1. Introdução e Glossário

A proteção dos dados pessoais tratados no âmbito do Serviço prestado pela E-goi é um objetivo central desta Política de Segurança. A E-goi adota medidas técnicas e organizativas adequadas para proteger os dados, sistemas e infraestrutura tecnológica contra destruição, perda, alteração, divulgação ou acesso não autorizados, de forma acidental ou ilícita, em conformidade com a legislação aplicável e com as boas práticas do setor.

Os principais termos utilizados neste documento estão definidos e explicados de forma detalhada no Glossário (em anexo a este contrato). É recomendável a sua consulta para uma melhor compreensão dos conceitos e definições aqui aplicados.

2. Âmbito e Aplicação

Esta política aplica-se a:

• Infraestrutura tecnológica utilizada para operar o Serviço E-goi.

• Dados pessoais e comerciais armazenados, processados ou transmitidos pelo Serviço.

• Colaboradores, parceiros e fornecedores.
  

3. Princípios de Segurança

A E-goi adota os seguintes princípios de segurança:

• Confidencialidade: Garantir que os dados são acessíveis apenas por indivíduos autorizados.

• Integridade: Proteger os dados contra alterações não autorizadas.

• Disponibilidade: Assegurar que o Serviço está disponível de forma contínua para o Cliente.
  

4. Proteção de Dados Pessoais

A E-goi trata os dados pessoais em conformidade com o Regulamento Geral sobre a Proteção de Dados (RGPD), a legislação nacional aplicável, o Acordo de Processamento de Dados Pessoais (em anexo a este Contrato) e, na medida aplicável aos tratamentos e riscos identificados, com a Diretriz/2023/1 da Comissão Nacional de Proteção de Dados (CNPD), relativa às medidas organizativas e de segurança aplicáveis ao tratamento de dados pessoais.

5. Segurança da Infraestrutura e Aplicação

A E-goi adota uma abordagem proativa para proteger a infraestrutura e aplicação do Serviço e Site da E-goi:

5.1. Infraestrutura

• Centros de dados seguros: Os servidores da E-goi estão localizados num centro de dados em Portugal (União Europeia), gerido pela IPT (Infraestruturas de Portugal), com certificações de segurança reconhecidas, como ISO/IEC 27001 e ISO9001.

• Redundância e “backups”: A E-goi implementa redundância e “backups” regulares (“on-site” e “off-site”) para assegurar a continuidade do Serviço e a recuperação de desastres.

5.2. Aplicação

• Desenvolvimento seguro: A E-goi utiliza práticas de desenvolvimento seguro (OWASP, SSDLC) para minimizar vulnerabilidades.

• Testes regulares: A E-goi realiza testes de penetração e auditorias de segurança de forma periódica.

• Programa de Bug Bounty: A E-goi mantém um programa público de Bug Bounty que incentiva a divulgação responsável de vulnerabilidades e potenciais preocupações de segurança, promovendo a colaboração com a comunidade para melhorar continuamente a segurança dos sistemas da E-goi.

• Encriptação:

• Dados em trânsito: A E-goi disponibiliza encriptação SSL/TLS (TLS 1.2 ou superior) para proteger todo o tráfego entre os Clientes e os seus servidores, garantindo a confidencialidade e integridade nas comunicações.

• Dados em repouso: Dados sensíveis são protegidos por algoritmos de hashing como SHA-512 com sal. Para encriptação total, a E-goi oferece o serviço de encriptação do “file system” em servidores dedicados com encriptação via LUKS, utilizando padrões avançados como AES-256 para garantir máxima segurança.

  
  

  6. Acessos e Identidades

  
  

• Autenticação forte: Todos os acessos ao Serviço E-goi têm possibilidade de autenticação multifator (MFA).

• Segregação de permissões: As funcionalidades de permissões no Serviço E-goi dão ao Cliente a possibilidade de implementar o princípio de menor privilégio (“least privilege”) para as pessoas a quem for concedido acesso, garantindo que cada acesso é feito apenas às áreas necessárias do Serviço.

• Desativação de acessos: O Serviço deixa de ser disponibilizado a Clientes inativos ou que não cumpram os Termos de Uso (em anexo a este Contrato). 
  

  
  

  7. Resiliência e Recuperação de Desastres

  
  

• Planos de contingência: A E-goi mantém e testa regularmente planos de recuperação de desastres (DRP) e continuidade de negócios (BCP).

• RPO/RTO: A E-goi garante tempos de recuperação (RTO) e perda máxima de dados (RPO) em linha com os SLA contratualizados com o Cliente.
  

  
  

  8. Monitorização e Resposta a Incidentes

  
  

• Monitorização contínua: A E-goi usa sistemas de deteção e prevenção de intrusões (IDS/IPS) e ferramentas de monitorização em tempo real.

• Gestão de incidentes: A E-goi dispõe de um piquete dedicado a responder rapidamente a incidentes de segurança, notificando o Cliente conforme necessário e em conformidade com a legislação.

• Relatórios de vulnerabilidades e vazamentos: De acordo com as obrigações da E-goi em conformidade com o RGPD, CNPD e outras entidades regulatórias, a E-goi disponibiliza relatórios detalhados sobre a resposta a incidentes e vulnerabilidades de segurança. Caso se aplique, ou se existir acordo prévio com o Cliente, estes relatórios são disponibilizados também ao Cliente.
  

9. Responsabilidades em Resposta a Incidentes de Segurança

Considera-se "incidente de segurança" qualquer evento ou conjunto de eventos inesperados que comprometam ou tenham o potencial de comprometer a confidencialidade, integridade, disponibilidade ou autenticidade dos dados ou do Serviço fornecido pela E-goi.

Isso inclui, mas não se limita a:

• Acessos não autorizados: Tentativas bem-sucedidas de acesso a dados ou sistemas sem a devida autorização.

• Divulgação de dados: Exposição acidental ou não autorizada de informações confidenciais ou pessoais.

• Ataques cibernéticos: Ações como “phishing”, “malware”, “ransomware”, DDoS ou exploração de vulnerabilidades nos sistemas.

• Perda ou corrupção de dados: Resultantes de falhas técnicas, erros humanos ou atos maliciosos.

• Interrupções do Serviço: Quaisquer eventos que impeçam a operação normal do Serviço fornecido ou utilizado.

• Violações de políticas de segurança: Não conformidade com práticas ou regras estabelecidas para proteger os dados e o Serviço.

A identificação e gestão de incidentes de segurança serão tratadas de acordo com os procedimentos descritos nesta cláusula, assegurando uma resposta coordenada e eficaz entre as partes.

• Responsabilidade do Cliente:
  O Cliente compromete-se a:

• Implementar e manter medidas técnicas e organizacionais adequadas para proteger os dados processados através do uso do Serviço E-goi.

• Notificar imediatamente a E-goi sobre quaisquer incidentes de segurança que possam afetar a confidencialidade, integridade ou disponibilidade dos dados no Serviço.

• Disponibilizar informações relevantes e colaborar ativamente na investigação e mitigação dos impactos do incidente.

• Responsabilidade da E-goi:
  A E-goi compromete-se a:

• Notificar o Cliente sobre quaisquer incidentes de segurança identificados que possam afetar os seus dados ou o Serviço.

• Disponibilizar informações detalhadas sobre a situação e colaborar para a contenção e resolução do incidente.

• Designar uma brigada de suporte dedicada para lidar com incidentes críticos e prestar o apoio necessário ao Cliente.

• Resposta a Incidentes:
  Ambas as partes devem atuar de forma coordenada para investigar, conter, mitigar e corrigir os impactos de incidentes de segurança, assegurando a proteção dos dados e a continuidade do Serviço.

• Comunicação:
  As partes comprometem-se a manter uma comunicação clara, ágil e eficiente durante todo o processo de resposta a incidentes, utilizando comunicações por email, SMS ou outros canais previamente acordados.

• Colaboração e Mitigação de Riscos:
  Ambas as partes concordam em colaborar proativamente para:

• Minimizar os riscos decorrentes de incidentes de segurança.

• Implementar melhorias contínuas nos processos e medidas de segurança para evitar ocorrências futuras.
  

10. Educação e Sensibilização

Todos os colaboradores da E-goi recebem formação contínua sobre:

• Boas práticas de segurança da informação.

• Conformidade com o RGPD e outras regulamentações aplicáveis.

• Políticas internas de uso de sistemas e dados.
  

11. Política de Anti-Spam e Comunicação Segura

A E-goi aplica rigorosamente a sua Política de Uso Aceitável (em anexo a este Contrato), garantindo que:

• O envio de mensagens através do Serviço respeita as leis aplicáveis.

• Todos os Contatos usados pelo Cliente conferiram o seu consentimento explícito para comunicação.

• Os cancelamentos de subscrição por parte dos Contatos são processados de forma imediata e automática.

• Uma resposta ativa a queixas de spam ou abuso oriundas de terceiros (ESP, Contatos)

12. Revisões e Atualizações

A E-goi pode alterar esta Política a qualquer momento, publicando a versão mais recente no Site da E-goi. A E-goi notificará o Cliente por RSS sobre quaisquer alterações a esta Política com a brevidade possível. O Cliente terá a possibilidade, em caso de objeção, de rescindir o Contrato dentro do prazo de trinta (30) dias após aquela notificação. A menos que o Cliente encerre o Serviço, a nova Política entrará em vigor imediatamente após a data de publicação indicada na nova Política, conforme aplicável, e será aplicada com a continuidade ou novo uso do Serviço.

A Política de Segurança da E-goi é revista regularmente para refletir:

• Mudanças na legislação aplicável.

• Novos requisitos técnicos ou operacionais.

• Evolução de ameaças e vulnerabilidades.

13. Contato

Para dúvidas ou questões sobre esta Política, o Cliente pode contatar a E-goi através de:

• https://www.e-goi.com/br/contato/

• Área de Ajuda da plataforma E-goi

• Email DPO (Privacidade de Dados): dpo@e-goi.com

• Email CISO (Segurança de Informação): ciso@e-goi.com

• Outras questões relativas à Política de Segurança:  privacy@e-goi.com