Política de Dupla Autenticação de Cadastro

1.Objetivo e Escopo

1. Objetivo Esta Política estabelece a obrigatoriedade da implementação e uso da Dupla Autenticação (2FA) ou Autenticação Multifator (MFA) como medida técnica de segurança compulsória para acesso a sistemas, ambientes e, principalmente, para a validação de identidade em Ações Críticas. O objetivo é mitigar o Risco Cibernético, a Fraude de Tomada de Conta (Account Takeover - ATO) e garantir o princípio da não-repúdio nas transações de alto impacto, reforçando a proteção dos dados e da liquidez do Gateway.
2. Escopo Esta política de segurança é mandatória e aplica-se a:
   1. Todos os Lojistas e Parceiros que acessam o Portal Administrativo.
   2. Todos os colaboradores com acesso a ambientes de Tecnologia, repositórios de código-fonte (PI) e sistemas de liquidação.
   3. Todas as etapas do processo de onboarding (Cadastro e KYC).
   4. Todas as ações críticas que alteram dados sensíveis ou financeiros.

2.Definições

1. Dupla Autenticação (2FA) / Autenticação Multifator (MFA): Método de segurança que exige a comprovação de identidade por meio de dois ou mais fatores de categorias diferentes (conhecimento, posse, inerência).
2. Ação Crítica: Qualquer alteração em dados ou execução de comando que possa resultar em perda financeira, regulatória (LGPD, BACEN) ou operacional (indisponibilidade).
3. Não-Repúdio: O princípio que assegura que o usuário que realizou determinada ação (Ex: Alteração de conta de repasse) não possa negar a autoria, comprovada pelos fatores múltiplos de autenticação.
4. OTP (One-Time Password): Senha de uso único, geralmente gerada por aplicativo ou enviada por SMS/E-mail.

3.Governança e Responsabilidades

1. Diretoria (Alta Administração): Responsável por aprovar os padrões tecnológicos utilizados no MFA/2FA e por garantir a alocação de recursos (TI/Segurança Cibernética) para a manutenção da infraestrutura de autenticação.
2. Área de Tecnologia/Segurança Cibernética: Responsável pela implementação técnica e enforcement do MFA nos sistemas, pela gestão das chaves criptográficas de recuperação e pela garantia de que apenas métodos de autenticação seguros e modernos (Ex: App Tokens) sejam utilizados.
3. Área de Compliance: Responsável por auditar a aderência de Lojistas e Parceiros à obrigatoriedade do MFA/2FA, integrando este controle aos dossiês de KYC e PLD.

4.Fluxo de Dupla Autenticação no Cadastro (kyc/Mfa)

A Dupla Autenticação é uma etapa essencial do processo de Conhecimento do Cliente (KYC) e deve ser aplicada sequencialmente para a validação da identidade do Administrador/Sócio do Lojista.

1. Cadastro Inicial: Coleta dos dados primários (CNPJ, Razão Social, Nome do Administrador).
2. Primeira Verificação (Posse - E-mail): Envio de código OTP ao endereço de e-mail fornecido, validando a posse do canal de comunicação.
3. Segunda Verificação (Posse/Inerência - Celular/2FA): Configuração obrigatória de um segundo fator robusto, preferencialmente um Token por Aplicativo (OTP App) ou Biometria, vinculado ao dispositivo do administrador. A conta do Lojista permanece bloqueada até que esta etapa seja concluída.
4. Validação Documental/Biométrica (KYC): Etapa de Background Check e verificação biométrica (inerência) para conclusão do processo KYC, assegurando que o portador das credenciais eletrônicas é a pessoa física legitimamente identificada.

5.Vantagens da Dupla Autenticação no Cadastro

A obrigatoriedade do MFA/2FA no onboarding confere à Marcha vantagens estratégicas e de compliance:

1. Prevenção à Fraude de Identidade: Impede que fraudadores usem credenciais roubadas (senha e e-mail) para ativar a conta, exigindo um segundo fator sob posse física (celular/token).
2. Fortalecimento do KYC: Integra o controle de autenticação ao compliance regulatório, atestando que o Lojista é quem diz ser.
3. Não-Repúdio Reforçado: O uso de múltiplos fatores de categorias diferentes (posse, conhecimento, inerência) gera evidência de auditoria robusta, essencial em disputas legais (Direito Civil/Empresarial) sobre a autoria de transações.
4. Mitigação do Risco Cibernético: Cumpre os requisitos de segurança do BACEN, protegendo o Gateway de acessos não autorizados por falha de senha.

6.Obrigatoriedade em Ações Críticas

Além do login inicial, o MFA/2FA é mandatório para confirmar a identidade antes de executar as seguintes Ações Críticas:

1. Alteração de Dados de Liquidação: Qualquer mudança na conta bancária para repasse de recebíveis do Lojista.
2. Alteração de Credenciais de API: Redefinição ou emissão de chaves de API que dão acesso transacional ao Gateway.
3. Criação/Modificação de Usuário Administrador: Concessão de novos acessos com privilégios.
4. Acesso a Dados Pessoais Sensíveis: Acesso a dashboards ou sistemas internos que contenham dados de KYC/PLD.
5. Operações de Alto Impacto (Interno): Comandos em ambientes de Produção e Deploy de código-fonte.

7.Documentação e Integração Regulatória

Esta Política de Dupla Autenticação está formalmente integrada ao Framework de Compliance da Marcha, sendo respaldada pelos seguintes documentos:

1. Política de Segurança da Informação e Privacidade: O MFA/2FA é o controle técnico primário para garantir a Confidencialidade dos dados pessoais, conforme exigido pela LGPD.
2. Termos de Uso e Contrato do Usuário: Esta Política e a obrigatoriedade do MFA/2FA são referenciadas nos Termos Contratuais firmados com o Lojista, estabelecendo-a como obrigação contratual para uso da plataforma.
3. Documentação de Conformidade Regulatória: Os procedimentos de MFA/2FA são documentados nos relatórios de conformidade (Ex: Auditorias do BACEN) como evidência da adoção de controles robustos de acesso e segurança cibernética.
4. Documentação Técnica e de Processos (Interno): Os requisitos de MFA/2FA são detalhados nos manuais operacionais da Área de Tecnologia e Compliance, especificando a arquitetura de autenticação, o ciclo de vida das credenciais e os procedimentos de recuperação de acesso (sem comprometer a segurança).

8.Disposições Finais

1. Vigência e Revisão: Esta Política entra em vigor na data de sua aprovação pela Diretoria e deve ser revista anualmente, ou sempre que houver a incorporação de novas tecnologias de autenticação ou mudanças regulatórias.
2. Sanções: A falha do Lojista em manter o MFA/2FA ativo ou a falha do colaborador em aplicá-lo resultará na suspensão imediata do acesso ao sistema e sujeitará o responsável a medidas disciplinares internas, conforme o Código de Ética e a Política de Segurança Cibernética.
3. Comunicação: Esta política deve ser comunicada de forma clara a todos os Lojistas e Parceiros, reforçando o caráter mandatório do controle de segurança.