SEGURANÇA
Medidas Técnicas e Organizativas
Anexo ao Acordo de Tratamento de Dados. Medidas de segurança do artigo 32.º do RGPD aplicadas ao PersoHR.
Esta página é o anexo de Medidas Técnicas e Organizativas («TOMs») referido na secção 7 do Acordo de Tratamento de Dados em /legal/dpa. As medidas abaixo são as atualmente em vigor; podem ser atualizadas periodicamente, desde que nenhuma atualização reduza substancialmente o nível geral de segurança.
1. Alojamento e residência de dados na UE
A aplicação principal de RH utiliza infraestrutura da Hetzner para a base de dados e o armazenamento de ficheiros. Os prestadores de serviços apoiam também as funcionalidades de IA, o email, os SMS de segurança, a faturação e a análise estatística das páginas públicas. A lista em /legal/sub-processors descreve o papel de cada fornecedor e as respetivas condições de tratamento. As integrações ativadas pelo cliente podem enviar informações para o fornecedor escolhido pelo cliente. O alojamento na UE dos registos principais não deve ser interpretado como uma afirmação de que todos os serviços ou destinatários relacionados tratam dados exclusivamente na UE.
2. Controlo de acessos e autenticação
A autenticação dos clientes utiliza ligações por email sem palavra-passe. Os tokens de magic link e de renovação são armazenados sob a forma de hashes; os magic links são de utilização única e expiram. A autenticação de dois fatores TOTP é obrigatória para as funções de Proprietário e Administrador de RH. Os mecanismos de recuperação estão sujeitos a verificações de segurança separadas. Os tokens de acesso têm validade limitada e os tokens de renovação são entregues através de cookies HttpOnly com atributos de segurança de produção. As funções da aplicação são Proprietário, Administrador de RH, Gestor e Colaborador; verificações ao nível do serviço restringem adicionalmente o acesso aos registos relevantes. Estes controlos não constituem uma afirmação sobre chaves de hardware ou revisões operacionais de acessos na infraestrutura de produção.
3. Isolamento entre tenants
Os registos de RH da empresa estão circunscritos a um tenant, sendo o espaço de trabalho autenticado utilizado pelos controlos de acesso ao nível do repositório e do serviço. As identidades globais de utilizador podem pertencer a mais do que um espaço de trabalho e são tratadas separadamente das associações de RH ao tenant. Os identificadores de registos, por si só, não concedem acesso; a autorização depende do utilizador autenticado, do espaço de trabalho, da função e das verificações de relação aplicáveis. Os filtros de tenant são uma parte destes controlos e não substituem a verificação de cada via de acesso.
4. Encriptação
A aplicação utiliza AES-256-GCM para determinados valores sensíveis, incluindo segredos TOTP e os identificadores bancários, fiscais e de segurança social suportados no processamento salarial. Trata-se de uma proteção ao nível do campo e não significa que todos os campos de salário, documentos ou saúde tenham uma camada própria de encriptação ao nível da aplicação. O tráfego entre a aplicação e a base de dados permanece no mesmo servidor e todas as ligações públicas utilizam TLS. As cópias de segurança são armazenadas encriptadas, enquanto o volume da base de dados e o armazenamento de documentos não têm encriptação ao nível do armazenamento. O presente anexo não afirma uma cifra de armazenamento ou uma versão de TLS específica para cada endpoint implementado sem o correspondente registo operacional.
5. Registo, monitorização e auditoria
Os registos de auditoria registam ações suportadas, como alterações, exportações e pedidos de apagamento, com informação sobre o autor, a ação, a referência do registo e a hora. Estão sujeitos a controlos de acesso, a conservação programada e a regras específicas de retenção legal. Isto não constitui uma promessa de registar todas as consultas nem de conservar um histórico imutável e ilimitado. Os registos operacionais e de segurança apoiam a investigação e o funcionamento do serviço; o seu conteúdo, acesso e conservação têm de ser limitados à finalidade. Os identificadores de utilizadores e de registos podem constituir, eles próprios, dados pessoais.
6. Cópias de segurança e recuperação de desastres
Medidas adequadas de disponibilidade e recuperação fazem parte das obrigações do Subcontratante nos termos do artigo 32.º do RGPD. Os calendários, a conservação, a encriptação e os testes de restauro das cópias de segurança da infraestrutura têm de ser documentados e mantidos para o serviço implementado. Contacte-nos para obter as evidências operacionais atuais e quaisquer objetivos de recuperação acordados. As exportações de dados da aplicação não substituem as cópias de segurança da infraestrutura, e o presente anexo não representa uma garantia de tempo de recuperação verificada de forma independente.
7. Resposta a incidentes
As violações de dados pessoais que afetem dados do responsável pelo tratamento são comunicadas ao responsável pelo tratamento sem demora injustificada após o seu conhecimento, conforme descrito no DPA. Os factos disponíveis, as consequências prováveis e as medidas de resposta são fornecidos e complementados à medida que a investigação avança. O prazo de notificação à autoridade de controlo de que o responsável pelo tratamento dispõe é distinto do dever do Subcontratante de o notificar. A investigação de incidentes e as medidas corretivas têm de proteger os dados afetados e preservar as provas necessárias.
8. Gestão de vulnerabilidades e desenvolvimento seguro
Os repositórios incluem testes automatizados e verificações estáticas de qualidade para ajudar a detetar defeitos. As questões de segurança identificadas têm de ser avaliadas e tratadas de acordo com o seu risco. Estas verificações de desenvolvimento não demonstram que todas as dependências são analisadas em cada build, que foram realizados testes de intrusão externos, nem que todas as funcionalidades têm um modelo de ameaças concluído. Pode solicitar-nos as evidências de avaliação atuais.
9. Eliminação, conservação e portabilidade
O serviço disponibiliza fluxos de exportação e apagamento de dados de utilizadores e de colaboradores, bem como uma exportação administrativa do tenant. O seu âmbito e as suas permissões diferem. As rotinas de apagamento eliminam ou anonimizam os registos suportados. Não disponibilizam um fluxo geral de retenção legal controlado pelo empregador. O cliente tem de avaliar a resposta lícita a um pedido individual. A eliminação do espaço de trabalho da empresa é distinta da interrupção da renovação da subscrição e tem um período de cancelamento de 30 dias após o pedido na aplicação. O apagamento da conta pessoal é imediato e desencadeia também o apagamento das associações a espaços de trabalho correspondentes, sem um passo separado de aprovação pelo empregador. Os registos de tempo de trabalho bloqueados que são conservados não dispõem atualmente de um fluxo próprio de recuperação. O DPA rege a devolução ou o apagamento quando o tratamento termina, incluindo as cópias de segurança protegidas e os registos cuja conservação é exigida.
10. Diligência devida relativa a subcontratantes ulteriores
A lista de fornecedores em /legal/sub-processors descreve os papéis, as localizações, as categorias de dados e os acordos com fornecedores. O Subcontratante tem de contratar subcontratantes ulteriores mediante termos escritos que satisfaçam o artigo 28.º do RGPD, continua responsável pelas proteções exigidas e tem de seguir o procedimento de autorização, pré-aviso e oposição previsto no DPA.
11. Pessoal
O pessoal autorizado a tratar dados pessoais dos clientes tem de estar vinculado a obrigações de confidencialidade e receber acessos adequados às suas responsabilidades. A gestão de acessos, a sensibilização para a segurança e os procedimentos de tratamento de dados fazem parte das salvaguardas organizativas do Subcontratante. A obrigação de proteger os dados pessoais conservados mantém-se após o termo de uma relação contratual ou de uma subscrição.