--- title: "Segurança na Visor: ISO/IEC 27001:2022, RGPD e subcontratantes" canonical: https://www.visor.ai/pt/security/ lang: pt --- # Segurança na Visor A Visor tem certificação ISO/IEC 27001:2022, e os nossos dez subcontratantes estão todos na UE. O certificado e as nossas políticas de segurança estão disponíveis a pedido. Contacto de segurança [securityoffice@visor.ai](mailto:securityoffice@visor.ai) Como tratamos os dados pessoais [Política de Privacidade](https://www.visor.ai/pt/privacy-policy/) - **ISO/IEC 27001:2022** Certificação. A norma internacional de gestão da segurança da informação. - **RGPD** A Visor trata dados pessoais ao abrigo do Regulamento Geral sobre a Proteção de Dados. ## Como protegemos os dados A Visor aplica 87 controlos de segurança, em quatro grupos. Os que mais nos perguntam vêm antes da lista completa. **87** controlos de segurança - **33** Organizacionais - **34** Tecnológicos - **14** Físicos - **6** Pessoas ### O que mais nos perguntam Cifragem em repouso e em trânsito Os dados na AWS são cifrados em repouso e em trânsito, com regras para a criptografia e a gestão de chaves. Controlo: Utilização de criptografia Autenticação multifator A autenticação segura confirma a identidade dos utilizadores, com autenticação multifator. Controlo: Autenticação segura Cópias de segurança testadas Há cópias de segurança da informação, do software e dos sistemas, testadas com regularidade. Controlo: Cópias de segurança da informação Ambientes separados Desenvolvimento, teste e produção estão separados, e não se testa em produção. Controlo: Separação dos ambientes de desenvolvimento, teste e produção Testes de intrusão Aplicações e código passam por testes de segurança durante o desenvolvimento, incluindo testes de intrusão. Controlo: Testes de segurança no desenvolvimento e na aceitação Verificação de antecedentes Verificação de antecedentes de candidatos e colaboradores, dentro das normas legais e éticas. Controlo: Verificação de antecedentes Resposta a incidentes e lições aprendidas Os incidentes seguem procedimentos definidos, e as lições de incidentes passados alimentam os planos de resposta e a formação. Controlos: Resposta a incidentes e Aprendizagem com incidentes de segurança da informação Auditorias internas e revisões pela gestão Auditorias internas anuais e revisões pela gestão a intervalos definidos ou após alterações significativas. Controlo: Revisão independente da segurança da informação Continuidade do negócio e recuperação de desastres Planos de continuidade do negócio e de recuperação de desastres, e um plano de continuidade dos sistemas testado com regularidade. Controlos: Preparação das TIC para a continuidade do negócio, Segurança da informação durante uma disrupção Registo e monitorização A atividade e os eventos de segurança ficam registados e são analisados, e os sistemas são monitorizados à procura de atividade anómala. Controlos: Registo de eventos, Atividades de monitorização Acesso restrito e revisões de acessos O acesso só é dado a pessoas autorizadas, para tarefas concretas, com revisões de acessos regulares. Controlos: Controlo de acessos, Direitos de acesso privilegiado ### Os 87 controlos Controlos organizacionais 33 Utilização aceitável da informação e de outros ativos associados As regras de utilização e tratamento da informação e dos ativos da empresa estão definidas e comunicadas a todos. Controlo de acessos Só pessoas autorizadas acedem a cada informação e recurso, com revisões de acessos regulares e acesso à rede apenas para colaboradores autorizados. Direitos de acesso O acesso a ferramentas e informação é concedido, ajustado e retirado conforme necessário. Segurança da informação nos acordos com fornecedores Os acordos com fornecedores definem requisitos e responsabilidades de segurança. Avaliação e decisão sobre eventos de segurança da informação Os eventos de segurança são classificados pela gravidade, escalados quando necessário e registados para análise. Informação de autenticação As palavras-passe e outros dados de acesso são geridos e protegidos. Classificação da informação Os dados são classificados