1. Objetivo e escopo

Esta é a versão pública resumida da Política de Segurança da Informação da ONE IT SOLUTIONS LTDA (“One IT” ou “1IT”). Ela estabelece as diretrizes que a One IT adota para proteger as informações sob sua responsabilidade — incluindo os dados das operações de registro eletrônico de contratos de financiamento de veículos, de comunicação de venda e de gestão de garantias e gravames — e se aplica a colaboradores, prestadores de serviços, fornecedores e a todos os ambientes, sistemas e processos da empresa.

Por razões de segurança, detalhes técnicos e procedimentos internos não são publicados. Clientes e parceiros podem solicitar informações adicionais nos canais contratuais, sob confidencialidade.

2. Princípios

• Confidencialidade: a informação é acessível somente a pessoas e sistemas autorizados.
• Integridade: a informação é protegida contra alterações indevidas, acidentais ou intencionais.
• Disponibilidade: a informação e os serviços estão acessíveis quando necessários aos usuários autorizados.
• Autenticidade: a origem e a autoria das informações e transações podem ser verificadas.

Esses princípios se somam à privacidade desde a concepção, à rastreabilidade das operações e ao cumprimento da legislação aplicável, em especial da Lei nº 13.709/2018 (LGPD), cujo art. 46 exige medidas técnicas e administrativas de proteção de dados pessoais.

3. Governança

A alta direção da One IT patrocina esta Política e assegura os recursos necessários para a sua aplicação. A gestão da segurança da informação é conduzida por responsável designado, em articulação com o Encarregado pelo tratamento de dados pessoais. A Política e as normas complementares são revisadas periodicamente, e sempre que houver mudança relevante no negócio, na tecnologia ou na regulamentação. Os riscos de segurança são identificados, avaliados e tratados de forma contínua.

4. Referenciais adotados

O sistema de gestão de segurança da informação da One IT é estruturado de forma alinhada às boas práticas das normas ABNT NBR ISO/IEC 27001 (gestão de segurança da informação) e ABNT NBR ISO/IEC 27701 (gestão de privacidade da informação), utilizadas como referenciais. Esta Política não declara certificação nessas normas.

A Resolução CONTRAN nº 1.016/2024 exige a certificação ISO/IEC 27001 das empresas credenciadas para o registro de contratos e estabelece responsabilidade solidária entre o credor e a empresa registradora em incidentes com dados pessoais. A One IT estrutura os seus controles tendo em vista esses requisitos.

A One IT também considera os requisitos que as instituições financeiras observam ao contratar serviços de tecnologia, nos termos da Resolução CMN nº 4.893/2021, com as alterações de dezembro de 2025, que trata da política de segurança cibernética e da contratação de serviços de processamento e armazenamento de dados e de computação em nuvem. Isso inclui apoiar os clientes com informações, acesso a evidências e cláusulas contratuais compatíveis com essas exigências.

5. Controle de acesso

• Menor privilégio e necessidade de conhecer: cada pessoa recebe apenas os acessos indispensáveis às suas funções.
• Autenticação multifator (MFA): exigida para acessos administrativos, ambientes críticos e acessos remotos.
• Identidades individuais: credenciais pessoais e intransferíveis, sem contas compartilhadas para uso humano.
• Revisão periódica: acessos são revisados regularmente e revogados prontamente no desligamento ou na mudança de função.
• Segregação de funções e ambientes: desenvolvimento, homologação e produção são separados.

6. Criptografia

A One IT adota criptografia em trânsito, com protocolos seguros como TLS em versões atualizadas, e em repouso para bases de dados, cópias de segurança e informações sensíveis. Chaves e segredos são gerenciados com acesso restrito, rotação e segregação em relação ao código-fonte.

7. Registro de eventos e trilha de auditoria

Acessos, operações relevantes e eventos de segurança são registrados com data, hora e identificação do usuário ou sistema, formando trilhas de auditoria protegidas contra alteração. Os registros são monitorados para detectar comportamentos anômalos e mantidos pelos prazos legais e regulatórios, incluindo o prazo mínimo de 6 meses para registros de acesso a aplicações previsto no art. 15 da Lei nº 12.965/2014 e a guarda de registros de contratos exigida das empresas registradoras.

