Visão Geral de Segurança e Proteção de Dados

1. Nossa abordagem

A Nebs-Creative adota medidas técnicas e organizacionais proporcionais para proteger o trabalho dos clientes, as contas e os dados pessoais. Os controles são selecionados de acordo com a sensibilidade das informações, os requisitos do cliente, os sistemas envolvidos e os riscos do projeto.

2. Controle de acesso

• A autenticação multifator é exigida nas contas compatíveis utilizadas no trabalho para clientes.
• O acesso é limitado às pessoas que precisam dele para um projeto específico e é removido quando deixa de ser necessário.
• As credenciais compartilhadas, quando inevitáveis, são armazenadas em um gerenciador de senhas criptografado aprovado, e não em documentos comuns ou mensagens de chat.
• A política interna fornecida exige a revisão dos acessos no encerramento do projeto e a revisão periódica dos acessos ativos.

3. Dispositivos e contas

• Espera-se que os dispositivos de trabalho utilizem bloqueio de tela, sistemas operacionais atuais e com suporte, atualizações de segurança automáticas e criptografia de disco completa.
• A proteção contra malware é exigida, nos termos da política interna fornecida, para os dispositivos usados em trabalhos de clientes.
• Dispositivos pessoais somente podem ser usados de acordo com os requisitos internos de aprovação e de segurança.
• Os membros da equipe devem utilizar credenciais únicas e seguir a política de senhas da empresa.

4. Tratamento e minimização de dados

• Sempre que possível, preferimos dados de exemplo, anonimizados ou pseudonimizados, em vez de dados pessoais reais.
• Os Dados Pessoais do Cliente são restritos a ferramentas aprovadas e a pessoas autorizadas.
• Dados pessoais reais não devem ser inseridos em designs/protótipos, a menos que o cliente nos instrua a fazê-lo e que salvaguardas adequadas sejam aplicadas.
• Arquivos que contenham informações confidenciais são compartilhados com restrições de acesso adequadas ao projeto.

5. Criptografia e transferência

O DPA fornecido prevê criptografia em trânsito para as transferências e criptografia em repouso quando oferecida pelos sistemas de armazenamento aprovados, juntamente com salvaguardas para transferências internacionais quando exigidas pela legislação de proteção de dados aplicável.

6. Pessoas e confidencialidade

O pacote jurídico fornecido exige que empregados, prestadores de serviços e freelancers assinem obrigações de confidencialidade e de propriedade intelectual antes de acessar trabalhos de clientes. Nos termos da política interna, é exigido treinamento em segurança e proteção de dados no ingresso e periodicamente a partir de então.

7. Desenvolvimento seguro e trabalho em projetos

As responsabilidades de segurança em um projeto de desenvolvimento dependem do escopo. Podemos utilizar controle de versão, acesso controlado, revisões, testes, gerenciamento de dependências e práticas estruturadas de implantação adequadas ao contrato. O cliente que exigir uma estrutura específica de desenvolvimento seguro, teste de intrusão, padrão de segurança, auditoria de código ou certificação de conformidade deve incluí-la expressamente no SOW.

8. Ferramentas de IA

Informações confidenciais e dados pessoais do cliente não devem ser inseridos em ferramentas de IA não aprovadas. Quando uma ferramenta de IA aprovada for usada com informações do cliente, o uso deve estar em conformidade com o contrato do cliente aplicável, o DPA, as configurações aprovadas e as restrições ao treinamento de modelos. Os clientes podem restringir elementos gerados por IA em documentos específicos do projeto.

9. Resposta a incidentes

A política interna fornecida exige que incidentes de segurança suspeitos sejam comunicados internamente de forma imediata e registrados. Quando um incidente envolver Dados Pessoais do Cliente, o DPA exige a notificação ao cliente sem demora injustificada e, nos termos do DPA vigente, em qualquer caso no prazo de 48 horas após a Nebs-Creative tomar conhecimento de uma violação de dados pessoais relevante. As notificações a autoridades reguladoras ou a indivíduos são realizadas conforme exigido pela lei aplicável e pelas responsabilidades do cliente/controlador.

10. Continuidade de negócios e backups

O trabalho dos projetos é, em geral, mantido em serviços de nuvem aprovados, com recursos de backup/recuperação do provedor. A responsabilidade pelo backup dos sistemas de produção, da hospedagem e da infraestrutura do cliente depende do escopo do projeto e deve ser indicada no SOW ou no contrato de hospedagem/manutenção.

11. Exclusão de dados

Para os Dados Pessoais do Cliente tratados nos termos do DPA, a posição contratual atual é de devolução ou exclusão no prazo de 30 dias após o término dos serviços relevantes, sujeita às instruções do cliente, às obrigações legais de retenção e aos ciclos normais de sobrescrita de backups. Os demais registros comerciais são mantidos de acordo com nossa Política de Privacidade e com as obrigações legais.

12. Comunicação de vulnerabilidades de segurança

Se você acredita ter encontrado uma falha de segurança que afete a Nebs-Creative, entre em contato por meio de contact@nebs-creative.com, incluindo “Security” no assunto da mensagem, e forneça informações suficientes para que possamos investigar. Não acesse, baixe, altere ou divulgue dados que não sejam seus, não interrompa serviços nem utilize testes destrutivos.

13. Ausência de garantia absoluta de segurança

Nenhuma organização pode garantir que todos os sistemas, dispositivos ou transmissões sejam completamente seguros. Esta visão geral descreve as práticas que pretendemos adotar e não cria nenhuma garantia além das obrigações expressamente previstas em um contrato de cliente ou DPA aplicável.