Medidas de segurança

Este anexo é parte integrante do Acordo de Processamento entre o Controlador e a Digi Hosting. Enumera as medidas de segurança técnicas e organizacionais tomadas pela Digi Hosting para proteger o processamento de dados pessoais de acordo com os requisitos do Regulamento Geral de Proteção de Dados (AVG).

1. Organização da segurança da informação

• Propriedade de títulos
  A Digi Hosting nomeou um responsável pela segurança das informações encarregado de coordenar, implementar e monitorizar as medidas e os procedimentos de segurança aplicáveis. Este responsável é apoiado por um órgão de direção interno que supervisiona a política de segurança.

• Funções e responsabilidades de segurança
  Os funcionários da Digi Hosting que têm acesso a dados pessoais estão sujeitos a obrigações de confidencialidade rigorosas. Estas obrigações são sublinhadas no início do contrato de trabalho e são periodicamente objeto de atenção.

• Gestão do risco
  A Digi Hosting efectua sistematicamente avaliações de risco antes de processar dados pessoais ou de contratar novos serviços. O procedimento de gestão de riscos centra-se na identificação, priorização e atenuação de riscos potenciais. As instalações de cópia de segurança estão estruturalmente incorporadas nos serviços.

• Gestão de documentos
  A documentação de segurança é conservada em conformidade com as obrigações legais e contratuais de conservação, mesmo que esses documentos tenham expirado formalmente.

2. Gestão de activos

• Inventário dos activos de informação
  A Digi Hosting mantém um inventário pormenorizado de todos os suportes de dados em que são armazenados dados pessoais. O acesso a este inventário está reservado exclusivamente a pessoal autorizado e escrito.

• Gestão de suportes de dados

  • A Digi Hosting classifica os dados pessoais para garantir restrições de acesso e níveis de proteção adequados.

  • Os funcionários devem obter um consentimento explícito prévio para o tratamento de dados pessoais em dispositivos portáteis, fora das instalações da empresa ou através de acesso remoto.

3. Segurança do pessoal

• Sensibilização e formação
  Todos os funcionários da Digi Hosting são instruídos relativamente às suas responsabilidades de segurança. Recebem formação periódica e educação sobre os procedimentos relevantes e o reconhecimento das ameaças actuais.

4. Segurança física e ambiental

• Segurança de acesso às instalações
  O acesso físico aos locais onde os dados pessoais são tratados é limitado às pessoas autorizadas com base na identificação e no controlo de acesso.

• Segurança dos suportes de dados
  Os suportes físicos de dados que contêm dados pessoais são armazenados em salas seguras com restrições de acesso.

• Proteção contra calamidades
  A Digi Hosting utiliza instalações padrão da indústria para se proteger contra interrupções devidas a falhas de energia, incêndios, inundações e outros riscos.

• Remoção de dados
  Os dados pessoais são destruídos de acordo com os procedimentos normalizados do sector, logo que deixem de ser necessários para efeitos de tratamento.

5. Segurança operacional

• Políticas e procedimentos
  A Digi Hosting tem documentação actualizada sobre a sua política de segurança, incluindo procedimentos e responsabilidades dos funcionários com acesso a dados pessoais.

• Procedimentos de recuperação

  • As cópias de reserva dos dados pessoais são armazenadas em locais geograficamente separados.

  • O acesso a estes dados é estritamente regulamentado e documentado.

• Proteção contra malware
  Foram implementadas medidas de proteção contra software malicioso, incluindo scanners de vírus e filtros de rede.

• Registo
  As actividades de acesso e utilização relacionadas com os sistemas de tratamento de dados pessoais são registadas em ficheiros de registo, incluindo a identificação do utilizador, a hora, o estado do acesso e as acções relevantes.

• Encriptação
  A transmissão de dados na Internet baseia-se em técnicas de cifragem em conformidade com as normas em vigor.

6. Controlo de acesso

• Política
  A Digi Hosting tem uma política de controlo de acesso que define quais os funcionários que têm acesso a que sistemas e dados.

• Gestão de autorizações

  • Os dados de acesso inactivos são automaticamente desactivados após um período de inatividade.

  • Só o pessoal autorizado pode conceder, alterar ou revogar direitos.

  • Cada utilizador tem um identificador de início de sessão único.

• Acesso mínimo
  O acesso aos dados pessoais é limitado aos funcionários para os quais tal é necessário no âmbito das suas funções.

• Gestão de sessões e proteção por palavra-passe

  • As sessões são automaticamente terminadas em caso de inatividade ou de abandono do local de trabalho.

  • As palavras-passe são armazenadas de forma a garantir uma encriptação irreversível.

• Autenticação

  • O acesso aos sistemas de informação é concedido com base em procedimentos de autenticação fortes.

  • As palavras-passe são renovadas regularmente e os acessos expirados ou desactivados não são reutilizados.

  • As tentativas de acesso não autorizado são detectadas e registadas.

  • A gestão de palavras-passe cumpre as normas da indústria.

• Segurança da rede
  A arquitetura da rede e os direitos de acesso são concebidos para impedir o acesso não autorizado a dados pessoais.

7. Gestão de incidentes

• Notificação e registo de incidentes de segurança

  • A Digi Hosting regista todos os incidentes de segurança, incluindo a natureza, a duração, o impacto, os dados envolvidos e as medidas tomadas.

  • Em caso de violação dos dados, o responsável pelo tratamento será notificado sem demora injustificada e, o mais tardar, no prazo de 72 horas.

• Transparência na divulgação de dados
  A recuperação de dados é registada indicando a natureza, o destinatário e a hora.

8. Gestão da continuidade

• Procedimentos de emergência
  A Digi Hosting mantém planos de emergência e contingência abrangentes para todos os locais de processamento de dados.

• Redundância e recuperação
  A estrutura de armazenamento redundante e os procedimentos de recuperação são concebidos de modo a que os dados pessoais possam ser restaurados para o último estado completo conhecido antes de um incidente.

Estas medidas de segurança são periodicamente revistas e adaptadas ao estado atual da técnica e à avaliação dos riscos, tendo em vista a proteção permanente dos dados pessoais do Responsável pelo Tratamento.