Segurança

Esta página descreve as principais medidas técnicas e organizativas aplicadas pela EmptyTroubles (art. 32.º do RGPD) e faz parte integrante do Acordo de Tratamento de Dados.

1. Encriptação

• Em trânsito: todas as ligações ao Serviço usam TLS.
• Em repouso: segredos, credenciais e tokens de integrações são encriptados com AES-256-GCM antes de serem guardados.
• Palavras-passe: nunca são guardadas em claro — apenas o hash, calculado com argon2id.

2. Isolamento entre organizações

• Todas as consultas à base de dados são delimitadas pela organização (tenant).
• Os ficheiros de cada organização são guardados com um prefixo próprio.
• O armazenamento de ficheiros é um bucket privado; os downloads usam ligações assinadas de curta duração.

3. Controlo de acessos e auditoria

• Controlo de acessos baseado em papéis, gerido pelos administradores de cada organização.
• Registo de auditoria visível para o cliente, com exportação em CSV, que regista quem fez o quê e quando.
• Limitação de pedidos (rate limiting) para mitigar abusos e ataques de força bruta.

4. Resposta a incidentes

Dispomos de um processo de resposta a incidentes para detetar, conter, investigar e corrigir eventos de segurança. Em caso de violação de dados pessoais, notificamos os clientes afetados sem demora injustificada — com o objetivo de o fazer em até 48 horas —, para que possam cumprir as suas obrigações perante a autoridade de controlo e os titulares. A monitorização de erros usa uma instância Sentry auto-alojada, operada pela EmptyTroubles.

5. Conservação e eliminação

• Cada organização pode definir um prazo de retenção para processos concluídos (mínimo de 30 dias); findo o prazo, processos, anexos e ficheiros são eliminados.
• A eliminação de uma organização tem um período de carência de 30 dias (restauro pelo Proprietário) e, depois, eliminação definitiva de todos os dados, incluindo ficheiros.
• Sessões e tokens expirados são eliminados periodicamente.
• Os utilizadores podem exportar os seus dados e os Proprietários podem exportar todos os dados da organização (ZIP).

6. Divulgação responsável

Se encontrar uma vulnerabilidade, contacte-nos através de geral@empty.pt, com uma descrição e os passos para a reproduzir. Não aceda a dados de terceiros nem perturbe o Serviço durante a investigação. Respondemos com a maior brevidade possível e mantê-lo-emos informado sobre a correção.