Política de Segurança da Informação

Esta Política de Segurança da Informação descreve as certificações que a Didit possui, os controlos técnicos e organizacionais que a Didit opera e os artefatos de confiança disponíveis para clientes, potenciais clientes, reguladores e auditores. É revista pelo menos a cada seis meses.

• Contacto de segurança: security@didit.me
• Encarregado de Proteção de Dados: dpo@didit.me
• Página de estado (em tempo real): status.didit.me
• Pacote de confiança (sob NDA): envie um e-mail para security@didit.me

1. Certificações e atestados

Para solicitar qualquer um dos relatórios ou certificados subjacentes, envie um e-mail para security@didit.me. Os relatórios restritos sob os termos do seu emissor (por exemplo, SOC 2 Tipo 1) são partilhados após a assinatura de um Acordo de Não Divulgação (NDA), no mesmo dia útil.

2. Âmbito

Esta política abrange todo o pessoal da Didit (funcionários, contratados e terceiros autorizados), todos os sistemas de informação de produção e corporativos da Didit, e os Serviços voltados para o cliente descritos nos Termos e Condições Comerciais. É suportada pela Declaração de Aplicabilidade que fundamenta o sistema de gestão ISO/IEC 27001:2022 da Didit.

3. Governança

• Sistema de Gestão de Segurança da Informação e Privacidade alinhado aos controlos ISO/IEC 27001:2022 e ISO/IEC 27701, com uma Declaração de Aplicabilidade documentada.
• O Chief Technology Officer é o patrocinador executivo nomeado para a segurança da informação; o Encarregado de Proteção de Dados (dpo@didit.me) é responsável pela governação do programa de privacidade.
• Auditoria de segurança externa anual por auditores independentes (vigilância ISO 27001 e exames SOC 2).
• Registo de riscos revisto e atualizado trimestralmente. Os riscos materiais são escalados para o comité de gestão.
• Melhoria contínua, cada incidente, descoberta de auditoria e avaliação de risco alimenta o backlog de ações corretivas e a próxima atualização da política.

4. Encriptação e gestão de chaves

• Em repouso: AES-256 em todas as bases de dados de produção, armazenamento de objetos e volumes de backup.
• Em trânsito: TLS 1.3 para todas as chamadas de API externas, webhooks e sessões da Consola de Negócios. Versões TLS mais antigas e cifras fracas estão desativadas. O HTTP Strict Transport Security (HSTS) é imposto em todo o site e pré-carregado.
• Gestão de chaves: O AWS Key Management Service (KMS) detém e roda as chaves. O código da aplicação nunca toca em material de chave bruta. As chaves de sandbox e produção são totalmente separadas.
• Hashing: as credenciais do cliente são hashed com funções adaptativas padrão da indústria (bcrypt ou equivalente). As chaves de API são armazenadas como hashes unidirecionais; o valor bruto é mostrado ao operador apenas no momento da criação.

5. Identidade, acesso e arquitetura de confiança zero

• Confiança zero por padrão, cada pedido a cada sistema interno é autenticado e autorizado. Não há confiança implícita baseada na localização da rede.
• Controlo de acesso baseado em funções (RBAC) com o princípio do menor privilégio. As revisões de acesso são realizadas trimestralmente.
• A Autenticação Multifator (MFA) é obrigatória para todos os funcionários, todos os sistemas de produção, todas as consolas de cloud e todas as contas de alojamento de código.
• Single Sign-On (SSO) para aplicações internas, com MFA por token de hardware para funções privilegiadas.
• Acesso Just-in-Time para produção: o acesso privilegiado permanente é a exceção, não a regra.
• Registo de auditoria, cada ação privilegiada é registada num pipeline de auditoria à prova de adulteração e de escrita única, retido por pelo menos 12 meses.

6. Residência e segregação de dados

• União Europeia por padrão. Os dados de produção são processados e armazenados na União Europeia na Amazon Web Services. A residência em região específica ou no país está disponível em contratos Enterprise, sujeita a disponibilidade, para jurisdições cujos reguladores o exijam.
• Separação de ambientes. Sandbox, staging e produção são isolados nas camadas de rede, identidade e gestão de chaves. Nenhum humano ou serviço num ambiente pode ler dados noutro sem um caminho de acesso explícito e auditado.
• Separação de inquilinos. Os dados multi-inquilinos são logicamente separados com chaves de encriptação por inquilino, quando aplicável. As consultas entre inquilinos são bloqueadas na camada de aplicação e base de dados.

7. Ciclo de vida de desenvolvimento seguro (SDLC)

• A revisão de código é exigida para cada alteração de produção. Nenhum engenheiro pode fundir código não revisto para produção.
• Static Application Security Testing (SAST), varredura de dependências e Software Composition Analysis (SCA) são executados automaticamente em cada pull request.
• Varredura de contentores e infraestrutura em cada construção e numa programação recorrente para imagens implementadas.
• Testes de segurança pré-produção para alterações de alto impacto (autenticação, gestão de chaves, pipelines biométricos, fluxos de pagamento).
• Testes de penetração internos continuamente; testes de penetração externos pelo menos uma vez por ano por especialistas independentes. As descobertas materiais são acompanhadas até à resolução num cronograma com SLA.
• Programa de recompensas por bugs / canal de divulgação responsável, reporte problemas de segurança para security@didit.me.

