Políticas e decisões
Definição de políticas e alçadas da atividade de ativos virtuais, critérios de aceitação e tratamento das ocorrências pela entidade responsável.
TRUSTVASP · SEGURANÇA E COMPLIANCE
Governança para
uma operação
responsável.
Políticas, proteção de informações e rastreabilidade no modelo de serviços de ativos virtuais para fintechs.
Requisitos de referência · aplicação conforme o serviço e os contratos.
ESTRUTURA DE CONTROLE01 — 04
BASE DO MODELO
Governança
Políticas · Alçadas · Responsabilidades
01 / IDENTIDADE
Acesso delimitado
Perfis e permissões
02 / PROTEÇÃO
Dados protegidos
Privacidade e segregação
03 / INTEGRIDADE
Operações vinculadas
Autorizações e conciliação
04 / EVIDÊNCIAS
Histórico rastreável
Registros e acompanhamento
Visão conceitual dos requisitos de referência.
RESPONSABILIDADES
Decisões, execução
e supervisão.
A contratação de tecnologia ou de serviços especializados não transfere, por si, a responsabilidade pelas decisões e obrigações de cada participante.
Intermediação e suporte
Integração dos serviços e registros conforme o escopo contratado, com responsabilidades próprias pela plataforma e pelo tratamento de informações.
Serviços especializados
Verificações, sinais de risco e infraestrutura nos limites dos contratos. Os resultados subsidiam decisões e preservam a avaliação da entidade responsável.
REQUISITOS DE REFERÊNCIA
Controles organizados
por finalidade.
Os requisitos abaixo orientam o modelo de controle. Não representam atestado de implementação integral na TrustVasp.
Clientes e operações
Identificar clientes e, quando aplicável, beneficiários finais; avaliar risco cadastral e transacional; revisar informações e tratar alertas segundo políticas e alçadas. KYC/KYB e KYT apoiam os procedimentos de prevenção à lavagem de dinheiro e ao financiamento do terrorismo e da proliferação de armas de destruição em massa (PLD/FTP).
Identidade e permissões
Restringir acessos por função e necessidade, utilizar autenticação reforçada nos acessos sensíveis e revisar privilégios. Separar credenciais de pessoas e serviços, com rastreabilidade de concessões e revogações.
Proteção e privacidade
Proteger dados em trânsito e armazenamento, manter credenciais em cofre e limitar a coleta e o acesso à finalidade do serviço. Definir responsabilidades, retenção, descarte e procedimentos para atendimento aos titulares.
Ambientes e informações
Separar produção, desenvolvimento e homologação; delimitar acessos por entidade, cliente e serviço. Proteger recursos internos e evitar o uso indiscriminado de dados reais em ambientes de teste.
Autorizações e integridade
Vincular a ordem à obrigação e ao contexto do cliente; verificar destino, ativo, limites e alçadas. Prever aprovação independente nas operações e alterações críticas e correlacionar os registros internos, do provedor e da rede.
Auditoria e rastreabilidade
Registrar identidade, data, operação, decisão e resultado. Correlacionar eventos por identificadores, preservar evidências e controlar o acesso aos registros, sem inserir segredos em logs comuns.
Monitoramento e continuidade
Acompanhar eventos e alertas, classificar incidentes e executar respostas conforme autoridade definida. Manter backups, testar restauração e estabelecer objetivos de recuperação compatíveis com os serviços.
Terceiros e mudanças
Delimitar contratos e responsabilidades dos fornecedores, avaliar riscos e acompanhar o serviço contratado. Submeter mudanças relevantes a revisão, testes e aprovação, com registro de versão e possibilidade de reversão.
Informações e comunicações
Organizar registros de suporte à análise contábil, fiscal e regulatória, respeitando entidade e competência. Submeter o enquadramento e as comunicações aplicáveis aos responsáveis; um alerta técnico não equivale a reporte regulatório.
SEGURANÇA E COMPLIANCE
Gestão de riscos e
supervisão dos controles.
O modelo de governança contempla a definição de responsáveis, a classificação dos riscos e a revisão dos controles conforme a natureza dos serviços. Políticas, procedimentos e registros constituem a base para o acompanhamento das atividades e a prestação de informações aos responsáveis.
Avaliação dos controles
O escopo de avaliação abrange permissões de acesso, proteção de dados, rastreabilidade das movimentações, tratamento de alertas e continuidade dos serviços. As revisões devem registrar evidências, conclusões, responsáveis e medidas de adequação.
Gestão de incidentes e melhoria contínua
Os procedimentos devem prever identificação e classificação de ocorrências, contenção, recuperação e comunicação aos responsáveis, conforme o impacto e as obrigações aplicáveis. Planos de ação e testes periódicos orientam o aperfeiçoamento dos controles.
PARCEIROS
GRUPO SRM
TrustVasp no
ecossistema do grupo.
Integrante do grupo SRM, a TrustVasp atua na frente de serviços de ativos virtuais para fintechs, com foco em gestão de wallets. Sua atuação é distinta da TRUST, dedicada ao crédito para PMEs. Cada participante mantém as responsabilidades correspondentes aos seus serviços e contratos.