8. Desenvolvimento seguro

A segurança integra todo o ciclo de vida do software: requisitos de segurança e privacidade desde a concepção, revisão de código, análise de dependências, testes de segurança antes das publicações, gestão controlada de mudanças e proteção dos ambientes de integração e entrega. Dados reais de produção não são utilizados em ambientes de teste sem a devida anonimização ou proteção equivalente.

9. Gestão de vulnerabilidades e testes de intrusão

A One IT mantém processo contínuo de identificação e correção de vulnerabilidades, com varreduras periódicas, aplicação de atualizações de segurança em prazos definidos conforme a criticidade e testes de intrusão (pentests) realizados periodicamente e após mudanças relevantes, por equipes qualificadas. Os resultados são tratados com planos de correção acompanhados até a conclusão.

10. Cópias de segurança e continuidade

As informações críticas contam com cópias de segurança periódicas, protegidas por criptografia, armazenadas em local segregado e submetidas a testes regulares de restauração. A One IT mantém planos de continuidade de negócios e de recuperação de desastres, testados periodicamente.

O anexo da Resolução CONTRAN nº 807/2020 exige das empresas credenciadas para o registro de contratos a existência de site secundário capaz de retomar a operação em até 2 horas. A One IT projeta a sua arquitetura de continuidade para atender aos requisitos aplicáveis às empresas registradoras credenciadas, com redundância de infraestrutura e procedimentos de contingência.

11. Gestão de fornecedores

Fornecedores com acesso a informações ou sistemas da One IT passam por avaliação de segurança e privacidade proporcional ao risco, assinam cláusulas de confidencialidade e de proteção de dados, e são monitorados durante o contrato. Serviços de nuvem e de processamento de dados são contratados considerando localização dos dados, capacidade de auditoria, continuidade e requisitos regulatórios dos clientes.

12. Resposta a incidentes

A One IT mantém procedimento formal de resposta a incidentes, com etapas de detecção, contenção, erradicação, recuperação e análise pós-incidente. Os clientes afetados são comunicados prontamente, nos termos contratuais. Quando houver risco ou dano relevante aos titulares de dados pessoais, a comunicação à ANPD e aos titulares observa o art. 48 da LGPD e a Resolução CD/ANPD nº 15/2024, no prazo de 3 dias úteis. As lições aprendidas alimentam a melhoria contínua dos controles.

13. Conscientização e treinamento

Colaboradores e prestadores de serviços recebem orientação sobre segurança da informação e privacidade no ingresso e de forma periódica, incluindo prevenção a engenharia social e phishing, uso seguro de credenciais e comunicação de incidentes. O descumprimento desta Política pode resultar em medidas disciplinares e contratuais.

14. Como comunicar uma vulnerabilidade ou incidente

Se você identificou uma possível vulnerabilidade nos sites ou sistemas da One IT, ou suspeita de um incidente de segurança, comunique:

• pelo e-mail suporte@1it.com.br, para questões técnicas e incidentes operacionais;
• pelo e-mail ouvidoria@1it.com.br, para relatos que exijam tratamento confidencial;
• pelos formulários em /contato/, que geram número de protocolo.

Descreva o problema, os passos para reproduzi-lo e o possível impacto. Pedimos que não explore a vulnerabilidade além do necessário para demonstrá-la, não acesse, altere ou exclua dados de terceiros, não realize testes que afetem a disponibilidade dos serviços e não divulgue publicamente a falha antes que a One IT tenha oportunidade razoável de corrigi-la. Relatos feitos de boa-fé e nesses termos serão tratados com seriedade e confidencialidade.

15. Documentos relacionados

Consulte também a Política de Privacidade, a Política de Cookies e os Termos de Uso.

1. Purpose and scope

This is the public summary of the Information Security Policy of ONE IT SOLUTIONS LTDA (“One IT” or “1IT”). It sets out the guidelines One IT adopts to protect the information under its responsibility — including data from electronic vehicle financing contract registration, sale notification and collateral and lien management operations — and applies to employees, service providers, suppliers and all of the company’s environments, systems and processes.

For security reasons, technical details and internal procedures are not published. Customers and partners may request additional information through contractual channels, under confidentiality.

2. Principles

• Confidentiality: information is accessible only to authorized people and systems.
• Integrity: information is protected against improper, accidental or intentional changes.
• Availability: information and services are accessible to authorized users when needed.
• Authenticity: the origin and authorship of information and transactions can be verified.

