Política de segurança

Esta política descreve as medidas de segurança técnicas e organizativas implementadas pela AMBASSADIA SARL na plataforma TranscribIA (client.transcribia.eu). Enquadra-se no RGPD (artigo 32.º — segurança do tratamento) e nas medidas essenciais previstas na Diretiva NIS 2. Destina-se prioritariamente aos responsáveis de segurança, diretores de TI e encarregados de proteção de dados das organizações clientes, no âmbito das suas avaliações de aprovação e análises de risco.

Os detalhes operacionais — registo de tratamentos, diagramas de arquitetura, DPA e procedimentos — podem ser consultados no dossiê público de conformidade.

1. Governação da segurança

• Responsável de segurança designado na AMBASSADIA SARL, ponto de contacto único para questões de segurança e coordenação de incidentes.
• Responsabilidade editorial desta política assumida pela direção da editora; revisão pelo menos anual e a cada alteração significativa do âmbito.
• Referenciais: RGPD (art. 32.º), medidas essenciais NIS 2, abordagem baseada no risco.
• Transparência sobre certificações: atualmente não dispomos de certificação ISO 27001 nem SOC 2. Uma auditoria de segurança independente está planeada para 2026 ; o processo de certificação está em curso, mas a certificação ainda não foi obtida.

2. Gestão de identidades e acessos (IAM)

• API e tokens: autenticação por Laravel Sanctum, tokens Bearer pessoais com hash SHA-256, de validade limitada e revogáveis a qualquer momento.
• Palavras-passe: armazenamento com bcrypt (fator de custo 12), política de complexidade e verificação face a listas conhecidas de credenciais comprometidas.
• Autenticação de dois fatores (2FA): TOTP conforme com a RFC 6238, obrigatório para contas de administração; os segredos 2FA são encriptados em repouso com AES-256-CBC.
• Controlo de acesso baseado em funções (RBAC): 5 níveis de privilégios, do leitor ao administrador da organização, segundo o princípio do privilégio mínimo.
• Autenticação adicional (« step-up »): é exigida a confirmação da palavra-passe para qualquer ação destrutiva ou sensível (apagamento de uma organização, alteração de funções, exportação integral dos dados).
• Prevenção de abusos: limitação de pedidos na aplicação Laravel nos endpoints de autenticação e API; expiração de sessões.

3. Encriptação

• Em trânsito: TLS 1.2 no mínimo (preferência por TLS 1.3), certificados Let's Encrypt geridos através de Nginx Proxy Manager com renovação automática e HSTS.
• Em repouso: encriptação dos volumes e da base PostgreSQL, encriptação dos ficheiros carregados.
• Segredos da aplicação: isolamento das variáveis de ambiente; segredos 2FA encriptados AES-256-CBC.
• Cópias de segurança: encriptadas com age (troca de chaves X25519, encriptação ChaCha20-Poly1305).

4. Proteção de dados e isolamento entre organizações

• Isolamento lógico estrito: um esquema PostgreSQL distinto por organização (modelo schema-per-tenant); nenhuma consulta atravessa os limites de uma organização.
• Política de conservação configurável por organização, de acordo com as finalidades declaradas.
• Direito ao apagamento: procedimento de eliminação de uma organização documentado e rastreável (ver Soberania e RGPD).
• Sem transferências de dados para fora da UE por predefinição.

5. Registos e auditoria

• Rasto de auditoria duplo : registos de atividade ao nível da organização (activity_logs) e registo centralizado (public.audit_logs).
• Registo de todas as ações sensíveis: autenticações, alterações de funções, exportações, apagamentos e acessos de administradores.
• Registos filtrados (« scrubbed ») : não são escritos nos registos do servidor dados pessoais nominativos nem conteúdos da atividade.
• Conservação dos registos adaptada às necessidades de investigação após incidentes.

6. Proteção contra malware

• Análise antivírus dos ficheiros carregados com ClamAV 1.4, base de assinaturas atualizada através de freshclam.
• Os ficheiros detetados como infetados são bloqueados e colocados em quarentena.
• Comportamento em caso de indisponibilidade do motor: por conceção, o serviço passa para fail-open com registo — o ficheiro é admitido para não bloquear o serviço, mas o evento é registado e o ficheiro é novamente analisado quando o motor regressa. Este compromisso de disponibilidade é assumido e documentado.

7. Gestão de vulnerabilidades e reforço de segurança

• Monitorização contínua das dependências (composer/npm audit) e aplicação de correções de segurança.
• Reforço da segurança da aplicação: CSP (Content Security Policy), CORS restrito, cabeçalhos de segurança e princípio do privilégio mínimo.
• Auditoria de segurança independente planeada para 2026 (testes de intrusão incluídos no âmbito do processo).
• Processo de divulgação responsável: comunicar qualquer vulnerabilidade a contact@transcribia.eu.

8. Gestão de incidentes de segurança

• Deteção: monitorização automática contínua (24/7) com notificações Slack e email de anomalias e eventos de segurança.
• Avaliação e resposta: intervenção do responsável de segurança segundo o ciclo contenção → erradicação → recuperação → lições aprendidas.
• Na qualidade de subcontratante, a TranscribIA informa o responsável pelo tratamento sem demora injustificada após ter conhecimento de uma violação de dados pessoais. O responsável pelo tratamento notifica a autoridade de controlo competente nas condições do artigo 33.º do RGPD, sempre que possível nas 72 horas após ter tido conhecimento da violação, salvo se não for suscetível de resultar num risco para os direitos e liberdades das pessoas.
• Notificação aos titulares dos dados quando o risco é elevado (art. 34.º do RGPD).
• Coordenação transparente com a organização cliente, responsável pelo tratamento, ao longo de todo o incidente.

9. Continuidade de atividade e cópias de segurança

• Cópias de segurança encriptadas (age) replicadas para um destino UE através de rclone.
• Objetivos cumpridos: RPO 24 h / RTO 4 h.
• Exercício de recuperação validado : foi realizado um exercício de restauro para verificar a eficácia do plano de recuperação.
• Plano de continuidade e recuperação documentado e mantido.

10. Cadeia de fornecimento e subcontratantes

Subcontratantes estabelecidos na União Europeia exclusivamente, com acordo de tratamento de dados (DPA, art. 28.º do RGPD) em vigor. Sem subcontratantes fora da UE por predefinição.

A lista nominal de subcontratantes e o seu âmbito exato constam do dossiê público de conformidade e do modelo de DPA disponível para descarregar.

11. SaaS e instalação local — modelo de responsabilidade

O TranscribIA está disponível em modo SaaS soberano (alojado em França) ou instalação local (na infraestrutura do cliente). A responsabilidade pelas medidas de segurança é repartida de forma diferente consoante o modo:

Na instalação local, a AMBASSADIA fornece a aplicação e um guia de reforço de segurança, mantendo a responsabilidade pela segurança da aplicação; o cliente assume a segurança da infraestrutura de alojamento segundo a sua própria política de segurança.