Normas de Segurança
Última Revisão: 9 de maio de 2018

I.  Medidas Técnicas e Organizacionais

Comprometemo-nos a proteger as informações dos nossos clientes.  Tendo em consideração as melhores práticas, os custos de implementação e a natureza, âmbito, circunstâncias e finalidades do processamento, bem como as diferentes probabilidades de ocorrência e de gravidade de riscos para os direitos e liberdades das pessoas singulares, implementamos as medidas técnicas e organizacionais seguintes.  Na seleção das medidas, tomamos em consideração a confidencialidade, a integridade, a disponibilidade e resiliência dos sistemas. Garantimos uma recuperação rápida após um incidente físico ou técnico.

O nosso Programa de Privacidade de Dados foi estabelecido para manter uma estrutura de governação de dados global e proteger as informações durante o ciclo de vida das mesmas. Este programa é gerido pelo gabinete do responsável pela proteção dos dados, que supervisiona a implementação de práticas de privacidade e de segurança. Testamos e avaliamos regularmente a eficácia dos respetivos Programa de Privacidade de Dados e Normas de Segurança.

1. Confidencialidade. “Confidencialidade significa que os dados pessoais se encontram protegidos de divulgação não autorizada.”  

Utilizamos uma série de medidas físicas e lógicas para proteger a confidencialidade dos respetivos dados pessoais do cliente. Entre tais medidas incluem-se:   

Segurança Física  

• Sistemas de controlo de acesso físico implementados (Controlo de acesso por distintivo, Monitorização de eventos de segurança, etc.) 
• Sistemas de vigilância, incluindo alarmes e, conforme apropriado, sistemas de vigilância por televisão em circuito fechado (CCTV)
• Políticas e controlos de “secretária limpa“ implementados (Bloqueio de computadores não utilizados, armários trancados, etc.)  
• Gestão do Acesso de Visitantes
• Destruição de dados em suportes físicos e em documentos (retalhamento, desmagnetização, etc.) 

Controlo de Acessos e Prevenção de Acesso Não Autorizado

• Restrições de acesso por parte dos utilizadores aplicadas e permissões com base em funções concedidas/analisadas com base no princípio da separação de funções  
• Métodos seguros de autenticação e de autorização (Autenticação multifator, autorização com base em certificados, desativação/encerramento de sessão automáticos, etc.) 
• Gestão centralizada de palavras-passe e políticas de palavras-passe seguras/complexas (comprimento mínimo, complexidade de carateres, expiração de palavras-passe, etc.)   
• Acesso controlado a emails e à Internet
• Gestão de antivírus  
• Gestão do Sistema de Prevenção de Intrusão  

Encriptação  

• Encriptação de comunicação externa e interna através de protocolos criptográficos seguros  
• Encriptação de dados PII/SPII inativos (bases de dados, diretórios partilhados, etc.)   
• Encriptação total do disco para computadores de secretária e portáteis de empresa   
• Encriptação de suporte de dados de armazenamento  
• As ligações remotas às redes da empresa são encriptadas através de VPN  
• Assegurar o ciclo de vida das chaves de encriptação  

Minimização dos Dados

• Minimização de PII/SPI em registos da aplicação, de depuração e de segurança  
• Apresentação sob pseudónimo de dados pessoais para impedir a identificação direta de um indivíduo 
• Separação de dados armazenados por função (transição, de teste, dinâmico) 
• Separação lógica de dados por direitos de acesso baseados em funções 
• Períodos de retenção de dados definidos para dados pessoais 

Testes de Segurança

• Teste de Penetração para redes e plataformas empresariais críticas que alojem dados pessoais 
• Análises regulares de rede e de vulnerabilidade 

2. Integridade. “Integridade refere-se a assegurar a exatidão (integridade) dos dados e o correto funcionamento dos sistemas. Quando o termo integridade é utilizado com o termo "dados", é uma indicação de que os dados estão completos e inalterados.”  

As alterações adequadas e os controlos de gestão de registo estão implementados, além dos controlos de acesso para manter a integridade dos dados pessoais, como:    

Gestão de Alterações e de Versões  

• Processo de gestão de alterações e de versões (incluindo análise do impacto, aprovações, testes, análises de segurança, transição, monitorização, etc.)  
• Aprovisionamento de acesso baseado em funções (Separação de Funções) em ambientes de produção  

Monitorização e Registos

• Registo de acesso e alterações a dados  
• Auditoria centralizada e registos de segurança   
• Monitorização da integralidade e da correção da transferência dos dados (verificação ponto a ponto)  

3. Disponibilidade. “A disponibilidade dos serviços e sistemas de TI, aplicações de TI e funções de rede ou informações de TI está garantida, se os utilizadores conseguirem utilizá-las em permanência conforme pretendido.”    

Implementamos medidas de segurança e continuidade adequadas para manter a disponibilidade dos serviços e dos dados que residem em tais serviços:    

• Testes regulares de ativação pós-falha aplicados para serviços críticos  
• Monitorização e elaboração de relatórios sobre desempenho alargado/disponibilidade de sistemas críticos  
• Programa de resposta a incidentes  
• Dados críticos replicados ou com cópia de segurança (Cópias de Segurança na Nuvem/Discos Rígidos/Replicação de base de dados, etc.) 
• Manutenção planeada de software, infraestrutura e segurança implementada (Atualizações de software, patches de segurança, etc.)   
• Sistemas redundantes e resilientes (clusters de servidores, bases de dados espelhadas, configurações de elevada disponibilidade, etc.) localizados em localizações fora das instalações e/ou geograficamente separadas    
• Utilização de fontes de alimentação ininterrupta, hardware redundantes a falhas e sistemas de rede  
• Sistemas de segurança e alarme implementados  
• Medidas de Proteção Física implementadas para locais críticos (proteções de sobretensão, pisos sobre-elevados, sistemas de refrigeração, detetores de incêndio e/ou fumo, sistemas de supressão de incêndios, etc.) 
• Proteção contra ataques denial-of-service (DDoS) para manter a disponibilidade   
• Testes de esforço e de carga  

4. Instruções para Processamento de Dados. "As Instruções para Processamento de Dados referem-se a assegurar que os dados pessoais apenas serão processados de acordo com as instruções do controlador de dados e as medidas relacionadas da empresa"  

Estabelecemos políticas de privacidade internas, acordos e realizamos formações regulares em matéria de privacidade para os colaboradores para nos certificarmos de que os dados pessoais são processados de acordo com as preferências e instruções dos clientes.   

• Termos de privacidade e de confidencialidade acordados no âmbito dos contratos de trabalho 
• Formações regulares em privacidade e segurança de dados para os colaboradores
• Disposições contratuais adequadas aos acordos com subcontratantes para manter os direitos de controlo instrucional
• Verificações de privacidade regulares para fornecedores de serviços externos
• Disponibilizar aos clientes o controlo total das respetivas preferências em termos de processamento de dados
• Auditorias de segurança regulares