir que seus Usuários Finais cumpram a Política de Uso Aceitável; (iv) classificar os dados que envia e não transmitir categorias de dados além do escopo do Serviço contratado; e (v) implementar controles complementares em seu próprio ambiente.

A Grovity poderá atualizar esta Descrição de Segurança periodicamente. As atualizações não reduzirão de forma relevante as proteções gerais aqui descritas. As alterações relevantes serão comunicadas de acordo com os Termos e Condições.