Política de privacidade

1. Responsável pelo tratamento

O responsável pelo tratamento aqui descrito é a NodeOps Security OÜ, sociedade por quotas estónia. Os dados postais e de registo constam do nosso aviso legal. Para qualquer questão sobre esta política ou sobre os seus dados, escreva para info@nodeops-sec.tech.

Dada a nossa dimensão, não estamos obrigados a designar um Encarregado da Proteção de Dados. As questões de proteção de dados são tratadas diretamente pela direção.

2. O que recolhemos

2.1 Pedidos que nos envia

Quando utiliza o formulário de contacto, recebemos o nome, a empresa, o endereço de email, o país, a categoria do pedido e a mensagem que escrever, juntamente com o facto e a hora do envio. Se nos escrever diretamente por email, recebemos aquilo que a sua mensagem e os respetivos cabeçalhos contiverem.

Salvo se pedir que seja enviado em claro, o seu navegador encripta tudo isso com a nossa chave pública antes do envio, e o nosso servidor web só chega a lidar com o texto cifrado - a decifragem acontece na caixa de correio. Se anexar a sua própria chave pública para que possamos responder encriptado, guardamo-la junto do pedido pelo tempo em que guardamos o próprio pedido.

2.2 Registos de servidor

O nosso alojamento regista os registos web normais de cada pedido: endereço IP, data e hora, o recurso pedido, o estado HTTP, a página de proveniência e o agente do navegador. Estes registos são gerados pelo próprio servidor web e são necessários para operar o sítio em segurança e diagnosticar falhas.

2.3 O que não recolhemos

• Este sítio web não coloca cookies de qualquer espécie.
• Sem analítica, gestores de etiquetas, mapas de calor ou píxeis publicitários.
• Sem tipos de letra, scripts, folhas de estilo ou imagens carregados de servidores de terceiros ou de CDN.
• Sem conteúdos incorporados de redes sociais, botões de partilha ou parâmetros de rastreio.
• Sem definição de perfis e sem decisões automatizadas.

Como nada é guardado no seu dispositivo e nenhum terceiro recebe dados, este sítio não necessita de banner de consentimento de cookies.

2.4 Escolha do idioma

Quando abre o site no endereço simples, o servidor lê o cabeçalho Accept-Language que o seu navegador já envia em todos os pedidos e, se o idioma que prefere for um dos que publicamos, encaminha-o para essa versão. Nada é guardado no seu dispositivo e não fica qualquer registo dessa escolha além do registo de servidor habitual descrito acima. Qualquer endereço explícito é servido tal como foi pedido, pelo que o seletor de idioma se sobrepõe sempre a este comportamento.

3. Porque tratamos os dados, e com que fundamento

• Responder ao seu pedido - artigo 6.º, n.º 1, alínea b), do RGPD, diligências pré-contratuais a seu pedido; e o seu consentimento nos termos do artigo 6.º, n.º 1, alínea a), dado através da caixa de verificação do formulário. Pode retirar o consentimento a qualquer momento, sem afetar o tratamento já realizado.
• Operar e proteger o sítio web - artigo 6.º, n.º 1, alínea f), do RGPD, o nosso interesse legítimo em prestar um serviço estável e seguro e em prevenir abusos. Avaliámos este tratamento como de baixo impacto: os registos não são combinados com outras fontes nem utilizados para identificar pessoas.
• Prevenir spam no formulário - artigo 6.º, n.º 1, alínea f), do RGPD. Utilizamos um campo-armadilha oculto e uma verificação temporal. Não está envolvido qualquer serviço de CAPTCHA de terceiros, pelo que nenhum dado sai do nosso servidor para este efeito.
• Cumprir obrigações legais - artigo 6.º, n.º 1, alínea c), do RGPD, quando a lei contabilística ou comercial exija a conservação de registos.

4. Durante quanto tempo conservamos

• Pedidos que não dão origem a projeto: eliminados no prazo de 12 meses.
• Pedidos que dão origem a projeto: conservados durante a relação e, depois, pelo prazo legal de conservação previsto na lei contabilística estónia.
• Registos de servidor: conservados pelo nosso alojamento de acordo com a política normal do mesmo, tipicamente algumas semanas.

5. Quem mais tem acesso

Não vendemos dados pessoais e não os partilhamos para fins de marketing. Os dados são divulgados apenas a:

• o nosso fornecedor de alojamento, que armazena o sítio web e trata os registos de servidor e os envios de formulário por nossa conta, ao abrigo de um contrato de subcontratação;
• o nosso fornecedor de email, que transmite e armazena a nossa correspondência;
• consultores profissionais ou autoridades, quando a divulgação nos seja legalmente exigida.

À parte do sítio web, o trabalho em si é feito a partir de um servidor dedicado que alugamos num datacenter em França. O fornecedor entrega a máquina, a energia e a ligação de rede: não tem conta no sistema nem administra nada nele. O acesso físico ao equipamento continua a ser do datacenter, que é o limite de qualquer acordo deste tipo e merece ser dito com clareza. Os discos estão encriptados, por isso o equipamento que sai do edifício - apreendido, substituído ou retirado de serviço - sai como texto cifrado. Numa máquina ligada, as chaves estão necessariamente em memória: a encriptação em repouso responde pelo disco, não pelo sistema em funcionamento.

