Segurança e tratamento de dados

1. A nossa abordagem

Concedemos apenas os privilégios necessários, guardamos o mínimo de dados possível e preferimos controlos simples e bem conhecidos a soluções novas. A segurança faz parte do trabalho normal de entrega (revista nos mesmos pull requests que tudo o resto) e não é uma barreira à parte no fim do projeto.

2. Governação e responsabilidade

A segurança é responsabilidade da direção e não fica entregue a quem estiver mais à mão. Um membro identificado da nossa direção responde pela segurança da informação, pela manutenção desta declaração e pela coordenação da nossa resposta a qualquer incidente.

Todas as questões de proteção de dados e de segurança (incluindo comunicações de vulnerabilidades) chegam-nos através de office@c9group.dev.

Revemos esta declaração, a nossa lista de subcontratantes e os nossos registos de acessos pelo menos uma vez por ano, e sempre que haja uma alteração relevante na nossa infraestrutura.

3. Que dados guardamos

Visitantes do site

A telemetria habitual dos pedidos (endereço IP, agente de utilizador, página de origem, páginas pedidas), dados de utilização do Rybbit, a ferramenta de análise que corremos no nosso próprio servidor sem cookies, e ainda identificadores de análise e de publicidade quando os tiver autorizado. Os pormenores, incluindo o fundamento jurídico de cada finalidade, estão na nossa Política de Privacidade.

Potenciais clientes

O que nos envia através de um formulário de contacto, de uma marcação ou por email: normalmente o nome, o email profissional, a empresa e uma descrição do projeto. Pedimos apenas o necessário para uma primeira conversa útil e não exigimos mais dados pessoais do que isso.

Dados dos projetos com clientes

Durante um projeto podemos ter acesso a código-fonte, documentação de arquitetura, credenciais dos sistemas em que nos pede para trabalhar e (quando o trabalho o exige) dados guardados nesses sistemas. Esta categoria rege-se pelo contrato do projeto e, quando envolve dados pessoais, por um acordo de tratamento de dados.

4. Alojamento e residência de dados

Este site corre na Amazon Web Services. O processamento da aplicação e o armazenamento de origem estão alojados na região eu-central-1 (Frankfurt, Alemanha), dentro da União Europeia. Os recursos estáticos são distribuídos pela rede global de pontos de presença do Amazon CloudFront, que guarda em cache, perto dos visitantes, o conteúdo público das páginas e os recursos (não os envios de formulários nem dados pessoais).

A infraestrutura dos projetos de clientes é criada na região que o cliente indicar. Quando um cliente exige que os dados fiquem apenas na UE, desenhamos a arquitetura para isso e confirmamo-lo por escrito no contrato do projeto.

5. Cifragem

• Em trânsito: Todo o tráfego de e para este site é servido por HTTPS com TLS 1.2 ou superior. Os pedidos em HTTP simples são redirecionados para HTTPS.
• Em repouso: Os dados guardados no nosso ambiente AWS são cifrados em repouso com chaves geridas pela AWS.
• Transferência interna: O tráfego entre os componentes da nossa infraestrutura é cifrado em trânsito.
• Postos de trabalho: Os computadores usados para aceder a sistemas de clientes e ao código-fonte têm o disco inteiro cifrado.

6. Controlo de acessos

• Privilégio mínimo: Os acessos são atribuídos por função e por projeto, limitados ao que o trabalho exige, e revistos periodicamente.
• Autenticação multifator: Obrigatória nas consolas do nosso fornecedor de cloud, no controlo de versões e no email.
• Sem contas partilhadas: Cada pessoa autentica-se com a sua própria identidade, para que cada ação possa ser atribuída a alguém.
• Gestão de credenciais: Os segredos ficam num serviço gerido de gestão de segredos ou num cofre cifrado. Nunca são enviados para o controlo de versões, partilhados por chat nem guardados em ficheiros de texto simples.
• Credenciais de clientes: Quando nos dá acesso aos seus sistemas, preferimos contas nominativas, limitadas à nossa função, a credenciais partilhadas, e pedimos-lhe que as revogue no fim do projeto. Se ainda não revogou as nossas, pergunte-nos. Dizemos-lhe exatamente que acessos ainda temos.
• Saída de pessoas: Os acessos são revogados quando uma pessoa sai da empresa ou deixa um projeto.

7. Desenvolvimento seguro

• Revisão de código: As alterações são revistas por alguém que não o autor antes de serem integradas.
• Controlo de versões: Todo o trabalho fica registado em Git, com um histórico de alterações completo e atribuível.
• Testes automáticos e CI: Os testes e o lint correm automaticamente em cada alteração; uma falha bloqueia o pipeline.
• Gestão de dependências: As dependências de terceiros são fixadas em lockfiles e vigiadas quanto a vulnerabilidades publicadas. Os avisos de segurança que afetam uma dependência que entregamos são analisados assim que chegam.
• Deteção de segredos: Os repositórios são vigiados para detetar credenciais enviadas por engano; o que for detetado é revogado e substituído, e não apenas apagado do histórico.
• Infraestrutura como código: Os ambientes são definidos em configuração versionada e em scripts de implementação, para que as alterações possam ser revistas e reproduzidas em vez de aplicadas à mão.
• Separação de ambientes: Desenvolvimento, pré-produção e produção estão separados, e as credenciais de produção existem apenas onde a produção corre.

Os nossos engenheiros usam ferramentas de programação assistida por IA. Todo o código gerado passa pelas mesmas revisões, testes e verificações de dependências que o código escrito à mão, e não colamos credenciais nem dados confidenciais de clientes em ferramentas de IA de terceiros.

8. Gestão de vulnerabilidades e de correções

Acompanhamos os avisos de segurança das plataformas e dependências que usamos. Prazos de correção, contados a partir do momento em que uma correção fica disponível para nós:

Quando ainda não existe correção, aplicamos um controlo compensatório (desativar a funcionalidade afetada, restringir o acesso à rede ou acrescentar deteção) e registamos a decisão. Os compromissos de correção para sistemas que operamos em nome de um cliente constam do respetivo contrato de serviço e podem ser mais exigentes do que os prazos acima.

9. Registos e monitorização

Os registos da aplicação e da infraestrutura são reunidos centralmente no nosso ambiente cloud, guardados durante um período definido e consultados quando investigamos um erro ou uma suspeita de incidente. As ações administrativas nas nossas contas cloud ficam registadas num histórico de auditoria.

Mantemos de propósito os registos livres de dados pessoais desnecessários e não registamos o corpo de pedidos que contenham credenciais ou o conteúdo de formulários.

10. Cópias de segurança e continuidade

Este site não guarda estado e pode ser reconstruído a partir do código-fonte: o artefacto implementado é gerado a partir de código sob controlo de versões, por isso recuperar significa voltar a implementar, não restaurar. O código-fonte está em Git, com cópias distribuídas.

Nos sistemas de clientes que operamos, a frequência e a retenção das cópias de segurança, o objetivo de ponto de recuperação e o objetivo de tempo de recuperação são definidos em cada projeto, e os restauros são testados em vez de se presumir que funcionam.

11. Como trabalhamos com dados de clientes

• Acordo de tratamento de dados: Quando tratamos dados pessoais por sua conta, atuamos como subcontratante ao abrigo de um acordo escrito que cumpre o artigo 28.º do RGPD. Fornecemos o nosso acordo padrão a pedido e podemos analisar o seu.
• Confidencialidade: Assinamos acordos de confidencialidade mútuos a pedido, incluindo antes de uma primeira conversa para definir o âmbito.
• Tratamento segundo instruções: Tratamos dados pessoais de clientes apenas segundo instruções documentadas, e nunca para fins próprios.
• Aviso de novos subcontratantes: Avisamo-lo antes de acrescentar um subcontratante que vá tratar os seus dados pessoais, e damos-lhe a oportunidade de se opor.
• Devolução e eliminação: No fim de um projeto devolvemos ou eliminamos os dados do cliente a pedido, e confirmamos por escrito quando estiver feito.
• Apoio: Ajudamos a responder a pedidos de titulares de dados, questionários de segurança e pedidos de informação de reguladores relativos a sistemas que construímos ou operamos.

12. Pessoas

• Todas as pessoas que trabalham em projetos de clientes (trabalhadores ou prestadores de serviços) estão vinculadas a obrigações escritas de confidencialidade que se mantêm depois de terminar a sua colaboração.
• Os subcontratados ficam sujeitos a obrigações de segurança e confidencialidade que protegem pelo menos tanto como as nossas, e continuamos a responder perante si pelo trabalho deles.
• O acesso ao ambiente de um cliente é dado apenas às pessoas que nele trabalham, e retirado quando deixam o projeto.
• A nossa equipa trabalha em vários locais; o acesso remoto a sistemas de clientes segue as mesmas regras de autenticação e de privilégio mínimo que o acesso a partir do escritório.

