Cifragem de ponta a ponta
TLS em trânsito e cifragem em repouso dos dados e dos anexos.
Segurança e conformidade
O que o seu responsável de TI vai perguntar
Cifragem, controlo de acessos, registo de auditoria, cópias verificadas e um contrato de subcontratante que se pode ler sem sobressaltos.
As cinco perguntas de TI, respondidas
Quando um responsável de sistemas avalia uma plataforma, pergunta sempre o mesmo: onde estão os dados, quem lhes pode aceder, o que acontece se houver uma violação e o que diz o contrato de subcontratante. O Kimobox responde com infraestrutura própria na União Europeia, cifragem em trânsito e em repouso, controlo de acessos por perfil com duplo fator, registo de auditoria de cada ação e um contrato do art. 28.º do RGPD redigido para ser lido, não para ser assinado sem olhar.
- Quadro aplicável
- Regulamento (UE) 2016/679 e LO 3/2018 RGPD aplicável desde 25 de maio de 2018; LOPDGDD espanhola desde dezembro de 2018
- Contrato de subcontratante
- Art. 28.º do RGPD Com o conteúdo mínimo que o próprio artigo enumera
- Notificação de violações
- 72 horas Art. 33.º do RGPD, a partir do momento em que o responsável tem conhecimento
- Coima máxima
- 20 M€ ou 4 % do volume de negócios mundial O montante mais elevado, segundo o art. 83.º, n.º 5, do RGPD
- Localização dos dados
- Centros de dados na UE Sem transferências internacionais que exijam garantias adicionais
Acessos e duplo fator
Permissões por perfil, SSO corporativo e segundo fator, obrigatório se assim se configurar.
Registo de auditoria
Quem viu ou alterou o quê e quando, incluindo o acesso do suporte.
RGPD e LOPDGDD
Contrato de subcontratante, registo de atividades e gestão de direitos.
Operação
Como se mantém o serviço
- Monitorização 24×7 com alertas e piquete
- Cópias diárias com testes periódicos de restauro
- Ambientes separados de testes e de produção
- Atualizações planeadas e comunicadas com antecedência
- Plano de continuidade e recuperação testado
- Auditorias de segurança e testes de intrusão periódicos
Enquadramento normativo
Sobre que regulamentação trabalhamos
Exemplos reais
O que costuma falhar
Empresa com DPO externo
Registo de atividades de tratamento incompleto
Antes O registo foi feito em 2019 e não foi tocado desde então, apesar de a empresa ter incorporado três ferramentas novas.
Depois Cada tratamento é registado com o seu fundamento jurídico, as suas categorias de dados, os seus prazos e os seus destinatários, e é revisto quando muda o sistema que o suporta.
Indústria · acesso de empreiteiros
Utilizadores que continuam ativos anos depois
Antes Ninguém revê as permissões. Há contas de pessoas que saíram da empresa em 2022 com acesso a documentação da qualidade.
Depois Revisão periódica de acessos por perfil e desativação automática associada à ficha de pessoal. O acesso caduca quando caduca a relação.
Serviços · auditoria de cliente
Demonstrar quem viu um documento
Antes O sistema não guarda quem acedeu a quê. Perante uma reclamação, a empresa não pode afirmar nem desmentir nada.
Depois Registo de auditoria com utilizador, ação, objeto e momento. A pergunta «quem descarregou isto» tem resposta com data.
Vocabulário
Os termos que é preciso usar bem
- Responsável pelo tratamento
- Quem decide as finalidades e os meios do tratamento. Numa plataforma como esta, o responsável é a empresa cliente, não o fornecedor.
- Subcontratante
- Quem trata dados por conta do responsável. Só o pode fazer seguindo as suas instruções documentadas e ao abrigo do contrato do art. 28.º do RGPD.
- Violação de dados pessoais
- Violação da segurança que provoca a destruição, perda, alteração ou acesso não autorizado a dados pessoais. Deve ser notificada à autoridade em 72 horas, salvo se for improvável que implique um risco.
