Política de Proteção de Dados

Última atualização: julho de 2026.

Esta Política de Proteção de Dados descreve os princípios, controles e meios tecnológicos adotados no ecossistema ecam (portal institucional ecamweb_v2, aplicações e serviços correlatos) para preservar a confidencialidade, integridade, disponibilidade e rastreabilidade das informações — em especial dados pessoais — em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD), o Marco Civil da Internet (Lei nº 12.965/2014), a Lei de Acesso à Informação (Lei nº 12.527/2011) e boas práticas de segurança da informação.

Este documento complementa a Política de Privacidade (finalidades e direitos do titular) e a identificação do Controlador de Dados (LGPD). Em caso de conflito interpretativo sobre tratamento de dados pessoais, prevalecem a legislação vigente e as orientações da Autoridade Nacional de Proteção de Dados (ANPD).

1. Escopo e objetivos

A Política aplica-se a:

• portal público e área administrativa do ecamweb_v2;
• formulários e canais digitais (e-SIC, Ouvidoria, protocolo, cadastro de cidadão, orçamento participativo e correlatos);
• módulos de gestão legislativa, documental e de transparência;
• serviços de assinatura digital, auditoria e conformidade;
• APIs e integrações autorizadas do ecossistema ecam.

Objetivos principais:

• proteger dados pessoais e informações institucionais contra acesso indevido, alteração, perda ou divulgação não autorizada;
• garantir rastreabilidade de operações relevantes;
• reduzir superfície de ataque por meio de controles técnicos e administrativos;
• viabilizar resposta a incidentes e exercício de direitos dos titulares.

2. Princípios de proteção

• Necessidade e minimização: coleta e retenção limitadas ao indispensável às finalidades legais e operacionais;
• Finalidade: tratamento compatível com os propósitos informados ao titular e às obrigações legais da Casa;
• Segurança: medidas técnicas e organizacionais proporcionais ao risco;
• Prevenção: controles proativos (autenticação, sanitização, auditoria, backups);
• Não discriminação e transparência: tratamento equânime e informações claras ao titular;
• Accountability: capacidade de demonstrar a adoção de medidas adequadas.

3. Papéis e responsabilidades

• Controlador: Câmara Municipal, responsável pelas decisões sobre o tratamento de dados pessoais;
• Encarregado / Controlador de Dados (quando designado): ponto de contato para titulares e autoridades — dados publicados no portal;
• Operadores e prestadores de TI: hospedagem, manutenção e suporte, sob contratos e cláusulas de confidencialidade e proteção de dados;
• Usuários internos: servidores e colaboradores com acesso autenticado, obrigados a observar perfil de acesso, sigilo e boas práticas;
• Titulares: cidadãos e demais pessoas naturais cujos dados sejam tratados nos serviços digitais.

4. Meios tecnológicos de proteção no ecossistema ecam

O ecam implementa, de forma contínua e evolutiva, controles tecnológicos alinhados à natureza dos dados e aos riscos do ambiente legislativo digital. Sem prejuízo de aprimoramentos futuros, destacam-se as medidas a seguir.

4.1. Comunicação e transporte seguros

• uso de HTTPS/TLS para cifrar o tráfego entre o navegador (ou cliente de API) e o servidor;
• cookies e sessões configurados com práticas modernas de segurança (incluindo atributos de proteção quando aplicáveis);
• proteção de formulários contra CSRF (Cross-Site Request Forgery), impedindo envios forjados a partir de terceiros.

4.2. Autenticação, autorização e sessão

• autenticação de usuários administrativos e, quando cabível, de cidadãos cadastrados;
• hashing seguro de senhas (algoritmos adequados; senhas não são armazenadas em texto claro);
• controle de acesso baseado em perfis e permissões, limitando o que cada usuário pode visualizar ou alterar;
• limitação de tentativas de autenticação (rate limiting) para mitigar força bruta e abuso de credenciais;
• gestão de lista de IPs bloqueados no acesso administrativo, permitindo resposta a abusos e tentativas suspeitas;
• autenticação multifator (MFA/2FA) quando disponibilizada na instalação, reforçando a proteção de contas privilegiadas.

4.3. Integridade, assinatura e evidências digitais

• módulo de assinatura digital com certificado ICP-Brasil (quando habilitado), conferindo autenticidade e integridade a documentos oficiais;
• geração e armazenamento de hashes criptográficos (SHA-256) de arquivos e evidências em fluxos de protocolo, conformidade e auditoria;
• registros de tramitação e movimentação que sustentam a cadeia de custódia documental no ambiente legislativo.

