Política de Uso Responsável de Ativos e IA

Versão 1.0 de 06 de janeiro de 2026.

1. Objetivo e princípios

A Rike IS Inteligência de Software Ltda. é uma empresa de tecnologia dedicada à prestação de serviços de observabilidade, monitoramento e suporte a ambientes tecnológicos complexos, atuando junto a clientes dos setores público e privado.

Em razão da natureza de suas atividades, a empresa lida com ativos de informação críticos, como credenciais, relatórios técnicos, logs, evidências, códigos, configurações e documentações sensíveis. O uso inadequado desses ativos, bem como o uso não controlado de ferramentas de inteligência artificial, pode gerar riscos técnicos, contratuais, legais e reputacionais.

Esta Política estabelece diretrizes para o uso responsável de:

ativos de informação;
sistemas e ferramentas corporativas;
dispositivos utilizados para atividades profissionais;
ferramentas de inteligência artificial.

A Política é orientada pelos seguintes princípios:

legalidade e conformidade contratual;
confidencialidade das informações;
uso baseado em necessidade profissional;
rastreabilidade e controle de acessos;
responsabilidade individual no uso de recursos tecnológicos.

2. Abrangência

Esta Política aplica-se a:

sócios e administradores;
colaboradores;
estagiários;
prestadores de serviço;
terceiros que atuem em nome ou no interesse da Rike IS.

Sempre que aplicável, suas diretrizes devem ser observadas por fornecedores e parceiros que tenham acesso a informações, sistemas ou ambientes relacionados às atividades da empresa. O cumprimento desta Política constitui condição para a manutenção de vínculos profissionais ou contratuais com a organização.

3. Definições essenciais

Para fins desta Política:

Ativos de informação: toda informação produzida, recebida, armazenada ou compartilhada em contexto profissional, incluindo relatórios, prints, logs, códigos, planilhas, apresentações, documentos, e-mails e credenciais.

Informação confidencial: qualquer informação não pública da Rike IS, de clientes ou parceiros, incluindo dados técnicos, credenciais, arquiteturas, propostas, contratos e relatórios.

Ambiente do cliente: sistemas, aplicações, dados, plataformas e infraestruturas sob governança do cliente.

Ferramentas de IA: soluções que utilizam inteligência artificial para gerar, resumir, interpretar ou automatizar conteúdo, incluindo IA generativa de texto, código, imagens ou automações.

BYOD (Bring Your Own Device): modelo em que o prestador de serviços utiliza dispositivo próprio para execução de atividades profissionais.

4. Uso responsável de ativos e armazenamento de informações

A Rike IS lida com ativos de informação críticos, como relatórios técnicos, logs, credenciais, códigos, evidências e documentações relacionadas a ambientes de clientes. O tratamento inadequado desses ativos pode gerar riscos técnicos, contratuais, legais e reputacionais.

Por esse motivo, a empresa adota como princípio o uso responsável, controlado e rastreável de todos os ativos de informação, com base nos seguintes fundamentos:

acesso limitado à necessidade profissional;
armazenamento centralizado em ambientes corporativos autorizados;
proteção contra perda, vazamento ou uso indevido;
rastreabilidade e controle de acessos.

O acesso a sistemas e informações deve ocorrer apenas quando necessário para a execução das atividades profissionais autorizadas, respeitando os níveis de permissão e as políticas de segurança aplicáveis.

4.1 Armazenamento corporativo obrigatório

Todos os arquivos produzidos ou utilizados no contexto das atividades da Rike IS devem ser armazenados exclusivamente em ambientes corporativos autorizados, com controle de acesso e proteção adequada.

Isso inclui, entre outros:

relatórios técnicos;
prints de evidência;
logs;
planilhas;
códigos;
apresentações;
documentos contratuais ou operacionais;
comunicações técnicas relevantes.

O armazenamento centralizado em nuvem corporativa tem como objetivos:

garantir a continuidade operacional;
proteger informações críticas;
permitir o controle e a revisão de acessos;
reduzir riscos de perda, vazamento ou uso indevido de dados.

4.2 Proibição de armazenamento em dispositivos locais e mídias removíveis

Para reduzir riscos de exposição de informações, é proibido o armazenamento permanente de arquivos corporativos em dispositivos pessoais ou mídias externas.

É vedado:

armazenar arquivos corporativos exclusivamente no notebook pessoal;
manter cópias locais permanentes de documentos da empresa ou de clientes;
utilizar pendrives, HDs externos ou mídias removíveis para armazenamento de informações corporativas;
utilizar serviços de nuvem pessoais ou não autorizados.

Cópias locais temporárias somente são admitidas quando estritamente necessárias para a execução técnica, devendo ser removidas após o uso.

A violação dessas diretrizes poderá resultar em medidas disciplinares e responsabilização conforme a gravidade do caso.

5. Controle de acesso, senhas e privilégios

O controle de acesso é elemento essencial para a proteção dos sistemas e das informações tratadas pela Rike IS. A concessão de acessos deve ocorrer de forma controlada, individualizada e compatível com as atividades desempenhadas por cada usuário.