These principles are complemented by privacy by design, traceability of operations and compliance with applicable law, in particular Brazilian Law No. 13,709/2018 (LGPD), whose article 46 requires technical and administrative measures to protect personal data.

3. Governance

One IT’s senior management sponsors this Policy and ensures the resources needed to apply it. Information security management is led by a designated officer, working together with the Data Protection Officer. The Policy and supplementary standards are reviewed periodically and whenever there is a relevant change in the business, technology or regulations. Security risks are continuously identified, assessed and treated.

4. Reference frameworks

One IT’s information security management system is structured in line with the best practices of ISO/IEC 27001 (information security management) and ISO/IEC 27701 (privacy information management), which are used as reference frameworks. This Policy does not state certification against these standards.

CONTRAN Resolution No. 1,016/2024 requires ISO/IEC 27001 certification for companies accredited for contract registration and establishes joint liability between the creditor and the registration company for incidents involving personal data. One IT designs its controls with these requirements in mind.

One IT also takes into account the requirements financial institutions must meet when contracting technology services under CMN Resolution No. 4,893/2021, as amended in December 2025, which addresses cybersecurity policy and the contracting of data processing and storage and cloud computing services. This includes supporting customers with information, access to evidence and contractual clauses compatible with those requirements.

5. Access control

• Least privilege and need to know: each person receives only the access essential to their role.
• Multi-factor authentication (MFA): required for administrative access, critical environments and remote access.
• Individual identities: personal, non-transferable credentials, with no shared accounts for human use.
• Periodic review: access rights are reviewed regularly and promptly revoked upon termination or change of role.
• Segregation of duties and environments: development, staging and production are kept separate.

6. Encryption

One IT uses encryption in transit, with secure protocols such as up-to-date versions of TLS, and at rest for databases, backups and sensitive information. Keys and secrets are managed with restricted access, rotation and segregation from source code.

7. Event logging and audit trail

Access, relevant operations and security events are logged with date, time and user or system identification, creating audit trails protected against tampering. Logs are monitored to detect anomalous behavior and retained for the legal and regulatory periods, including the minimum 6-month period for application access logs under article 15 of Law No. 12,965/2014 and the contract record-keeping required of registration companies.

8. Secure development

Security is part of the entire software lifecycle: security and privacy requirements from design, code review, dependency analysis, security testing before releases, controlled change management and protection of integration and delivery environments. Real production data is not used in test environments without proper anonymization or equivalent protection.

9. Vulnerability management and penetration testing

One IT maintains a continuous process for identifying and remediating vulnerabilities, with periodic scans, application of security updates within time frames defined by criticality, and penetration tests carried out periodically and after relevant changes by qualified teams. Findings are handled through remediation plans tracked until completion.

10. Backup and continuity

Critical information is backed up periodically, with backups encrypted, stored in a segregated location and subject to regular restore tests. One IT maintains business continuity and disaster recovery plans, which are tested periodically.

The annex to CONTRAN Resolution No. 807/2020 requires companies accredited for contract registration to have a secondary site able to resume operations within 2 hours. One IT designs its continuity architecture to meet the requirements applicable to accredited registration companies, with infrastructure redundancy and contingency procedures.

11. Supplier management

Suppliers with access to One IT information or systems undergo a security and privacy assessment proportional to the risk, sign confidentiality and data protection clauses, and are monitored throughout the contract. Cloud and data processing services are contracted taking into account data location, auditability, continuity and customers’ regulatory requirements.

12. Incident response

One IT maintains a formal incident response procedure, covering detection, containment, eradication, recovery and post-incident review. Affected customers are notified promptly, under the contractual terms. Where there is a relevant risk or harm to personal data subjects, notification to the ANPD and to data subjects follows article 48 of the LGPD and ANPD Board Resolution No. 15/2024, within 3 business days. Lessons learned feed the continuous improvement of controls.

13. Awareness and training

Employees and service providers receive information security and privacy guidance upon joining and periodically thereafter, including prevention of social engineering and phishing, secure use of credentials and incident reporting. Non-compliance with this Policy may result in disciplinary and contractual measures.

14. How to report a vulnerability or incident

If you have identified a possible vulnerability in One IT’s websites or systems, or suspect a security incident, please report it:

• by email to suporte@1it.com.br, for technical issues and operational incidents;
• by email to ouvidoria@1it.com.br, for reports requiring confidential handling;
• through the forms at /contato/, which generate a protocol number.

