Segurança na Visor
A Visor tem certificação ISO/IEC 27001:2022, e os nossos dez subcontratantes estão todos na UE. O certificado e as nossas políticas de segurança estão disponíveis a pedido.
- ISO/IEC 27001:2022 Certificação. A norma internacional de gestão da segurança da informação.
- RGPD A Visor trata dados pessoais ao abrigo do Regulamento Geral sobre a Proteção de Dados.
Como protegemos os dados
A Visor aplica 87 controlos de segurança, em quatro grupos. Os que mais nos perguntam vêm antes da lista completa.
87 controlos de segurança
- 33 Organizacionais
- 34 Tecnológicos
- 14 Físicos
- 6 Pessoas
O que mais nos perguntam
- Cifragem em repouso e em trânsito
- Os dados na AWS são cifrados em repouso e em trânsito, com regras para a criptografia e a gestão de chaves.
- Controlo: Utilização de criptografia
- Autenticação multifator
- A autenticação segura confirma a identidade dos utilizadores, com autenticação multifator.
- Controlo: Autenticação segura
- Cópias de segurança testadas
- Há cópias de segurança da informação, do software e dos sistemas, testadas com regularidade.
- Controlo: Cópias de segurança da informação
- Ambientes separados
- Desenvolvimento, teste e produção estão separados, e não se testa em produção.
- Controlo: Separação dos ambientes de desenvolvimento, teste e produção
- Testes de intrusão
- Aplicações e código passam por testes de segurança durante o desenvolvimento, incluindo testes de intrusão.
- Controlo: Testes de segurança no desenvolvimento e na aceitação
- Verificação de antecedentes
- Verificação de antecedentes de candidatos e colaboradores, dentro das normas legais e éticas.
- Controlo: Verificação de antecedentes
- Resposta a incidentes e lições aprendidas
- Os incidentes seguem procedimentos definidos, e as lições de incidentes passados alimentam os planos de resposta e a formação.
- Controlos: Resposta a incidentes e Aprendizagem com incidentes de segurança da informação
- Auditorias internas e revisões pela gestão
- Auditorias internas anuais e revisões pela gestão a intervalos definidos ou após alterações significativas.
- Controlo: Revisão independente da segurança da informação
- Continuidade do negócio e recuperação de desastres
- Planos de continuidade do negócio e de recuperação de desastres, e um plano de continuidade dos sistemas testado com regularidade.
- Controlos: Preparação das TIC para a continuidade do negócio, Segurança da informação durante uma disrupção
- Registo e monitorização
- A atividade e os eventos de segurança ficam registados e são analisados, e os sistemas são monitorizados à procura de atividade anómala.
- Controlos: Registo de eventos, Atividades de monitorização
- Acesso restrito e revisões de acessos
- O acesso só é dado a pessoas autorizadas, para tarefas concretas, com revisões de acessos regulares.
- Controlos: Controlo de acessos, Direitos de acesso privilegiado
Os 87 controlos
Controlos organizacionais 33
- Utilização aceitável da informação e de outros ativos associados
- As regras de utilização e tratamento da informação e dos ativos da empresa estão definidas e comunicadas a todos.
- Controlo de acessos
- Só pessoas autorizadas acedem a cada informação e recurso, com revisões de acessos regulares e acesso à rede apenas para colaboradores autorizados.
- Direitos de acesso
- O acesso a ferramentas e informação é concedido, ajustado e retirado conforme necessário.
- Segurança da informação nos acordos com fornecedores
- Os acordos com fornecedores definem requisitos e responsabilidades de segurança.
- Avaliação e decisão sobre eventos de segurança da informação
- Os eventos de segurança são classificados pela gravidade, escalados quando necessário e registados para análise.
- Informação de autenticação
- As palavras-passe e outros dados de acesso são geridos e protegidos.
- Classificação da informação
- Os dados são classificados e tratados segundo a sua importância e sensibilidade, de acordo com uma política escrita.
