Centro de Confiança

A Rummest é uma empresa nova. As medidas técnicas descritas abaixo estão implementadas e são verificáveis; os programas formais de certificação e auditoria independente não existem ainda. Esta página distingue as duas coisas em cada secção.

• A aplicação e as bases de dados estão alojadas em servidor dedicado no Brasil (São Paulo), país com decisão de adequação da Comissão Europeia (Decisão de Execução (UE) 2026/179).
• O armazenamento de ficheiros, a gestão de segredos e as cópias de segurança usam a Google Cloud na região da Bélgica.
• Todo o tráfego entre o seu navegador e os nossos serviços usa TLS. As ligações em texto simples são redirecionadas.
• As bases de dados não estão expostas à internet: são acessíveis apenas da rede interna dos serviços.
• Os dados em repouso estão cifrados ao nível do armazenamento.

Pedidos de acesso de autoridades públicas: os prestadores estabelecidos fora da União Europeia, identificados na secção 6, podem estar sujeitos a pedidos de acesso das autoridades do seu país. Para reduzir esse risco, enviamos a cada prestador apenas o necessário e cifrado em trânsito. Se nos chegar um pedido de acesso de uma autoridade de fora da União Europeia, só o cumprimos quando tenha base legal válida à luz do direito europeu, e avisamos o cliente, salvo se a lei o proibir. Esta informação é prestada nos termos do artigo 28.º do Regulamento Europeu dos Dados (UE) 2023/2854.

Não há replicação em várias zonas de disponibilidade nem plano de continuidade documentado com objetivos de tempo e ponto de recuperação. A cópia de segurança com restauro testado está identificada como requisito a cumprir antes de servir clientes em produção.

• Os dados de cada cliente estão separados na base de dados por um mecanismo aplicado pela própria base de dados e não pelo código da aplicação, o que impede que um erro de programação exponha dados de outro cliente.
• A autenticação é centralizada numa única aplicação, que é a única emissora das credenciais de acesso; as restantes aplicações validam essas credenciais contra chaves públicas publicadas por ela.
• A autenticação em dois passos está disponível e pode ser exigida.
• Os acessos são atribuídos por papel, segundo o princípio do mínimo privilégio.
• As alterações de configuração e os acessos ficam registados em auditoria.
• Todas as alterações de código passam por revisão antes de chegarem a produção.

Não existe ainda análise automática de dependências vulneráveis no processo de integração contínua, nem programa de recompensa por comunicação de vulnerabilidades.

O acesso administrativo a produção está limitado ao número mínimo de pessoas necessário à operação, com autenticação própria e sem credenciais partilhadas. Os acessos são revistos quando a composição da equipa muda.

Falta formalizar por escrito a política de acessos, a verificação de antecedentes na contratação e a formação periódica em segurança. Com a dimensão atual da equipa, a prática existe sem estar documentada; a documentação é exigível antes do primeiro cliente empresarial.

Nos nossos produtos, o cliente é o responsável pelo tratamento dos dados que neles trata e nós somos subcontratantes. Os dados do cliente pertencem ao cliente: não os vendemos, não os cedemos e não os utilizamos para finalidades próprias fora do necessário à prestação do serviço.

• Regulamento Geral sobre a Proteção de Dados (UE) 2016/679 — quadro principal.
• Lei Geral de Proteção de Dados Pessoais do Brasil (Lei n.º 13.709/2018) — mercado em que operamos.
• Política de Privacidade e Política de Cookies publicadas neste site.

O Contrato de Tratamento de Dados está publicado neste site. Falta um registo de atividades de tratamento nos termos do artigo 30.º do RGPD e a avaliação da necessidade de encarregado de proteção de dados, que um cliente empresarial pede antes de assinar.

Qualquer alteração a esta lista é avisada aos clientes com pelo menos 30 dias de antecedência, com 15 dias para se oporem, nos termos do Contrato de Tratamento de Dados.

• Acesso pela nossa equipa: apenas quando necessário para prestar apoio, investigar um incidente ou cumprir uma obrigação legal, e com registo do acesso.
• Conservação: os prazos de guarda das conversas e dos registos comerciais são configuráveis por cliente e constam da configuração da conta.
• Eliminação: findo o contrato, o cliente dispõe de 30 dias para exportar os seus dados, e eliminamo-los nos 60 dias seguintes; a pedido do cliente, podem ser eliminados antes.
• Exportação: o cliente pode obter os seus dados em formato estruturado.

Falta fixar por escrito o prazo de resposta a um pedido de eliminação antecipada.

Em caso de violação de dados pessoais, notificamos os clientes afetados sem demora injustificada e, em qualquer caso, no prazo máximo de 48 horas após tomarmos conhecimento, com a descrição do que aconteceu, os dados envolvidos, as medidas tomadas e as recomendações aplicáveis. Quando a lei o exija, notificamos igualmente a autoridade de controlo no prazo de 72 horas.

Falta um plano de resposta a incidentes escrito, com papéis, canais e ensaio periódico. O compromisso de notificação acima é legal e vincula-nos independentemente disso.

Se encontrar uma vulnerabilidade nos nossos serviços, escreva para suporte@rummest.com com a descrição, os passos para reproduzir e o impacto que estima. Confirmamos a receção e mantemo-lo informado da análise.

Pedimos que não aceda a dados de terceiros, não degrade o serviço, não execute ataques de negação de serviço nem divulgue publicamente a falha antes de a termos corrigido. Quem comunique de boa-fé e nestes termos não será objeto de ação da nossa parte.

• As respostas do assistente são geradas por modelos de linguagem de terceiros, identificados na secção 6.
• Não treinamos modelos com os dados dos nossos clientes, nem autorizamos os fornecedores a fazê-lo. O tratamento contratado é de inferência, não de treino.
• Enviamos ao modelo apenas o necessário para gerar a resposta: a pergunta, o contexto da conversa e os trechos relevantes da base de conhecimento do cliente.
• O assistente tem limites de comportamento definidos pelo cliente e não pode assumir compromissos fora do que esteja configurado.
• Quando o assistente não sabe responder ou o assunto exige uma pessoa, a conversa é encaminhada para a equipa do cliente.
• Quem fala com o assistente é informado, no início de cada conversa, de que fala com um sistema automático, como exige o artigo 50.º do Regulamento da Inteligência Artificial (UE) 2024/1689. O cliente não pode remover nem ocultar essa identificação.

O assistente não faz diagnóstico nem avalia casos individuais, e por isso não é um sistema de risco elevado nos termos daquele regulamento.