Proteção de dados pessoais

Na Despapeliza, proteger dados pessoais não é apenas uma obrigação legal: é um princípio fundamental na forma como desenhamos, desenvolvemos e operamos nossos serviços. Como plataforma que gerencia documentos digitais sensíveis e assinaturas eletrônicas, tratamos informações pessoais identificáveis (PII) com os mais altos padrões de confidencialidade, integridade e disponibilidade, em total alinhamento com o referencial ISO/IEC 27001.

Quais dados pessoais protegemos

Nossa plataforma pode tratar diferentes categorias de dados pessoais, entre elas:

• Nomes completos, documentos de identidade e assinaturas digitais.
• Endereços de e-mail, números de telefone e metadados de sessão.
• Endereços IP e dados de geolocalização.
• Documentos sensíveis enviados para assinatura (por exemplo, contratos de trabalho, acordos de confidencialidade, formulários com informações de saúde).

Aplicamos os princípios de minimização de dados e limitação de finalidade, de modo que coletamos e tratamos somente o estritamente necessário para prestar nossos serviços, e apenas para as finalidades previstas e consentidas.

ISO/IEC 27001: o referencial de segurança dos dados

A abordagem da Despapeliza para a proteção de dados pessoais está estruturada dentro do nosso Sistema de Gestão de Segurança da Informação (SGSI), certificado sob a ISO/IEC 27001, principal norma global para a gestão de riscos de segurança da informação.

Como parte desse sistema, implementamos e mantemos de forma contínua controles do Anexo A da ISO 27001, entre eles:

• A.9 Controle de acesso: acesso baseado em perfis e de privilégio mínimo, com gestão segura de identidades.
• A.10 Controles criptográficos: criptografia dos dados em repouso e em trânsito com AES-256 e TLS 1.2 ou superior.
• A.12 Segurança operacional: hardening de servidores, gestão de correções e auditoria de registros.
• A.13 Segurança das comunicações: APIs seguras, túneis VPN e proteção de endpoints.
• A.18 Conformidade: aderência às leis de privacidade e aos acordos contratuais de tratamento de dados.

Com o respaldo da Microsoft Azure: uma base de nuvem segura e em conformidade

Nossa infraestrutura está hospedada integralmente na Microsoft Azure, uma das plataformas de nuvem mais seguras e com maior conformidade normativa do mundo. A Azure nos oferece uma base robusta, de nível corporativo, para sustentar nossos compromissos de proteção de dados.

Algumas das principais vantagens:

• Armazenamento georredundante e backups automatizados, garantindo alta disponibilidade e recuperação de desastres.
• Azure Defender e Security Center para detecção de ameaças em tempo real e pontuação de risco.
• Conformidade com mais de 100 padrões globais, incluindo ISO/IEC 27001, SOC 2 e GDPR, entre outros.
• Isolamento de redes virtuais, endpoints privados e Azure Key Vault para a gestão segura de chaves e credenciais.
• Suporte completo a requisitos de residência de dados: suas informações podem ser hospedadas na região correspondente, em conformidade com a legislação nacional aplicável.

Ao combinar nossas práticas certificadas sob a ISO 27001 com os controles nativos de segurança e conformidade da Azure, entregamos um ambiente resiliente e auditável para o tratamento de dados pessoais em escala.

Conformidade legal e preparo regulatório

Cumprimos ativamente regulamentações de privacidade internacionais e locais, entre elas:

• Regulamento Geral de Proteção de Dados (GDPR, União Europeia).
• California Consumer Privacy Act (CCPA, Estados Unidos).
• Lei 19.628 sobre Proteção da Vida Privada (Chile).
• Obrigações de proteção de dados próprias de determinados setores ou clientes, quando aplicável.

Mantemos acordos de tratamento de dados (DPA) atualizados e viabilizamos o exercício dos direitos dos titulares — acesso, correção, eliminação, oposição e portabilidade — por meio de fluxos de trabalho seguros.

Privacidade desde a concepção e por padrão

Da arquitetura dos sistemas à interface e à experiência de uso, nossa plataforma segue os princípios de privacidade desde a concepção (Privacy by Design):

• Avaliações de impacto à privacidade (PIA) para cada nova funcionalidade.
• Exclusão por padrão (opt-out) quando aplicável.
• Técnicas de anonimização ou pseudonimização para análise de dados e processamento interno.
• Exposição mínima de dados pessoais durante os fluxos documentais.

Monitoramento, auditoria e melhoria contínua

Nosso SGSI incorpora um modelo de melhoria contínua baseado em:

• Auditorias internas periódicas e revisões de efetividade dos controles.
• Monitoramento automatizado dos recursos da Azure e dos registros de acesso a dados.
• Testes de intrusão e hacking ético realizados por terceiros.
• Um processo documentado de ações corretivas e preventivas (CAPA) para os riscos identificados.

Utilizamos a Drata para automatizar e monitorar em tempo real o desempenho dos controles da ISO 27001, assegurando que nossas práticas de proteção de dados pessoais se mantenham em conformidade, transparentes e em melhoria contínua.

Transparência e confiança do cliente

A transparência é essencial na relação com nossos clientes. Por isso, disponibilizamos:

• Política de Privacidade e Adendo de Proteção de Dados de acesso público.
• Status de conformidade em tempo real por meio do nosso portal na Drata.
• Documentação detalhada sobre como suas informações são tratadas, armazenadas e protegidas.

Na Despapeliza, a proteção de dados pessoais está incorporada a cada camada da nossa infraestrutura e dos nossos processos, do nosso código ao nosso provedor de hospedagem. Ao combinar controles certificados sob a ISO 27001 com a arquitetura de segurança avançada da Microsoft Azure, asseguramos que seus dados sejam sempre gerenciados em um ambiente seguro, auditável e em conformidade, no qual você pode confiar.