Segurança e tratamento de dados
Os controles contratuais, técnicos e de pessoal que se aplicam aos dados do cliente, descritos como de fato operam — inclusive nas partes em que a resposta honesta é “pergunte e nós dizemos”.
Páginas de segurança costumam ser escritas para tranquilizar. Esta foi escrita para que o seu avaliador de segurança descubra o que é verdade sem precisar de uma reunião.
A anotação é incomum entre os serviços de dados porque pessoas necessariamente leem os dados. Criptografia em repouso é simples; a pergunta difícil é quem está em posição de ler um registro, em que dispositivo, sob que acordo e por quanto tempo depois do fim do projeto.
Por isso os controles que mais importam aqui são os que regem acesso e pessoal — quem está alocado em um projeto, o que consegue alcançar, o que acontece na tela dessa pessoa e que obrigações permanecem depois que ela sai. Os controles de infraestrutura são necessários e estão descritos abaixo, mas não é por eles que esse tipo de trabalho dá errado.
Tudo o que está nesta página é acordado a cada contrato e formalizado nele. Quando uma exigência sua é mais rígida que o nosso padrão, ela vira cláusula contratual, e não uma promessa.
Resumo
Controles
Seis áreas, cada uma podendo ser reforçada para contratos que exijam isso.
Nada é compartilhado antes da assinatura de um NDA, e as informações pessoais são tratadas sob um acordo de processamento de dados que nomeia a finalidade, o escopo e o prazo de retenção.
O acesso é concedido por projeto às pessoas nele alocadas, no nível mínimo que a função exige, e revogado quando a alocação termina, não quando alguém se lembra.
Cada contrato roda em um ambiente isolado, e podemos trabalhar dentro da sua plataforma se a sua política exigir que os dados nunca saiam dela.
Os anotadores estão sujeitos a acordos individuais de confidencialidade, recebem orientação sobre as regras de tratamento do projeto específico, e suas obrigações continuam após o fim do projeto.
Os dados são retidos apenas pelo prazo acordado e excluídos pelo método acordado, com confirmação por escrito assim que a exclusão é concluída.
Um caminho interno de escalonamento definido, notificação rápida a você e um relato escrito do que aconteceu, em vez de uma garantia de que o assunto foi resolvido.
Ciclo de vida
Cada etapa é uma cláusula contratual, não uma declaração de política.
NDA assinado e, quando há informações pessoais no escopo, um acordo de processamento de dados nomeando finalidade, escopo e retenção. Método de transferência acordado por escrito.
Os dados chegam ao ambiente acordado para o contrato. O acesso é provisionado apenas para a equipe do projeto, no nível que cada função exige.
O trabalho acontece dentro desse ambiente. O acesso muda conforme muda a alocação, e os logs de acesso são retidos por toda a duração.
Os entregáveis são transferidos pelo método acordado. As cópias de trabalho são consolidadas, de modo que o que resta seja conhecido em vez de presumido.
Os dados são excluídos ao fim do prazo de retenção acordado, pelo método acordado, e confirmamos a exclusão por escrito.
Declaração direta
Esta seção existe porque a ausência de uma alegação passa facilmente despercebida em uma página de segurança.
Não temos nem alegamos qualquer certificação, relatório de auditoria ou atestado que não esteja declarado explicitamente no nosso contrato com você. Se um esquema de certificação importa para o seu processo de compras, pergunte diretamente e você terá uma resposta direta sobre termos ou não — inclusive quando a resposta for não.
Não publicamos índices de disponibilidade, estatísticas de incidentes ou garantias de acurácia, porque não os submetemos a verificação independente, e um número não verificado em uma página de segurança é pior do que número nenhum.
Não retemos dados de clientes para reuso interno, treinamento de modelos ou fins de portfólio. O material de exemplo mostrado neste site é nosso, criado para ilustração.
Se algum dia obtivermos uma certificação real, ela será acrescentada aqui de forma deliberada, com seu escopo e sua data. Não vai aparecer como enfeite.
Compras
O que vale a pena nos perguntar e o que conseguimos fornecer sem um processo demorado.
FAQ
As perguntas que um avaliador de segurança faz primeiro.
Não alegamos nenhuma certificação que não esteja escrita no nosso contrato com você. Pergunte diretamente sobre um esquema específico e você terá uma resposta direta, não uma esquiva. Preferimos perder um processo de compras por dizer a verdade a vencê-lo e ser descobertos durante uma auditoria.
Não. O acesso é concedido por projeto, no nível mínimo que a função exige, às pessoas nele alocadas. Quando um conjunto de dados contém material de que apenas parte do time precisa, o acesso é particionado de acordo. A lista de alocação do seu projeto fica disponível para você mediante solicitação.
Sim. Trabalhamos com frequência dentro de plataformas de anotação e desktops virtuais fornecidos pelo cliente, quando a política exige que os dados nunca saiam da sua infraestrutura. Isso muda as ferramentas, não a diretriz nem o processo de revisão, e diremos a você onde uma restrição de fato limita o que o processo de QA consegue fazer.
Quando um projeto envolve informações pessoais, atuamos como operador sob um acordo de processamento de dados que nomeia a finalidade, o escopo e o prazo de retenção, e seguimos as instruções de tratamento desse acordo, e não uma política geral. A Lei de Proteção de Informações Pessoais do Japão e, quando aplicável, o GDPR moldam essas cláusulas. Não estamos em posição de dar a você aconselhamento jurídico sobre as suas próprias obrigações, e diremos isso em vez de improvisar.
Eles são excluídos ao fim do prazo de retenção acordado em contrato, pelo método acordado, e confirmamos a exclusão a você por escrito. Não guardamos dados de clientes para reuso interno, para treinamento de modelos ou como material de portfólio. Se você precisar de um prazo de retenção menor do que o nosso padrão, isso vira cláusula contratual.
Segurança
Preferimos responder à sua avaliação de segurança no seu formato, antes de um piloto, a descrever nossa postura em termos gerais em uma página web.
NDA antes de você compartilhar qualquer dado. A definição do escopo do piloto é gratuita.