e tratados segundo a sua importância e sensibilidade, de acordo com uma política escrita. Recolha de evidências As evidências de eventos de segurança são identificadas, recolhidas e preservadas para eventuais ações legais ou disciplinares. Conformidade com as políticas, regras e normas de segurança da informação Chefias e responsáveis pela informação verificam a conformidade com regularidade, e as não conformidades são registadas e resolvidas. Contacto com as autoridades Está definido quem contacta as autoridades, quando, e como se comunicam os incidentes a tempo. Contacto com grupos de interesse especial A Visor acompanha notícias e fóruns de segurança sobre ameaças, boas práticas e novas vulnerabilidades. Preparação das TIC para a continuidade do negócio Um plano mantém os sistemas e a informação disponíveis durante disrupções, e é testado com regularidade. Gestão de identidades As identidades e contas de utilizador são geridas ao longo de todo o ciclo de vida, cada uma única. Revisão independente da segurança da informação Auditorias internas anuais e revisões pela gestão a intervalos definidos ou após alterações significativas. Segurança da informação durante uma disrupção As medidas de segurança para disrupções estão documentadas nos planos de continuidade do negócio e de recuperação de desastres. Segurança da informação na utilização de serviços na nuvem Regras para escolher, gerir e deixar serviços na nuvem, com funções definidas. Segurança da informação na gestão de projetos Os projetos tratam os riscos de segurança, incluindo o risco de fornecedores através de verificações de conformidade. Segurança da informação nas relações com fornecedores Existe uma lista de fornecedores, e quem trata dados da empresa tem de cumprir normas de segurança. Gestão da segurança da informação na cadeia de abastecimento das TIC Os fornecedores de produtos e serviços TIC recebem requisitos de segurança, e o seu cumprimento é acompanhado. Planeamento e preparação da gestão de incidentes de segurança da informação Funções, responsabilidades e procedimentos para incidentes estão definidos e acessíveis a todos os colaboradores. Funções e responsabilidades de segurança da informação As tarefas de segurança estão atribuídas, e cada pessoa conhece as suas responsabilidades. Transferência de informação Os dados enviados dentro ou fora da Visor seguem regras de transferência segura. Direitos de propriedade intelectual Só se usa software licenciado, e cumpre-se a lei de direitos de autor. Rotulagem da informação A informação tem um rótulo com o seu nível de segurança, para ser tratada corretamente. Aprendizagem com incidentes de segurança da informação As lições de incidentes passados alimentam as defesas, os planos de resposta e a formação. Requisitos legais, estatutários, regulamentares e contratuais Os requisitos de segurança legais, regulamentares e contratuais, como DPA, NDA e SLA, estão identificados e registados. Monitorização, revisão e gestão de alterações dos serviços de fornecedores Os fornecedores são revistos segundo o risco, com revisão anual dos de risco elevado. Privacidade e proteção de dados pessoais Os dados pessoais são protegidos nos termos da lei e dos contratos, e as aplicações que os tratam entram nas revisões de fornecedores e de acessos. Proteção de registos Os registos são guardados com segurança e com o acesso mínimo necessário, segundo procedimentos escritos de controlo documental. Resposta a incidentes de segurança da informação Os incidentes são tratados com procedimentos definidos, recolha de evidências e comunicação clara. Devolução de ativos Quem sai devolve os ativos da empresa através de uma lista de verificação de saída. Segregação de funções As tarefas estão divididas para que ninguém concentre demasiado acesso ou poder. Informação sobre ameaças A informação sobre ameaças é recolhida e analisada para apoiar decisões. Controlos tecnológicos 34 Acesso ao código-fonte O acesso de escrita ao código-fonte está limitado a quem precisa dele. Requisitos de segurança das aplicações Os requisitos de segurança, como autenticação e proteção de dados, são