Medidas técnicas e organizacionais

Este documento descreve as medidas e os controlos de segurança técnicos e organizacionais implementados pela DEVAR para proteger os dados que os clientes nos confiam no âmbito das ofertas de serviços da DEVAR.

• “Programador” significa uma pessoa com uma conta DEVAR e é considerado um Responsável pelo tratamento de dados de acordo com o RGPD, salvo indicação em contrário.
• “Dados do Programador” significa qualquer informação fornecida ou submetida pelo Programador que é processada pela DEVAR.
• “Utilizador Final” significa uma pessoa que visualiza uma aplicação ou página web criada pelo Programador, que pode ou não estar alojada na plataforma DEVAR.
• “Dados do Utilizador Final” significa qualquer informação fornecida ou submetida pelo Utilizador Final que é processada pela DEVAR.
• “Dados Pessoais” significa qualquer informação relativa a uma pessoa singular identificada ou identificável
• “Pessoal” significa os funcionários da DEVAR, consultores e subprocessadores autorizados.
• “Encriptação forte” significa a utilização de medidas de encriptação padrão da indústria.
• “DEVAR” significa a DEVAR Inc., com sede em Marlton, Nova Jérsia, EUA.

ORGANIZAÇÃO DA SEGURANÇA DA INFORMAÇÃO

• A DEVAR emprega pessoal de engenharia a tempo inteiro responsável pela manutenção da segurança das informações.
• Todo o Pessoal responsável pela segurança das informações responde diretamente ao Diretor de Engenharia ou ao Diretor Executivo.
• Todo o pessoal assinou acordos de confidencialidade legalmente revistos.
• Todos os funcionários recebem formação sobre privacidade de dados e segurança da informação aquando da contratação.

Acesso físico

• A plataforma DEVAR opera a partir de vários fornecedores de nuvem principais que funcionam dentro de centros de dados de produção de terceiros certificados com um perímetro físico protegido, controlos físicos fortes, controlo de acesso eletrónico, pessoal de segurança humano, vigilância por vídeo e sistemas de deteção de intrusão eletrónica.
• As cablagens de energia e de telecomunicações que transportam Dados de Programador e Dados de Utilizador Final ou que suportam serviços de informação nos centros de dados de produção estão protegidas contra interceção, interferência e danos.
• Os centros de dados de produção e seus equipamentos são fisicamente protegidos contra desastres naturais, entrada não autorizada, ataques maliciosos e acidentes.
• O equipamento do centro de dados de produção está protegido contra falhas de energia e outras perturbações causadas por falhas nos serviços de apoio e é objeto de uma manutenção adequada.
• O acesso físico às instalações da DEVAR é controlado 24 horas por dia através de um cartão de acesso seguro, sistemas electrónicos de deteção de intrusão e vigilância por vídeo.

ACESSO AOS SISTEMAS

• O acesso aos sistemas da DEVAR é concedido apenas ao pessoal e o acesso é estritamente limitado, conforme necessário para que essas pessoas desempenhem as suas funções.
• A DEVAR tem uma política de palavras-passe que proíbe a partilha de palavras-passe e exige que estas sejam alteradas regularmente. Todas as palavras-passe devem cumprir os requisitos de complexidade mínima definidos e são armazenadas de forma encriptada.
• O acesso a sistemas que contêm Dados de Programador e Dados de Utilizador Final requer autenticação de dois factores e/ou federação de contas através de normas abertas (OAuth2, SAML 2.0, ou semelhante) de um serviço de identidade de terceiros certificado com autenticação de dois factores.
• Toda a comunicação com sistemas que contêm Dados de Desenvolvedor e Dados de Usuário Final requer o uso de Criptografia Forte através de protocolos como HTTPS, SSL/TLS e similares.
• O acesso aos Dados de Desenvolvedor e aos Dados de Usuário Final é encerrado quando o Pessoal deixa a empresa.
• O acesso do Pessoal aos serviços em nuvem que contêm Dados de Programador e Dados de Utilizador Final é registado e monitorizado.

ACESSO AOS DADOS

• A DEVAR restringe o acesso do Pessoal aos Dados do Programador e aos Dados do Utilizador Final numa base de “necessidade de conhecimento”.
• Cada um desses acessos e as suas operações subsequentes são registados e monitorizados.
• A formação do Pessoal abrange os direitos de acesso e as orientações gerais sobre a definição e a utilização dos Dados do Programador e dos Dados do Utilizador Final.

CONTROLOS DE DISPONIBILIDADE

• O código fonte e os dados de configuração são continuamente copiados para um fornecedor líder de controlo de fontes na nuvem.
• As bases de dados e o código compilado são objeto de cópias de segurança automáticas regulares.

CONTROLOS PARA A SEPARAÇÃO DE TAREFAS

• Os ambientes de vários níveis separam os servidores de desenvolvimento, preparação e produção em sistemas isolados.
• O desenvolvimento ativo ocorre em bases de dados de teste no ambiente de desenvolvimento que estão isoladas dos dados reais do programador e dos dados do utilizador final.
• O ambiente de preparação permite que o pessoal da DEVAR teste e detecte erros em novas versões do software antes da sua libertação para o ambiente de produção.