Segurança da operação

12.1A porta que não aparece na vitrine

Os capítulos anteriores olharam para o pedido. Mas há uma entrada que nenhum cliente usa e que vale mais que qualquer pedido: o painel. Por ele passam o cadastro de todos os clientes, os preços, o status de pagamento, os estornos e a conta bancária que recebe as vendas. O capítulo 9 mostrou os sinais de um painel invadido. Aqui a pergunta é anterior: quem tem a chave.

Em muita loja pequena, a resposta honesta é “não sei direito”: a senha passou pela agência do Natal e pelo atendente que saiu em março, e ninguém a trocou.

12.2Cada pessoa com o próprio usuário

Senha compartilhada tem dois defeitos. Ninguém sabe quem fez o quê: o registro mostra “admin”, e “admin” são quatro pessoas. E ela não sai com quem sai, porque trocar a senha de todos quase nunca acontece.

A regra é simples: cada pessoa tem o próprio usuário, no próprio e‑mail, e a verificação em duas etapas é obrigatória para todos que entram no painel, dono incluído. O capítulo 6 explica por que, no painel, o código por aplicativo ou a chave de acesso são preferíveis ao SMS. O usuário de quem já saiu é desativado, não apagado: o histórico do que ele fez continua consultável.

Perfis por função

Nem todo usuário precisa ver tudo. O atendente consulta pedidos, mas não exporta a base de clientes; quem cadastra produto mexe no catálogo, mas não no estorno.

Em loja de três pessoas, uma acumula perfis, e tudo bem, desde que a soma tenha sido decidida e não herdada do primeiro usuário criado, que costuma poder tudo.

12.3Quem entra e quem sai

Na entrada, a pessoa recebe o usuário com o perfil da função e uma data de revisão. Para prestador (agência, freelancer, consultor), a data é o fim do contrato ou do projeto. Acesso de prestador nunca é feito com o usuário do dono, nem com uma senha “de suporte” que fica para sempre.

A saída raramente é planejada: a agência entrega o último relatório, o freelancer para de responder, e o acesso continua lá. Por isso a lista de saída existe antes e se cumpre no mesmo dia.

1. Desativar o usuário no painel

   Dono ou substituto

   No dia do desligamento ou do fim do contrato, de preferência na mesma hora em que a pessoa é avisada. Encerrar as sessões abertas.

2. Trocar o que ainda for compartilhado

   Dono

   Senha que ainda seja de uso comum (o e‑mail de contato, a conta de uma transportadora) é trocada agora. No aplicativo de mensagens da loja, desconecte os aparelhos ligados à conta e troque o PIN da verificação em duas etapas. Troque as chaves de integração (sistema de gestão, integrador de marketplaces, aplicativos da plataforma) que a pessoa conhecia ou configurou.

3. Revogar os acessos fora do painel

   Dono

   E‑mail da empresa, banco, painel do meio de pagamento e maquininhas, marketplaces, redes sociais e anúncios, sistema de gestão, emissor de notas, contas de envio com Correios e transportadoras, arquivos. Acesso dado por convite é retirado em cada serviço. Se a pessoa tinha cópia do certificado digital da empresa e da senha, revogue‑o e emita outro; revise também as procurações eletrônicas na Receita e os acessos aos portais da Secretaria da Fazenda.

4. Conferir celulares e registrar

   Dono

   Código de verificação que caía no celular pessoal de quem saiu passa para um aparelho da loja. Anote a data, o que foi desativado e por quem.

Nada disso é acusação. A lista protege também quem sai: se algo acontecer depois, o registro mostra que a pessoa já não tinha acesso.

12.4O e‑mail que recupera tudo, o celular que recebe os códigos

Quase todo serviço tem uma porta dos fundos legítima: o “esqueci minha senha”, que leva a um e‑mail. Quem controla esse e‑mail controla a plataforma, o marketplace, as redes e muitas vezes o domínio. E o código da verificação em duas etapas cai num celular. As duas peças valem tanto quanto o painel.

• O e‑mail de recuperação é da empresa, não de uma pessoa. Um endereço no domínio da loja, controlado pelo dono, com verificação em duas etapas e senha que não se repete. Nunca o e‑mail da agência que fez o site.
• O celular dos códigos é um aparelho da loja ou do dono, numa linha em nome da empresa ou do dono, com senha na operadora contra a troca do chip por terceiro. Uma lista diz que conta manda código para qual número.
• O domínio da loja está em nome da empresa, com renovação automática, e os contatos administrativo e técnico no registro também são da loja, não da agência. Domínio no CPF de um ex‑prestador é a loja nas mãos de outra pessoa.
• O banco da empresa tem usuários separados, cada um com o próprio limite, e a aprovação de pagamentos acima de um valor exige duas pessoas, quando o banco oferece esse recurso. Troca de conta de fornecedor segue o capítulo 9.

