Política de Segurança da Informação

A presente Política estabelece os princípios de segurança da informação adotados pela Doconti para proteger a confidencialidade, integridade, disponibilidade e resiliência dos sistemas, documentos e dados tratados através da plataforma.

A segurança é parte integrante da arquitetura, desenvolvimento, operação e manutenção dos serviços.

A Doconti compromete-se a aplicar medidas proporcionais à natureza dos dados tratados, aos riscos identificados, ao estado da tecnologia e às obrigações legais aplicáveis.

A presente Política abrange:

• Infraestrutura de alojamento e armazenamento;
• Aplicação web e interfaces de acesso;
• Bases de dados e armazenamento documental;
• APIs e integrações;
• Sistemas de inteligência artificial;
• Gestão de identidades e acessos;
• Processos de desenvolvimento e manutenção;
• Cópias de segurança;
• Monitorização e resposta a incidentes;
• Colaboradores e prestadores autorizados.

3.1. Segurança desde a conceção

Os sistemas deverão ser concebidos e desenvolvidos seguindo os princípios de proteção de dados desde a conceção e por defeito.

3.2. Privilégio mínimo

Cada utilizador, colaborador ou serviço técnico apenas deverá possuir os privilégios estritamente necessários ao desempenho das suas funções.

3.3. Segregação de dados

Os dados de diferentes Clientes deverão permanecer logicamente segregados, através de mecanismos de autorização e isolamento apropriados.

3.4. Confidencialidade

O acesso aos documentos será restringido a pessoas ou sistemas autorizados e sujeito aos deveres legais e contratuais de confidencialidade.

3.5. Rastreabilidade

As operações relevantes para a segurança deverão produzir registos de auditoria proporcionais à finalidade e ao risco.

3.6. Melhoria contínua

As medidas de segurança deverão ser regularmente avaliadas, corrigidas e atualizadas.

4.1. A plataforma deverá utilizar autenticação adequada e mecanismos de proteção contra acesso não autorizado.

4.2. As credenciais são pessoais e intransmissíveis.

4.3. Os administradores dos Clientes são responsáveis pela atribuição, revisão e revogação dos acessos concedidos à sua organização.

4.4. O acesso privilegiado dos operadores da Doconti deverá ser limitado, justificado, controlado e auditável.

4.5. A utilização de autenticação multifator deverá ser exigida para acessos administrativos e privilegiados e disponibilizada ou exigida para os restantes utilizadores de acordo com a avaliação de risco.

4.6. A plataforma deverá implementar medidas de proteção de sessões, limitação de tentativas de autenticação e revogação de sessões comprometidas.

4.7. O acesso a uma conta não permite a consulta de dados de outras organizações, salvo mediante autorização legal e funcional expressa.

5.1. As comunicações entre os utilizadores e os serviços da Doconti deverão utilizar protocolos criptográficos seguros, designadamente TLS em versões suportadas e adequadas.

5.2. Os documentos e bases de dados deverão beneficiar de encriptação em repouso, com gestão segura de chaves e segregação de privilégios.

5.3. Credenciais, tokens e outros segredos técnicos não deverão ser armazenados em código-fonte público nem expostos em registos de aplicação.

5.4. A Doconti deverá aplicar mecanismos para restringir o acesso não autorizado a documentos, incluindo validação de permissões antes de cada operação relevante.

5.5. A utilização de ligações temporárias para carregamento ou consulta de ficheiros deverá observar regras de expiração e autorização.

5.6. Os dados utilizados em testes e desenvolvimento deverão ser sintéticos, anonimizados ou adequadamente protegidos, evitando o recurso desnecessário a dados reais de produção.

6.1. A Doconti deverá implementar mecanismos adequados de validação de tipos de ficheiros e proteção contra carregamentos maliciosos.

6.2. A aceitação de um ficheiro não constitui confirmação da sua autenticidade, validade fiscal ou integridade jurídica.

6.3. As funcionalidades de deteção de duplicados, classificação automática e extração de informação constituem ferramentas de apoio e não eliminam a necessidade de validação profissional.

6.4. Os mecanismos de integridade e os registos de alterações deverão ser proporcionais às funcionalidades disponibilizadas.

6.5. A Doconti deverá assegurar que a identificação de uma entidade por NIF não constitui, isoladamente, um mecanismo de autenticação ou prova de legitimidade para aceder a documentos.

7.1. O acesso de sistemas de IA aos conteúdos deverá limitar-se aos documentos e dados estritamente necessários à operação solicitada.

7.2. As integrações deverão utilizar canais protegidos e mecanismos seguros de autenticação.

7.3. Os fornecedores de IA deverão ser sujeitos a avaliação de riscos e condições contratuais apropriadas.

7.4. O Cliente deverá ser informado da utilização de IA sempre que essa informação seja legal ou contratualmente exigida.

7.5. Os mecanismos de IA não deverão possuir permissões ilimitadas de leitura, edição, exportação ou eliminação de documentos.

7.6. A Doconti deverá considerar riscos como injeção de instruções, fuga de dados, classificação incorreta, respostas fabricadas e utilização abusiva de recursos computacionais.

7.7. Os outputs automatizados deverão ser tratados como informação sujeita a validação.

7.8. A utilização de dados documentais para treino de modelos gerais de IA não integra a finalidade contratual normal do serviço.

8.1. A Doconti selecionará fornecedores tecnológicos tendo em consideração segurança, fiabilidade, proteção de dados e continuidade operacional.

8.2. Os fornecedores que tratem dados pessoais deverão estar sujeitos aos instrumentos contratuais exigidos pelo RGPD.

8.3. A Doconti poderá utilizar infraestruturas partilhadas de computação em nuvem, desde que sejam implementados controles adequados de segregação e segurança.

