Módulo 7 · 7.2
Avaliar fornecedores e serviços cloud
Módulo 7: Acesso, fornecedores e cloud · Tempo de leitura: 11 minutos
Objetivo de aprendizagem: Depois desta lição, consegue avaliar um fornecedor ou serviço cloud em termos de segurança, privacidade e saída, explicar o que um contrato de subcontratação deve regular segundo o RGPD, e manter um inventário de fornecedores.
Conceitos-chave: responsabilidade partilhada, subcontratante, contrato de subcontratação, subsubcontratante, localização dos dados, certificação (por exemplo ISO 27001), estratégia de saída, inventário de fornecedores
A sua segurança é tão forte quanto os seus fornecedores
Uma pequena empresa raramente tem servidores próprios. O correio eletrónico corre num fornecedor, a contabilidade num pacote online, a loja online numa plataforma, os portáteis são geridos por uma empresa de informática, e o processamento salarial passa por um gabinete de contabilidade. Isso é sensato: essas entidades conseguem normalmente tratar da segurança melhor do que você próprio conseguiria. Mas também significa que grande parte da sua segurança está nas mãos de terceiros.
Desenhe isso para si próprio. Coloque a sua empresa no centro e trace uma linha para cada entidade que guarda dados seus ou tem acesso aos seus sistemas. Para cada linha, faça duas perguntas:
- E se essa entidade deixar de funcionar? Uma avaria, uma insolvência, um aumento de preço que o leva a querer sair.
- E se essa entidade sofrer uma fuga de dados? Uma invasão no fornecedor, um funcionário que consegue ver demasiado, uma conta da empresa de informática que é comprometida.
Responsabilidade partilhada
Na lição 6.1 já viu o modelo de responsabilidade partilhada: o fornecedor de um serviço cloud trata do centro de dados, dos servidores e do funcionamento do software; o utilizador continua responsável pelos seus dados, pelas suas contas e pelas suas configurações. A Microsoft afirma literalmente na sua documentação que isto se mantém assim em qualquer tipo de serviço cloud, mesmo em software pronto a usar.
O que isto significa na prática:
| O fornecedor trata normalmente de | Você trata sempre de |
|---|---|
| Segurança física do centro de dados | Quem tem uma conta e com que privilégios (lição 7.1) |
| Atualizações dos servidores e do software | Ativar e usar a autenticação de dois fatores (2FA) |
| Disponibilidade conforme o acordado | O que partilha e com quem (lição 7.3) |
| Cópias de segurança para situações de emergência (se tal estiver acordado) | Uma cópia de segurança ou exportação própria daquilo que realmente não pode perder (módulo 6) |
Um erro frequente é presumir que o fornecedor trata de algo que nunca lhe perguntou. Pergunte, então.
Subcontratante e contrato de subcontratação
Assim que um fornecedor trata dados pessoais em seu nome, aplicam-se as regras do RGPD. Pense em dados de clientes na sua loja online, correio eletrónico com nomes e moradas, dados salariais, ou um armazenamento cloud com currículos de candidatos.
- Você é o responsável pelo tratamento: é quem determina para que efeitos e de que forma os dados são usados.
- O fornecedor é um subcontratante: trata os dados por sua conta, para os seus fins.
O artigo 28.º do RGPD diz que só pode utilizar subcontratantes que ofereçam garantias suficientes de medidas técnicas e organizativas adequadas. Os acordos devem ficar registados num contrato de subcontratação, por escrito (pode ser eletrónico). Segundo o artigo 28.º, n.º 3, esse contrato deve regular, no mínimo, o objeto, a duração, a natureza e a finalidade do tratamento, os tipos de dados pessoais e de titulares em causa, e que o subcontratante:
- só atua de acordo com as instruções escritas do responsável;
- garante que o seu pessoal cumpre confidencialidade;
- adota as medidas de segurança do artigo 32.º;
- só recorre a um subsubcontratante com a sua autorização, sujeito às mesmas obrigações;
- ajuda quando as pessoas exercem os seus direitos de privacidade (acesso, retificação, apagamento);
- ajuda em matéria de segurança, violações de dados e numa eventual AIPD (artigos 32.º a 36.º);
- após o termo do serviço, apaga ou devolve os dados e elimina as cópias, à sua escolha;
- lhe fornece as informações necessárias para verificar que cumpre os acordos, e permite auditorias.