definidos ao desenvolver ou adquirir aplicações. Gestão da capacidade A utilização de recursos é monitorizada e ajustada conforme necessário. Gestão de alterações As alterações aos sistemas seguem procedimentos definidos, com avaliação de impacto, testes e registo. Sincronização de relógios Os relógios dos sistemas estão sincronizados com fontes de tempo aprovadas, para registar eventos com rigor. Gestão da configuração Hardware, software e redes seguem configurações seguras padrão, registadas e monitorizadas. Prevenção de fugas de dados Ferramentas detetam e travam a partilha ou exposição não autorizada de dados. Mascaramento de dados Dados sensíveis, como dados pessoais, são mascarados, pseudonimizados ou anonimizados para limitar a exposição. Restrição do acesso à informação O acesso à informação e aos ativos é restrito segundo as políticas. Cópias de segurança da informação Há cópias de segurança da informação, do software e dos sistemas, testadas com regularidade, segundo uma política de cópias de segurança. Eliminação de informação A informação que deixa de ser necessária é eliminada por métodos aprovados, e cada eliminação fica registada. Instalação de software em sistemas operacionais Só administradores formados e autorizados instalam software nos sistemas em produção. Registo de eventos A atividade dos sistemas e os eventos de segurança ficam registados, e os registos são protegidos contra alterações e analisados à procura de atividade anómala. Gestão de vulnerabilidades técnicas As vulnerabilidades técnicas são identificadas, avaliadas, corrigidas e documentadas. Atividades de monitorização Redes, sistemas e aplicações são monitorizados à procura de atividade anómala, com alertas. Segurança das redes Redes e ligações são protegidas com firewalls, monitorização e autenticação. Desenvolvimento subcontratado O desenvolvimento subcontratado tem requisitos de segurança definidos e é acompanhado. Direitos de acesso privilegiado O acesso privilegiado só é dado a utilizadores autorizados, para tarefas concretas, e é revisto com regularidade. Proteção contra malware Deteção de malware, formação e controlo de acessos protegem os sistemas. Proteção dos sistemas de informação durante os testes de auditoria Os testes de auditoria são acordados com a gestão, com acesso limitado e monitorização. Redundância das instalações de processamento de informação Sistemas redundantes mantêm o processamento a funcionar se um componente falhar. Autenticação segura Métodos de autenticação segura confirmam a identidade dos utilizadores, com autenticação multifator. Codificação segura Aplicam-se princípios de codificação segura, como não guardar palavras-passe no código, usar cifragem e manter as bibliotecas atualizadas. Ciclo de vida de desenvolvimento seguro A segurança faz parte do desenho, das regras de codificação, dos testes e da formação dos programadores. Princípios de arquitetura e engenharia de sistemas seguros Os sistemas são desenhados segundo princípios escritos de engenharia segura. Segurança dos serviços de rede Os serviços de rede têm medidas de segurança, regras de utilização e acompanhamento dos fornecedores. Testes de segurança no desenvolvimento e na aceitação Aplicações e código passam por testes de segurança durante o desenvolvimento, incluindo testes de intrusão. Segregação de redes A rede está dividida em zonas com regras de acesso e firewalls próprias. Separação dos ambientes de desenvolvimento, teste e produção Desenvolvimento, teste e produção estão separados, e não se testa em produção. Informação de teste As alterações aos sistemas são avaliadas, testadas, incluindo testes de segurança, e registadas. Utilização de criptografia Regras de utilização de criptografia, incluindo a gestão de chaves. A cifragem é considerada para dados em repouso e em trânsito. Utilização de programas utilitários privilegiados Só utilizadores de confiança usam programas utilitários capazes de contornar controlos, e cada utilização fica registada. Dispositivos terminais dos utilizadores A informação nos dispositivos dos utilizadores é protegida com políticas, controlo de