Política de Privacidade (RGPD)
Tratamento de dados pessoais ao abrigo do Regulamento (UE) 2016/679 (RGPD) e da legislação nacional de protecção de dados.
1. Responsável pelo tratamento
O responsável pelo tratamento dos dados pessoais associados a cada avaliação é o cliente — a organização que utiliza a ferramenta e os seus utilizadores autorizados —, que decide avaliar cada entidade e determina as finalidades do tratamento. A ferramenta Atalaia é propriedade de Netseg.ai Ibérica (NAFS Ibérica, NIF ESY8741922G, Huelva, Espanha), que assegura o desenvolvimento, a operação técnica e o alojamento na qualidade de subcontratante, ao abrigo de um contrato que cumpre o artigo 28.º do RGPD.
2. Que dados tratamos
- Contas de utilizador (técnicos, revisores, administradores): nome, endereço de email profissional, papel, registos de acesso e autenticação (incluindo segundo factor).
- Dados das organizações avaliadas: informação técnica obtida de fontes públicas (DNS, certificados, registos RDAP, cabeçalhos HTTP, portas expostas) e dados identificativos da entidade (nome, NIF/NIPC, sector). Dados pessoais eventualmente visíveis nessas fontes são minimizados e mascarados no relatório.
- Registos de auditoria: acções efectuadas na plataforma (quem validou, rejeitou, gerou relatório), para prova e segurança.
A recolha é externa e não intrusiva: não são testadas credenciais nem explorados serviços.
3. Finalidades e base legal
- Prestação do serviço de avaliação de exposição externa — execução de contrato / diligência pré-contratual (art. 6.º/1/b) e interesse legítimo na segurança da informação (art. 6.º/1/f).
- Gestão de contas e segurança da plataforma — interesse legítimo (art. 6.º/1/f) e cumprimento de obrigações legais aplicáveis, designadamente em contexto NIS2 e DORA (art. 6.º/1/c).
4. Prazos de conservação
Os dados são conservados apenas pelo período necessário às finalidades acima e às obrigações legais de conservação aplicáveis ao Responsável. Os prazos concretos são definidos pelo Responsável pelo Tratamento e pelo seu DPO.
5. Com quem partilhamos
Os dados não são vendidos nem cedidos a terceiros para fins de marketing. São acedidos apenas pelo Responsável e pelo subcontratante técnico, nos limites do contrato. Não existe tratamento com finalidade publicitária nem decisões individuais automatizadas com efeitos jurídicos.
6. Onde estão os dados (alojamento)
A ferramenta corre num servidor dedicado exclusivo, usado apenas por esta aplicação e não partilhado com outros serviços ou clientes. O servidor é propriedade de NAFS Ibérica (Netseg.ai Ibérica) e está alojado nos centros de dados da Hetzner Online GmbH, na Alemanha — dentro do Espaço Económico Europeu (EEE).
Os dados são tratados e armazenados no EEE. Não há transferência de dados pessoais para fora do EEE; caso alguma venha a ocorrer, será feita com as garantias adequadas do capítulo V do RGPD (cláusulas contratuais-tipo da Comissão Europeia). A relação com o fornecedor de alojamento é enquadrada por contrato de subcontratação (art. 28.º do RGPD).
7. Segurança e encriptação
Aplicamos medidas técnicas e organizativas adequadas (art. 32.º do RGPD):
- Cifragem em trânsito: todo o acesso é feito por HTTPS/TLS.
- Encriptação em repouso: o volume de dados do servidor e as cópias de segurança são cifrados ao nível do sistema (disco); adicionalmente, a evidência técnica recolhida e os ficheiros de backup são cifrados pela aplicação com uma chave guardada fora da base de dados. Um dump ou uma cópia roubada é ilegível sem essa chave.
- Autenticação em dois passos (OTP por email ou aplicação autenticadora) e controlo de acessos por papel.
- Registo de auditoria das acções e minimização de dados pessoais nos relatórios (mascaramento).
- Recolha externa e não intrusiva: não são testadas credenciais nem explorados serviços.
8. Enquadramento legal aplicável
O tratamento observa, na medida aplicável:
- RGPD — Regulamento (UE) 2016/679, e a legislação nacional de protecção de dados.
- Directiva ePrivacy (2002/58/CE) — quanto a cookies e comunicações (ver Política de Cookies).
- NIS2 — Directiva (UE) 2022/2555, enquanto a avaliação apoia a gestão de risco de cibersegurança de entidades abrangidas.
- DORA — Regulamento (UE) 2022/2554, para entidades financeiras no seu âmbito.
A avaliação baseia-se exclusivamente em informação de fontes públicas (OSINT); qualquer teste com componente intrusiva, a existir, carece de autorização expressa e documentada do titular dos sistemas.
9. Direitos dos titulares
Nos termos dos artigos 15.º a 22.º do RGPD, o titular tem direito de acesso, rectificação, apagamento, limitação, oposição e portabilidade, bem como a retirar o consentimento quando aplicável. Pode exercê-los junto do Responsável pelo Tratamento. Tem ainda o direito de apresentar reclamação à autoridade de controlo competente — em Portugal, a CNPD (www.cnpd.pt); em Espanha, a AEPD (www.aepd.es).
10. Responsabilidade
A ferramenta e a infra-estrutura são propriedade de Netseg.ai Ibérica (NAFS Ibérica) e por esta disponibilizadas, na qualidade de fornecedor e subcontratante técnico. A responsabilidade pela licitude, exactidão e utilização dos dados tratados — incluindo a decisão de avaliar cada organização e o uso dado aos relatórios — é do cliente, enquanto Responsável pelo Tratamento, e dos seus utilizadores autorizados. Netseg.ai Ibérica não responde pelo conteúdo dos dados introduzidos ou avaliados pelos utilizadores, assegurando apenas o funcionamento e a segurança da plataforma nos termos contratados.
11. Contacto e Encarregado de Protecção de Dados (DPO)
Para exercer direitos ou esclarecer questões sobre o tratamento de dados, contacte o cliente, enquanto Responsável pelo Tratamento; o contacto do respectivo Encarregado de Protecção de Dados é por ele disponibilizado. Questões sobre a ferramenta e a sua segurança podem ser dirigidas a Netseg.ai Ibérica (https://netseg.ai).
Última actualização: 31/10/2026. Este documento acompanha a ferramenta como referência; a redacção final e os prazos concretos são da responsabilidade do Responsável pelo Tratamento e do seu Encarregado de Protecção de Dados (DPO).