Declaração de Evidência Técnica de Governança de Fornecedores


Código do Documento: DEC-FOR-TER	Versão: 1.0
Data de Emissão: Janeiro de 2026	Classificação de Informação: Uso Interno / Clientes / Auditoria
Área Responsável: Engenharia de Software & DevOps	Aplica-se a: Gestão de Infraestrutura e Serviços em Nuvem

1. OBJETIVO

Este documento apresenta a declaração formal de identificação de terceiros críticos e a estratégia de validação e governança de fornecedores.

2. IDENTIFICAÇÃO DE TERCEIROS CRÍTICOS

A prestação de serviços utiliza uma estrutura de terceiros que abrange infraestrutura em nuvem, suporte técnico especializado e serviços de desenvolvimento de software terceirizado:

Fornecedor / Terceiro	Papel / Escopo Técnico	Nível de Criticidade	Controles & Certificações de Segurança
AWS (Amazon Web Services) São Paulo	Provedor global de infraestrutura em nuvem (hospedagem ECS/Fargate, bancos de dados RDS MySQL, armazenamento S3, redes e backups).	Alta	Certificações mundiais de conformidade ativa, incluindo ISO/IEC 27001, ISO 27017, ISO 27018, SOC 1/2/3, PCI-DSS e conformidade com LGPD/GDPR.
Nuvme (AWS Partner)	Parceiro especializado para suporte técnico consultivo, arquitetura de infraestrutura e sustentação do ambiente AWS.	Média	Acesso restrito via credenciais temporárias (IAM) sob o princípio do menor privilégio, contrato de confidencialidade (NDA) e canal oficial de chamados.
Desenvolvedores / Consultorias Terceirizadas de Software	Desenvolvimento, manutenção de código-fonte, correção de bugs e evolução das aplicações do ecossistema.	Média/Alta	Contratos com cláusulas estritas de confidencialidade (NDA), acessos nomeados e individuais no GitHub com MFA obrigatório, revisão de código (Code Review) antes do merge para produção e sem acesso direto a dados sensíveis de produção.

3. VALIDAÇÃO E GOVERNANÇA DE FORNECEDORES

3.1. Validação do Provedor de Infraestrutura (AWS)

Por tratar-se de uma plataforma global de Cloud Computing amplamente consolidada, a validação da AWS fundamenta-se no Modelo de Responsabilidade Compartilhada e na revisão contínua das certificações oficiais emitidas por auditores independentes via portal AWS Artifact (Relatórios SOC 2 Type II e certificações ISO 27001).

3.2. Validação e Gestão de Riscos do Parceiro de Suporte (Nuvme)

A atuação da Nuvme como parceira de suporte de infraestrutura é validada e monitorada através da seguinte estratégia baseada em riscos:

Credenciamento e Parceria AWS: Validação das certificações técnicas da equipe e do status oficial de AWS Partner Network (APN);
Controle e Isolamento de Acessos: A Nuvme não possui acesso direto irrevogável ou permanente. Os acessos aos ambientes da AWS ocorrem obrigatoriamente por meio de funções IAM com MFA ativado e registros detalhados via AWS CloudTrail;
Auditoria e Rastreabilidade: Toda alteração promovida na infraestrutura pela equipe de suporte fica registrada de forma imutável nos logs de auditoria do ambiente;
Acordo de Nível de Serviço (SLA): Abertura de chamados e atendimento regidos por prazos de resposta vinculados aos níveis de severidade do incidente.

3.3. Validação e Gestão de Riscos de Desenvolvedores Terceirizados

A contratação e atuação dos desenvolvedores terceirizados são validadas e controladas sob rígidos critérios de governança de código e gestão de acessos:

Validação Contratual e Jurídica: Formalização de contratos de prestação de serviços com cláusulas expressas de confidencialidade (NDA), propriedade intelectual e adequação à LGPD;

Segregação de Ambientes e Proteção de Dados: Os desenvolvedores terceirizados atuam em ambientes de desenvolvimento/homologação;

Controle de Versão e Aprovação de Código (Code Review): Os terceiros trabalham através de *Pull Requests* no GitHub. Nenhum código de terceiros é implantado diretamente em produção;

Gestão de Credenciais e Rastreabilidade: Contas individuais no GitHub com exigência de Autenticação Multi-Fator (MFA). Revogação imediata dos acessos ao término do contrato/alocação.