- Cifragem em repouso
- Proteção do dado enquanto está armazenado, não apenas enquanto circula. É o que limita os danos se alguém aceder fisicamente ao suporte.
- Registo de atividades
- Inventário dos tratamentos realizados pela organização, exigido pelo art. 30.º do RGPD. É a primeira coisa que a autoridade pede numa inspeção.
- Duplo fator (2FA)
- Verificação que combina algo que se sabe com algo que se tem. Transforma uma palavra-passe divulgada num problema incómodo em vez de um incidente grave.
Perguntas frequentes
O que nos perguntam antes de começar
Onde estão alojados os dados?
Em centros de dados da União Europeia, sobre infraestrutura própria.
Quem pode ver os meus dados?
Apenas o suporte, com acesso registado e mediante a sua autorização expressa.
Têm certificação ISO 27001?
O serviço é operado segundo os controlos da ISO 27001; facultamos a documentação para a sua avaliação de fornecedores.
Quem é responsável e quem é subcontratante do tratamento?
A empresa cliente é a responsável: decide as finalidades e os meios. O Kimobox atua como subcontratante e só trata os dados seguindo as suas instruções documentadas, ao abrigo do contrato exigido pelo art. 28.º do RGPD.
O que acontece se houver uma violação de segurança?
O art. 33.º do RGPD obriga a notificá-la à autoridade de controlo num máximo de setenta e duas horas após ter conhecimento dela. O contrato de subcontratante inclui o compromisso de vo-la comunicar sem demora para que possam cumprir esse prazo.
Qual é a coima máxima do RGPD?
Vinte milhões de euros ou quatro por cento do volume de negócios anual a nível mundial, consoante o montante mais elevado, para as infrações do art. 83.º, n.º 5. É o motivo pelo qual estas perguntas deixaram de ser uma formalidade.
É possível saber quem acedeu a um documento?
Sim. O registo de auditoria guarda utilizador, ação, objeto e momento, e é consultável e exportável. A pergunta «quem descarregou isto» tem resposta com data.
Como se gerem os direitos dos titulares?
Acesso, retificação, apagamento, limitação, portabilidade e oposição são atendidos a partir da própria plataforma, com a localização do dado por titular e o registo da resposta dentro do prazo de um mês do art. 12.º, n.º 3.
Há autenticação de duplo fator?
Sim, ativável por perfil. É o que transforma uma palavra-passe divulgada num incidente incómodo em vez de um problema grave.
Passe a nossa ficha de segurança à sua equipa de TI
Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.
Continue a explorar
Páginas relacionadas
Segundo fator pelo canal que cada pessoa já usa
Segundo fator com Google ou Microsoft Authenticator, SMS, WhatsApp, Telegram, e-mail ou passkey, exigido por…
RGPD · Proteção de dados
Percurso gratuito sobre o RGPD: princípios, direitos dos titulares, medidas de segurança e violações de…
Servidores próprios na Europa
Infraestrutura própria em centros de dados da UE, cópias diárias com restauro testado, cifragem em trânsito…
ISO 27001 sem pastas nem surpresas
Inventário de ativos, análise de riscos e controlos do Anexo A com o seu estado e o seu responsável.
Fontes
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- Regulamento (UE) 2016/679, Regulamento Geral sobre a Proteção de Dados EUR-Lex · Aplicável desde 25 de maio de 2018
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales BOE-A-2018-16673 · 6 de dezembro de 2018
- Guía para la notificación de brechas de datos personales (guia de notificação de violações) Agencia Española de Protección de Datos · Guia da AEPD
- ISO/IEC 27001:2022 — Sistemas de gestão da segurança da informação ISO/IEC · 25 de outubro de 2022
Segurança da informação e conformidade com o RGPD
A plataforma aplica cifragem em trânsito e em repouso, controlo de acessos por perfil, autenticação de duplo fator, integração com SSO corporativo e registo de auditoria de todas as ações, incluindo o acesso da equipa de suporte.
O serviço é prestado a partir de centros de dados da União Europeia com contrato de subcontratante conforme o RGPD e a LOPDGDD, cópias de segurança diárias verificadas, ambientes separados e plano de continuidade testado.