Anexo II — Medidas Técnicas e Organizacionais

Medidas Técnicas e Organizacionais Incluindo Medidas Técnicas e Organizacionais para Garantir a Segurança dos Dados

Descrição das medidas de segurança técnicas e organizacionais implementadas pela Grubtech como processador de dados/importador de dados para garantir um nível apropriado de segurança, levando em consideração a natureza, escopo, contexto e propósito do processamento, e os riscos aos direitos e liberdades das pessoas físicas.

Segurança

Sistema de Gestão de Segurança

Organização. A Grubtech designa pessoal de segurança qualificado cujas responsabilidades incluem desenvolvimento, implementação e manutenção contínua do Programa de Segurança da Informação.

Políticas. A gerência revisa e apoia todas as políticas relacionadas à segurança para garantir a segurança, disponibilidade, integridade e confidencialidade dos Dados Pessoais do Cliente. Essas políticas são atualizadas pelo menos uma vez anualmente.

Avaliações. A Grubtech contrata um terceiro independente de boa reputação para realizar avaliações de risco de todos os sistemas contendo Dados Pessoais do Cliente pelo menos uma vez anualmente.

Tratamento de Risco. A Grubtech mantém um programa formal e eficaz de tratamento de risco que inclui testes de penetração, gerenciamento de vulnerabilidades e gerenciamento de patches para identificar e proteger contra possíveis ameaças à segurança, integridade ou confidencialidade dos Dados Pessoais do Cliente.

Gestão de Fornecedores. A Grubtech mantém um programa eficaz de gestão de fornecedores.

Gerenciamento de Incidentes. A Grubtech analisa incidentes de segurança regularmente, incluindo determinação eficaz da causa raiz e ação corretiva.

Padrões. A Grubtech opera um sistema de gestão de segurança da informação que está em conformidade com os requisitos do padrão ISO/IEC 27001:2022.

Segurança de Pessoal

O pessoal da Grubtech é obrigado a se comportar de forma consistente com as diretrizes da empresa com relação à confidencialidade, ética comercial, uso apropriado e padrões profissionais. A Grubtech realiza verificações de antecedentes razoavelmente apropriadas em qualquer funcionário que tenha acesso aos dados do cliente sob este Acordo, incluindo em relação ao histórico de emprego e antecedentes criminais, na medida permitida legalmente e de acordo com a lei trabalhista local aplicável, prática consuetudinária e regulamentos estatutários.

O pessoal é obrigado a executar um acordo de confidencialidade por escrito no momento da contratação e proteger os Dados Pessoais do Cliente em todos os momentos. O pessoal deve reconhecer o recebimento e a conformidade com as políticas de confidencialidade, privacidade e segurança da Grubtech. Ao pessoal é fornecido treinamento de privacidade e segurança sobre como implementar e cumprir com o Programa de Segurança da Informação. O pessoal que lida com Dados Pessoais do Cliente é obrigado a concluir requisitos adicionais apropriados à sua função (por exemplo, certificações). O pessoal da Grubtech não processará Dados Pessoais do Cliente sem autorização.

Controles de Acesso

Gestão de Acesso. A Grubtech mantém um processo formal de gestão de acesso para a solicitação, revisão, aprovação e provisionamento de todo o pessoal com acesso aos Dados Pessoais do Cliente para limitar o acesso aos Dados Pessoais do Cliente e sistemas armazenando, acessando ou transmitindo Dados Pessoais do Cliente para pessoas devidamente autorizadas tendo uma necessidade de tal acesso. Revisões de acesso são realizadas periodicamente para garantir que apenas o pessoal com acesso aos Dados Pessoais do Cliente ainda precise.

Pessoal de Segurança de Infraestrutura. A Grubtech possui e mantém uma política de segurança para seu pessoal, e requer treinamento de segurança como parte do pacote de treinamento para seu pessoal. O pessoal de segurança de infraestrutura da Grubtech é responsável pelo monitoramento contínuo da infraestrutura de segurança da Grubtech, revisão dos Serviços e resposta a incidentes de segurança.

Controle de Acesso e Gerenciamento de Privilégios. Os administradores e usuários finais da Grubtech e do Cliente devem se autenticar por meio de um sistema de autenticação multifator ou por meio de um sistema de logon único para usar os Serviços.

