LGPD e compliance · 4 min de leitura
Circular SUSEP 638: o que a seguradora exige dos fornecedores
A Circular SUSEP 638/2021 cobra das seguradoras controles de quem processa seus dados. Veja o que gerenciadoras de risco e corretoras devem preparar.
Por Jean Pierre · Publicado em
Resposta rápida
A Circular SUSEP nº 638/2021 vale para seguradoras, previdência aberta, capitalização e resseguradores locais, e não para gerenciadoras de risco ou corretoras. Mas ela obriga a seguradora a exigir de quem processa ou armazena seus dados controles de segurança cibernética não inferiores aos dela, o que chega ao fornecedor por contrato. Quem presta esse tipo de serviço deve esperar pedido de política, segregação de dados, monitoramento, notificação de subcontratação, plano de saída e acesso da SUSEP.
Se a sua empresa presta serviço a uma seguradora, mesmo sem ser supervisionada pela SUSEP, é provável que ela já tenha pedido, ou vá pedir, evidências de segurança. A origem desse pedido costuma ser a Circular SUSEP nº 638/2021. Este texto resume o que ela diz, com base no texto publicado, e não substitui orientação jurídica.
A quem a circular se aplica
A circular dispõe sobre requisitos de segurança cibernética para sociedades seguradoras, entidades abertas de previdência complementar, sociedades de capitalização e resseguradores locais, chamadas de "supervisionadas". Gerenciadoras de risco e corretoras não constam dessa lista. O efeito para elas vem da cadeia de contratação.
O que a seguradora deve fazer
- Comunicar incidente relevante à SUSEP em até 5 dias úteis a partir do conhecimento, detalhando a extensão do dano e as ações em curso (art. 8º).
- Elaborar relatório anual sobre prevenção e tratamento de incidentes (art. 9º).
- Ao terceirizar processamento e armazenamento de dados, ter governança para monitorar o serviço e certificar-se de que o prestador cumpre o art. 11 (art. 10). Na redação original, nos serviços relevantes a seguradora também devia informar a SUSEP em até 30 dias após o contrato; a Resolução Susep nº 90/2026 trocou esse dever por outro (ver abaixo).
O que ela exige do fornecedor (art. 11)
A seguradora deve exigir que o prestador de processamento e armazenamento de dados:
- observe a lei e a regulamentação em vigor;
- disponibilize informações e recursos de gestão para a seguradora monitorar o serviço;
- tenha processos, procedimentos e controles de segurança cibernética não inferiores aos da própria seguradora para o mesmo grau de sensibilidade;
- segregue os dados da seguradora e de seus clientes dos dados dos demais clientes;
- notifique a seguradora sobre a subcontratação de serviços relevantes;
- em caso de fim do contrato, transfira os dados ao novo prestador ou à seguradora e só então os exclua, após a confirmação da integridade e disponibilidade;
- não crie embaraço à atuação da SUSEP, garantindo a ela acesso de consulta aos dados e às informações do contrato, quando solicitado.
Nos serviços relevantes, a seguradora ainda deve recorrer a certificação independente do serviço ou a diligências prévias (§ 1º), e os contratos, exceto os de adesão, devem prever essas exigências de forma expressa (§ 4º).
Como se preparar como fornecedor
- Tenha uma política de segurança escrita e a mostre quando pedirem.
- Comprove a segregação dos dados de cada cliente (separação lógica de bases, acessos e backups).
- Controle acessos: individual, com segundo fator para acessos administrativos, e revisão periódica.
- Proteja estações e servidores com antivírus corporativo, anti-ransomware e gestão central; um EDR guarda o registro para investigar e comprovar o que ocorreu.
- Faça backup testado e defina como devolver e excluir os dados no fim do contrato.
- Mapeie subcontratados (nuvem, APIs, fornecedores de consulta) para poder avisar a seguradora.
- Combine prazos de aviso: se a seguradora tem 5 dias úteis para a SUSEP, o contrato deve exigir que você avise bem antes. Na LGPD, incidente com risco relevante aos titulares, como os que envolvem dados sensíveis, é comunicado à ANPD em 3 dias úteis.
Dados de motoristas e biometria
Gerenciadoras de risco no transporte tratam CPF, CNH, histórico e, às vezes, biometria. O dado biométrico vinculado a uma pessoa é sensível na LGPD (art. 5º, II) e exige base legal específica (art. 11), além das medidas de segurança do art. 46. É mais um motivo para provar controles à seguradora.
Onde a Codlinx entra
A Codlinx é Parceira Oficial Bitdefender e protege estações e servidores de seguradoras e gerenciadoras de risco, com EDR na versão Enterprise e MDR opcional. Também desenvolvemos integrações e software para uma gerenciadora de risco no transporte. Não oferecemos consultoria jurídica nem auditoria da circular, e o atendimento é de segunda a sexta, das 8h às 20h, sem plantão.
A circular foi alterada em 2026
A Resolução Susep nº 90, de 18/08/2026 (DOU de 20/08/2026, seção 1, p. 33, em vigor desde a publicação) deu nova redação ao inciso III do art. 10. Em vez de informar a SUSEP, em até 30 dias, sobre cada contrato relevante de terceirização, a seguradora deve assegurar que os contratos, incluindo alterações e aditivos, estejam acessíveis quando a SUSEP solicitar. O parágrafo único acrescenta que isso inclui manter arquivados e apresentar à SUSEP, sempre que pedidos, as informações e os documentos necessários à avaliação do serviço, dos riscos envolvidos e da conformidade com a regulamentação.
Para o fornecedor, a consequência prática é esperar pedidos de cópia do contrato, dos aditivos e de evidências dos controles, e conseguir entregá-los rápido. Os demais pontos deste texto seguem a redação original da circular; confira a versão consolidada no site da SUSEP antes de assumir uma obrigação.