Saltar para o conteúdo
Balcão Local

Plataforma

Segurança, alojamento e cópias

Disponível

Os dados da freguesia numa base de dados só dela, alojada na União Europeia, copiada todas as noites para um segundo fornecedor — e exportável por inteiro no dia em que a junta quiser sair.

Em todos os planos

Construído hoje: o software; o destino das cópias, o segundo fornecedor e a página de estado esperam pela decisão de alojamento

O que faz

Cada freguesia tem a sua base de dados PostgreSQL, com utilizador próprio, e o seu espaço no armazenamento de ficheiros — não é uma coluna a separar juntas dentro da mesma tabela. A computação, as bases de dados, os ficheiros e as cópias ficam em centros de dados na União Europeia, o tráfego vai cifrado e os discos estão cifrados em repouso; os campos mais sensíveis, como o NIF, a morada e os contactos, são cifrados também ao nível da aplicação, com uma chave por freguesia.

Todas as noites sai uma cópia da base de dados e dos ficheiros, cifrada antes de deixar o servidor, para um segundo fornecedor na União Europeia, num armazenamento onde as credenciais de produção não conseguem apagar nada. Guarda-se 30 dias. Cada execução regista início, fim, tamanho, soma de verificação e estado — e a cópia que não aparece dá alerta, em vez de dar silêncio.

Uma cópia que nunca foi restaurada não é uma cópia. De três em três meses repomos, num ambiente isolado, a base central e uma freguesia escolhida ao acaso, conferimos contagens, uma amostra de somas de verificação de documentos emitidos e um início de sessão, medimos quanto se perdeu e quanto demorou, e publicamos a data, a duração e o resultado na página de segurança e no painel de cada junta.

Porque importa

Três razões, e não mais

As cópias são repostas a sério, e o resultado é público
O ensaio é de três em três meses, sobre uma freguesia sorteada, com relatório publicado: data, duração e o que falhou. Os objetivos estão escritos — não perder mais de 24 horas de trabalho, repor uma freguesia em até duas horas e a plataforma inteira em até oito. Se não houver ensaio publicado, é porque não houve ensaio.
Os 99,5 % são medidos por quem não somos nós
Um monitor externo mede de dois pontos na União Europeia, ao minuto, e a página de estado vive fora do alojamento principal para continuar de pé quando o resto não está. O apuramento de cada mês é publicado; abaixo de 99,5 % há crédito na fatura — 5 % da mensalidade por cada meio ponto em falta, até ao limite de 25 % —, pedido pela junta nos 30 dias seguintes.
Sair não depende de nós concordarmos
A exportação integral está no painel, sem custo e sem pedir autorização a ninguém: CSV e JSON de todas as entidades com dicionário de dados, PDF/A dos documentos emitidos, os ficheiros originais e um manifesto com as somas de verificação. Está no contrato — que é onde uma promessa destas tem de estar para valer alguma coisa.

Como funciona

  1. 01

    O painel responde às perguntas do encarregado de proteção de dados

    Em «Segurança e dados» estão o país de cada componente, a data e o estado da última cópia, o último ensaio de reposição, a disponibilidade apurada do mês e dos 12 meses anteriores, a lista de subcontratantes em vigor e o acordo de subcontratação já preenchido com os dados da freguesia.

  2. 02

    A cópia corre de noite e deixa rasto

    Base de dados e ficheiros, cifrados antes de saírem do servidor, para o segundo fornecedor. Se o tamanho variar mais de metade face à véspera, sai aviso; se a cópia faltar, sai alerta com resposta em 4 horas úteis. As cópias ficam num armazenamento onde as credenciais de produção não podem apagar — é o que trava um ataque de resgate.

  3. 03

    De três em três meses, repõe-se a sério

    Sorteia-se uma freguesia, restaura-se num ambiente isolado, conferem-se contagens, somas de verificação de documentos e um início de sessão, e mede-se quanto tempo demorou. O relatório é publicado; o ambiente e os dados restaurados são destruídos no próprio dia.

  4. 04

    Quando corre mal, quem tem de saber sabe primeiro

    O incidente aparece na página de estado com atualizações. Havendo hipótese de dados pessoais terem sido expostos, o presidente, o administrador e o encarregado de proteção de dados recebem em 24 horas a natureza da violação, as categorias e o número aproximado de pessoas e de registos, as consequências prováveis e as medidas tomadas — para a junta poder notificar a CNPD dentro das 72 horas que são dela. Um incidente grave tem análise escrita em 5 dias úteis, publicada.

  5. 05

    Exportar tudo, a qualquer momento

    Um botão no painel; a tarefa corre em segundo plano e devolve uma ligação assinada, válida 24 horas. No fim do contrato a freguesia fica 60 dias em modo de leitura com a exportação disponível, é apagada 30 dias depois com certificado de destruição, e as cópias expiram nos 30 dias seguintes.

Enquadramento

O que a lei exige

Regulamento (UE) 2016/679 (RGPD), artigo 28.º
Que o subcontratante trate os dados apenas segundo instruções documentadas do responsável, garanta a confidencialidade de quem lhes acede, só contrate subcontratantes ulteriores com autorização, ajude o responsável nas obrigações de segurança e de violações, e apague ou devolva os dados no fim do contrato.
Regulamento (UE) 2016/679 (RGPD), artigo 32.º
Medidas técnicas e organizativas adequadas ao risco, entre elas a cifra, a capacidade de repor a disponibilidade e o acesso aos dados depois de um incidente, e um processo de teste e avaliação regular da eficácia dessas medidas.
Regulamento (UE) 2016/679 (RGPD), artigo 33.º
Que o responsável pelo tratamento notifique a autoridade de controlo em 72 horas a contar do conhecimento de uma violação de dados pessoais, e que o subcontratante lha comunique sem demora injustificada.
Regulamento (UE) 2016/679 (RGPD), artigo 34.º
Que o responsável comunique a violação às pessoas afetadas quando dela resultar um risco elevado para os seus direitos e liberdades.

Isto descreve a norma, não é aconselhamento jurídico. Ver também a página de conformidade.

Perguntas

Onde estão os dados, exatamente?
Em centros de dados na União Europeia, e o país de cada componente — aplicação, base de dados, ficheiros, cópias, email — está publicado na página de segurança e no painel da junta. A lei não obriga a alojar em Portugal; obriga a tratar licitamente e, na prática, dentro da União Europeia. Se para a junta o requisito for mesmo Portugal, é conversa a ter antes de assinar: o que está escrito é a União Europeia.
E se quisermos mudar de fornecedor?
Descarregam tudo quando quiserem, sem custo e sem justificar: CSV e JSON de todas as entidades com dicionário de dados, os documentos emitidos em PDF/A, os ficheiros originais e um manifesto com as somas de verificação para conferir que não falta nada. Depois do fim do contrato há 60 dias de leitura para acabar de tratar do que ficou por tratar.
Quem, do vosso lado, consegue ver os nossos dados?
Só com um acesso de suporte aprovado pelo presidente, limitado no tempo — 24 horas por defeito — e registado no registo de auditoria da junta, ação a ação. O acesso direto à base de dados é de emergência, exige duas pessoas e dá relatório à junta em 2 dias úteis. Além de nós há os subcontratantes, listados publicamente com nome, país, finalidade e dados que tratam; qualquer alteração é avisada com 30 dias de antecedência e a junta pode opor-se.

Franqueza

O que costumam dizer-nos

«A nuvem é menos segura do que o computador que está aqui.»
Numa coisa tem razão: um sistema na Internet está exposto a quem nunca entraria na sede da junta — e é por isso que há 2FA obrigatório, cifra, monitorização, correção de vulnerabilidades críticas em 72 horas e um teste de intrusão externo por ano, cujo resumo a junta pode pedir. O computador debaixo do balcão não tem cifra, nem cópias fora do edifício, nem maneira de provar quem lhe tocou; e o portátil roubado é uma violação de dados que ninguém sabe que tem de comunicar.
«Depois de entrarem aqui, os dados passam a ser vossos.»
Não passam. A junta é a responsável pelo tratamento e nós somos subcontratante: tratamos os dados por instruções escritas da junta e para mais nada. Não os usamos para fins nossos, e indicadores comparados entre freguesias só existem com adesão explícita da junta, sem identificação e sem dados de cidadãos.
«E se vocês fecharem?»
A exportação integral está sempre disponível e não depende de a autorizarmos, e o fim do contrato traz 60 dias de leitura. Quem o exigir por escrito leva no contrato uma licença de continuidade, que lhe entrega o código-fonte e o material de operação se o serviço cessar — cláusula, não depósito num terceiro. O que uma licença dessas não faz é pôr o serviço a andar sozinho: alguém tem de o alojar. Por isso o que interessa mesmo é a exportação, que se lê sem nós.
«99,5 % é uma promessa como as outras.»
Um mês com hora e meia de serviço em baixo dá 99,79 %, e não dá crédito nenhum: o crédito começa abaixo de 99,5 %, e a manutenção anunciada com 48 horas de antecedência não conta para o cálculo. O que separa isto de uma promessa é quem mede — um monitor externo, com a página de estado alojada fora do serviço e o apuramento de cada mês publicado.

Anda com estas

Trinta minutos, com a sua freguesia no ecrã

Sem apresentação de vendas: mostramos o balcão a funcionar, respondemos ao que perguntar e dizemos com franqueza o que ainda não faz.

Pedir demonstração