Como a ForLogic trata a privacidade, os terceiros e as certificações?

Saber com quem os dados são compartilhados, por quanto tempo são mantidos e quem atesta os controles é parte da confiança em um fornecedor. Neste artigo, você conhece os suboperadores da ForLogic, as práticas de privacidade e proteção de dados e as certificações e auditorias que a empresa mantém.

Terceiros e fornecedores

Suboperadores / subprocessadores

Os dados dos clientes podem ser compartilhados com os seguintes suboperadores de alta confiança localizados nos EUA, exclusivamente para os dados estritamente necessários à execução do serviço:

Microsoft: infraestrutura cloud, armazenamento e backup.
HubSpot: comunicação e relacionamento.
SendGrid: envio de e-mails transacionais.

Mais detalhes a respeito dos subprocessadores são disponibilizados nos termos de uso do sistema.

Due diligence de fornecedores

A ForLogic realiza avaliações de terceiros que compõem a supply chain. A avaliação de fornecedores é realizada no módulo Fornecedores do Qualiex, incluindo avaliações quanto ao nível de maturidade em proteção e privacidade de dados.

Privacidade e proteção de dados

ROPA / Inventário de dados / Mapeamento

A empresa mantém Registro de Operações de Tratamento de Dados (ROPA/Inventário de Dados), sustentado por mapeamento de dados e relatório de impacto, documentados internamente.

RIPD

A empresa elabora Relatório de Impacto à Proteção de Dados Pessoais (RIPD) para atividades classificadas como de alto risco pela Resolução nº 2/2022 da ANPD. As medidas de mitigação previstas nos RIPDs são implementadas.

As diretrizes para elaboração de RIPD estão formalizadas nas Políticas de Segurança da Informação.

Dados sensíveis

As aplicações coletam apenas os dados inseridos pelos usuários para fins de operação do sistema. Não há coleta ativa de dados sensíveis pela plataforma além do que o próprio cliente insere.

Retenção e descarte

Os dados pessoais são retidos por 6 meses após o encerramento do contrato, a menos que seja solicitada pela contratante a exclusão imediata. Após o período de retenção, os dados são descartados de forma adequada, conforme política interna.

Relatórios de integridade e exportação de dados são possíveis, porém sob custo adicional.

Transferência internacional de dados

A empresa realiza transferência internacional de dados nos seguintes cenários:

Armazenamento: replicação geográfica do Azure para a região EUA (South Central US).
Suboperadores: transferência de dados estritamente necessários para Microsoft, HubSpot e SendGrid.

As salvaguardas adotadas incluem criptografia segundo padrões seguros do mercado (no mínimo TLS 1.2) e as proteções contratuais e técnicas oferecidas pelos suboperadores.

Direitos dos titulares

Os titulares podem exercer seus direitos (acesso, correção, exclusão) por meio de:

Aviso de privacidade: publicado no site, em forlogic.net/aviso-de-privacidade.
E-mail: compliance@forlogic.net.
Canal de atendimento: o canal padrão da empresa.

Portabilidade e exportação de dados

Exportação: mediante solicitação, a ForLogic exporta todos os registros e documentos inseridos, em planilha, pelo valor de R$ 200,00 por hora técnica de trabalho, apresentando relatório próprio das horas trabalhadas.
Janela para solicitação: os dados permanecem retidos por até 6 meses após o encerramento do contrato, período em que a contratante pode solicitar a exportação. A exclusão imediata também pode ser solicitada.
Migração de sistema: em caso de troca de sistema pelo cliente, aplica-se o mesmo procedimento de exportação de dados.

Certificações e auditorias

Certificações ativas

ISO 27001 (ativa): Sistema de Gestão de Segurança da Informação.
ISO 27701 (ativa): Gestão de Privacidade da Informação.
ISO 27018 (ativa): proteção de dados pessoais em nuvem.
ISO 9001 (ativa): Sistema de Gestão da Qualidade.

Auditorias externas

A empresa passa por auditorias externas independentes anualmente, com escopo vinculado às certificações ISO.

Pentests como evidência de auditoria técnica

Os pentests externos anuais, com correção prontamente aplicada às vulnerabilidades identificadas, funcionam como camada adicional de validação técnica de segurança.