# Quais salvaguardas protegem os dados pessoais processados pela Cyber Crucible?

**Resposta breve:** Encriptação em trânsito e em repouso, pseudonimização de identificadores sempre que viável, controlo de acesso baseado em funções, gestão de chaves com rotação, registo de auditoria e verificações de vulnerabilidades regulares — apoiados por termos contratuais nos DPAs dos clientes e por um programa interno de segurança da informação.

## Técnico

- Dados pessoais encriptados **em trânsito** (TLS 1.3) e **em repouso**.
- Encriptação JSON Web por agente das cargas úteis operacionais, utilizando pares de chaves únicos.
- Identificadores sensíveis pseudonimizados ou anonimizados sempre que viável.
- Acesso controlado através de autenticação e permissões baseadas em funções.
- Políticas de gestão de chaves criptográficas que asseguram o armazenamento seguro e a rotação das chaves.
- Registo e auditoria de acessos e ações administrativas para deteção de atividade não autorizada.
- Verificações de vulnerabilidades e testes de segurança regulares.

## Contratual

Os contratos com clientes e os DPAs incluem termos relativos à segurança dos dados, confidencialidade e notificação de violações. Os subprocessadores só são contratados ao abrigo de acordos escritos que exigem proteções equivalentes. Colaboradores e prestadores estão vinculados por acordos mútuos de confidencialidade.

## Organizacional

Um programa de gestão de segurança da informação rege a conformidade contínua, com formação de sensibilização para a segurança destinada ao pessoal relevante, resposta a incidentes documentada, procedimentos de retenção e eliminação de dados, e auditorias internas periódicas.

## Sobre certificações — dito de forma clara

O programa de segurança da Cyber Crucible está **alinhado com** os quadros de referência reconhecidos do setor. **A Cyber Crucible não possui atualmente a certificação ISO 27001 ou SOC 2, e a certificação não está atualmente planeada.**

Alinhamento significa que os controlos seguem as práticas descritas nesses quadros de referência. Não significa que um auditor externo os tenha avaliado e certificado, e isso não deve ser representado dessa forma na sua própria documentação de conformidade. Se o seu processo de aquisição exigir evidência certificada, esse requisito não está atualmente satisfeito — contacte **dpo@cybercrucible.com** para discutir a documentação disponível.