- Recolha de evidências
- As evidências de eventos de segurança são identificadas, recolhidas e preservadas para eventuais ações legais ou disciplinares.
- Conformidade com as políticas, regras e normas de segurança da informação
- Chefias e responsáveis pela informação verificam a conformidade com regularidade, e as não conformidades são registadas e resolvidas.
- Contacto com as autoridades
- Está definido quem contacta as autoridades, quando, e como se comunicam os incidentes a tempo.
- Contacto com grupos de interesse especial
- A Visor acompanha notícias e fóruns de segurança sobre ameaças, boas práticas e novas vulnerabilidades.
- Preparação das TIC para a continuidade do negócio
- Um plano mantém os sistemas e a informação disponíveis durante disrupções, e é testado com regularidade.
- Gestão de identidades
- As identidades e contas de utilizador são geridas ao longo de todo o ciclo de vida, cada uma única.
- Revisão independente da segurança da informação
- Auditorias internas anuais e revisões pela gestão a intervalos definidos ou após alterações significativas.
- Segurança da informação durante uma disrupção
- As medidas de segurança para disrupções estão documentadas nos planos de continuidade do negócio e de recuperação de desastres.
- Segurança da informação na utilização de serviços na nuvem
- Regras para escolher, gerir e deixar serviços na nuvem, com funções definidas.
- Segurança da informação na gestão de projetos
- Os projetos tratam os riscos de segurança, incluindo o risco de fornecedores através de verificações de conformidade.
- Segurança da informação nas relações com fornecedores
- Existe uma lista de fornecedores, e quem trata dados da empresa tem de cumprir normas de segurança.
- Gestão da segurança da informação na cadeia de abastecimento das TIC
- Os fornecedores de produtos e serviços TIC recebem requisitos de segurança, e o seu cumprimento é acompanhado.
- Planeamento e preparação da gestão de incidentes de segurança da informação
- Funções, responsabilidades e procedimentos para incidentes estão definidos e acessíveis a todos os colaboradores.
- Funções e responsabilidades de segurança da informação
- As tarefas de segurança estão atribuídas, e cada pessoa conhece as suas responsabilidades.
- Transferência de informação
- Os dados enviados dentro ou fora da Visor seguem regras de transferência segura.
- Direitos de propriedade intelectual
- Só se usa software licenciado, e cumpre-se a lei de direitos de autor.
- Rotulagem da informação
- A informação tem um rótulo com o seu nível de segurança, para ser tratada corretamente.
- Aprendizagem com incidentes de segurança da informação
- As lições de incidentes passados alimentam as defesas, os planos de resposta e a formação.
- Requisitos legais, estatutários, regulamentares e contratuais
- Os requisitos de segurança legais, regulamentares e contratuais, como DPA, NDA e SLA, estão identificados e registados.
- Monitorização, revisão e gestão de alterações dos serviços de fornecedores
- Os fornecedores são revistos segundo o risco, com revisão anual dos de risco elevado.
- Privacidade e proteção de dados pessoais
- Os dados pessoais são protegidos nos termos da lei e dos contratos, e as aplicações que os tratam entram nas revisões de fornecedores e de acessos.
- Proteção de registos
- Os registos são guardados com segurança e com o acesso mínimo necessário, segundo procedimentos escritos de controlo documental.
- Resposta a incidentes de segurança da informação
- Os incidentes são tratados com procedimentos definidos, recolha de evidências e comunicação clara.
- Devolução de ativos
- Quem sai devolve os ativos da empresa através de uma lista de verificação de saída.
- Segregação de funções
- As tarefas estão divididas para que ninguém concentre demasiado acesso ou poder.
- Informação sobre ameaças
- A informação sobre ameaças é recolhida e analisada para apoiar decisões.
Controlos tecnológicos 34
- Acesso ao código-fonte
- O acesso de escrita ao código-fonte está limitado a quem precisa dele.