8.4. A localização e os fluxos internacionais dos dados deverão ser documentados e avaliados.

8.5. Alterações relevantes de fornecedores de tratamento de dados serão geridas de acordo com o Acordo de Tratamento de Dados.

9.1. A Doconti manterá uma estratégia de cópias de segurança apropriada aos serviços contratados e aos riscos identificados.

9.2. As cópias deverão ser protegidas contra acesso não autorizado e sujeitas a períodos definidos de conservação.

9.3. Os procedimentos de recuperação deverão ser periodicamente testados.

9.4. Os objetivos de recuperação, quando contratualmente garantidos, deverão constar de acordo de nível de serviço específico.

9.5. As cópias de segurança destinam-se à recuperação técnica do serviço, não constituindo necessariamente um arquivo documental individual permanente, acessível em qualquer momento.

9.6. O Cliente mantém a responsabilidade de cumprir as suas obrigações próprias de arquivo e continuidade da atividade.

10.1. A Doconti poderá conservar registos de operações relevantes para segurança, administração e auditoria.

10.2. Os registos poderão incluir identificadores de utilizadores, operações efetuadas, momentos de acesso, endereço IP, estado da operação e informações técnicas necessárias.

10.3. O conteúdo integral dos documentos não deverá ser incluído nos registos técnicos quando tal não seja necessário.

10.4. O acesso aos registos deverá ser controlado e limitado a pessoal autorizado.

10.5. Os períodos de conservação deverão ser definidos segundo critérios de proporcionalidade, risco e obrigações legais.

A Doconti deverá manter procedimentos adequados para:

• a) Gestão e revisão de código;
• b) Controlo de acessos aos repositórios;
• c) Gestão de dependências e vulnerabilidades;
• d) Separação adequada entre desenvolvimento, testes e produção;
• e) Testes de segurança proporcionais ao risco;
• f) Aplicação de atualizações e correções;
• g) Gestão de segredos e credenciais;
• h) Revisão das permissões de serviços externos;
• i) Registo e tratamento de vulnerabilidades identificadas.

12.1. As vulnerabilidades identificadas serão classificadas de acordo com o risco potencial.

12.2. As vulnerabilidades críticas deverão receber tratamento prioritário.

12.3. A Doconti poderá aplicar atualizações urgentes sem comunicação antecipada quando necessárias à proteção do sistema.

12.4. Não são permitidos testes ofensivos, exploração de vulnerabilidades ou divulgação de dados de terceiros sem autorização expressa.

12.5. A comunicação responsável de vulnerabilidades poderá ser efetuada através de [E-mail de segurança — por completar].

13.1. A Doconti deverá manter um processo de resposta a incidentes com as seguintes etapas:

• Identificação e classificação;
• Contenção;
• Investigação;
• Mitigação;
• Recuperação;
• Documentação;
• Comunicação, quando legalmente exigida;
• Avaliação e melhoria das medidas de segurança.

13.2. Quando um incidente envolver dados pessoais tratados por conta de um Cliente, a Doconti notificará o responsável pelo tratamento sem demora injustificada após tomar conhecimento da violação.

13.3. As comunicações poderão ocorrer por fases, à medida que estejam disponíveis informações verificadas.

13.4. A Doconti poderá adotar medidas urgentes e proporcionais de isolamento, suspensão ou revogação de acessos para reduzir riscos.

13.5. O Cliente deverá cooperar na investigação de incidentes que envolvam credenciais, dispositivos ou permissões sob o seu controlo.

Os utilizadores deverão:

• Proteger as credenciais de autenticação;
• Evitar a utilização de dispositivos comprometidos;
• Atualizar os respetivos sistemas;
• Não partilhar ligações privadas ou tokens de acesso;
• Revogar acessos desnecessários;
• Comunicar atividades suspeitas;
• Evitar o envio de dados pessoais excessivos;
• Confirmar a identidade dos destinatários antes de transmitir documentos;
• Respeitar as permissões e políticas do gabinete.

15.1. O acesso dos colaboradores da Doconti deverá estar sujeito a autorização e deveres de confidencialidade.

15.2. A consulta de conteúdos dos Clientes por pessoal da Doconti apenas será permitida quando exista necessidade legítima relacionada com suporte autorizado, manutenção, segurança, obrigação legal ou outra finalidade permitida.

15.3. Os acessos privilegiados deverão ser tecnicamente controlados e registados, de forma proporcional.

15.4. O acesso a conteúdos não poderá ocorrer por mera curiosidade, conveniência ou exploração comercial.

16.1. A Doconti procurará manter medidas proporcionais para continuidade operacional e recuperação de falhas.

16.2. Poderão existir interrupções temporárias devidas a manutenção, falhas de infraestrutura, serviços externos ou eventos extraordinários.

16.3. Na ausência de SLA específico, esta Política não estabelece garantia de disponibilidade ininterrupta, prazo fixo de recuperação ou indemnização automática por indisponibilidade.

16.4. A Doconti prestará as informações de incidentes e disponibilidade exigidas contratualmente ou por lei.

17.1. A Doconti realizará avaliações proporcionais dos seus controlos de segurança.

17.2. Sempre que legalmente exigido, disponibilizará informação suficiente para demonstrar o cumprimento das obrigações de proteção de dados.

17.3. As auditorias serão conduzidas segundo os procedimentos do Acordo de Tratamento de Dados, salvaguardando a confidencialidade, segurança e direitos de outros Clientes.

17.4. Certificações externas apenas serão anunciadas quando efetivamente obtidas e válidas.

A presente Política será revista periodicamente e sempre que ocorram alterações materiais de risco, arquitetura, legislação ou operação.

Contacto para questões de segurança: [E-mail de segurança — por completar]

Comunicação de vulnerabilidades: [E-mail de segurança — por completar]