Os controles de segurança que a Munitax executa na Plataforma e no Site, e o que cabe ao Município na gestão dos acessos.
A Munitax Tecnologia Ltda. presta o Serviço em modelo de serviço gerenciado: a Munitax opera a infraestrutura e a aplicação, e o Município administra quem, dentro da sua estrutura, acessa cada informação. A segurança do conjunto depende das duas partes.
A arquitetura e as práticas de segurança da Plataforma, ambiente autenticado do Serviço, e do Site são o objeto desta página. Ela não é certificação, laudo nem atestado de conformidade.
Níveis de serviço, obrigações específicas de segurança e direitos de auditoria do Município constam do Contrato Administrativo e do respectivo termo de referência, que prevalecem sobre esta página.
Os termos definidos aqui empregados são os dos Termos e condições de uso.
1.1Fora do alcance desta página ficam os controles internos do Município, os de seus demais fornecedores e as configurações das estações de trabalho e da rede a partir das quais os Usuários Autorizados acessam o Serviço.
A Munitax não declara deter certificação ISO 27001, SOC 2 ou equivalente, nem apresenta como prática corrente controle que não execute. O que é prática está escrito no presente do indicativo; o que é compromisso está escrito como compromisso. Onde a configuração pertence ao provedor de infraestrutura, o texto o diz, em vez de atribuir à Munitax controle alheio.
1.2As medidas descritas nesta página são as que a Munitax adota para cumprir o dever de segurança do art. 46 da Lei nº 13.709/2018, que subsiste após o término do tratamento (art. 47 da mesma lei). A suficiência de cada medida é avaliada no Contrato Administrativo e pelos órgãos de controle, não aqui.
1.3A divisão entre controlador e operador está em Política de privacidade, o programa de conformidade em LGPD e o inventário de cookies em Política de cookies.
2.1O Serviço tem duas camadas: a que a Munitax opera e a que o Município administra.
| Camada | Munitax | Município |
|---|---|---|
| Infraestrutura, banco de dados e aplicação | Opera, mantém e atualiza | Comunica anomalias observadas |
| Mecanismo de autenticação e de sessão | Provê e opera | Exige o uso correto por seus agentes |
| Designação e revogação de Usuários Autorizados | Aplica o que o Município determina | Determina, mantém atualizada e revisa |
| Papel de cada conta e alcance do acesso | Verifica o papel a cada requisição | Define o papel de cada Usuário Autorizado |
| Guarda das Credenciais | Fixa a política de senha e o segundo fator | Veda o compartilhamento e fiscaliza |
| Conteúdo, exatidão e legalidade dos Dados do Município | Não interfere no conteúdo | Responde pelo dado e pelo ato administrativo |
| Estações de trabalho, rede local e correio eletrônico | Não alcança | Mantém protegidos e atualizados |
2.2São do Município, e não comportam substituição por controle técnico da Munitax:
Credencial compartilhada e acesso não revogado após desligamento são a origem mais comum de incidente em sistema tributário. Os dois controles são do Município. O Serviço só sabe que um acesso deixou de ser legítimo quando o Município o revoga.
3.1A autenticação é operada por provedor especializado de identidade.
3.2Autenticação e autorização são camadas separadas: uma sessão válida no provedor, isoladamente, não concede acesso a dado algum. A autorização é reavaliada a cada requisição protegida, e a decisão do servidor da API é a autoritativa.
3.3A situação de autorização do Usuário Autorizado trafega em token assinado, inacessível a scripts da página e marcado como Secure em produção. Alteração de papel, de situação da conta ou de município não espera esse token expirar: o servidor a aplica na requisição protegida seguinte.
3.4A sessão do servidor de aplicação expira após 2 horas sem atividade.
3.5A chave de assinatura é lida do ambiente de execução, e a aplicação recusa operar se ela tiver menos de 32 bytes.
3.6O encerramento de sessão solicita a revogação no servidor, apaga os cookies de autenticação, encerra a sessão junto ao provedor de identidade e força nova navegação, para que nenhuma tela autenticada permaneça em cache no navegador.
4.1O acesso é individual e nominal.
4.2Cada papel tem alcance próprio, declarado rota a rota, e a permissão é verificada antes de cada navegação e novamente no servidor da API, a cada requisição protegida.
4.3A segregação por município é aplicada nas duas camadas: o Usuário Autorizado sem alcance multimunicipal que solicite dados de outro município é conduzido de volta ao município ao qual está vinculado, e a autorização do servidor prevalece sobre qualquer decisão tomada na navegação.
4.4A situação da conta funciona como segundo portão. Conta pendente de aprovação fica confinada a uma tela em que nenhum dado é carregado em seu nome; conta rejeitada ou suspensa tem a sessão encerrada e é conduzida à tela de entrada.
4.5Nenhuma conta acessa dado antes de aprovada pelo Município.
