Segurança e portabilidade

1. Separação dos dados de cada Organização

A Gestevent mantém os dados de cada Organização separados através de regras de acesso. Estas regras são aplicadas também na base de dados, através de Row Level Security, para restringir as consultas à Organização autorizada.

2. Autenticação e acessos

• Acesso por email e palavra-passe.
• Bloqueio de determinadas palavras-passe identificadas em fugas de dados conhecidas.
• Acesso por link enviado por email, quando essa opção esteja disponível.
• Autenticação de dois fatores através de códigos temporários (TOTP), disponível para os Utilizadores.
• Segundo fator obrigatório nos acessos administrativos internos da Gestevent.
• Chaves administrativas protegidas, sem exposição ao navegador dos Utilizadores.

3. Proteção das comunicações e dos dados armazenados

As comunicações utilizam HTTPS, que protege os dados durante a transmissão entre o navegador e o serviço. A configuração de HSTS instrui o navegador a utilizar este tipo de link.

Os dados armazenados beneficiam da cifragem disponibilizada pelos fornecedores de infraestrutura. A aplicação utiliza também políticas de segurança para controlar os conteúdos carregados e reduzir riscos no navegador.

4. Armazenamento e validação de ficheiros

Os documentos são guardados em armazenamento privado, com acesso controlado. São definidos tamanhos máximos e formatos permitidos, e o servidor analisa as características internas dos ficheiros para verificar se correspondem ao formato indicado pela extensão.

Logótipos e avatares podem ser guardados numa área pública própria para imagens.

5. Registos de atividade, Reciclagem e cópias de segurança

A plataforma mantém registos de auditoria de operações relevantes, incluindo operações financeiras, aprovações e alterações de estado. Estes registos ajudam a acompanhar as ações realizadas na plataforma.

Os registos técnicos de erro contêm informação de diagnóstico e estão configurados para evitar a recolha deliberada dos conteúdos introduzidos pelos Utilizadores.

O que é apagado na plataforma fica 90 dias na Reciclagem da Organização (Definições › Reciclagem), com os ficheiros associados. Nesse prazo, os Utilizadores com o papel Direção podem repor cada item, incluindo aquilo a que pertencia quando também foi apagado, ou eliminá-lo definitivamente, sem pedir ao suporte. Findo o prazo, é eliminado automaticamente, salvo os documentos fiscais, conservados durante 10 anos. Os participantes inscritos, as listas de alojamento, os transfers, o material, as atividades do cronograma e as ausências ainda não passam pela Reciclagem.

Para falhas graves, a base de dados dispõe atualmente de recuperação para um ponto no tempo (PITR), através do Supabase, que permite repô-la em qualquer momento dos últimos 7 dias. Os ficheiros carregados não estão abrangidos por esta recuperação. A Vercel mantém o histórico de versões publicadas da aplicação, que não é uma cópia dos dados dos Clientes.

6. Boas práticas do Cliente

A proteção da informação depende também da forma como o Cliente gere os seus acessos e dispositivos. Recomendamos contas individuais, palavras-passe únicas, autenticação de dois fatores, revisão periódica das permissões e desativação imediata dos Utilizadores que deixem de precisar de acesso.

7. Exportação dos dados e saída do serviço

O Cliente pode solicitar a exportação dos seus dados ou apoio à mudança de fornecedor através de suporte@gestevent.pt.

Atualmente, as exportações estão disponíveis por módulo. Consoante a natureza dos dados, podem ser utilizados ficheiros CSV, Excel, PDF ou ZIP, para consulta, arquivo e reutilização dos dados exportáveis.

8. Dados que podem ser exportados

• Dados da Organização e dos seus membros, na medida aplicável.
• Clientes, contactos e fornecedores.
• Projetos e eventos.
• Participantes e inscrições.
• Transfers e listas de alojamento (rooming lists).
• Material, guiões e cronogramas.
• Informação financeira introduzida pelo Cliente.
• Faturas e documentos pertencentes ao Cliente.
• Outros ficheiros carregados pelo Cliente.