Um subsubcontratante é uma entidade que o seu subcontratante, por sua vez, contrata, por exemplo o centro de dados do seu fornecedor de alojamento ou o serviço de correio eletrónico do seu pacote de contabilidade. O RGPD diz que o subcontratante continua totalmente responsável perante si caso um subsubcontratante não cumpra as suas obrigações. Peça a lista de subsubcontratantes.
A Comissão Nacional de Proteção de Dados (CNPD) recomenda que os acordos sejam concretizados, em vez de se limitarem a repetir o texto da lei, e que se registe com que rapidez e com que informação o fornecedor o informa sobre uma violação de dados. Isto último é importante: na lição 8.2 verá que tem de notificar no prazo de 72 horas, e esse prazo só começa a contar a partir do momento em que tem conhecimento.
Muitos fornecedores têm um contrato de subcontratação padrão. Leia-o, e verifique se tem mesmo de ser assinado ou aceite: nalguns fornecedores não entra automaticamente em vigor.
Esta lição fornece uma explicação geral e não constitui aconselhamento jurídico. O texto integral está disponível no RGPD em eur-lex.europa.eu.
Perguntas a fazer a um fornecedor
Uma avaliação não precisa de ser um relatório de auditoria de quarenta páginas. Para uma pequena empresa, uma lista de perguntas fixa funciona bem. As respostas já estão muitas vezes disponíveis no site do fornecedor, numa página de segurança ou numa lista de perguntas frequentes.
| Tema | Pergunta |
|---|---|
| Localização | Onde estão os meus dados, incluindo as cópias de segurança? Vão para países fora do Espaço Económico Europeu? |
| Acesso | Posso impor a autenticação de dois fatores (2FA) a todos os meus utilizadores? Posso atribuir privilégios próprios aos utilizadores? |
| Cópia de segurança | O fornecedor faz cópias de segurança, com que frequência, durante quanto tempo são guardadas, e posso restaurá-las eu próprio? |
| Encriptação | Os dados estão encriptados durante a transmissão e no disco? |
| Violação de dados | Com que rapidez e de que forma o fornecedor me informa em caso de incidente? |
| Subsubcontratantes | Que entidades contrata, e como fico a saber de alterações? |
| Certificação | Existe um certificado, por exemplo ISO 27001, e para que se aplica? |
| Saída | Posso exportar todos os meus dados num formato utilizável? O que acontece aos meus dados depois de cancelar o serviço? |
Sobre certificação: a ISO/IEC 27001 é uma norma internacional com requisitos para um sistema de gestão de segurança da informação. A ISO não certifica diretamente; isso é feito por um organismo de certificação independente. Um certificado mostra que uma organização gere a sua segurança de forma planeada, mas não garante que nunca acontecerá nada. Veja sobretudo o âmbito de aplicação indicado no certificado: aplica-se ao serviço que você utiliza, ou apenas a um escritório ou departamento?
Saída: conseguir sair também é segurança
Uma estratégia de saída é o seu plano para deixar um fornecedor, de forma forçada ou voluntária. Parece algo para mais tarde, mas deve ser decidido logo na escolha: se só descobrir numa insolvência que não consegue exportar a sua base de clientes, já é tarde demais.
Verifique, por isso, antecipadamente:
- se consegue exportar todos os dados, e em que formato (um formato aberto como CSV, correio eletrónico normal ou ficheiros comuns é melhor do que um formato próprio);
- durante quanto tempo os seus dados ficam ainda disponíveis depois de cancelar o serviço;
- se o seu nome de domínio está registado em seu nome e se consegue alterar os servidores de nomes por conta própria (lição 4.3);
- se guarda uma exportação recente por sua conta, como parte da sua cópia de segurança (lição 6.1).
O inventário de fornecedores
Registe tudo num inventário de fornecedores: uma única tabela com, por fornecedor, o serviço, que dados estão guardados, se há dados pessoais envolvidos, se existe um contrato de subcontratação, quem é o responsável do seu lado, as principais respostas da lista de perguntas e a possibilidade de saída. Reveja-o uma vez por ano, e sempre que surja um novo serviço.