O nosso sítio web é alojado por Namecheap, Inc. (Estados Unidos), em servidores localizados na Europa. As nossas caixas de correio são fornecidas por Proton AG (Suíça). Existe um contrato de subcontratação com cada um. O servidor dedicado a partir do qual trabalhamos é alugado a OneProvider (Canadá) e está num datacenter em França.

6. Pedidos de autoridades

Autoridades policiais, reguladores e tribunais podem impor a divulgação de dados. Esta secção descreve o que fazemos quando isso acontece, para que um cliente não tenha de adivinhar.

• Não divulgamos nada voluntariamente. Uma abordagem informal - um telefonema, um email a pedir que “demos uma vista de olhos”, um pedido sem fundamento jurídico indicado - é recusada por escrito.
• Só damos seguimento a pedidos juridicamente vinculativos para a NodeOps Security OÜ e que identifiquem a norma em que se baseiam. Um pedido vinculativo para outra entidade não nos vincula.
• Verificamos se o pedido nos diz respeito. Quando os dados procurados estão nos sistemas do próprio cliente e não nos nossos, dizemo-lo e encaminhamos o pedido para ele.
• Informamos o cliente afetado antes de divulgar seja o que for, salvo se estivermos legalmente impedidos de o fazer - e, nesse caso, logo que o impedimento cesse.
• Divulgamos o mínimo que a ordem impõe. Uma ordem relativa a um documento não abre a caixa de correio onde ele por acaso está.
• Opomo-nos, por escrito, a pedidos excessivamente amplos, deficientes ou fora da jurisdição da entidade que os emite.
• Registamos todos os pedidos recebidos e o tratamento que lhes foi dado.

A proteção substantiva aqui não é uma promessa, é uma decisão de conceção: detemos muito pouco. Deste sítio, apenas os pedidos que nos envia e os registos de servidor do nosso alojamento. Dos trabalhos, nenhumas credenciais de clientes - o acesso faz-se por contas nominais nos sistemas do cliente, limitadas no tempo e revogadas no fim. Há, por isso, muito pouco que qualquer ordem possa alcançar.

O que esta secção não pode cobrir: os nossos fornecedores de alojamento e de email, e o datacenter onde está o servidor a partir do qual trabalhamos, podem ser notificados diretamente, nas suas próprias jurisdições e segundo as suas próprias políticas, e nesse caso não seríamos necessariamente informados. Aquilo que não queira ver alcançado dessa forma não deve chegar-nos em claro - as chaves OpenPGP na nossa página de contactos existem precisamente para isso.

7. Onde estão os dados e transferências para fora do EEE

Os dados acima descritos estão armazenados em servidores na Europa. Quando um fornecedor está estabelecido fora do Espaço Económico Europeu - como acontece com o nosso alojamento, que é uma empresa dos Estados Unidos -, essa relação rege-se por um contrato de subcontratação que se apoia numa decisão de adequação da Comissão Europeia ou em Cláusulas Contratuais-Tipo, acompanhadas das medidas suplementares adequadas.

A Suíça, onde está estabelecido o nosso fornecedor de email, está abrangida por uma decisão de adequação da Comissão Europeia, pelo que não é necessário qualquer mecanismo de transferência adicional.

O servidor a partir do qual trabalhamos está em França, dentro da União Europeia. A empresa que no-lo aluga está estabelecida no Canadá, que a Comissão Europeia reconheceu como oferecendo um nível de proteção adequado às organizações abrangidas pela lei federal canadiana de privacidade, pelo que também aí não é necessário qualquer mecanismo de transferência adicional.

8. Os seus direitos

Ao abrigo do RGPD, tem o direito de:

• aceder aos dados pessoais que detemos sobre si;
• obter a retificação de dados inexatos;
• obter o apagamento dos seus dados, quando não exista obrigação prevalecente;
• limitar o tratamento enquanto um litígio é resolvido;
• receber os seus dados num formato portátil e legível por máquina;
• opor-se ao tratamento baseado nos nossos interesses legítimos;
• retirar o consentimento a qualquer momento, com efeitos para o futuro.

Escreva para info@nodeops-sec.tech para exercer qualquer um destes direitos. Respondemos no prazo de um mês. Tem ainda o direito de apresentar reclamação junto de uma autoridade de controlo - na Estónia, a Inspeção de Proteção de Dados (Andmekaitse Inspektsioon, aki.ee) - ou junto da autoridade do seu país de residência.

9. Como protegemos os dados

O sítio é servido exclusivamente por HTTPS, com HTTP Strict Transport Security. Os envios de formulário são validados e limitados em comprimento no servidor, e os cabeçalhos de resposta restringem os conteúdos que o navegador carrega. O acesso à caixa de correio que recebe os pedidos está limitado a quem dele precisa e protegido por autenticação multifator.

Por favor, não envie palavras-passe, chaves privadas, ficheiros de configuração ou dados de clientes através do formulário de contacto ou por email comum. Se um pedido exigir material sensível, avise-nos e combinamos um canal adequado.

Aqui o email encriptado funciona nos dois sentidos. As nossas chaves OpenPGP estão publicadas na página de contactos e através do Web Key Directory, por isso tudo o que for sensível pode ser encriptado de ponta a ponta - e respondemos da mesma forma.

10. Alterações a esta política

Podemos atualizar esta política à medida que os nossos serviços ou fornecedores mudem. A versão em vigor está sempre publicada aqui, com a respetiva data de revisão. Alterações materiais que afetem clientes existentes serão comunicadas diretamente.