- Requisitos de segurança das aplicações
- Os requisitos de segurança, como autenticação e proteção de dados, são definidos ao desenvolver ou adquirir aplicações.
- Gestão da capacidade
- A utilização de recursos é monitorizada e ajustada conforme necessário.
- Gestão de alterações
- As alterações aos sistemas seguem procedimentos definidos, com avaliação de impacto, testes e registo.
- Sincronização de relógios
- Os relógios dos sistemas estão sincronizados com fontes de tempo aprovadas, para registar eventos com rigor.
- Gestão da configuração
- Hardware, software e redes seguem configurações seguras padrão, registadas e monitorizadas.
- Prevenção de fugas de dados
- Ferramentas detetam e travam a partilha ou exposição não autorizada de dados.
- Mascaramento de dados
- Dados sensíveis, como dados pessoais, são mascarados, pseudonimizados ou anonimizados para limitar a exposição.
- Restrição do acesso à informação
- O acesso à informação e aos ativos é restrito segundo as políticas.
- Cópias de segurança da informação
- Há cópias de segurança da informação, do software e dos sistemas, testadas com regularidade, segundo uma política de cópias de segurança.
- Eliminação de informação
- A informação que deixa de ser necessária é eliminada por métodos aprovados, e cada eliminação fica registada.
- Instalação de software em sistemas operacionais
- Só administradores formados e autorizados instalam software nos sistemas em produção.
- Registo de eventos
- A atividade dos sistemas e os eventos de segurança ficam registados, e os registos são protegidos contra alterações e analisados à procura de atividade anómala.
- Gestão de vulnerabilidades técnicas
- As vulnerabilidades técnicas são identificadas, avaliadas, corrigidas e documentadas.
- Atividades de monitorização
- Redes, sistemas e aplicações são monitorizados à procura de atividade anómala, com alertas.
- Segurança das redes
- Redes e ligações são protegidas com firewalls, monitorização e autenticação.
- Desenvolvimento subcontratado
- O desenvolvimento subcontratado tem requisitos de segurança definidos e é acompanhado.
- Direitos de acesso privilegiado
- O acesso privilegiado só é dado a utilizadores autorizados, para tarefas concretas, e é revisto com regularidade.
- Proteção contra malware
- Deteção de malware, formação e controlo de acessos protegem os sistemas.
- Proteção dos sistemas de informação durante os testes de auditoria
- Os testes de auditoria são acordados com a gestão, com acesso limitado e monitorização.
- Redundância das instalações de processamento de informação
- Sistemas redundantes mantêm o processamento a funcionar se um componente falhar.
- Autenticação segura
- Métodos de autenticação segura confirmam a identidade dos utilizadores, com autenticação multifator.
- Codificação segura
- Aplicam-se princípios de codificação segura, como não guardar palavras-passe no código, usar cifragem e manter as bibliotecas atualizadas.
- Ciclo de vida de desenvolvimento seguro
- A segurança faz parte do desenho, das regras de codificação, dos testes e da formação dos programadores.
- Princípios de arquitetura e engenharia de sistemas seguros
- Os sistemas são desenhados segundo princípios escritos de engenharia segura.
- Segurança dos serviços de rede
- Os serviços de rede têm medidas de segurança, regras de utilização e acompanhamento dos fornecedores.
- Testes de segurança no desenvolvimento e na aceitação
- Aplicações e código passam por testes de segurança durante o desenvolvimento, incluindo testes de intrusão.
- Segregação de redes
- A rede está dividida em zonas com regras de acesso e firewalls próprias.
- Separação dos ambientes de desenvolvimento, teste e produção
- Desenvolvimento, teste e produção estão separados, e não se testa em produção.
- Informação de teste
- As alterações aos sistemas são avaliadas, testadas, incluindo testes de segurança, e registadas.
- Utilização de criptografia
- Regras de utilização de criptografia, incluindo a gestão de chaves. A cifragem é considerada para dados em repouso e em trânsito.