13. Subcontratantes e serviços de terceiros

Os terceiros abaixo podem tratar dados relacionados com este site. Os serviços de análise e de publicidade carregam apenas depois de dar o seu consentimento no nosso aviso de cookies; os restantes são necessários para o funcionamento do site ou para lhe respondermos.

Usamos o Google Consent Mode: as tags da Google carregam em estado recusado e nada de análise ou de publicidade é guardado até dar o seu consentimento. Se retirar o consentimento no aviso de cookies, os identificadores de publicidade que guardamos localmente são apagados.

Os subcontratantes usados num projeto concreto de um cliente constam do acordo de tratamento de dados desse projeto, e não desta página.

14. Transferências internacionais

O alojamento do site mantém os dados na UE. Alguns dos fornecedores acima estão estabelecidos fora do Espaço Económico Europeu, sobretudo nos Estados Unidos, o que significa que certos dados podem ser transferidos para lá.

Nessas transferências apoiamo-nos nas Cláusulas Contratuais-Tipo da Comissão Europeia, na certificação do fornecedor ao abrigo do Quadro de Privacidade de Dados UE-EUA, quando aplicável, e nas medidas complementares descritas nesta página: sobretudo a cifragem em trânsito e a minimização de dados. O mecanismo de transferência de cada fornecedor está disponível a pedido.

15. Resposta a incidentes

Se identificarmos um incidente de segurança que afete dados que guardamos, contemo-lo, avaliamos o seu alcance, corrigimos a causa e informamos quem foi afetado.

Depois de qualquer incidente significativo fazemos uma análise posterior sem atribuição de culpas, registamos a causa de fundo e as medidas corretivas, e partilhamos as conclusões com os clientes afetados.

16. Divulgação responsável

Se julga ter encontrado uma vulnerabilidade de segurança neste site ou em qualquer sistema que operamos, queremos saber.

Em troca, pedimos-lhe que:

• Nos dê um prazo razoável para corrigir o problema antes de o divulgar publicamente
• Evite aceder, alterar ou apagar dados que não são seus, e pare assim que tiver demonstrado a vulnerabilidade
• Não faça testes de negação de serviço, não envie spam e não recorra a engenharia social nem a ataques físicos contra a nossa equipa ou os nossos escritórios
• Não use ferramentas de análise automática que degradem o serviço para outros utilizadores

De momento não temos um programa de recompensas pagas por erros. Lemos, isso sim, cada comunicação que uma pessoa nos envia, e agradecemos.

17. Normas que seguimos

As nossas práticas foram pensadas para estarem alinhadas com os referenciais abaixo. De momento não estamos certificados em nenhum deles, e se isso mudar indicaremos aqui o organismo de certificação e a data do certificado.

• RGPD (Regulamento (UE) 2016/679): Proteção de dados desde a conceção e por defeito, obrigações do subcontratante previstas no artigo 28.º e notificação de violações.
• ISO/IEC 27001: Usada como modelo de referência para as nossas práticas de controlo de acessos, gestão de ativos e resposta a incidentes.
• OWASP Top 10 e OWASP ASVS: Referência para a revisão de segurança das aplicações.
• CIS Benchmarks: Referência para a configuração de base da cloud e dos sistemas operativos.
• Diretiva NIS 2 (Diretiva (UE) 2022/2555): Tida em conta quando trabalhamos para clientes abrangidos, cujas obrigações na cadeia de abastecimento se estendem até nós.

18. Documentação disponível a pedido

As equipas de compras e de segurança podem pedir os documentos seguintes através de office@c9group.dev:

• O nosso acordo padrão de tratamento de dados
• Um acordo de confidencialidade mútuo
• A lista de subcontratantes e o mecanismo de transferência de um projeto concreto
• Respostas ao seu questionário de segurança ou à sua avaliação de fornecedores
• Uma descrição escrita dos controlos aplicados a um projeto concreto

19. Contacto

Consulte também a nossa Política de Privacidade, os nossos Termos de Serviço e a nossa Declaração de Acessibilidade.

20. Idioma