4.4. Proteção de conteúdo e entrada de dados

• sanitização de HTML em conteúdos publicados (páginas institucionais, notícias e correlatos), reduzindo risco de XSS (Cross-Site Scripting);
• validação de entradas em formulários e APIs;
• tratamento cuidadoso de anexos e downloads, com controles de acesso conforme o módulo e o perfil do usuário.

4.5. Auditoria, logs e monitoramento

• serviços de auditoria para operações relevantes (documentos, protocolos e ações administrativas);
• logs técnicos de segurança e de erro, utilizados para investigação, prevenção a fraudes e melhoria contínua;
• retenção de logs por período compatível com boas práticas de auditoria e obrigações legais (em geral entre 6 e 24 meses, salvo determinação em contrário).

4.6. Disponibilidade, backup e continuidade

• políticas de backup periódico da base de dados e de arquivos essenciais;
• atualização e manutenção do software da aplicação e de dependências, com correção de vulnerabilidades conhecidas;
• separação de ambientes e configurações sensíveis fora do código-fonte (variáveis de ambiente / segredos de implantação).

4.7. APIs e canais de integração

• exposição de endpoints públicos e autenticados conforme necessidade institucional (incluindo canais de dados abertos, quando publicados);
• limites de taxa e validações para reduzir abuso automatizado;
• não divulgação de credenciais, tokens ou dados sensíveis em respostas ou logs de diagnóstico.

5. Medidas administrativas e organizacionais

• acesso interno concedido segundo necessidade de serviço (least privilege);
• orientação e capacitação de servidores que tratam dados pessoais;
• clausulas contratuais com prestadores de tecnologia (confidencialidade, finalidade e segurança);
• classificação e restrição de informações sigilosas ou classificadas, quando cabível no ordenamento da Casa;
• procedimentos de resposta a incidentes e comunicação aos titulares e à ANPD, nos termos da legislação, quando houver risco ou dano relevante.

6. Categorias de dados e ambientes de tratamento

Conforme o serviço, o ecossistema pode tratar dados de navegação (IP, user-agent, sessão), dados cadastrais voluntários (nome, CPF, contato), conteúdo de manifestações e protocolos, bem como metadados de documentos e assinaturas. Dados sensíveis não são solicitados como regra; se incluídos espontaneamente pelo titular, o acesso é restrito e o tratamento limitado ao necessário.

Detalhamento de finalidades, bases legais e prazos de retenção consta da Política de Privacidade.

7. Direitos do titular e canais

O titular pode exercer os direitos do art. 18 da LGPD (confirmação, acesso, correção, anonimização/bloqueio/eliminação quando cabível, informação sobre compartilhamentos, revogação de consentimento etc.) pelos canais oficiais da Câmara — inclusive Ouvidoria, e-SIC e contato do controlador/encarregado publicados no portal — identificando a solicitação como relacionada à LGPD / proteção de dados.

Reclamações também podem ser apresentadas à ANPD.

8. Incidentes de segurança

Nenhum sistema é absolutamente inviolável. Diante de incidente com risco ou dano relevante aos titulares, a Câmara adotará medidas de contenção, investigação, mitigação e comunicação conforme a LGPD e orientações da ANPD, preservando evidências necessárias à apuração.

9. Cookies e tecnologias semelhantes

O uso de cookies e tecnologias correlatas é descrito na Política de Cookies. Preferências de consentimento podem ser gerenciadas pelos mecanismos disponibilizados no portal.

10. Limitações e responsabilidade do usuário

• manter dispositivos e navegadores atualizados;
• não compartilhar senhas ou certificados digitais;
• encerrar sessões em computadores compartilhados;
• comunicar prontamente suspeita de uso indevido da conta ou vazamento de credenciais pelos canais oficiais.

11. Atualizações desta política

Esta Política de Proteção de Dados poderá ser revisada para refletir evolução tecnológica do ecossistema ecam, mudanças normativas ou aprimoramento dos controles. Alterações relevantes serão publicadas nesta página. Recomenda-se consulta periódica.

12. Contato

Dúvidas sobre medidas de proteção, incidentes ou exercício de direitos: utilize os canais oficiais da Câmara Municipal e, quando publicado, os dados do Controlador de Dados (LGPD), com assunto “LGPD — Proteção de Dados”.