Segurança da informação
Certificado ISO/IEC 27001:2022
Certificada desde 2019, atualmente no nosso terceiro ciclo de certificação, por um organismo de certificação sediado no Reino Unido e acreditado pelo UKAS. O certificado está publicado abaixo na íntegra — por favor, verifique-o.
- Norma: ISO/IEC 27001:2022
- Certificador acreditado pelo UKAS
- Mantida continuamente desde 2019
O certificado, em pormenor
Tudo nesta página é retirado do próprio certificado, pelo que pode ser verificado face à cópia abaixo ou diretamente junto do organismo de certificação.
| Campo | Valor |
|---|---|
| Organização certificada | Wise Technologies Ltd., Cesta 24. junija 23, 1231 Ljubljana, Eslovénia |
| Norma | ISO/IEC 27001:2022 — a revisão atual da norma |
| Âmbito | Conceção, desenvolvimento, implementação e manutenção de soluções de software |
| Declaração de Aplicabilidade | Versão 3.0, de 1 de dezembro de 2024 |
| Número do certificado | 202124/A/0001/UK/En |
| Organismo de certificação | URS — United Registrar of Systems (Holdings) Ltd., United House, 28 Poole Hill, Bournemouth BH2 5PS, Reino Unido |
| Acreditação | UKAS Management Systems, número de acreditação 0043; a URS é membro do IAF Multilateral Recognition Arrangement |
| Emitido originalmente | 28 de março de 2019 |
| Ciclo atual emitido | 28 de março de 2025 (emissão 3, ciclo 3) |
| Válido até | 27 de março de 2028 |
Porque a acreditação importa mais do que o selo
Qualquer pessoa pode imprimir um certificado. A pergunta que um gabinete de aquisições deve fazer é quem acreditou o organismo que o emitiu.
O nosso foi emitido pela URS, um organismo de certificação sediado em Bournemouth, no Reino Unido, acreditado pelo UKAS — o United Kingdom Accreditation Service, o organismo nacional de acreditação reconhecido pelo governo do Reino Unido. O número de acreditação UKAS 0043 consta do próprio certificado.
A URS é também membro do IAF Multilateral Recognition Arrangement, o que faz com que o certificado signifique o mesmo para uma universidade em Riade, Kuala Lumpur ou Dublin que em Londres. Um certificado não acreditado não tem nada disso.
Vale também a pena verificar que versão da norma um fornecedor detém. A nossa é a ISO/IEC 27001:2022, a revisão atual. Continuam em circulação certificados da edição de 2013, já substituída.
- Emitido por um organismo de certificação sediado no Reino Unido, não por um registador não acreditado
- Acreditado pelo UKAS, número de acreditação 0043
- Membro do IAF Multilateral Recognition Arrangement, pelo que é reconhecido internacionalmente
- Certificado segundo a ISO/IEC 27001:2022, não a edição de 2013, já substituída
- Mantido continuamente desde março de 2019, ao longo de três ciclos de certificação
- O âmbito abrange explicitamente a conceção, o desenvolvimento, a implementação e a manutenção de software — o próprio produto, não apenas um escritório
A que nos compromete realmente a certificação
A ISO/IEC 27001 não é uma funcionalidade de produto e não a apresentaremos como tal. Certifica um sistema de gestão: uma abordagem estruturada e baseada no risco para a segurança da informação, que abrange pessoas, processos e tecnologia, auditada por um organismo externo num ciclo recorrente e não afirmada uma só vez.
Na prática, para uma instituição que nos avalia, significa que existe uma Declaração de Aplicabilidade documentada, que os riscos são avaliados e tratados num ciclo definido, que o acesso e as alterações são controlados e que um auditor independente verifica tudo face a uma norma publicada.
- Cifragem da informação sensível em repouso e em trânsito
- Cópias de segurança regulares, com restauros testados e não presumidos
- Controlos de acesso rigorosos que limitam a exposição ao que cada função exige
- Resposta a incidentes e gestão de alterações documentadas
- Auditorias de vigilância anuais, com recertificação completa a cada três anos
Dados pessoais e a lei que os rege
Um horário não é um conjunto de dados abstrato. Diz onde está um estudante identificado às nove da manhã de terça-feira e qual o docente que está com ele. São dados pessoais e, em certas combinações, sensíveis.
Estamos sediados na Eslovénia, dentro da União Europeia, pelo que o Regulamento Geral sobre a Proteção de Dados se aplica diretamente a nós e não como uma obrigação de exportação que escolhemos honrar. A conformidade com o GDPR está incluída no que compra; não é um módulo cobrado e não há nível de conformidade separado.