8. Gestão de vulnerabilidades

• SLA de aplicação de patches por gravidade, crítico (dentro de 72 horas da divulgação do fornecedor), alto (dentro de 7 dias), médio (dentro de 30 dias), baixo (dentro de 90 dias).
• Varredura contínua de vulnerabilidades em toda a infraestrutura de produção, contentores e dependências.
• Modelagem de ameaças para novas superfícies de produtos, pipelines biométricos e integrações entre ambientes.

9. Monitorização, deteção e resposta a incidentes

• Monitorização 24x7 de cada sistema de produção com alertas sobre disponibilidade, erros e sinais de segurança.
• O Security Information and Event Management (SIEM) agrega e correlaciona eventos de segurança; padrões anormais escalam para engenheiros de segurança de plantão.
• Plano de Resposta a Incidentes Documentado com funções nomeadas, árvore de comunicação, matriz de gravidade e processo de revisão pós-incidente. O plano é testado pelo menos anualmente através de exercícios de simulação de mesa.
• Notificação de violação de dados pessoais. A Didit notifica os clientes afetados sem demora indevida e, em qualquer caso, a tempo de permitir que os clientes cumpram a sua própria obrigação de notificação de 72 horas ao abrigo do Artigo 33 do Regulamento Geral de Proteção de Dados (RGPD). Os clientes Enterprise recebem um engenheiro dedicado de plantão e um canal de comunicação dedicado.
• Página de estado pública em status.didit.me, todos os incidentes de produção, todas as análises post-mortem, sem necessidade de login.

10. Continuidade de negócios e recuperação de desastres

• Redundância ativa multi-AZ em cada região de produção; failover automático para serviços sem estado.
• Os Backups são encriptados, geograficamente separados dentro do limite de residência escolhido e testados numa programação recorrente.
• Recovery Point Objective (RPO) ≤ 1 hora e Recovery Time Objective (RTO) ≤ 4 horas para a API de verificação central e a Consola de Negócios.
• Testes de Recuperação de Desastres (DR) pelo menos anualmente.

11. Segurança do pessoal

• Verificações de antecedentes em todos os funcionários e contratados com acesso a dados de produção ou dados pessoais, onde permitido pela lei aplicável.
• Acordos de confidencialidade na contratação para todos os funcionários e contratados.
• Formação obrigatória em segurança e privacidade no onboarding e atualizada pelo menos anualmente para todos os funcionários. Formação direcionada (codificação segura, tratamento de dados biométricos, anti-fraude, anti-branqueamento de capitais) para as funções que a exigem.
• Simulações de phishing numa programação recorrente.
• O processo de entrada / mudança / saída revoga o acesso dentro de 24 horas após a mudança de função ou saída.

12. Gestão de fornecedores e sub-processadores

• Cada sub-processador é avaliado quanto ao risco antes do onboarding e revisto pelo menos anualmente.
• Cada sub-processador assina um Acordo de Processamento de Dados (DPA) que impõe obrigações de proteção de dados substancialmente semelhantes às que a Didit deve aos seus próprios clientes.
• A lista atual de sub-processadores é partilhada com clientes e potenciais clientes por e-mail após a assinatura de um Acordo de Não Divulgação (NDA). Envie um e-mail para security@didit.me para solicitá-la. Os clientes subscritos a notificações de alteração de sub-processadores são notificados por e-mail com aviso prévio suficiente para se oporem.

13. Direitos do titular dos dados e eliminação

• Direito de acesso e portabilidade, `GET /v3/sessions/:session_id/decision/`.
• Direito de eliminação, `POST /v3/sessions/:session_id/delete/`. Remove a sessão e todos os artefatos ligados em todas as réplicas.
• A retenção por aplicação é configurável na Consola de Negócios entre 30 dias e 10 anos; o padrão é indefinido, a menos que o cliente configure um período mais curto. A retenção de dados biométricos está em todos os casos sujeita e limitada pelas leis e regulamentos de privacidade biométrica aplicáveis, incluindo o Artigo 9 do Regulamento Geral de Proteção de Dados (RGPD) da UE, o Illinois Biometric Information Privacy Act (BIPA), o Texas Capture or Use of Biometric Identifier Act (CUBI), a Washington H.B. 1493, e qualquer outra lei de privacidade biométrica aplicável; onde tal lei prescreva um período de retenção mais curto ou uma obrigação de destruição anterior, essa regra mais curta ou mais rigorosa prevalece sobre qualquer período de retenção padrão ou configurado pelo cliente.
• Consulte a Política de Privacidade e o Aviso de Privacidade de Verificação para o processo completo de direitos do titular dos dados.

14. Reportar um problema de segurança

Se acredita ter encontrado uma vulnerabilidade de segurança em qualquer produto ou serviço da Didit, envie um e-mail para security@didit.me com uma descrição, passos de reprodução e o impacto que observou. A Didit reconhece os relatórios de segurança no prazo de 2 dias úteis e trabalha de boa fé com os relatores que seguem práticas de divulgação responsável.

15. Contacto

• Segurança: security@didit.me
• Encarregado de Proteção de Dados: dpo@didit.me
• Privacidade: privacy@didit.me
• Legal / contratos: legal@didit.me
• Pedido de pacote de confiança (sob NDA): security@didit.me