A META Channel Corporation Limited é uma Praxis House de execução regulatória, jurídica e tecnológica. A nossa atividade exige que os sistemas de informação que suportam a nossa operação, bem como os dados dos nossos clientes, colaboradores e instituições associadas, sejam geridos com o máximo rigor. A presente política estabelece os princípios, quadros de referência e compromissos que regem a segurança da informação na META Channel Corporation Limited.
Enquanto organização que presta assessoria e executa projetos de conformidade regulatória no âmbito do ecossistema normativo europeu, aplicamos internamente os mesmos padrões que exigimos e proporcionamos aos nossos clientes. A coerência entre o que executamos para terceiros e o que aplicamos em casa não é opcional: é a condição da nossa credibilidade.
1. Quadros normativos de referência
A gestão da segurança da informação na META Channel Corporation Limited está alinhada com os seguintes quadros normativos e normas internacionais:
| RGPD (UE) 2016/679 | Quadro fundamental para a proteção de dados pessoais. Estabelece as obrigações de segurança técnica e organizativa previstas nos artigos 25.º (proteção de dados desde a conceção) e 32.º (segurança do tratamento). |
| NIS2 (UE) 2022/2555 | Diretiva relativa à cibersegurança na União Europeia. A META Channel Corporation Limited adota os seus princípios de gestão do risco como quadro de referência operacional e como base para capacitar os clientes que apoiamos no seu cumprimento. |
| DORA (UE) 2022/2554 | Regulamento relativo à resiliência operacional digital do setor financeiro. Aplica-se diretamente a numerosos clientes da META Channel Corporation Limited nos setores fintech, tokenização e litigation finance. Adotamos os seus princípios como referência interna e modelo de implementação. |
| ISO/IEC 27001:2022 | Norma internacional para Sistemas de Gestão da Segurança da Informação (SGSI). Quadro de referência para a identificação de ativos, a avaliação de riscos, a implementação de controlos e a melhoria contínua. |
| AI Act (UE) 2024/1689 | Quadro regulamentar europeu para os sistemas de inteligência artificial (Regulamento da Inteligência Artificial). A META Channel Corporation Limited gere os seus sistemas e ferramentas de IA de acordo com os princípios de transparência, supervisão humana e minimização do risco, antecipando os requisitos aplicáveis aos seus clientes. |
| LOPDGDD (LO 3/2018) | Complemento espanhol do RGPD (Lei Orgânica espanhola de proteção de dados pessoais e garantia dos direitos digitais). Aplicável ao tratamento de dados realizado a partir do território espanhol, incluindo as operações da META Channel Corporation Limited em Tenerife e Madrid. |
| Data Protection Act 2018 (IE) | Quadro de proteção de dados da República da Irlanda. Aplicável à META Channel Corporation Limited enquanto entidade constituída na Irlanda ao abrigo do Companies Act 2014 (lei irlandesa das sociedades). |
2. Princípios fundamentais de segurança
| Confidencialidade | Apenas o pessoal autorizado acede aos dados e informações da META Channel Corporation Limited, dos seus clientes e colaboradores. O acesso é gerido através de controlo baseado em funções e do princípio do privilégio mínimo. Todo o pessoal e colaboradores com acesso aos sistemas estão sujeitos a um dever de sigilo por tempo indeterminado. |
| Integridade | Os dados e informações geridos pela META Channel Corporation Limited mantêm-se exatos, completos e coerentes. São aplicados controlos para detetar e corrigir alterações não autorizadas em documentos, processos e sistemas de gestão. |
| Disponibilidade | Os sistemas e informações críticos para a operação da META Channel Corporation Limited estão acessíveis ao pessoal autorizado sempre que necessário. São mantidos planos de contingência e procedimentos de recuperação em caso de incidente. |
| Proteção de dados desde a conceção e por defeito | Nos termos do artigo 25.º do RGPD, a proteção de dados pessoais é integrada desde a conceção de qualquer novo processo, sistema ou produto. A configuração por defeito de todos os sistemas garante o nível máximo de privacidade sem necessidade de intervenção do titular dos dados. |
| Resiliência operacional | A META Channel Corporation Limited gere as suas dependências tecnológicas com critérios de resiliência: identificação dos ativos críticos, avaliação dos fornecedores tecnológicos, planos de continuidade e capacidade de recuperação em caso de interrupções ou ciberincidentes. |
| Responsabilidade | Nos termos do artigo 5.º, n.º 2, do RGPD, a META Channel Corporation Limited não só cumpre as obrigações de segurança como está em condições de demonstrar esse cumprimento a qualquer momento. A documentação, os registos e os procedimentos internos constituem a prova desse compromisso. |
| Melhoria contínua | A META Channel Corporation Limited revê periodicamente a eficácia dos seus controlos, atualiza os seus procedimentos perante alterações normativas ou tecnológicas e aplica as lições aprendidas com incidentes e exercícios de revisão. |
| Proporcionalidade | Os controlos de segurança são implementados na proporção do risco real de cada tratamento e ativo. Não se admite nem o excesso nem a insuficiência de medidas: a segurança deve ser adequada, eficaz e operacionalmente sustentável. |
3. Medidas técnicas e organizativas aplicadas
A META Channel Corporation Limited aplica as seguintes medidas, nos termos do artigo 32.º do RGPD, tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito e as finalidades do tratamento:
Cifragem e comunicações seguras
- Cifragem em trânsito através de TLS 1.2/1.3 em todas as comunicações web (HTTPS).