Na linguagem do regulamento, a sua instituição é o responsável pelo tratamento e a Wise Technologies é um subcontratante. Esta distinção importa: os dados continuam a ser seus, tratamo-los apenas segundo as suas instruções documentadas e não os reutilizamos. Não vendemos nem alugamos dados pessoais, não utilizamos os dados da sua instituição para treinar o que quer que seja e não os exploramos para as nossas próprias análises.
Procuramos também deter menos dados desde o início. Um sistema de horários não precisa da morada de um estudante, e pedir campos que nunca utilizaremos seria um risco para ambos. Onde uma instituição possa enviar-nos identificadores de grupo em vez de pessoas identificadas, preferimos que o faça.
- Está disponível um Acordo de Tratamento de Dados e assinaremos o seu se preferir a sua própria redação
- Os dados pessoais não são transferidos para fora do Espaço Económico Europeu, a menos que existam garantias adequadas, como as Cláusulas Contratuais-Tipo da UE
- Os subcontratantes subsequentes são limitados, divulgados mediante pedido e vinculados por obrigações equivalentes
- Os direitos dos titulares dos dados — acesso, retificação, apagamento, limitação, portabilidade, oposição — são suportados, e ajudamo-lo a responder aos pedidos enquanto seu subcontratante
- A conservação é definida e não indefinida: dados de conta durante a vigência da subscrição, dados de planeamento importados enquanto utilizar o serviço
- As obrigações de notificação de violações são contratuais, não discricionárias
- Implantação completa nas suas instalações onde a política ou a lei nacional exigir que os dados nunca saiam da sua rede
Para além do GDPR
As instituições fora da União Europeia trazem as suas próprias obrigações, e preferimos discuti-las cedo a descobri-las tarde. As instituições do Golfo trabalham cada vez mais ao abrigo de leis nacionais de proteção de dados com requisitos de residência; as instituições dos Estados Unidos invocam a FERPA; vários dos nossos clientes respondem também perante reguladores setoriais.
Não afirmamos ter certificação global face a todos os regimes, porque essa afirmação não seria honesta. O que podemos dizer é que a opção nas suas instalações satisfaz de imediato os requisitos de residência, que os nossos termos contratuais podem ser adaptados e que lhe diremos com clareza se algo de que precisa estiver fora do que nos podemos comprometer a cumprir.
Leia a Política de privacidade para saber em pormenor como tratamos os dados pessoais, e os Termos e condições para a posição contratual.
O certificado
Reproduzido na íntegra. O PDF assinado está ligado acima e abaixo.
Onde os seus dados residem continua a ser decisão sua
A certificação rege a forma como trabalhamos; não o obriga a alojar nada connosco. O alojamento na nuvem funciona na AWS com cópias de segurança diárias e infraestrutura distribuída regionalmente, e a instalação completa nas suas instalações é uma alternativa suportada com funcionalidade, suporte e condições de atualização idênticos.
Para as instituições em jurisdições com regras de residência de dados, a instalação nas suas instalações mantém cada registo dentro da sua própria rede. Mais sobre alojamento e implantação.
Perguntas que as aquisições fazem
Preenchem o nosso questionário de segurança da informação?
Sim, e estamos habituados. Envie-o com o seu prazo e devolvemo-lo; preferimos responder a quarenta perguntas antes de um contrato a descobrir uma incompatibilidade depois de um.
Se precisar do certificado, da referência da Declaração de Aplicabilidade ou de confirmação direta do organismo de certificação, peça e tratamos disso.
Podemos verificar o certificado de forma independente?
Por favor, façam-no. O número do certificado é 202124/A/0001/UK/En e o organismo emissor é a URS — United Registrar of Systems (Holdings) Ltd., Bournemouth, Reino Unido. A URS publica no próprio certificado os contactos para verificações de autenticidade.
O UKAS mantém também um registo público dos organismos que acredita, onde a URS consta com o número de acreditação 0043.
O âmbito é suficientemente amplo para cobrir o software que compraríamos?
Sim. O âmbito certificado é “Conceção, desenvolvimento, implementação e manutenção de soluções de software”, o que abrange a forma como o Wise Timetable é construído, implantado e suportado — e não apenas como o nosso escritório é gerido. Os âmbitos restritos a uma sede são algo que se costuma verificar, e que vale a pena verificar com cada fornecedor.
O que acontece se tivermos de manter os dados dentro do nosso país?
Instalamos inteiramente na sua própria infraestrutura. É uma opção de implantação padrão com a mesma funcionalidade, suporte e condições de atualização do alojamento na nuvem, não uma exceção relutante.
Está a conduzir uma revisão de segurança?
Envie-nos o questionário e o prazo. Preenchemo-lo como deve ser e diremos com clareza o que não conseguirmos cumprir.