DOU 02/10/2026 - Diario Oficial da Uniao - Brasil extra_A

TEXTO OFICIAL · ÍNTEGRA

Seção 1 - Edição Extra

Nº 187-A, sexta-feira, 2 de outubro de 2026

ISSN 1677-7042

As orientações fornecidas ao produtor deverão indicar, de forma clara, quando se tratar de estimativa, inferência, recomendação automatizada, orientação geral ou informação dependente de validação técnica complementar. 7. As informações apresentadas ao produtor rural deverão ser claras, acessíveis e acompanhadas, quando necessário, de explicação mínima sobre os dados utilizados, período analisado, critérios considerados, limitações da análise e finalidade do assessoramento. A instituição credenciada deverá evitar linguagem que induza o produtor a interpretar o assessoramento digital como garantia de resultado, certificação de produtividade, obrigação de manejo ou recomendação técnica individual definitiva, salvo quando houver responsável técnico habilitado e previsão específica no instrumento de credenciamento.

1. As orientações, alertas, recomendações, relatórios ou mensagens relevantes fornecidas ao produtor deverão ser registradas de forma rastreável, permitindo identificar, quando aplicável:

a) produtor ou representante autorizado;

b) área, gleba, polígono ou talhão associado;

c) cultura analisada;

d) safra ou período considerado;

e) dados e fontes utilizados;

f) metodologia ou critério aplicado;

g) data e hora da geração da orientação;

h) versão do modelo, regra ou parâmetro utilizado;

i) conteúdo apresentado ao produtor; e

j) eventual contestação, revisão ou atualização posterior.

Os registros deverão permanecer disponíveis para fiscalização, auditoria, apuração de reclamações, contestação, reprocessamento e validação posterior pelo Ministério da Agricultura e Pecuária, observadas as regras de segurança, sigilo, proteção de dados pessoais e retenção aplicáveis.

1. O assessoramento digital deverá observar os requisitos de arquitetura, dados geoespaciais, inteligência artificial, prova de conceito, documentação técnica, monitoramento, segurança, privacidade, auditoria, continuidade e capacidade técnica previstos nos demais anexos do credenciamento. Quando o assessoramento digital utilizar dados, evidências, modelos, indicadores ou informações produzidas no âmbito da emissão de atestados ou do monitoramento, deverá preservar a rastreabilidade entre a orientação apresentada e os elementos técnicos que lhe deram suporte.

2. O Ministério da Agricultura e Pecuária poderá avaliar, em prova de conceito ou diligência técnica, a funcionalidade de assessoramento digital, contemplando, quando aplicável:

a) aderência funcional;

b) clareza das informações apresentadas ao produtor;

c) fontes de dados utilizadas;

d) metodologia aplicada;

e) coerência das orientações;

f) limites e ressalvas apresentados;

g) rastreabilidade das recomendações;

h) segurança e proteção dos dados; e

i) capacidade de auditoria e reprocessamento.

A aprovação da funcionalidade de assessoramento digital, quando avaliada pelo Ministério da Agricultura e Pecuária, não afasta o dever de manutenção permanente da qualidade, segurança, rastreabilidade, transparência e conformidade durante toda a vigência do credenciamento.

SEGURANÇA, PRIVACIDADE, AUDITORIA, CONTINUIDADE E CUSTÓDIA INTEGRAL DOS DA D O S

1. Este Anexo estabelece os requisitos mínimos de segurança da informação, privacidade, proteção de dados pessoais, custódia integral, auditoria, rastreabilidade, continuidade, portabilidade, subcontratação, localização dos dados, atendimento ao produtor e responsabilização aplicáveis às instituições credenciadas.

2. A instituição credenciada atuará como custodiante primária e integral dos dados, documentos, registros, atestados, evidências, logs e metadados gerados ou tratados no âmbito do serviço credenciado, não havendo armazenamento, espelhamento ou cópia operacional desses dados em ambiente próprio do Ministério da Agricultura e Pecuária.

A ausência de armazenamento no Ministério da Agricultura e Pecuária não afasta o direito do Ministério de acessar, consultar, auditar, requisitar, exportar, verificar, validar e fiscalizar essas informações a qualquer tempo. 3. A instituição credenciada deverá comprovar, por certificados válidos, relatórios de auditoria independente, documentação técnica, matriz de controles, evidências operacionais ou meios equivalentes, que sua infraestrutura, sistemas, processos e serviços adotam controles compatíveis com referenciais reconhecidos de segurança, privacidade, continuidade, resposta a incidentes e proteção criptográfica, ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 2 Type II, SOC 3, NIST SP 800-61, FIPS 140-3 ou referenciais equivalentes poderão ser aceitos como meios qualificados de comprovação, desde que o escopo seja compatível.