Describe the problem, the steps to reproduce it and the potential impact. Please do not exploit the vulnerability beyond what is necessary to demonstrate it, do not access, modify or delete third-party data, do not run tests that affect service availability and do not publicly disclose the issue before One IT has had a reasonable opportunity to fix it. Reports made in good faith and on these terms will be handled seriously and confidentially.

15. Related documents

See also the Privacy Policy, the Cookie Policy and the Terms of Use.

1. Objetivo y alcance

Esta es la versión pública resumida de la Política de Seguridad de la Información de ONE IT SOLUTIONS LTDA (“One IT” o “1IT”). Establece las directrices que One IT adopta para proteger la información bajo su responsabilidad — incluidos los datos de las operaciones de registro electrónico de contratos de financiamiento de vehículos, de comunicación de venta y de gestión de garantías y gravámenes — y se aplica a colaboradores, prestadores de servicios, proveedores y a todos los entornos, sistemas y procesos de la empresa.

Por razones de seguridad, no se publican detalles técnicos ni procedimientos internos. Clientes y socios pueden solicitar información adicional por los canales contractuales, bajo confidencialidad.

2. Principios

• Confidencialidad: la información solo es accesible para personas y sistemas autorizados.
• Integridad: la información está protegida contra alteraciones indebidas, accidentales o intencionales.
• Disponibilidad: la información y los servicios están accesibles cuando los usuarios autorizados los necesitan.
• Autenticidad: el origen y la autoría de la información y de las transacciones pueden verificarse.

Estos principios se complementan con la privacidad desde el diseño, la trazabilidad de las operaciones y el cumplimiento de la legislación aplicable, en especial la Ley brasileña n.º 13.709/2018 (LGPD), cuyo artículo 46 exige medidas técnicas y administrativas de protección de datos personales.

3. Gobernanza

La alta dirección de One IT patrocina esta Política y asegura los recursos necesarios para su aplicación. La gestión de la seguridad de la información está a cargo de un responsable designado, en coordinación con el Delegado de protección de datos. La Política y las normas complementarias se revisan periódicamente y siempre que haya un cambio relevante en el negocio, la tecnología o la normativa. Los riesgos de seguridad se identifican, evalúan y tratan de forma continua.

4. Referenciales adoptados

El sistema de gestión de seguridad de la información de One IT está estructurado de forma alineada con las buenas prácticas de las normas ISO/IEC 27001 (gestión de la seguridad de la información) e ISO/IEC 27701 (gestión de la privacidad de la información), utilizadas como referenciales. Esta Política no declara certificación en dichas normas.

La Resolución CONTRAN n.º 1.016/2024 exige la certificación ISO/IEC 27001 a las empresas acreditadas para el registro de contratos y establece la responsabilidad solidaria entre el acreedor y la empresa registradora en incidentes con datos personales. One IT estructura sus controles teniendo en cuenta estos requisitos.

One IT también considera los requisitos que las instituciones financieras deben observar al contratar servicios de tecnología, conforme a la Resolución CMN n.º 4.893/2021, con las modificaciones de diciembre de 2025, que trata de la política de seguridad cibernética y de la contratación de servicios de procesamiento y almacenamiento de datos y de computación en la nube. Esto incluye apoyar a los clientes con información, acceso a evidencias y cláusulas contractuales compatibles con dichas exigencias.

5. Control de acceso

• Mínimo privilegio y necesidad de saber: cada persona recibe solo los accesos indispensables para sus funciones.
• Autenticación multifactor (MFA): exigida para accesos administrativos, entornos críticos y accesos remotos.
• Identidades individuales: credenciales personales e intransferibles, sin cuentas compartidas para uso humano.
• Revisión periódica: los accesos se revisan regularmente y se revocan de inmediato ante la desvinculación o el cambio de función.
• Segregación de funciones y entornos: desarrollo, homologación y producción están separados.

6. Cifrado

One IT adopta cifrado en tránsito, con protocolos seguros como TLS en versiones actualizadas, y en reposo para bases de datos, copias de seguridad e información sensible. Las claves y secretos se gestionan con acceso restringido, rotación y segregación respecto del código fuente.