12.5A senha que a agência levou

Caso composto, montado a partir de situações recorrentes em lojas virtuais. Nomes, valores e lugares são ilustrativos.

Ninguém da agência agiu de má‑fé: bastou a senha ficar anotada ao alcance de outra pessoa. A regra que teria evitado tudo é a da seção 12.3 (o acesso do prestador termina com o contrato). A que reduziu o estrago é do capítulo 9: dinheiro que muda de destino passa por duas pessoas. O que custou dinheiro foi o estorno automático no cancelamento, que pulou a regra da seção 12.2: confira se a sua plataforma faz o mesmo. E, quando o erro é da loja, o novo pagamento é um pedido, não uma cobrança: explique e aceite a recusa.

12.6Se alguém entrou: as primeiras horas

Seja um painel invadido, uma senha repassada num golpe ou um programa de acesso remoto instalado por pressão (capítulo 9), a ordem é a mesma.

1. Isolar

   Quem percebeu, avisando o dono

   Desligar da internet o computador onde houve acesso remoto, sem apagar nada.

2. Retomar as contas, de outro aparelho

   Dono

   Trocar a senha do e‑mail da empresa primeiro (é por ele que o invasor recuperaria o resto), depois painel, banco e marketplaces. Encerrar sessões abertas e conferir os aparelhos cadastrados em cada conta.

3. Procurar o que mudou

   Dono e financeiro

   No registro de alterações: usuários criados, permissões, dados bancários e de reembolso, preços, estornos, exportações, regras de encaminhamento no e‑mail. Desfazer e anotar.

4. Avisar quem precisa saber

   Dono

   O suporte da plataforma e o banco, pelos canais oficiais. Se saiu dinheiro da conta da loja por Pix sem autorização, peça ao banco, no mesmo dia, a devolução pelo Mecanismo Especial de Devolução, no prazo do quadro do capítulo 3: quanto antes, mais chance de haver saldo no destino. Se houve dados de clientes expostos, a seção seguinte trata da comunicação. Registrar ocorrência como no capítulo 9.

12.7Dados de cliente: o mínimo, por pouco tempo, com poucos

A Lei Geral de Proteção de Dados pede que a loja use só os dados necessários para a finalidade (art. 6º, III) e adote medidas de segurança, técnicas e administrativas, contra acesso não autorizado (art. 46). Na operação, isso vira três perguntas revistas todo ano.

• O que guardamos? Dado que a loja não tem não vaza. Foto de documento não fica no celular de atendente nem em conversa de aplicativo de mensagens.
• Quem acessa? Os perfis da seção 12.2. Planilha de clientes exportada e esquecida no computador é dado fora de controle.
• Por quanto tempo? Depende do tipo de dado, não do prazo mais longo que exista. O quadro abaixo vale para o livro inteiro.

O prazo fiscal vale para o documento fiscal: não justifica guardar a foto do documento do cliente nem a conversa inteira. E a mensagem ao cliente só promete o que a loja cumpre: se a equipe não apaga a conversa onde a imagem chegou, não diz que apaga.

Quando há um incidente

A LGPD prevê que o controlador comunique à Autoridade Nacional de Proteção de Dados (ANPD) e ao titular o incidente de segurança que possa acarretar risco ou dano relevante aos titulares (art. 48). O regulamento da ANPD (Resolução CD/ANPD nº 15/2024) considera relevante o incidente que pode afetar significativamente interesses e direitos dos titulares e envolve, por exemplo, dados financeiros, de autenticação (como senhas), sensíveis ou em larga escala. O prazo é de 3 dias úteis, contados de quando a loja soube que o incidente atingiu dados pessoais, para a ANPD e para os titulares. O prazo em dobro vale só para quem se enquadra como agente de tratamento de pequeno porte pela Resolução CD/ANPD nº 2/2022 (art. 14), que exclui, entre outros, quem faz tratamento de alto risco ou fatura acima do limite da empresa de pequeno porte (art. 3º): confirme o enquadramento com o jurídico antes de contar com ele. Todo incidente fica registrado por no mínimo 5 anos, inclusive o que não precisou ser comunicado.

1. Registrar quando a loja soube

   Quem percebeu, avisando o dono no mesmo dia

   Data e hora em que a loja soube que dados pessoais foram atingidos, o que foi exposto e de quantos clientes. O prazo corre daí.

2. Avaliar o risco

   Dono, com o encarregado de dados ou o jurídico

   Se o incidente pode causar dano relevante pelos critérios do regulamento. A avaliação fica anotada, mesmo quando conclui que não é caso de comunicar.

3. Decidir e fazer a comunicação

   Dono, como controlador, pelo encarregado ou por representante constituído

   Se o risco é relevante, comunica a ANPD pelo formulário eletrônico dela e os clientes atingidos, dentro do prazo.

12.8O que perguntar à sua plataforma

Boa parte da segurança da loja está na plataforma onde ela roda. O OWASP, projeto aberto de referência em segurança de aplicações web, publica o Top 10, lista das categorias de falha mais importantes (versão de 2025). Ela fala com desenvolvedores, mas várias categorias viram perguntas de lojista: controle de acesso falho (A01), configuração insegura (A02), falhas em componentes de terceiros (A03), falhas de autenticação (A07) e de registro e alerta (A09).

Se a plataforma não oferece um item, pergunte o que ela recomenda no lugar e anote a resposta com a data.

12.9Checklist de acessos, a cada trimestre

Uma hora, quatro vezes por ano, com o dono e o gestor do e‑commerce.

12.10Lista de verificação do capítulo

• Cada pessoa tem o próprio usuário no painel; não existe senha compartilhada.
• A verificação em duas etapas é obrigatória para todos que entram no painel, dono incluído.
• As permissões estão separadas por função, e só o dono altera dados bancários de recebimento e de reembolso.
• A lista de saída existe por escrito e é cumprida no mesmo dia, para funcionário e para prestador.
• O e‑mail de recuperação e o celular dos códigos de cada conta da empresa são da loja ou do dono.
• A guarda de cada tipo de dado segue o quadro da seção 12.7, e num incidente está definido quem registra a data, quem avalia o risco e quem decide a comunicação.
• As perguntas da seção 12.8 foram feitas à plataforma, e as respostas estão anotadas.

Este capítulo traz informação sobre a lei, não orientação jurídica. Para a política da sua loja e para um incidente concreto, consulte quem cuida do jurídico dela.

FontesFontes e referências

• Brasil. Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais), arts. 6º, III, 46 e 48. Consultado em 11/11/2026.
• Brasil. Lei nº 12.965, de 23 de abril de 2014 (Marco Civil da Internet), art. 5º, VIII, e art. 15 (guarda dos registros de acesso a aplicações por 6 meses). Consultado em 11/11/2026.
• Brasil. Lei nº 8.078, de 11 de setembro de 1990 (Código de Defesa do Consumidor), art. 42 (cobrança sem constrangimento). Consultado em 11/11/2026.
• Banco Central do Brasil. Guia de implementação dos procedimentos de devolução no Pix, com ênfase no Mecanismo Especial de Devolução, versão 4.4 (pedido de devolução para transações de até 80 dias; demais prazos no quadro do capítulo 3). Consultado em 11/11/2026.
• Autoridade Nacional de Proteção de Dados. Resolução CD/ANPD nº 15, de 24 de abril de 2024 (Regulamento de Comunicação de Incidente de Segurança), arts. 5º, 6º (3 dias úteis contados do conhecimento; comunicação pelo encarregado ou representante, por formulário eletrônico), 9º e 10 (registro por 5 anos). Consultado em 11/11/2026.
• Autoridade Nacional de Proteção de Dados. Resolução CD/ANPD nº 2, de 27 de janeiro de 2022 (Regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte), arts. 2º e 3º (quem se enquadra e quem fica de fora) e 14, II (prazo em dobro, com a redação da Resolução nº 15/2024). Consultado em 11/11/2026.
• OWASP Foundation. OWASP Top 10:2025, categorias A01, A02, A03, A07 e A09. Referência técnica internacional, usada aqui como base para as perguntas à plataforma. Consultado em 11/11/2026.
• Saporta, Gilit; Maraney, Shoshana. Practical Fraud Prevention. O'Reilly Media, 2022. Caps. 3 (plano para crises), 4 (colaboração entre áreas) e 12 (guarda mínima de dados de verificação).

Revisado em novembro de 2026.