A empresa adota o princípio do menor privilégio, segundo o qual cada usuário deve possuir apenas os acessos estritamente necessários para a execução de suas atividades profissionais. Esse modelo reduz o risco de acessos indevidos, erros operacionais e exposição de informações sensíveis.

As credenciais de acesso são pessoais, intransferíveis e de responsabilidade exclusiva de seu titular, sendo vedado o compartilhamento com terceiros, inclusive colegas de trabalho.

5.1 Requisitos de autenticação

Para reduzir riscos de acesso indevido, às seguintes diretrizes devem ser observadas:

utilização de senhas fortes e individuais para cada sistema;
proibição de compartilhamento de credenciais;
habilitação de autenticação multifator (MFA) sempre que disponível;
obrigatoriedade de MFA para contas administrativas ou privilegiadas.

5.2 Gestão de privilégios

A concessão de acessos administrativos ou privilégios elevados deve ocorrer apenas quando estritamente necessária para a execução de atividades técnicas específicas.

Nesses casos:

o acesso deve ser formalmente autorizado;
o privilégio deve ser limitado ao escopo necessário;
o acesso deve ser revisto periodicamente e removido quando não for mais necessário.

6. Uso responsável de inteligência artificial

Ferramentas de inteligência artificial podem aumentar a produtividade e apoiar atividades técnicas e administrativas. Contudo, seu uso inadequado pode resultar em vazamento de informações confidenciais, exposição de dados de clientes ou geração de conteúdos imprecisos.

Por esse motivo, o uso de IA na Rike IS deve ocorrer de forma controlada, autorizada e supervisionada, sempre em conformidade com as diretrizes de segurança da informação e confidencialidade.

6.1 Ferramentas de IA autorizadas

O uso de inteligência artificial para fins profissionais deve ocorrer exclusivamente por meio de ferramentas corporativas aprovadas pela administração da empresa.

A centralização em ferramentas autorizadas tem como objetivos:

reduzir riscos de vazamento de informações;
garantir controles de segurança adequados;
permitir a gestão e auditoria do uso dessas soluções.

Exemplos de ferramentas corporativas que podem ser autorizadas:

ChatGPT em versão corporativa (Teams ou Enterprise);
Gemini corporativo;
outras soluções formalmente aprovadas.

6.2 Proibição de ferramentas não autorizadas

É proibido:

utilizar ferramentas de IA, não aprovadas para atividades profissionais;
utilizar contas pessoais de ferramentas de IA para tratar assuntos da empresa ou de clientes;
inserir dados corporativos em plataformas externas sem autorização.

6.3 Informações proibidas em ferramentas de IA

É expressamente vedado inserir em ferramentas de inteligência artificial:

credenciais, tokens ou chaves de acesso;
relatórios técnicos ou evidências operacionais;
códigos ou configurações de clientes;
contratos ou documentos internos;
qualquer informação confidencial da empresa ou de clientes.

6.4 Supervisão humana obrigatória

A inteligência artificial deve ser utilizada apenas como ferramenta de apoio.

Todo conteúdo gerado por IA:

deve ser revisado por um profissional responsável;
não pode ser utilizado diretamente sem validação;
não deve ser considerado fonte única de decisão técnica ou comercial.

6.5 Treinamento e conscientização

A Rike IS promoverá orientações e treinamentos periódicos sobre o uso responsável de ferramentas de IA, abordando:

riscos de confidencialidade;
limites de uso;
validação de conteúdo gerado;
boas práticas de segurança.

7. Requisitos mínimos para dispositivos (modelo BYOD)

Considerando o modelo BYOD, no qual os colaboradores utilizam dispositivos próprios para atividades profissionais, esses equipamentos passam a integrar o perímetro de segurança da empresa.

Por isso, é responsabilidade do usuário manter o dispositivo em condições adequadas de segurança.

Devem ser observados, no mínimo:

uso de senha forte, MFA, ou biometria;
bloqueio automático de tela;
atualização periódica do sistema operacional e aplicativos;
utilização de antivírus ou proteção equivalente;
cautela com links, anexos e tentativas de phishing;
evitar redes públicas para atividades corporativas sensíveis.

8. Comunicação de incidentes

Qualquer incidente ou suspeita de incidente de segurança deve ser comunicada imediatamente à administração da empresa. Devem ser reportados, entre outros:

perda ou roubo de dispositivo;
suspeita de comprometimento de senha;
envio indevido de arquivos;
acessos não autorizados;
uso indevido de ferramentas de IA.

A comunicação rápida permite:

reduzir impactos técnicos e operacionais;
preservar evidências;
cumprir obrigações contratuais e legais.

9. Medidas disciplinares

O descumprimento desta Política constitui violação às regras de integridade e segurança da informação da Rike IS.

As medidas aplicáveis poderão incluir:

advertência;
suspensão de acessos;
rescisão contratual;
responsabilização civil;
adoção de medidas legais cabíveis.

A severidade dependerá da natureza da conduta, do nível de negligência ou dolo e dos danos causados.

10. Revisões da política

Esta Política deve ser revisada periodicamente para se manter aderente à realidade da empresa, às tecnologias utilizadas e às obrigações contratuais e legais. A revisão ocorrerá ao menos anualmente, ou sempre que houver: