Soberania dos dados
Onde ficam alojados os seus dados de segurança, quem lhes pode aceder e como isso vai mudar à medida que a nossa equipa em Portugal crescer. Explicamos tudo isto por escrito antes do início de qualquer contrato.
Alojados na UE, sob jurisdição da UE
Este sítio e a plataforma de monitorização que estamos a construir funcionam em infraestruturas da Hetzner Online GmbH na Alemanha ou na Finlândia, um fornecedor com sede na UE. A telemetria de segurança dos clientes será aí armazenada e processada desde o primeiro dia de serviço.
Isto é diferente de utilizar a região europeia de um fornecedor com sede fora da UE. Uma região determina onde os dados estão, mas não quem pode legalmente exigir acesso a eles. O CLOUD Act norte-americano, por exemplo, permite às autoridades dos EUA exigir aos fornecedores norte-americanos que divulguem dados que estejam na sua posse, guarda ou controlo, independentemente do local onde esses dados estejam armazenados.
Escolher um fornecedor de propriedade europeia, sob jurisdição da UE, evita esse conflito ao nível da infraestrutura.
Quem pode aceder aos seus dados, e como
Acesso baseado em funções
Cada pessoa só pode aceder aos dados de que a sua função necessita.
Acessos registados
Todos os acessos aos dados dos clientes ficam registados.
Sem exportação em massa
Os dados dos clientes não podem ser exportados em massa.
Privilégios just-in-time
O acesso privilegiado é concedido para uma tarefa concreta e retirado no fim. Ninguém tem acesso privilegiado permanente.
Servidores de salto
O acesso remoto faz-se através de servidores de salto (jump hosts) na UE e nunca diretamente aos seus sistemas ou dados.
Sessões gravadas
As sessões privilegiadas são gravadas, para que cada ação possa ser revista.
Cobertura por analistas, hoje
O nosso centro de operações de segurança em Portugal está planeado e ainda não está em funcionamento. Até lá, a capacidade de monitorização é assegurada pela nossa empresa afiliada nos Estados Unidos, a Cyberuptive LLC, enquanto fornecedor contratado.
Os analistas dessa empresa trabalham apenas através dos controlos acima descritos. Nos termos do RGPD, o acesso remoto a partir de fora da UE constitui uma transferência internacional, pelo que, antes de qualquer tratamento de dados de clientes, serão celebradas cláusulas contratuais-tipo e um acordo de subcontratação.
O nosso plano de cobertura
A cobertura por analistas passa para Portugal em três fases. Os dados dos clientes mantêm-se em infraestruturas na UE durante todo o processo.
Os clientes recebem, por escrito, informação sobre a transição e a data assumida para a terceira fase.
Fase 1 Desde o lançamento
Dados alojados na UE; capacidade contratada de analistas nos EUA, com salvaguardas documentadas.
Fase 2 Previsto para 2028
Analistas L1 e L2 em Portugal, com apoio de escalonamento.
Fase 3 Previsto para 2030
Cobertura por analistas integralmente baseada na UE.
Por escrito, antes de começarmos
Antes do início de qualquer contrato, recebe uma descrição escrita de:
- onde os seus dados são armazenados e processados, e por que fornecedor;
- quem lhes pode aceder, a partir de onde e com que controlos;
- a fase de cobertura atual e as datas da seguinte;
- como lhe comunicaremos qualquer alteração.
Dúvidas sobre os seus dados?
Teremos todo o gosto em explicar estas condições em pormenor à sua equipa de segurança, jurídica ou de compras.
Marcar uma conversa