Termos & Políticas · Política de Dupla Autenticação de Cadastro

Política de Dupla Autenticação de Cadastro

Documento oficial da Marcha, operada por MARCHA HUB DE SOLUCOES LTDA. Versão integral disponível diretamente nesta página.

Sumário

  • Objetivo e Escopo
  • Definições
  • Governança e Responsabilidades
  • Fluxo de Dupla Autenticação no Cadastro (kyc/Mfa)
  • Vantagens da Dupla Autenticação no Cadastro
  • Obrigatoriedade em Ações Críticas
  • Documentação e Integração Regulatória
  • Disposições Finais

1.Objetivo e Escopo

  • Objetivo Esta Política estabelece a obrigatoriedade da implementação e uso da Dupla Autenticação (2FA) ou Autenticação Multifator (MFA) como medida técnica de segurança compulsória para acesso a sistemas, ambientes e, principalmente, para a validação de identidade em Ações Críticas. O objetivo é mitigar o Risco Cibernético, a Fraude de Tomada de Conta (Account Takeover - ATO) e garantir o princípio da não-repúdio nas transações de alto impacto, reforçando a proteção dos dados e da liquidez do Gateway.
  • Escopo Esta política de segurança é mandatória e aplica-se a:Todos os Lojistas e Parceiros que acessam o Portal Administrativo.
  • Todos os colaboradores com acesso a ambientes de Tecnologia, repositórios de código-fonte (PI) e sistemas de liquidação.
  • Todas as etapas do processo de onboarding (Cadastro e KYC).
  • Todas as ações críticas que alteram dados sensíveis ou financeiros.

2.Definições

  • Dupla Autenticação (2FA) / Autenticação Multifator (MFA): Método de segurança que exige a comprovação de identidade por meio de dois ou mais fatores de categorias diferentes (conhecimento, posse, inerência).
  • Ação Crítica: Qualquer alteração em dados ou execução de comando que possa resultar em perda financeira, regulatória (LGPD, BACEN) ou operacional (indisponibilidade).
  • Não-Repúdio: O princípio que assegura que o usuário que realizou determinada ação (Ex: Alteração de conta de repasse) não possa negar a autoria, comprovada pelos fatores múltiplos de autenticação.
  • OTP (One-Time Password): Senha de uso único, geralmente gerada por aplicativo ou enviada por SMS/E-mail.

3.Governança e Responsabilidades

  • Diretoria (Alta Administração): Responsável por aprovar os padrões tecnológicos utilizados no MFA/2FA e por garantir a alocação de recursos (TI/Segurança Cibernética) para a manutenção da infraestrutura de autenticação.
  • Área de Tecnologia/Segurança Cibernética: Responsável pela implementação técnica e enforcement do MFA nos sistemas, pela gestão das chaves criptográficas de recuperação e pela garantia de que apenas métodos de autenticação seguros e modernos (Ex: App Tokens) sejam utilizados.
  • Área de Compliance: Responsável por auditar a aderência de Lojistas e Parceiros à obrigatoriedade do MFA/2FA, integrando este controle aos dossiês de KYC e PLD.

4.Fluxo de Dupla Autenticação no Cadastro (kyc/Mfa)

A Dupla Autenticação é uma etapa essencial do processo de Conhecimento do Cliente (KYC) e deve ser aplicada sequencialmente para a validação da identidade do Administrador/Sócio do Lojista.

  • Cadastro Inicial: Coleta dos dados primários (CNPJ, Razão Social, Nome do Administrador).
  • Primeira Verificação (Posse - E-mail): Envio de código OTP ao endereço de e-mail fornecido, validando a posse do canal de comunicação.
  • Segunda Verificação (Posse/Inerência - Celular/2FA): Configuração obrigatória de um segundo fator robusto, preferencialmente um Token por Aplicativo (OTP App) ou Biometria, vinculado ao dispositivo do administrador. A conta do Lojista permanece bloqueada até que esta etapa seja concluída.
  • Validação Documental/Biométrica (KYC): Etapa de Background Check e verificação biométrica (inerência) para conclusão do processo KYC, assegurando que o portador das credenciais eletrônicas é a pessoa física legitimamente identificada.

5.Vantagens da Dupla Autenticação no Cadastro

A obrigatoriedade do MFA/2FA no onboarding confere à Marcha vantagens estratégicas e de compliance:

  • Prevenção à Fraude de Identidade: Impede que fraudadores usem credenciais roubadas (senha e e-mail) para ativar a conta, exigindo um segundo fator sob posse física (celular/token).
  • Fortalecimento do KYC: Integra o controle de autenticação ao compliance regulatório, atestando que o Lojista é quem diz ser.
  • Não-Repúdio Reforçado: O uso de múltiplos fatores de categorias diferentes (posse, conhecimento, inerência) gera evidência de auditoria robusta, essencial em disputas legais (Direito Civil/Empresarial) sobre a autoria de transações.
  • Mitigação do Risco Cibernético: Cumpre os requisitos de segurança do BACEN, protegendo o Gateway de acessos não autorizados por falha de senha.

6.Obrigatoriedade em Ações Críticas

Além do login inicial, o MFA/2FA é mandatório para confirmar a identidade antes de executar as seguintes Ações Críticas:

  • Alteração de Dados de Liquidação: Qualquer mudança na conta bancária para repasse de recebíveis do Lojista.
  • Alteração de Credenciais de API: Redefinição ou emissão de chaves de API que dão acesso transacional ao Gateway.
  • Criação/Modificação de Usuário Administrador: Concessão de novos acessos com privilégios.
  • Acesso a Dados Pessoais Sensíveis: Acesso a dashboards ou sistemas internos que contenham dados de KYC/PLD.
  • Operações de Alto Impacto (Interno): Comandos em ambientes de Produção e Deploy de código-fonte.

7.Documentação e Integração Regulatória

Esta Política de Dupla Autenticação está formalmente integrada ao Framework de Compliance da Marcha, sendo respaldada pelos seguintes documentos:

  • Política de Segurança da Informação e Privacidade: O MFA/2FA é o controle técnico primário para garantir a Confidencialidade dos dados pessoais, conforme exigido pela LGPD.
  • Termos de Uso e Contrato do Usuário: Esta Política e a obrigatoriedade do MFA/2FA são referenciadas nos Termos Contratuais firmados com o Lojista, estabelecendo-a como obrigação contratual para uso da plataforma.
  • Documentação de Conformidade Regulatória: Os procedimentos de MFA/2FA são documentados nos relatórios de conformidade (Ex: Auditorias do BACEN) como evidência da adoção de controles robustos de acesso e segurança cibernética.
  • Documentação Técnica e de Processos (Interno): Os requisitos de MFA/2FA são detalhados nos manuais operacionais da Área de Tecnologia e Compliance, especificando a arquitetura de autenticação, o ciclo de vida das credenciais e os procedimentos de recuperação de acesso (sem comprometer a segurança).

8.Disposições Finais

  • Vigência e Revisão: Esta Política entra em vigor na data de sua aprovação pela Diretoria e deve ser revista anualmente, ou sempre que houver a incorporação de novas tecnologias de autenticação ou mudanças regulatórias.
  • Sanções: A falha do Lojista em manter o MFA/2FA ativo ou a falha do colaborador em aplicá-lo resultará na suspensão imediata do acesso ao sistema e sujeitará o responsável a medidas disciplinares internas, conforme o Código de Ética e a Política de Segurança Cibernética.
  • Comunicação: Esta política deve ser comunicada de forma clara a todos os Lojistas e Parceiros, reforçando o caráter mandatório do controle de segurança.