4.6As respostas autenticadas do Serviço são marcadas como privadas e não armazenáveis em cache, para que não sejam servidas a outra pessoa por navegador ou intermediário.
4.7Esses controles dão efetividade ao sigilo fiscal do art. 198 do Código Tributário Nacional, analisado em LGPD.
5.1Em trânsito, os cookies de sessão são marcados como HttpOnly, inacessíveis a scripts da página, e recebem o atributo Secure em produção, de modo que não trafegam fora de HTTPS.
5.2Em produção, o servidor da Munitax só se comunica com a API oficial do Serviço, em endereço fixado na própria aplicação, e recusa qualquer outro destino ou protocolo não seguro. Redirecionamentos devolvidos pela API não são seguidos pelo servidor: são repassados ao navegador, para que uma resposta manipulada não faça o servidor buscar destino arbitrário levando credencial consigo.
5.3Em repouso, os dados da Plataforma são mantidos em banco de dados relacional e os arquivos, em armazenamento de objetos, ambos com a proteção em repouso oferecida pelo provedor de infraestrutura.
5.4Esta página não declara algoritmo nem tamanho de chave: essa configuração pertence ao provedor, e a Munitax não a atesta em nome dele.
5.5As credenciais de integração do Serviço são lidas do ambiente de execução.
5.6A Munitax mantém rotina de cópia de segurança dos dados da Plataforma e procedimentos de restauração, e sujeita as cópias aos mesmos controles de acesso e ao mesmo dever de sigilo aplicáveis aos dados de produção.
5.7Frequência, retenção das cópias, prazos de restauração e testes periódicos são os definidos no Contrato Administrativo; esta página não fixa número algum a esse respeito.
6.1Os arquivos enviados ao Serviço — documentos da procuradoria, materiais do MuniAcademy e anexos dos módulos — são guardados em armazenamento de objetos, separado do banco de dados da aplicação, e não são servidos a partir de endereço público.
6.2A leitura de um arquivo depende de autorização prévia: o servidor confere o vínculo do Usuário Autorizado com o município e o seu papel de acesso e, só então, emite uma URL assinada de vida curta, válida por 120 segundos.
6.3Expirado esse prazo, o endereço deixa de dar acesso ao arquivo.
7.1O Serviço mantém registros que permitem apurar uso indevido e demonstrar regularidade:
7.2O art. 15 da Lei nº 12.965/2014 fixa em 6 meses a guarda dos registros de acesso à aplicação, e a Munitax observa esse prazo.
7.3A Munitax compromete-se a disponibilizar o conteúdo desses registros a terceiros somente mediante ordem judicial, conforme os arts. 10, § 1º, e 22 da mesma lei, e a observar as diretrizes de controle de acesso, autenticação e inventário de acessos do art. 13 do Decreto nº 8.771/2016.
7.4A Munitax é provedora de aplicações de internet, e não provedora de conexão.
7.5Os registros de conexão de que trata o art. 13 da Lei nº 12.965/2014 são de guarda do provedor de conexão contratado pelo Município, e não da Munitax.
7.6É compromisso da Munitax minimizar o conteúdo registrado nos diagnósticos de falha, mantendo fora deles o texto extraído de documentos, os parâmetros de acesso assinados e os dados de contribuintes.
7.7A relação dos operadores que recebem dados na prestação do Serviço está em Política de privacidade.
8.1Toda alteração do Serviço é registrada em controle de versão e proposta em solicitação de alteração, sobre a qual a bateria de testes automatizados é executada antes da incorporação.
8.2Os testes cobrem, entre outros pontos, as regras de emissão e validação da sessão, a matriz de permissões por papel e a política de credenciais das chamadas à API, de modo que uma alteração que afrouxe o controle de acesso tenda a falhar antes de chegar à produção.
8.3A Munitax acompanha os avisos de segurança das dependências de terceiros que compõem o Serviço.
8.4A Munitax não declara, nesta página, programa formal de análise estática obrigatória, revisão de segurança por terceiro independente ou testes de intrusão periódicos. Havendo exigência dessa natureza, ela é tratada no Contrato Administrativo.
9.1Vulnerabilidades podem ser relatadas a suporte@munitax.com.br, com a indicação Segurança no assunto.
9.2O relato é mais útil quando traz descrição técnica, passos de reprodução e impacto observado. A Munitax acusa o recebimento e mantém o relator informado sobre o andamento até a correção.
9.3Ao relator, pede-se:
9.4A resposta a Incidente de Segurança observa as etapas de detecção, contenção, erradicação, recuperação e revisão posterior, com preservação de evidências e registro das medidas adotadas.
9.5Verificado incidente que possa acarretar risco ou dano relevante, a Munitax comunica o Município, na qualidade de controlador, sem demora injustificada e com as informações necessárias à avaliação do fato.
9.6As obrigações de comunicação à Autoridade Nacional de Proteção de Dados estão descritas em LGPD, e a comunicação aos titulares, em Política de privacidade.