Medidas de segurança

A empresa nomeou um gerente de segurança da informação que se reporta diretamente a um executivo sênior da empresa.

Um conjunto de políticas e padrões de segurança da informação é documentado, aprovado e mantido regularmente.

A empresa tem seguro cibernético.

As verificações de antecedentes de novos funcionários estão em uso quando legal de acordo com a legislação local.

Os funcionários da empresa estão comprometidos com a conformidade com os princípios de proteção à privacidade e segurança da informação.

Os funcionários com acesso a dados pessoais estão sujeitos à confidencialidade com base em acordos de confidencialidade (NDA) ou cláusulas equivalentes.

Após a rescisão, os direitos de acesso dos funcionários são revogados e um lembrete sobre suas obrigações de segurança é feito.

A empresa define metas relacionadas à segurança como metas da empresa e atua para aumentar a conscientização sobre questões de segurança e privacidade da informação.

Sessões periódicas de treinamento e conscientização sobre segurança e privacidade são realizadas para todos os funcionários.

ambiente de nuvem da empresa é hospedado e suportado pela AWS. Para obter mais informações sobre segurança física, consulte Controles de segurança da AWS.

Os dados em repouso e em trânsito são criptografados com algoritmos de criptografia de nível industrial.

Uso de firewalls (tanto de rede quanto de aplicativos) e sistemas de autenticação.

O acesso administrativo à infraestrutura em nuvem é protegido com senhas fortes, 2FA habilitado e acesso remoto via VPN e tunelamento SSH.

Segregação total da rede de produção e dos ativos de nuvem (VPC) dos ambientes de teste e desenvolvimento.

O uso de sistemas de detecção de intrusão, baseados em rede (NIDS) e baseados em host (HIDS).

Toda comunicação de saída TCP é criptografada por TLS.

Os dados pessoais armazenados e processados pela empresa são adequadamente protegidos de acordo com as melhores práticas comerciais compatíveis com empresas similares em setores similares.

O acesso aos dados pessoais do cliente é limitado à necessidade de conhecimento.

As senhas fortes são aplicadas, as senhas armazenadas são totalmente criptografadas e criptografadas.

Anonimização/pseudonimização de dados pessoais e/ou confidenciais, sempre que aplicável, de acordo com as necessidades técnicas ou comerciais para fornecer o serviço e/ou cumprir a lei.

A empresa não fornecerá PII e/ou dados comerciais dos usuários, a menos que a verificação adequada da identidade do proprietário da conta seja estabelecida.

Os Dados do Cliente só serão armazenados enquanto a Empresa e o Cliente tiverem um contrato ativo e desde que sirvam aos propósitos para os quais os dados foram coletados.

Processo seguro para exclusão de dados pessoais até o final do período de retenção e/ou sob demanda.

Os subprocessadores passam por uma análise de segurança e privacidade das informações do fornecedor com base na confidencialidade dos dados e/ou dos dados pessoais que eles acessam e são obrigados a cumprir os requisitos de segurança do fornecedor.

Os laptops da empresa são equipados com software antimalware e antivírus.

Os laptops da empresa são equipados com uma solução de gerenciamento que reforça a política de segurança de laptops da empresa.

Verificações regulares de vulnerabilidades de pacotes de código aberto (SCA), código (SAST), aplicativos web (DAST) e infraestrutura em nuvem.

Processo de atualização de software (ou seja, gerenciamento de patches) implementado para corrigir as vulnerabilidades identificadas em tempo hábil, de acordo com a avaliação de risco.

O uso de sistemas de registro, monitoramento e alerta.

Sistemas avançados para mitigar ataques de negação de serviço (DoS/DDoS).

O uso de zonas de computação em nuvem de alta disponibilidade em várias localizações geográficas.

Os procedimentos de recuperação de desastres (DR) são bem documentados e regularmente revisados e atualizados.

Os backups regulares são armazenados com segurança em um ambiente de nuvem separado e podem ser restaurados conforme necessário.

Testes de penetração periódicos e sob demanda.

A Duda mantém um Sistema de Gerenciamento de Segurança da Informação certificado de acordo com a ISO/IEC 27001:2022.

A Duda concluiu um exame SOC 2 Tipo II que abrange os critérios de serviços de confiança de segurança, disponibilidade e confidencialidade para a plataforma Duda Website Builder.

O acesso à funcionalidade do Marketing Automation e aos dados associados do cliente é restrito com base nas permissões autorizadas do usuário.

A automação de marketing oferece suporte ao registro e aos controles de atividades de campanha e entrega para gerenciar os requisitos de exclusão e supressão por meio de fluxos de trabalho compatíveis.

Os dados de contato, campanha, consentimento, supressão e relacionados à automação de marketing estão sujeitos aos controles de retenção e exclusão de dados aplicáveis.

O uso de serviços de inteligência artificial de terceiros está sujeito aos requisitos de segurança, privacidade e avaliação de fornecedores da Duda.

Quando os Dados Pessoais do Cliente são processados por provedores de IA aprovados, a Duda aplica minimização de dados, controles de acesso e controles contratuais e/ou técnicos projetados para impedir que esses dados sejam usados para treinar modelos de IA de uso geral ou entre clientes, a menos que expressamente autorizado de outra forma.