Se um dos seus clientes estiver abrangido pelo Decreto-Lei n.º 125/2025 (lição 9.1), pode esperar que esse cliente, enquanto fornecedor seu, lhe venha a fazer este tipo de perguntas. Com um inventário próprio, já tem as respostas preparadas.
Na prática: é assim que se apresenta
Muitos fornecedores colocam as respostas a estas perguntas numa página de segurança. No ambiente de exemplo WebOké, o manual do Nextcloud descreve, por exemplo, o que o fornecedor trata e o que o utilizador faz por sua conta: onde estão os dados, encriptação durante a transmissão e nos discos, autenticação de dois fatores (2FA) obrigatória, atualizações e cópias de segurança, e que, para uso profissional com dados pessoais, se celebra um contrato de subcontratação. Essa divisão (o que o fornecedor trata, o que eu faço) é exatamente o que procura em qualquer fornecedor. Noutros fornecedores, encontra-se frequentemente num trust center, numa página de segurança ou nas condições; se não estiver lá, pergunte.
Resumo
- Desenhe os seus fornecedores e pergunte, para cada linha: e se deixar de funcionar, e se sofrer uma fuga de dados?
- Responsabilidade partilhada: o fornecedor trata da infraestrutura, você trata dos seus dados, contas e configurações.
- Se um fornecedor trata dados pessoais por sua conta, é um subcontratante e deve celebrar um contrato de subcontratação segundo o artigo 28.º do RGPD.
- Use uma lista de perguntas fixa: localização, acesso, cópia de segurança, encriptação, violação de dados, subsubcontratantes, certificação, saída.
- Um certificado diz algo, mas verifique o âmbito de aplicação; trate da sua saída antes de precisar dela.
Questionário
Exercício
Exercício D7.2: O seu inventário de fornecedores. Faça uma tabela dos seus cinco fornecedores e serviços cloud mais importantes. Preencha, para cada fornecedor, que dados estão guardados, se há dados pessoais envolvidos, se existe um contrato de subcontratação, e procure as respostas à lista de perguntas desta lição (localização, autenticação de dois fatores, cópia de segurança, violação de dados, subsubcontratantes, certificação, saída). Tente fazer mesmo uma exportação em pelo menos um serviço.
Exercício D7.2: O seu inventário de fornecedores
Faça assim: (1) Desenhe a sua empresa no centro com linhas para cada parte que guarda dados seus ou tem acesso aos seus sistemas. (2) Escolha os cinco mais importantes e crie uma tabela com: serviço, que dados, dados pessoais (sim/não), contrato de subcontratação de dados (sim/não/não necessário), responsável do seu lado, e as respostas ao questionário da lição 7.2: localização dos dados e das cópias de segurança, obrigatoriedade de autenticação de dois fatores (2FA), cópia de segurança e restauro próprio, encriptação, rapidez de notificação em caso de violação de dados, subcontratantes, certificação com âmbito de aplicação, exportação e o que acontece após o cancelamento. (3) Procure primeiro as respostas na documentação, na página de segurança ou nos termos do fornecedor. Anote a fonte. Se não estiver lá, coloque a pergunta ao fornecedor e anote a resposta. (4) Verifique, em cada fornecedor que trata dados pessoais por si, se existe um contrato de subcontratação de dados e se este tem de ser aceite ou assinado. (5) Faça realmente uma exportação dos seus dados em pelo menos um serviço e verifique se consegue abri-la. (6) Escreva, para o serviço mais importante, em três frases o seu plano de saída: para onde vai, como leva os seus dados consigo, quanto tempo precisa para isso.
As suas marcações e notas ficam apenas neste navegador; não as enviamos para lado nenhum. Se tiver sessão iniciada, guardamos em Os meus cursos apenas que concluiu o exercício.
Para saber mais
Os passos nos artigos da WebOké aplicam-se ao ambiente da WebOké; noutros fornecedores funciona de forma semelhante ou diferente.
- Manual do Nextcloud 3.1: Como é que a WebOké protege a sua Nextcloud?
- Manual do Nextcloud 15.13: Perguntas frequentes sobre segurança e privacidade
- RGPD (Regulamento (UE) 2016/679), artigo 28.º: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (em inglês): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility