Última atualização: 11 de outubro de 2026.

1. Papéis

A entidade cliente é o responsável pelo tratamento. Determina as finalidades e os meios e mantém as suas obrigações próprias ao abrigo do RGPD e do Regime Jurídico da Cibersegurança.

A GhostLabs, enquanto operadora do Provanis2, é subcontratante. Trata dados pessoais apenas segundo instruções documentadas do responsável, salvo obrigação legal, caso em que informa previamente salvo proibição legal.

2. Objeto, duração e natureza

• Objeto: manutenção de um registo de prova de conformidade e da posição de conformidade da entidade face ao QNRCS.
• Duração: a do contrato, acrescida do prazo de conservação de prova acordado.
• Natureza e finalidade: recolha de achados normalizados, ligação a controlos, selagem à prova de adulteração, gestão de prazos de incidente e produção de rascunhos para o supervisor.
• Categorias de titulares: pessoas com conta na aplicação — nomeadamente o Responsável de Cibersegurança, o ponto de contacto permanente, operadores e auditores designados.

3. Categorias de dados tratados

Tratados por nossa conta do responsável:

• Dados de conta: endereço de correio eletrónico, nome, papel e estado.
• Registo de auditoria: autor, ato, alvo e momento de cada operação sobre a prova.
• Achados normalizados e mapeamentos de controlo produzidos pelos coletores.
• Impressões digitais criptográficas dos artefactos de prova e respetivos carimbos temporais.
• Inventário de ativos tal como os coletores o reportam, com o responsável, os endereços IP e os números de série pseudonimizados à entrada.
• Lista de ativos publicamente acessíveis do artigo 32.º do Regulamento n.º 756/2026, preenchida por uma pessoa no painel, com endereços IP e FQDN em claro: informação classificada de grau reservado, guardada na base de dados do plano de controlo em servidores na União Europeia, com acesso limitado por papel no painel e cada exportação registada na cadeia de auditoria.

Não tratados por nós. Os coletores correm na infraestrutura da entidade e os artefactos originais não a deixam: registos, alertas, ficheiros de configuração, resultados de análises e os documentos originais permanecem na entidade. O que atravessa para o plano de controlo são achados normalizados, impressões digitais — não o conteúdo que lhes deu origem —, o inventário de ativos com identificadores pseudonimizados e a lista do artigo 32.º descrita acima.

4. Medidas técnicas e organizativas

Nos termos do artigo 32.º do RGPD:

• Registo à prova de adulteração. A prova é acrescentável e encadeada por hash. A base de dados impede materialmente a alteração e a supressão das tabelas de prova, e o papel aplicacional que serve a aplicação não tem permissão para as alterar.
• Ancoragem temporal externa. As cabeças da cadeia são carimbadas por uma autoridade de selos temporais RFC 3161 independente, e cada carimbo é verificado antes de ser conservado.
• Segregação de privilégios. As operações de esquema usam credenciais distintas das dos processos em execução permanente.
• Autenticação. Palavras-passe cifradas com Argon2id. Sessões com cookie inacessível a scripts, restrito ao sítio, transmitido apenas sob TLS e com caducidade de oito horas.
• Transporte. TLS 1.2 e 1.3, com suites de cifra com sigilo persistente. O canal dos coletores usa TLS mútuo, contra uma autoridade de certificação própria de cada instalação.
• Armazenamento de artefactos. Objetos em modo de retenção, sem permissão de eliminação para a identidade usada pela aplicação.
• Cópias de segurança. Cifradas, com verificação de integridade.
• Alojamento. União Europeia, em instância dedicada por instalação.

5. Subcontratantes ulteriores

O responsável autoriza os seguintes subcontratantes ulteriores. Qualquer alteração é comunicada com antecedência razoável, cabendo ao responsável o direito de oposição.

• Fornecedor de alojamento — infraestrutura de servidor na União Europeia.
• Autoridade de selos temporais — receção de impressões digitais criptográficas para carimbo. Recebe valores de dispersão, nunca conteúdo.

Divulgação expressa. Na presente fase-piloto, a autoridade de selos temporais utilizada é uma autoridade gratuita estabelecida na União Europeia e não é uma autoridade qualificada na aceção do Regulamento (UE) n.º 910/2014. Os carimbos produzidos são verificáveis e suficientes para demonstrar a integridade e a anterioridade dos registos, mas não beneficiam da presunção legal atribuída ao selo temporal qualificado. A substituição por autoridade qualificada está prevista e será comunicada.

6. Transferências internacionais

Não há transferência de dados pessoais tratados por conta do responsável para fora do Espaço Económico Europeu. O alojamento e a autoridade de selos temporais situam-se na União Europeia.

A ligação a Google Fonts descrita em Privacidade existe apenas nas páginas públicas de marketing e não ocorre na aplicação nem na avaliação gratuita, pelo que não abrange dados tratados por conta do responsável.

O mesmo vale para o assistente das páginas públicas, também descrito em Privacidade: envia as perguntas dos visitantes à API Gemini da Google LLC, que as trata fora da União Europeia, mas foi concebido para responder apenas a partir da informação pública do sítio e não recebe dados tratados por conta do responsável. Por isso a Google não consta da lista de subcontratantes ulteriores acima.

7. Inteligência artificial

Nenhum dado de cliente é enviado a um fornecedor de modelos. A política de modelo de cada entidade é none enquanto essa entidade não decidir expressamente o contrário, ficando tal decisão registada na cadeia de auditoria com a respetiva fundamentação. As variáveis de rastreio de cadeias de prompts são recusadas pelo próprio sistema, que não arranca com elas definidas.

8. Confidencialidade e pessoal

As pessoas autorizadas a tratar os dados estão sujeitas a dever de confidencialidade e acedem apenas ao necessário para operar o serviço e prestar apoio.

9. Apoio ao responsável

• Direitos dos titulares: prestamos a assistência razoável para responder a pedidos ao abrigo dos artigos 15.º a 22.º.
• Violações de dados: notificamos o responsável sem demora injustificada após tomar conhecimento, com os elementos de que dispusermos. A notificação à autoridade de controlo compete ao responsável.
• Avaliações de impacto e consulta prévia: prestamos as informações ao nosso alcance, nos termos dos artigos 35.º e 36.º.
• Auditorias: disponibilizamos as informações necessárias para demonstrar o cumprimento do artigo 28.º e admitimos auditorias conduzidas pelo responsável ou por auditor por si mandatado, em termos a acordar.

10. Termo do contrato

Cessando o contrato, e por opção do responsável, os dados são devolvidos em formato exportável ou eliminados, salvo conservação exigida por lei.

Nota sobre o registo de prova. O registo é, por conceção, acrescentável e encadeado: uma entrada não pode ser suprimida isoladamente sem destruir a cadeia que lhe confere valor probatório. A eliminação faz-se por supressão do conjunto do registo da entidade, findo o prazo de conservação. Este é um efeito pretendido do produto e deve ser tido em conta pelo responsável ao definir esse prazo.

11. Contacto

Questões sobre estas condições: ola@provanis2.eu.