9. Elementos excluídos da exportação

A exportação dos Dados do Cliente não inclui o código-fonte da Gestevent, algoritmos proprietários, segredos comerciais, credenciais internas, mecanismos internos de segurança ou informação anónima que já não permita identificar o Cliente ou as pessoas a quem dizia respeito.

Também não inclui elementos exclusivamente internos que não sejam necessários à portabilidade dos Dados do Cliente.

10. Como funciona a mudança de fornecedor

1. O Cliente apresenta o pedido ao suporte.
2. A Gestevent confirma que a pessoa tem autorização para fazer o pedido e identifica os dados abrangidos.
3. São disponibilizadas as exportações existentes e, quando necessário, assistência razoável para as consolidar.
4. O Cliente confirma a conclusão da transição.
5. É assegurado o período de recuperação dos dados aplicável.
6. Concluída a saída, os dados são eliminados nos termos dos Termos de Serviço e do DPA, salvo obrigação legal de conservação.

11. Prazos da mudança

Os direitos e as obrigações relativos à mudança de fornecedor seguem o Regulamento (UE) 2023/2854, conhecido como Data Act.

Quando seja necessário um pré-aviso contratual para iniciar a mudança, esse prazo não excede dois meses. Após o fim do pré-aviso, o período de transição é, em regra, de até 30 dias consecutivos, sem prejuízo das extensões permitidas por lei ou solicitadas pelo Cliente.

Após a transição, é assegurado um período de recuperação dos dados de, pelo menos, 30 dias consecutivos.

12. Custos

A Gestevent não cobra atualmente uma taxa específica pelo procedimento normal de exportação e mudança de fornecedor.

Os serviços extraordinários solicitados pelo Cliente que não sejam necessários ao cumprimento das obrigações legais podem ser objeto de proposta separada.

13. Conservação e eliminação dos dados

Após o fim da subscrição, a Organização mantém-se normalmente em modo de só leitura durante 90 dias.

Salvo pedido de eliminação anterior, obrigação legal ou acordo específico, os dados podem permanecer recuperáveis até 12 meses após o fim da subscrição. Depois desse prazo, são eliminados dos sistemas ativos. Enquanto a eliminação integral não estiver automatizada, o suporte executa o procedimento manualmente.

14. Vulnerabilidades e testes de segurança

Em cada atualização da plataforma são executados automaticamente testes de segurança, incluindo o isolamento dos dados entre Organizações, e uma verificação de bibliotecas com vulnerabilidades conhecidas. Uma falha nestes testes impede a publicação da atualização.

A Gestevent realiza auditorias de segurança internas e adota a realização anual de um teste de intrusão por uma entidade externa.

Para vulnerabilidades confirmadas, os prazos de correção são de até 72 horas para as críticas, 7 dias para as altas, 30 dias para as médias e 90 dias para as baixas. Em caso de exploração ativa, são iniciadas de imediato medidas de contenção. Se uma correção não puder ser concluída no prazo previsto, a Gestevent comunica ao Cliente as medidas de mitigação e uma nova previsão.

O Cliente pode realizar ou contratar testes de segurança independentes, mediante autorização prévia por escrito e acordo sobre o âmbito, as datas, as contas de teste e as regras de execução. Os testes são acompanhados de forma a proteger os dados e a reduzir eventuais riscos de impacto no serviço e nos restantes Clientes. Os resultados são partilhados com a Gestevent para análise e tratamento.

A Gestevent não dispõe atualmente de certificação própria de segurança da informação e prevê iniciar o processo de certificação ISO 27001 em 2027. Os fornecedores de infraestrutura utilizados dispõem de certificações próprias, que não se confundem com uma certificação da Gestevent.

15. Contacto de segurança

Os incidentes e as questões de segurança podem ser comunicados para suporte@gestevent.pt ou pela linha de suporte, +351 934 111 960, disponível 24 horas por dia.