acessos, cifragem e formação, incluindo dispositivos pessoais. Filtragem web Sites perigosos são bloqueados por IP e domínio, e a equipa aprende a navegar com segurança. Controlos físicos 14 Segurança da cablagem Os cabos de energia e de dados estão protegidos contra interferências e danos. Secretária limpa e ecrã limpo Regras de secretária limpa e de bloqueio de ecrã protegem a informação deixada sem vigilância. Manutenção de equipamentos Os equipamentos têm manutenção segundo as indicações do fornecedor, e as avarias ficam registadas. Localização e proteção de equipamentos Os equipamentos estão colocados e protegidos contra acessos não autorizados e danos. Entrada física Só pessoas aprovadas entram nas áreas sensíveis. Monitorização da segurança física As instalações têm vigilância contínua e alarmes. Perímetros de segurança física Paredes, portas e janelas das áreas sensíveis estão protegidas e monitorizadas. Proteção contra ameaças físicas e ambientais Há medidas contra catástrofes naturais e outras ameaças físicas. Eliminação ou reutilização segura de equipamentos Os dados são removidos dos equipamentos antes de serem eliminados ou reutilizados. Segurança de escritórios, salas e instalações Os espaços que tratam informação confidencial estão protegidos e são discretos. Segurança dos ativos fora das instalações Portáteis e telemóveis usados fora do escritório estão protegidos contra danos e acessos não autorizados. Suportes de armazenamento Os suportes de armazenamento são cifrados e eliminados com segurança, segundo regras claras. Serviços de suporte As operações estão protegidas contra falhas de energia e de outros serviços de suporte. Trabalho em áreas seguras O trabalho em áreas seguras é supervisionado, com controlo de acessos e limites a dispositivos pessoais. Controlos de pessoas 6 Acordos de confidencialidade ou de não divulgação Colaboradores e partes relevantes assinam acordos de confidencialidade, revistos com regularidade. Comunicação de eventos de segurança da informação Os colaboradores têm uma forma simples e rápida de comunicar possíveis problemas de segurança. Trabalho remoto Regras e medidas de segurança cobrem o trabalho com informação fora do escritório. Responsabilidades após a cessação ou alteração do vínculo laboral As obrigações de segurança mantêm-se depois de alguém sair ou mudar de função, e a pessoa é informada disso. Verificação de antecedentes Verificação de antecedentes de candidatos e colaboradores, dentro das normas legais e éticas. Termos e condições de emprego Os contratos de trabalho definem as responsabilidades de segurança de ambas as partes. ## Pede os nossos documentos de segurança Estes documentos estão disponíveis a pedido no nosso centro de confiança, alojado na Secfix. Certificações - ISO/IEC 27001:2022 Certificate Disponível a pedido Políticas - POL-00 ISMS List of documents Disponível a pedido - POL-01 Scope of the ISMS Disponível a pedido - POL-02 Information Security Management System Disponível a pedido - POL-04 Information Security & Acceptable Use Disponível a pedido [Pede os documentos no centro de confiança](https://app.secfix.com/trust/visor/a8d96edab05a4c549f006847c5ac73e3) Abre o centro de confiança num novo separador. ## Onde estão os dados e quem os trata Dez subcontratantes tratam dados para a Visor. Estão todos na UE. Fornecedor Finalidade Dados tratados Região ![Google Workspace](https://www.visor.ai/assets/vendors/sourced-google-workspace.svg) Email da empresa, armazenamento de documentos, colaboração e calendários Endereços de email, nomes, contactos, documentos e ficheiros partilhados, registos **UE** ![AWS](https://www.visor.ai/_astro/sourced-aws.cCmIak93_ZG4JOt.webp) Infraestrutura na nuvem, alojamento e bases de dados que fazem funcionar a plataforma e guardam os dados Dados dos clientes, incluindo dados pessoais, e registos (informação do dispositivo) **UE** Azure Serviços na nuvem; fornecedor de modelos de linguagem de grande dimensão Prompts, respostas geradas e metadados associados **UE** Vonage APIs de comunicação e telefonia para voz e mensagens Números de telefone, nomes de