Medidas técnicas e organizacionais

(i) O transformador implementou um sistema de gestão da segurança da informação em conformidade com:

(a) norma ISO/IEC 27001:2022 (declaração de aplicabilidade); e

(b) Princípios dos serviços fiduciários SOC 2 de tipo II.

(ii) O Processador mantém a certificação actualizada e fornece ao Controlador uma cópia da sua certificação ou relatório válido no prazo de trinta (30) dias após a receção ou mediante pedido por escrito.

(iii) As certificações são renovadas anualmente ou conforme exigido pelo organismo de certificação.

(i) Todo o pessoal com acesso aos dados pessoais do Responsável pelo Tratamento está sujeito a obrigações de confidencialidade por escrito e a uma formação anual em matéria de segurança/privacidade.

(ii) Os requisitos de verificação pré-contratação e contínua (incluindo verificações de antecedentes, sempre que legalmente permitido) são aplicados aos empregados e alargados às filiais e contratantes.

(iii) O acesso aos Dados Pessoais do Responsável pelo Tratamento é limitado àqueles que têm uma necessidade comercial legítima de os conhecer.

(i) São emitidos IDs de utilizador únicos; são proibidas contas partilhadas.

(ii) O acesso é baseado em funções, revisto regularmente e revogado prontamente em caso de rescisão ou mudança de função.

(iii) É necessária uma autenticação multifactor.

(iv) Os dados pessoais do responsável pelo tratamento são logicamente separados dos outros dados dos clientes.

(i) As firewalls são mantidas para proteger as redes que alojam os Dados Pessoais do Responsável pelo Tratamento.

(ii) O software anti-malware é implantado e atualizado automaticamente.

(iii) Os sistemas são mantidos actualizados com patches de segurança, melhoramentos e actualizações.

(iv) É necessária uma VPN segura com autenticação multifactor para o acesso remoto.

(i) Os Dados Pessoais do Responsável pelo Tratamento são encriptados em trânsito (TLS 1.2+ ou equivalente) e em repouso, utilizando métodos de encriptação normalizados pela indústria, de acordo com as recomendações do NIST ou do CIS.

(i) O registo e a monitorização da segurança são mantidos para detetar acessos não autorizados ou anomalias.

(ii) São efectuados, pelo menos anualmente, testes de penetração independentes por terceiros, abrangendo os níveis de aplicação e de infraestrutura.

(iii) As vulnerabilidades identificadas são corrigidas dentro dos SLAs. O Controlador pode receber atestados que confirmem a realização de testes e que (i) não foram identificadas constatações materiais ou (ii) a correção foi concluída.

(iv) O transformador pode também aplicar um programa de gestão de vulnerabilidades e efetuar testes internos periódicos.

(i) Quando o suporte é retirado, os dados são eliminados de forma segura, de acordo com o NIST SP 800-88 Rev.1 ou normas sucessoras, tornando os dados irrecuperáveis.

(i) Os centros de dados utilizados pelo Processador ou pelos seus Subprocessadores implementam salvaguardas físicas padrão da indústria, incluindo restrições de acesso, vigilância, supressão de incêndios e controlos ambientais, e mantêm certificações ISO 27001 ou equivalentes.

(i) Os sistemas são concebidos com capacidades de redundância, cópia de segurança e recuperação de desastres.

(ii) As cópias de segurança são encriptadas e periodicamente testadas quanto ao seu restauro.

(iii) Os planos de continuidade das actividades e de recuperação de desastres são revistos e testados pelo menos uma vez por ano.

(i) O transformador mantém um plano documentado de resposta a incidentes.

(ii) Ao tomar conhecimento de uma Violação de Dados Pessoais, o Processador notificará o Controlador sem atrasos indevidos, de acordo com a Secção 7 do presente APD.

(iii) O Subcontratante investigará e corrigirá os incidentes de segurança e fornecerá ao Responsável pelo Tratamento as informações razoavelmente disponíveis para cumprir as obrigações legais do Responsável pelo Tratamento.

(i) O transformador contrata auditores independentes para verificar as suas medidas de segurança de acordo com as normas ISO 27001 e/ou SOC 2 Tipo II.

(ii) Os relatórios de auditoria (por exemplo, SOC 2 Tipo II) são disponibilizados ao Controlador, mediante pedido por escrito, não mais do que uma vez por ano, sujeitos a obrigações de confidencialidade.

(iii) O transformador pode fornecer ao responsável pelo tratamento resumos ou atestados em vez de relatórios completos, se for caso disso.