1. A instituição credenciada deverá implementar controles técnicos, administrativos, jurídicos e operacionais compatíveis com a Lei nº 13.709, de 14 de agosto de 2018, considerando a coleta, tratamento, armazenamento, uso, compartilhamento, retenção, exportação, eliminação, auditoria e preservação dos dados pessoais tratados no âmbito do serviço credenciado. Considerando que a instituição credenciada manterá relação direta com o produtor rural, realizará a emissão dos atestados em seu próprio ambiente tecnológico, poderá realizar a cobrança diretamente do interessado e manterá sob sua custódia integral os dados, documentos, registros, evidências, logs e metadados relacionados ao serviço credenciado, a instituição credenciada atuará como responsável primária pelos tratamentos de dados pessoais necessários à prestação direta do serviço. Para os tratamentos de dados pessoais realizados no âmbito da prestação direta do serviço ao produtor rural, inclusive coleta de informações, análise, emissão dos atestados, atendimento, suporte, armazenamento, preservação de evidências, logs, metadados, contestação, cancelamento, reemissão, retenção, portabilidade, descarte e relacionamento com o interessado, a instituição credenciada atuará como controladora independente, assumindo responsabilidade pelas decisões operacionais, técnicas, administrativas e de segurança relacionadas a tais tratamentos. O credenciamento concedido pelo Ministério da Agricultura e Pecuária, a definição de requisitos técnicos, a fixação de critérios de segurança, rastreabilidade e auditoria, bem como o exercício das competências de fiscalização, supervisão, consulta, requisição, exportação, validação ou auditoria pelo Ministério, não caracterizam, por si sós, controladoria conjunta sobre os tratamentos operacionais realizados pela instituição credenciada.

Não haverá controladoria conjunta entre o Ministério da Agricultura e Pecuária e a instituição credenciada em relação aos tratamentos de dados pessoais realizados pela instituição credenciada em razão da prestação direta do serviço, da relação com o produtor rural, do atendimento, da custódia das informações, da preservação das evidências e da manutenção dos registros, cabendo à instituição credenciada responder pelas obrigações legais, técnicas, administrativas, operacionais e de segurança correspondentes. O Ministério da Agricultura e Pecuária responderá exclusivamente pelos tratamentos de dados pessoais que realizar diretamente, no exercício de suas competências institucionais e finalidades públicas, quando acessar, consultar, requisitar, receber, auditar, validar ou fiscalizar dados, atestados, evidências, logs ou metadados relacionados ao serviço credenciado. A conformidade com a Lei nº 13.709, de 14 de agosto de 2018, não deverá ser tratada como funcionalidade isolada de banco de dados, mas como conjunto de governança, controles, registros, transparência, rastreabilidade, segurança, retenção, descarte e responsabilização.

1. A instituição credenciada deverá possibilitar auditoria fim a fim dos atestados, transações, registros, evidências e operações realizadas no âmbito do credenciamento. Os logs deverão registrar usuário, serviço, sistema, origem, data, hora, operação, resultado e endereço de rede quando aplicável, com sincronização de horário, proteção contra alteração ou exclusão não autorizada, retenção definida pelo Ministério da Agricultura e Pecuária e disponibilização em formato estruturado, íntegro e auditável. 6. O Ministério da Agricultura e Pecuária poderá, diretamente ou por terceiro designado, realizar auditorias, diligências, avaliações técnicas ou solicitações de evidências relacionadas à segurança, privacidade, custódia, continuidade, integridade, rastreabilidade, conformidade, emissão de atestados, atendimento ao produtor e preservação das evidências.

2. A instituição credenciada deverá manter processo contínuo de gestão de vulnerabilidades, testes de segurança, aplicação de patches e segurança de aplicações, portais, APIs, serviços web, aplicativos móveis e integrações, observando boas práticas como OWASP Top 10 e OWASP API Security Top 10 quando aplicável. 8. Em caso de incidente suspeito ou confirmado que possa afetar dados, atestados, evidências, credenciais, logs, sistemas, disponibilidade, integridade ou confidencialidade das informações, a instituição credenciada deverá comunicar o Ministério da Agricultura e Pecuária, de forma preliminar, em até 24 horas contadas da ciência do incidente, com as informações disponíveis até o momento, sem prejuízo de complementações posteriores. A comunicação deverá indicar, quando disponível, a natureza do incidente, data e hora da ciência, sistemas ou serviços afetados, dados ou evidências potencialmente impactados, medidas imediatas adotadas, riscos identificados, providências de contenção, previsão de normalização e ponto de contato responsável. A instituição credenciada deverá manter o Ministério da Agricultura e Pecuária atualizado sobre a evolução do incidente, as medidas corretivas adotadas e, quando solicitado, apresentar relatório de encerramento contendo causa provável, impactos apurados, ações de correção, medidas preventivas e evidências de tratamento. 9. A instituição credenciada deverá manter plano de continuidade e recuperação dos serviços, dados, atestados, evidências, logs e sistemas relacionados ao credenciamento, contemplando política de backup, periodicidade, testes de restauração, RPO, RTO, segregação dos backups, proteção contra Ransomware, recuperação de desastre e continuidade da consulta, validação e auditoria dos atestados já emitidos. 10. A infraestrutura e os serviços relacionados ao credenciamento deverão estar disponíveis para que os produtores rurais ou representantes autorizados possam solicitar, consultar e acompanhar os atestados, bem como para que o Ministério da Agricultura e Pecuária possa exercer, quando aplicável, as atividades de consulta, validação, fiscalização, auditoria, requisição de evidências e supervisão do serviço credenciado.