- Utilização de programas utilitários privilegiados
- Só utilizadores de confiança usam programas utilitários capazes de contornar controlos, e cada utilização fica registada.
- Dispositivos terminais dos utilizadores
- A informação nos dispositivos dos utilizadores é protegida com políticas, controlo de acessos, cifragem e formação, incluindo dispositivos pessoais.
- Filtragem web
- Sites perigosos são bloqueados por IP e domínio, e a equipa aprende a navegar com segurança.
Controlos físicos 14
- Segurança da cablagem
- Os cabos de energia e de dados estão protegidos contra interferências e danos.
- Secretária limpa e ecrã limpo
- Regras de secretária limpa e de bloqueio de ecrã protegem a informação deixada sem vigilância.
- Manutenção de equipamentos
- Os equipamentos têm manutenção segundo as indicações do fornecedor, e as avarias ficam registadas.
- Localização e proteção de equipamentos
- Os equipamentos estão colocados e protegidos contra acessos não autorizados e danos.
- Entrada física
- Só pessoas aprovadas entram nas áreas sensíveis.
- Monitorização da segurança física
- As instalações têm vigilância contínua e alarmes.
- Perímetros de segurança física
- Paredes, portas e janelas das áreas sensíveis estão protegidas e monitorizadas.
- Proteção contra ameaças físicas e ambientais
- Há medidas contra catástrofes naturais e outras ameaças físicas.
- Eliminação ou reutilização segura de equipamentos
- Os dados são removidos dos equipamentos antes de serem eliminados ou reutilizados.
- Segurança de escritórios, salas e instalações
- Os espaços que tratam informação confidencial estão protegidos e são discretos.
- Segurança dos ativos fora das instalações
- Portáteis e telemóveis usados fora do escritório estão protegidos contra danos e acessos não autorizados.
- Suportes de armazenamento
- Os suportes de armazenamento são cifrados e eliminados com segurança, segundo regras claras.
- Serviços de suporte
- As operações estão protegidas contra falhas de energia e de outros serviços de suporte.
- Trabalho em áreas seguras
- O trabalho em áreas seguras é supervisionado, com controlo de acessos e limites a dispositivos pessoais.
Controlos de pessoas 6
- Acordos de confidencialidade ou de não divulgação
- Colaboradores e partes relevantes assinam acordos de confidencialidade, revistos com regularidade.
- Comunicação de eventos de segurança da informação
- Os colaboradores têm uma forma simples e rápida de comunicar possíveis problemas de segurança.
- Trabalho remoto
- Regras e medidas de segurança cobrem o trabalho com informação fora do escritório.
- Responsabilidades após a cessação ou alteração do vínculo laboral
- As obrigações de segurança mantêm-se depois de alguém sair ou mudar de função, e a pessoa é informada disso.
- Verificação de antecedentes
- Verificação de antecedentes de candidatos e colaboradores, dentro das normas legais e éticas.
- Termos e condições de emprego
- Os contratos de trabalho definem as responsabilidades de segurança de ambas as partes.
Pede os nossos documentos de segurança
Estes documentos estão disponíveis a pedido no nosso centro de confiança, alojado na Secfix.
Certificações
- ISO/IEC 27001:2022 Certificate Disponível a pedido
Políticas
- POL-00 ISMS List of documents Disponível a pedido
- POL-01 Scope of the ISMS Disponível a pedido
- POL-02 Information Security Management System Disponível a pedido
- POL-04 Information Security & Acceptable Use Disponível a pedido
Abre o centro de confiança num novo separador.
