A Cyber Crucible está em conformidade com o GDPR?

Resposta curta: Sim, por concepção e não apenas por política. Conteúdo, credenciais, chaves de encriptação e tokens de sessão nunca são recolhidos; a análise ocorre no endpoint; a Cyber Crucible atua como subcontratante ao abrigo de um DPA escrito; e as opções de implementação mantêm os dados pessoais dentro da UE — ou dentro das suas próprias instalações.

Correspondência com os princípios do GDPR

• Minimização de dados (Art. 5.º) — a lista de dados excluídos é enumerada, não descrita em termos genéricos. A telemetria é limitada ao que é necessário para a deteção de ameaças e é configurável.
• Integridade e confidencialidade (Art. 5.º, 32.º) — TLS 1.3 em trânsito, encriptação de payload JWE por agente, encriptação em repouso, controlo de acesso baseado em funções, rotação de chaves, registo de auditoria.
• Obrigações do subcontratante (Art. 28.º) — DPA escrito que especifica o âmbito; processamento apenas mediante instruções documentadas; subcontratantes sujeitos a termos equivalentes.
• Transferências (Capítulo V) — preparação regional na UE, ou implementação isolada (air-gapped) que elimina completamente a transferência.
• Proteção de dados desde a conceção (Art. 25.º) — a alegação mais sólida possível: as categorias de maior risco não são protegidas por política, simplesmente nunca são recolhidas.

Pseudonimização

Nos casos em que a telemetria comportamental possa identificar indiretamente um indivíduo, os identificadores são pseudonimizados ou mascarados — uma salvaguarda expressamente reconhecida pelo GDPR.

O que isto não faz

Isto não torna a sua organização conforme com o GDPR. As suas obrigações dependem das suas próprias finalidades de processamento, bases legais, avisos e registos. O que isto elimina é uma dificuldade comum: um fornecedor de segurança a exportar continuamente dados pessoais para um país terceiro.