Processos e Políticas de Acesso a Dados Internos — Política de Acesso. Os processos e políticas de acesso a dados internos da Grubtech são projetados para proteger contra acesso não autorizado, uso, divulgação, alteração ou destruição de Dados Pessoais do Cliente. A Grubtech projeta seus sistemas para permitir que apenas pessoas autorizadas acessem dados que estão autorizadas a acessar com base em princípios de "menor privilégio" e "necessidade de saber", e para evitar que outros que não deveriam ter acesso obtenham acesso. A Grubtech requer o uso de IDs de usuário únicos, senhas fortes, autenticação de dois fatores e listas de acesso cuidadosamente monitoradas para minimizar o potencial de uso de conta não autorizado. A concessão ou modificação de direitos de acesso é baseada em: responsabilidades de trabalho do pessoal autorizado; requisitos de dever de trabalho necessários para executar tarefas autorizadas; uma base de necessidade de saber; e deve estar de acordo com as políticas de acesso a dados internos e treinamento da Grubtech. As aprovações são gerenciadas por ferramentas de fluxo de trabalho que mantêm registros de auditoria de todas as alterações. O acesso aos sistemas é registrado para criar uma trilha de auditoria para responsabilidade. Quando as senhas são usadas para autenticação (por exemplo, login em estações de trabalho), as políticas de senha seguem as práticas padrão da indústria. Esses padrões incluem complexidade de senha, expiração de senha, bloqueio de senha, restrições de reutilização de senha e reprompt de senha após um período de inatividade.

Segurança do Centro de Dados e Rede

Centros de Dados.

Infraestrutura. A Grubtech usa AWS como seu centro de dados.

Resiliência. Múltiplas Zonas de Disponibilidade estão habilitadas na AWS e a Grubtech realiza Testes de Restauração de Backup regularmente para garantir resiliência.

Sistemas Operacionais do Servidor. Os servidores da Grubtech são personalizados para o ambiente do aplicativo e os servidores foram endurecidos para a segurança dos Serviços. A Grubtech emprega um processo de revisão de código para aumentar a segurança do código usado para fornecer os Serviços e aprimorar produtos de segurança em ambientes de produção.

Recuperação de Desastres. A Grubtech replica dados em múltiplos sistemas para ajudar a proteger contra destruição acidental ou perda. A Grubtech projetou e regularmente planeja e testa seus programas de recuperação de desastres.

Registros de Segurança. Os sistemas da Grubtech têm log habilitado para sua respectiva instalação de log do sistema para suportar auditorias de segurança, monitorar e detectar ataques reais e tentados em, ou intrusões em, sistemas da Grubtech.

Gerenciamento de Vulnerabilidades. A Grubtech realiza varreduras regulares de vulnerabilidades em todos os componentes de infraestrutura de seu ambiente de produção e desenvolvimento. As vulnerabilidades são remediadas por risco, com patches de segurança Crítico, Alto e Médio para todos os componentes instalados o mais breve possível comercialmente.

Redes e Transmissão

Transmissão de Dados. As transmissões no ambiente de produção são transmitidas via protocolos padrão da Internet.

Superfície de Ataque Externo. AWS Security Group que é equivalente a um firewall virtual está em vigor para o ambiente de Produção na AWS.

Resposta a Incidentes. A Grubtech mantém políticas e procedimentos de gerenciamento de incidentes, incluindo procedimentos detalhados de escalada de incidentes de segurança. A Grubtech monitora uma variedade de canais de comunicação para incidentes de segurança, e o pessoal de segurança da Grubtech responderá rapidamente a incidentes suspeitos ou conhecidos, mitigará os efeitos prejudiciais de tais incidentes de segurança e documentará tais incidentes de segurança e seus resultados.

Tecnologias de Criptografia. A Grubtech disponibiliza criptografia HTTPS (também conhecida como SSL ou TLS) para dados em trânsito.

Armazenamento de Dados, Isolamento, Autenticação e Destruição. A Grubtech armazena dados em um ambiente de múltiplos locatários em servidores AWS. Os dados, banco de dados de Serviços e arquitetura do sistema de arquivos são replicados em múltiplas Zonas de Disponibilidade na AWS. A Grubtech isola logicamente os dados de diferentes clientes. Um sistema de autenticação centralizado é usado em todos os Serviços para aumentar a segurança uniforme de dados. A Grubtech garante o descarte seguro de Dados do Cliente através do uso de uma série de processos de destruição de dados.

Anexo III — Lista de Subprocessadores

Por favor, consulte https://security.grubtech.com/