§01Confidencialidade
Controlo de entrada
• Escritórios num edifício com serviço de segurança; proibida a entrada a pessoas não autorizadas.
• Salas de trabalho trancáveis; documentos guardados em armários trancáveis.
• Sem salas de servidores próprias: o tratamento é efetuado exclusivamente por fornecedores de alojamento com centros de dados na UE, que dispõem dos seus próprios controlos de entrada certificados.
Controlo de acesso
• Todas as contas da empresa e acessos de administrador estão protegidos com autenticação de dois fatores.
• Dispositivos terminais com palavra-passe ou autenticação biométrica (impressão digital/reconhecimento facial); bloqueio de ecrã automático no máximo após 20 minutos.
• As palavras-passe são geridas exclusivamente em gestores de palavras-passe.
• Películas de privacidade para trabalho móvel; firewall e mecanismos de proteção dos sistemas operativos ativos; as atualizações de segurança são instaladas automaticamente.
• Os acessos de colaboradores cessantes são imediatamente bloqueados.
Controlo de autorização
• Conceito de funções e permissões: o acesso aos dados dos clientes é restrito ao proprietário e às pessoas encarregadas da operação e do desenvolvimento; os colaboradores de vendas têm apenas permissões limitadas.
• Isolamento de inquilinos ao nível da base de dados (Row-Level-Security): cada cliente visualiza exclusivamente os dados da sua própria conta.
• Acessos à API apenas com chaves próprias do cliente e revogáveis; as chaves são armazenadas apenas como hash.
Controlo de separação
• Separação lógica dos dados por cliente (inquilino).
Pseudonimização / Minimização de dados
• A lead.box identifica empresas, não pessoas singulares; não são criados perfis de pessoas singulares.
§02Integridade
Controlo de transmissão
• Transmissão exclusivamente encriptada (TLS/HTTPS); os webhooks são enviados com assinatura HMAC.
Controlo de inserção
• Registo de alterações e acessos administrativos (registo de auditoria).
§03Disponibilidade e resiliência
• Cópia de segurança automática e diária no fornecedor de alojamento da UE.
• Alojamento em infraestrutura de nuvem redundante na UE; monitorização de falhas e erros.
§04Procedimento para verificação periódica
• Verificações de segurança periódicas da aplicação (incluindo análises de segurança automatizadas, verificação das regras de acesso).
• Proteção de dados desde a conceção e por defeito.
Controlo dos subcontratantes
• Os subcontratantes são cuidadosamente selecionados e contratados apenas com um contrato de tratamento de dados. Caso os dados sejam tratados fora da UE/do EEE, o tratamento só é efetuado com base numa decisão de adequação da Comissão Europeia (p. ex., o EU-US Data Privacy Framework) ou nas Cláusulas Contratuais-Tipo da UE (art. 46.º do RGPD).
• Os colaboradores e parceiros de vendas estão contratualmente obrigados à confidencialidade.
Gestão de incidentes
• As violações de dados pessoais são comunicadas ao cliente sem demora injustificada e, o mais tardar, 72 horas após o seu conhecimento.
Conceito de eliminação
• O cancelamento do plano tarifário termina a recolha de dados; a conta permanece ativa até ao pedido de eliminação.
• A pedido do cliente, a conta e todos os dados associados são eliminados no prazo de 30 dias.