Política de Segurança da Informação

1. Âmbito e responsável

Esta política aplica-se à plataforma ImoDesk e às pessoas e prestadores que a operam. A responsável é a Fátima & Tavares, Lda.; contacto de segurança: seguranca@imodesk.pt. Revemos esta política pelo menos uma vez por ano e após qualquer alteração ou incidente relevante.

2. Separação de dados e controlo de acessos

• Os dados de cada agência estão separados; cada utilizador só vê os dados da sua agência.
• Acesso por função: consultores, gestão processual e Direção só veem o que a sua função exige.
• Os ficheiros carregados só se abrem a partir do processo a que pertencem.
• O acesso da nossa equipa aos sistemas de produção limita-se ao necessário para operação e suporte, com dever de confidencialidade.

3. Autenticação

• Sessões com cookies seguros (HttpOnly, SameSite), terminadas em todos os dispositivos quando a palavra-passe muda.
• Os códigos de recuperação de palavra-passe são guardados cifrados e expiram.
• Limite de tentativas de início de sessão por endereço IP e por email.
• Os links da página do cliente são individuais, protegidos por código de acesso, e deixam de dar acesso aos documentos quando o processo termina.

4. Cifra

• Todas as ligações usam HTTPS (TLS), com HSTS ativo.
• Os dados são cifrados em repouso pelos nossos prestadores de armazenamento e de base de dados.

5. Segurança da aplicação

• Os ficheiros carregados são verificados pelo seu tipo real, e não só pela extensão, e servidos de forma isolada, sem possibilidade de executar código no navegador.
• Cabeçalhos de segurança e acessos entre origens restritos (CORS).
• Os webhooks de entrada são autenticados com um segredo partilhado.
• As dependências são mantidas atualizadas e revistas quanto a vulnerabilidades conhecidas.
• As alterações são testadas automaticamente antes de serem publicadas.

6. Registos e monitorização

• Os registos técnicos não contêm dados pessoais.
• Cada processo mantém um histórico de quem fez o quê e quando.

7. Localização dos dados e prestadores

Os documentos e a base de dados são guardados na União Europeia. Usamos um conjunto limitado de prestadores, todos vinculados a obrigações de proteção de dados; a lista atual está na nossa Política de Privacidade. Avaliamos os prestadores antes de os usar e sempre que mudam.

8. Inteligência artificial

Os documentos são tratados por um prestador de IA apenas para extrair dados e assinalar divergências para o cliente. Os dados dos clientes não são usados para treinar modelos de IA.

9. Cópias de segurança e continuidade

A base de dados tem cópias de segurança contínuas no nosso prestador (MongoDB Atlas, União Europeia). Os ficheiros e a base de dados são também copiados todas as noites para um espaço separado na União Europeia e guardados durante 30 dias. Testamos a reposição a partir das cópias pelo menos uma vez por ano.

10. Resposta a incidentes

Investigamos prontamente qualquer suspeita de incidente de segurança. Se uma violação de dados pessoais afetar dados de um cliente, avisamos o cliente sem demora injustificada e, o mais tardar, 48 horas depois de dela termos conhecimento, para que o cliente possa cumprir as suas próprias obrigações legais.

11. Ambientes de demonstração

As contas de demonstração usam apenas dados fictícios e não enviam emails nem mensagens reais.

12. Comunicar uma vulnerabilidade

Se encontrar um possível problema de segurança, contacte seguranca@imodesk.pt. Agradecemos a divulgação responsável e responderemos rapidamente.