7. Registro de eventos y pista de auditoría

Los accesos, las operaciones relevantes y los eventos de seguridad se registran con fecha, hora e identificación del usuario o sistema, formando pistas de auditoría protegidas contra alteraciones. Los registros se monitorean para detectar comportamientos anómalos y se conservan durante los plazos legales y regulatorios, incluido el plazo mínimo de 6 meses para registros de acceso a aplicaciones previsto en el artículo 15 de la Ley n.º 12.965/2014 y la conservación de registros de contratos exigida a las empresas registradoras.

8. Desarrollo seguro

La seguridad forma parte de todo el ciclo de vida del software: requisitos de seguridad y privacidad desde el diseño, revisión de código, análisis de dependencias, pruebas de seguridad antes de las publicaciones, gestión controlada de cambios y protección de los entornos de integración y entrega. No se utilizan datos reales de producción en entornos de prueba sin la debida anonimización o protección equivalente.

9. Gestión de vulnerabilidades y pruebas de intrusión

One IT mantiene un proceso continuo de identificación y corrección de vulnerabilidades, con escaneos periódicos, aplicación de actualizaciones de seguridad en plazos definidos según la criticidad y pruebas de intrusión (pentests) realizadas periódicamente y tras cambios relevantes, por equipos calificados. Los resultados se tratan mediante planes de corrección con seguimiento hasta su conclusión.

10. Copias de seguridad y continuidad

La información crítica cuenta con copias de seguridad periódicas, protegidas con cifrado, almacenadas en un lugar segregado y sometidas a pruebas regulares de restauración. One IT mantiene planes de continuidad del negocio y de recuperación ante desastres, probados periódicamente.

El anexo de la Resolución CONTRAN n.º 807/2020 exige a las empresas acreditadas para el registro de contratos contar con un sitio secundario capaz de reanudar la operación en un plazo de hasta 2 horas. One IT diseña su arquitectura de continuidad para cumplir los requisitos aplicables a las empresas registradoras acreditadas, con redundancia de infraestructura y procedimientos de contingencia.

11. Gestión de proveedores

Los proveedores con acceso a información o sistemas de One IT pasan por una evaluación de seguridad y privacidad proporcional al riesgo, firman cláusulas de confidencialidad y de protección de datos, y son monitoreados durante el contrato. Los servicios en la nube y de procesamiento de datos se contratan considerando la ubicación de los datos, la capacidad de auditoría, la continuidad y los requisitos regulatorios de los clientes.

12. Respuesta a incidentes

One IT mantiene un procedimiento formal de respuesta a incidentes, con etapas de detección, contención, erradicación, recuperación y análisis posterior. Los clientes afectados se notifican de inmediato, conforme a los términos contractuales. Cuando exista riesgo o daño relevante para los titulares de datos personales, la comunicación a la ANPD y a los titulares sigue el artículo 48 de la LGPD y la Resolución CD/ANPD n.º 15/2024, en el plazo de 3 días hábiles. Las lecciones aprendidas alimentan la mejora continua de los controles.

13. Concienciación y capacitación

Colaboradores y prestadores de servicios reciben orientación sobre seguridad de la información y privacidad al ingresar y de forma periódica, incluida la prevención de ingeniería social y phishing, el uso seguro de credenciales y la comunicación de incidentes. El incumplimiento de esta Política puede dar lugar a medidas disciplinarias y contractuales.

14. Cómo comunicar una vulnerabilidad o incidente

Si identificó una posible vulnerabilidad en los sitios o sistemas de One IT, o sospecha de un incidente de seguridad, comuníquelo:

• al correo suporte@1it.com.br, para cuestiones técnicas e incidentes operativos;
• al correo ouvidoria@1it.com.br, para reportes que requieran tratamiento confidencial;
• mediante los formularios en /contato/, que generan número de protocolo.

Describa el problema, los pasos para reproducirlo y el posible impacto. Le pedimos que no explote la vulnerabilidad más allá de lo necesario para demostrarla, que no acceda, modifique ni elimine datos de terceros, que no realice pruebas que afecten la disponibilidad de los servicios y que no divulgue públicamente la falla antes de que One IT tenga una oportunidad razonable de corregirla. Los reportes hechos de buena fe y en estos términos se tratarán con seriedad y confidencialidad.

15. Documentos relacionados

Consulte también la Política de Privacidad, la Política de Cookies y los Términos de Uso.