As manutenções programadas que possam gerar indisponibilidade deverão ser previamente comunicadas aos usuários afetados, com indicação de data, horário, duração estimada, serviços impactados, justificativa e plano de retorno. A validação e emissão dos atestados deverá observar os parâmetros de desempenho definidos no Anexo II, em prova de conceito do Ministério da Agricultura e Pecuária.

1. A instituição credenciada deverá manter recursos técnicos, administrativos e operacionais capazes de apoiar o cumprimento da Lei nº 13.709, de 14 de agosto de 2018, considerando a coleta, tratamento, armazenamento, uso, compartilhamento, retenção, exportação, eliminação e auditoria dos dados pessoais tratados no âmbito do serviço credenciado.

A conformidade com a Lei nº 13.709, de 14 de agosto de 2018, não deverá ser comprovada exclusivamente por funcionalidade nativa de banco de dados, mas por conjunto de controles técnicos e organizacionais que assegurem, quando aplicável: a) registro das operações de tratamento de dados pessoais; b) rastreabilidade de acesso, alteração, exportação, compartilhamento, retenção e eliminação de dados;

c) controle de perfis, permissões e segregação de acessos;

d) mecanismos para atendimento de solicitações de titulares, quando aplicável ao modelo definido no instrumento jurídico;

e) gestão de consentimentos, autorizações ou bases legais aplicáveis, quando necessárias;

f) minimização, retenção, descarte seguro, anonimização ou pseudonimização,

quando aplicável; g) proteção de dados pessoais, informações produtivas sensíveis, documentos, evidências, logs e metadados; e h) comunicação ao Ministério da Agricultura e Pecuária de incidentes, riscos relevantes ou solicitações que possam impactar o serviço credenciado. A instituição credenciada deverá apresentar, quando solicitado, evidências de conformidade, tais como registro de operações de tratamento, política de privacidade, matriz de bases legais, relatórios de impacto quando aplicáveis, controles de acesso, trilhas de auditoria, evidências de retenção e descarte, políticas internas, contratos com operadores e subcontratados e demais documentos técnicos ou jurídicos pertinentes. 12. A instituição credenciada deverá assegurar proteção criptográfica compatível com a criticidade dos dados, evidências, atestados, logs, metadados, backups, credenciais, certificados, tokens e segredos sob sua custódia. Deverão ser adotados mecanismos de proteção para dados em trânsito, em repouso e em backup, contemplando, quando aplicável: a) uso de protocolos seguros, como TLS 1.2 ou superior, ou padrão tecnicamente equivalente; b) suporte a Perfect Forward Secrecy - PFS, quando aplicável; c) vedação ao uso de protocolos, cifras, algoritmos ou configurações reconhecidamente obsoletos ou inseguros; d) uso de criptografia robusta para dados produtivos, evidências e backups, como AES-256 ou padrão tecnicamente equivalente;

e) uso de modos autenticados de criptografia, como AES-GCM ou equivalente, quando aplicável; f) segregação entre dados e chaves criptográficas; g) gestão segura do ciclo de vida das chaves, incluindo geração, armazenamento, rotação, revogação, backup e descarte; h) proteção adequada de certificados, tokens, segredos e credenciais; e i) uso preferencial de módulos criptográficos validados em FIPS 140-3, ou padrão tecnicamente equivalente, quando aplicável ao risco e à arquitetura adotada.

A instituição credenciada deverá disponibilizar ao Ministério da Agricultura e Pecuária, quando solicitado, evidências técnicas de configuração, políticas de criptografia, arquitetura de gestão de chaves, registros de rotação, documentação de módulos criptográficos, testes ou relatórios de auditoria que demonstrem a efetividade dos controles adotados.

1. Todos os registros críticos relacionados ao serviço credenciado deverão observar requisitos de integridade, rastreabilidade e resistência à adulteração, incluindo, no mínimo, dados de emissão dos atestados, evidências utilizadas, logs de acesso, transações, entrega, consulta, contestação, cancelamento, reemissão, validação posterior e comunicações relevantes.

A solução deverá possibilitar auditoria fim a fim das transações e eventos relevantes, permitindo a reconstrução da cadeia de custódia, da cadeia decisória e da sequência de operações relacionadas a cada atestado emitido. A integridade e a resistência à adulteração poderão ser implementadas por mecanismos como trilhas de auditoria protegidas, WORM, append-only, blockchain, tabelas imutáveis, hash, assinatura digital, carimbo do tempo, encadeamento criptográfico ou mecanismo tecnicamente equivalente. A instituição credenciada deverá manter evidências suficientes para demonstrar que registros críticos não foram alterados, excluídos ou substituídos de forma indevida.

1. A instituição credenciada deverá manter canais formais, acessíveis, rastreáveis e auditáveis para atendimento, suporte, reclamações e contestações dos produtores rurais ou representantes autorizados.

5

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.

Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 06002026100200005