- Cifragem em repouso nos sistemas de armazenamento em que são tratados dados pessoais.
- Comunicações internas através de canais cifrados. Proibição de transmitir dados sensíveis por canais não cifrados.
Controlo de acesso e autenticação
- Autenticação de dois fatores (2FA) obrigatória para aceder a sistemas com dados pessoais.
- Princípio do privilégio mínimo: cada utilizador acede exclusivamente aos dados necessários às suas funções.
- Revisão periódica de permissões e revogação imediata de acessos em caso de alteração ou cessação do vínculo.
Gestão de fornecedores e subcontratantes
- Contratos de subcontratação (artigo 28.º do RGPD) celebrados com todos os fornecedores que acedem a dados pessoais.
- Avaliação prévia dos fornecedores tecnológicos em matéria de segurança e conformidade normativa.
- Transferências internacionais cobertas por mecanismos adequados, nos termos do Capítulo V do RGPD.
Gestão de incidentes e violações de dados
- Protocolo interno de resposta a violações de segurança, ativado nas primeiras 4 horas.
- Notificação à DPC (Data Protection Commission, autoridade irlandesa de proteção de dados) e/ou à AEPD (autoridade espanhola de proteção de dados) no prazo máximo de 72 horas, quando exigível.
- Registo interno de todos os incidentes, sujeitos ou não a notificação, nos termos do artigo 33.º, n.º 5, do RGPD.
- Procedimento documentado de comunicação aos titulares dos dados afetados quando o risco for elevado.
Continuidade e resiliência
- Cópias de segurança periódicas dos sistemas e dados críticos, com verificação de integridade.
- Procedimentos de recuperação em caso de falhas tecnológicas ou ciberincidentes.
- Avaliação das dependências tecnológicas críticas e planos de contingência para a indisponibilidade de fornecedores.
Formação e sensibilização
- Todo o pessoal e colaboradores com acesso aos sistemas recebem informação sobre as suas obrigações em matéria de segurança.
- Atualização periódica sobre ameaças relevantes e boas práticas de cibersegurança.
- Dever de confidencialidade por tempo indeterminado, formalizado contratualmente.
4. Avaliações de impacto e análise de risco
A META Channel Corporation Limited realiza avaliações de impacto sobre a proteção de dados (AIPD/DPIA), nos termos do artigo 35.º do RGPD, para os tratamentos suscetíveis de implicar um elevado risco para os direitos e liberdades dos titulares dos dados. A análise de risco é efetuada antes do início de qualquer novo tratamento ou de qualquer alteração substancial de um tratamento existente.
A metodologia de análise de risco aplicada baseia-se nos critérios do Comité Europeu para a Proteção de Dados (CEPD/EDPB) e nos princípios da norma ISO/IEC 27005 sobre gestão do risco de segurança da informação. Os resultados de cada avaliação são documentados e conservados como parte do sistema de responsabilidade da META Channel Corporation Limited.
5. Coerência regulatória: o que aplicamos é o que executamos
A META Channel Corporation Limited presta assessoria e executa projetos de conformidade ao abrigo dos quadros regulatórios europeus mais exigentes: RGPD, NIS2, DORA, AI Act, MiCA e os quadros de cibersegurança do ENS (Esquema Nacional de Seguridad, quadro espanhol de segurança para o setor público). A nossa credibilidade como Praxis House de execução regulatória assenta numa premissa que não admite exceções: aplicamos internamente, com rigor, os mesmos padrões que proporcionamos aos nossos clientes.
Isto significa que, quando um cliente nos confia um projeto de adaptação à NIS2 ou de implementação de um quadro DORA, sabe que a equipa que o executa já trabalha segundo esses princípios. Não vendemos uma conformidade que não praticamos. Esta coerência é, em si mesma, uma garantia para os nossos clientes e parceiros institucionais.
6. Revisão, atualização e contacto
Esta política é revista, no mínimo, anualmente e sempre que ocorra uma alteração normativa relevante, um incidente significativo ou uma modificação substancial dos sistemas ou tratamentos da META Channel Corporation Limited. A versão em vigor é sempre a publicada em metachannelcorp.com/pt/politica-de-seguranca/.
Para qualquer questão relativa a esta política ou para comunicar uma vulnerabilidade ou incidente de segurança: privacidad@metachannelcorp.com
Autoridades de controlo competentes: Data Protection Commission (DPC) — Irlanda · Agencia Española de Protección de Datos (AEPD)