Onde estão os dados e quem os trata
Dez subcontratantes tratam dados para a Visor. Estão todos na UE.
| Fornecedor | Finalidade | Dados tratados | Região |
|---|---|---|---|
 | Email da empresa, armazenamento de documentos, colaboração e calendários | Endereços de email, nomes, contactos, documentos e ficheiros partilhados, registos | UE |
 | Infraestrutura na nuvem, alojamento e bases de dados que fazem funcionar a plataforma e guardam os dados | Dados dos clientes, incluindo dados pessoais, e registos (informação do dispositivo) | UE |
 Azure | Serviços na nuvem; fornecedor de modelos de linguagem de grande dimensão | Prompts, respostas geradas e metadados associados | UE |
 Vonage | APIs de comunicação e telefonia para voz e mensagens | Números de telefone, nomes de contactos, registos de chamadas e metadados de mensagens | UE |
 | Gestão de projetos, registo de problemas e pedidos de suporte | Endereços de email, nomes, conteúdo e metadados dos pedidos de suporte | UE |
 | RH | Apenas dados de colaboradores da Visor | UE |
 Vertex AI | Modelos de linguagem Gemini usados pelos agentes de IA para tratar conversas | Prompts, respostas geradas e metadados associados | UE Região Vertex AI europe-west8 |
 | Conversão de voz em texto nas chamadas atendidas pelo Voice AI Agent | Áudio e transcrições das chamadas | UE Endpoint dedicado na UE |
 | Conversão de voz em texto nas chamadas atendidas pelo Voice AI Agent | Áudio e transcrições das chamadas | UE Endpoint dedicado na UE |
 | Conversão de texto em voz | Texto a converter em voz e o áudio gerado | UE Residência de dados na UE |
A IA e os teus dados
Todos os fornecedores de IA no circuito de voz e chat funcionam na UE. Cada um trata os dados dos clientes nos seus próprios termos.
- Azure UE
- Pode tratar prompts, respostas geradas e metadados associados. A Microsoft não usa dados dos clientes para treinar nem melhorar modelos.
- Vertex AI UE, região europe-west8
- A Google não usa dados dos clientes para treinar nem ajustar modelos sem autorização do cliente. As entradas podem ficar em memória por um período limitado para reduzir a latência, e os prompts podem ser registados para deteção de abusos, nos termos do Google Cloud.
- Endpoint dedicado na UE
- Os pedidos da Visor estão excluídos do Model Improvement Program da Deepgram, por isso o áudio dos clientes não é usado para treinar os modelos da Deepgram. O áudio só é guardado o tempo necessário para processar cada pedido.
- Endpoint dedicado na UE
- A conta da Visor está excluída do programa de melhoria de modelos da AssemblyAI, por isso os dados dos clientes não são usados para treinar os seus modelos nem para benchmarking.
- Residência de dados na UE
- Usado ao abrigo de um contrato empresarial com residência de dados na UE e Zero Retention Mode, por isso o conteúdo não fica nos servidores da ElevenLabs depois do processamento e não é usado para treinar os seus modelos.
Perguntas frequentes
- A Visor tem certificação ISO 27001?
- Sim. A Visor tem certificação ISO/IEC 27001:2022. Podes pedir o certificado no nosso centro de confiança.
- A Visor cumpre o RGPD?
- A Visor trata dados pessoais ao abrigo do RGPD, e os seus dez subcontratantes estão todos na UE. A lista completa mostra o que cada um trata.
- Onde estão alojados os dados dos clientes?
- Na AWS, na UE. O alojamento, a infraestrutura e as bases de dados da plataforma funcionam aí. Vê todos os subcontratantes e as suas regiões.
- Os dados dos clientes são usados para treinar modelos de IA?
- Cada fornecedor de IA segue os seus próprios termos. A Azure, a Deepgram, a AssemblyAI e a ElevenLabs não os usam para treinar os seus modelos. O Vertex AI não treina nem ajusta modelos com eles sem autorização. Lê os termos de cada fornecedor.
- Como posso pedir o certificado e as políticas?
- Pede-os no nosso centro de confiança, alojado na Secfix. Vê os cinco documentos. Para qualquer outra questão de segurança, escreve para securityoffice@visor.ai.