Governança que transforma risco em decisão.

LGPD operada todo dia — não só documentada uma vez por ano.

O programa de privacidade nasce do que o Veyra já sabe sobre seus dados, terceiros, riscos e controles.

• ROPA assistido: categorias de dados sugeridas a partir dos repositórios mapeados, sempre confirmadas por uma pessoa
• RIPD e LIA (legítimo interesse) assistidos, ligados à operação de tratamento
• Base legal estruturada pelos Arts. 7º e 11 da LGPD, com versões aprovadas preservadas
• Portal do Titular: pedidos recebidos por link público, com triagem, decisão e histórico auditável
• Comunicação de incidentes à ANPD e aos titulares com os marcos da Resolução CD/ANPD nº 15/2024

Quando a crise chega, o plano já está na mesa.

Da análise de impacto ao pós-mortem, a continuidade de negócios vive no mesmo lugar que o risco e o incidente que a acionaram.

• BIA, RTO/RPO e planos BCP/DRP com testes registrados
• Sala de Crise: comandante, papéis, tarefas e relógio de RTO por processo afetado
• Comunicados com fluxo de aprovação e comprovação de envio
• Linha do tempo com registro imutável de cada decisão e atualização
• Pós-mortem cujas lições viram planos de ação
• Aderência à ISO 22301 medida pelo mesmo motor de frameworks

O Veyra apoia o sistema de gestão de continuidade de negócios (SGCN) da sua organização. Ele não emite certificação ISO 22301.

Aderência contínua, não checklist anual.

Cada framework é calculado a partir de controles, evidências e riscos reais — e mostra exatamente onde está a lacuna.

• 12 frameworks nativos, incluindo ISO 27001, ISO 27701, ISO 22301, NIST CSF 2.0, LGPD, BACEN e CNJ 213
• Lacunas por controle, evidência e risco aberto, nunca uma nota genérica
• Comparativo histórico de aderência entre datas, com snapshots reais
• 11 relatórios especializados — Conselho, CEO, CISO, CFO, DPO, auditor e regulador

O Veyra apoia a organização da governança com base em frameworks reconhecidos. Ele não promete certificação automática nem conformidade garantida.

O uso de IA governado — e a política aplicada.

Inventário, aprovação e controle do uso real de IA, conectados ao mesmo GRC.

• Inventário de sistemas e provedores de IA com revisão e aprovação
• Shadow AI identificado por correlação com o uso real
• AI Gateway que aplica ALERT, MASK e BLOCK antes do dado chegar à ferramenta de IA
• Aderência a ISO/IEC 42001, NIST AI RMF 1.0 e LGPD para IA

Privacidade no Veyra Assist. O Veyra Assist utiliza IA de forma controlada e com minimização de dados. Somente o contexto necessário à solicitação é processado, sempre respeitando a organização e as permissões do usuário. Informações sensíveis e categorias restritas são removidas do contexto antes do envio ao provedor de IA. O Veyra não armazena prompts, contextos ou respostas geradas pelo Assist. O processamento por provedores externos está sujeito às respectivas políticas de privacidade, segurança e retenção de dados. Atualmente, o Veyra Assist utiliza a API da OpenAI. Dados enviados por meio da API não são utilizados para treinamento dos modelos por padrão, conforme as políticas aplicáveis do provedor.

Fornecedores e credenciais críticas dentro da governança.

Due diligence, contrato, DPA e acesso privilegiado tratados como risco — com dono, prazo e trilha.

• Due Diligence Copilot: a IA seleciona as perguntas da biblioteca, o fornecedor responde pelo portal e a decisão final é do analista
• Revisão vencida, contrato expirado e DPA pendente sinalizados por fornecedor
• Cofre de acessos críticos com AES-256-GCM e preenchimento pela extensão Veyra Access: token de uso único, válido por 30 segundos
• Central de Aprovações com 24 tipos de decisão e registro de quem aprovou o quê

Risco humano medido, não só treinado.

Campanhas de conscientização vivem na mesma base de riscos e controles — a conclusão é evidência, não um certificado solto.

• Jornada curta por blocos: texto, vídeo e pergunta de checagem — sem curso longo
• Trilhas recorrentes (ex.: trimestral) sem recadastrar conteúdo a cada ciclo
• Públicos e grupos reutilizáveis, com atribuição individual e por responsável
• Vínculo direto com controles e testes de controle: a campanha concluída sugere evidência de GRC
• Relatório de conscientização próprio, com taxa de conclusão e de acerto por campanha