contactos, registos de chamadas e metadados de mensagens **UE** ![Atlassian](https://www.visor.ai/assets/vendors/sourced-atlassian.svg) Gestão de projetos, registo de problemas e pedidos de suporte Endereços de email, nomes, conteúdo e metadados dos pedidos de suporte **UE** ![Factorial](https://www.visor.ai/_astro/sourced-factorial.T4rlghN3_2mmbbh.webp) RH Apenas dados de colaboradores da Visor **UE** ![Google Cloud](https://www.visor.ai/assets/vendors/sourced-google-cloud.svg)Vertex AI Modelos de linguagem Gemini usados pelos agentes de IA para tratar conversas Prompts, respostas geradas e metadados associados **UE** Região Vertex AI europe-west8 ![Deepgram](https://www.visor.ai/assets/vendors/sourced-deepgram.svg) Conversão de voz em texto nas chamadas atendidas pelo Voice AI Agent Áudio e transcrições das chamadas **UE** Endpoint dedicado na UE ![AssemblyAI](https://www.visor.ai/assets/vendors/sourced-assemblyai.svg) Conversão de voz em texto nas chamadas atendidas pelo Voice AI Agent Áudio e transcrições das chamadas **UE** Endpoint dedicado na UE ![ElevenLabs](https://www.visor.ai/assets/vendors/sourced-elevenlabs.svg) Conversão de texto em voz Texto a converter em voz e o áudio gerado **UE** Residência de dados na UE ## A IA e os teus dados Todos os fornecedores de IA no circuito de voz e _chat_ funcionam na UE. Cada um trata os dados dos clientes nos seus próprios termos. Azure UE Pode tratar prompts, respostas geradas e metadados associados. A Microsoft não usa dados dos clientes para treinar nem melhorar modelos. ![Google Cloud](https://www.visor.ai/assets/vendors/sourced-google-cloud.svg)Vertex AI UE, região europe-west8 A Google não usa dados dos clientes para treinar nem ajustar modelos sem autorização do cliente. As entradas podem ficar em memória por um período limitado para reduzir a latência, e os prompts podem ser registados para deteção de abusos, nos termos do Google Cloud. ![Deepgram](https://www.visor.ai/assets/vendors/sourced-deepgram.svg) Endpoint dedicado na UE Os pedidos da Visor estão excluídos do Model Improvement Program da Deepgram, por isso o áudio dos clientes não é usado para treinar os modelos da Deepgram. O áudio só é guardado o tempo necessário para processar cada pedido. ![AssemblyAI](https://www.visor.ai/assets/vendors/sourced-assemblyai.svg) Endpoint dedicado na UE A conta da Visor está excluída do programa de melhoria de modelos da AssemblyAI, por isso os dados dos clientes não são usados para treinar os seus modelos nem para benchmarking. ![ElevenLabs](https://www.visor.ai/assets/vendors/sourced-elevenlabs.svg) Residência de dados na UE Usado ao abrigo de um contrato empresarial com residência de dados na UE e Zero Retention Mode, por isso o conteúdo não fica nos servidores da ElevenLabs depois do processamento e não é usado para treinar os seus modelos. ## Perguntas frequentes A Visor tem certificação ISO 27001? Sim. A Visor tem certificação ISO/IEC 27001:2022. Podes [pedir o certificado](https://www.visor.ai/pt/security/#documents) no nosso centro de confiança. A Visor cumpre o RGPD? A Visor trata dados pessoais ao abrigo do RGPD, e os seus dez subcontratantes estão todos na UE. [A lista completa](https://www.visor.ai/pt/security/#subprocessors) mostra o que cada um trata. Onde estão alojados os dados dos clientes? Na AWS, na UE. O alojamento, a infraestrutura e as bases de dados da plataforma funcionam aí. [Vê todos os subcontratantes e as suas regiões.](https://www.visor.ai/pt/security/#subprocessors) Os dados dos clientes são usados para treinar modelos de IA? Cada fornecedor de IA segue os seus próprios termos. A Azure, a Deepgram, a AssemblyAI e a ElevenLabs não os usam para treinar os seus modelos. O Vertex AI não treina nem ajusta modelos com eles sem autorização. [Lê os termos de cada fornecedor.](https://www.visor.ai/pt/security/#ai) Como posso pedir o certificado e as políticas? Pede-os no nosso centro de confiança, alojado na Secfix. [Vê os cinco documentos.](https://www.visor.ai/pt/security/#documents) Para qualquer outra questão de segurança, escreve para [securityoffice@visor.ai](mailto:securityoffice@visor.ai).