Política de Segurança da Informação

Última atualização: 24/08/2026

1. Objetivo

Esta política estabelece os princípios e as medidas que a Apollotec adota para proteger a confidencialidade, a integridade e a disponibilidade da informação que trata, seja própria, de clientes ou de parceiros. É também a resposta ao artigo 32.º do RGPD — as medidas técnicas e organizativas adequadas ao risco — a que a Política de Privacidade remete.

2. Âmbito

Aplica-se a todos os sistemas de informação, infraestruturas, colaboradores, prestadores de serviços e processos da Apollotec envolvidos no tratamento, armazenamento ou transmissão de informação, incluindo os serviços de cloud e alojamento geridos pela Apollotec para os seus clientes.

3. Princípios

• Confidencialidade — a informação só é acedida por quem tem autorização e necessidade legítima de a conhecer.
• Integridade — a informação mantém-se exata e completa, protegida contra alterações não autorizadas.
• Disponibilidade — a informação e os sistemas estão acessíveis sempre que necessário, dentro dos níveis de serviço acordados.

4. Medidas técnicas

• Controlo de acessos baseado no princípio do menor privilégio, com autenticação individual e autenticação multifator nos acessos administrativos;
• Encriptação de dados sensíveis, em trânsito e em repouso;
• Cópias de segurança regulares, com testes periódicos de recuperação;
• Monitorização contínua de infraestruturas e deteção de anomalias;
• Registo de atividade (logging) dos acessos administrativos, para rastreabilidade;
• Gestão de vulnerabilidades e aplicação regular de atualizações de segurança;
• Proteção perimetral e sistemas anti-DDoS nos nossos data centers;
• Segregação de ambientes de desenvolvimento, teste e produção;
• Segurança no ciclo de desenvolvimento: revisão de código, validação de dados de entrada e cabeçalhos de segurança HTTP nos sites que publicamos.

5. Medidas organizativas

• Deveres de confidencialidade contratualizados com colaboradores e prestadores;
• Sensibilização periódica das equipas em segurança da informação e proteção de dados;
• Contratos de subcontratação nos termos do artigo 28.º do RGPD com todos os prestadores que tratam dados por nossa conta;
• Avaliação de segurança dos prestadores antes da adjudicação;
• Revogação de acessos no momento da cessação de funções ou do contrato;
• Minimização: só se recolhe e conserva o que a finalidade exige, pelo tempo que a finalidade exige.

6. Certificações e conformidade

Os nossos data centers operam sob certificação ISO 27001 e situam-se na União Europeia. Os processos internos são desenhados para conformidade com o RGPD, com a Lei n.º 58/2019 e com a demais legislação aplicável em Portugal e na União Europeia.

7. Gestão de incidentes de segurança

Mantemos um processo formal de deteção, contenção, resposta, resolução e análise posterior de incidentes de segurança.

Tratando-se de uma violação de dados pessoais, e nos termos dos artigos 33.º e 34.º do RGPD:

• Notificamos a Comissão Nacional de Proteção de Dados no prazo de 72 horas a contar do conhecimento da violação, salvo se for improvável que dela resulte risco para os direitos e liberdades dos titulares;
• Informamos sem demora injustificada os titulares afetados, quando a violação for suscetível de implicar um risco elevado;
• Quando atuamos como subcontratante, informamos o cliente responsável pelo tratamento sem demora injustificada, para que este possa cumprir os seus próprios deveres de notificação;
• Registamos internamente todas as violações, incluindo as que não são notificáveis, com os efeitos e as medidas corretivas adotadas.

8. Continuidade

As cópias de segurança e os procedimentos de recuperação são testados periodicamente, para que a reposição do serviço não seja verificada pela primeira vez durante um incidente.

9. Responsabilidades

Todos os colaboradores e prestadores de serviços da Apollotec são responsáveis por cumprir esta política e por reportar de imediato qualquer incidente ou suspeita de incidente de segurança.

10. Divulgação responsável de vulnerabilidades

Se encontrar uma vulnerabilidade nos nossos sistemas, escreva para info@apollotec.pt com a descrição e os passos de reprodução. Pedimos que não divulgue publicamente a falha antes de termos tido oportunidade de a corrigir, e que não acesse, altere nem exfiltre dados de terceiros durante o teste. Respondemos a todos os relatos.

11. Revisão desta política

Esta política é revista periodicamente, e sempre que ocorra uma alteração material nos nossos processos, na tecnologia utilizada ou na legislação aplicável.

12. Contacto

Para reportar um incidente de segurança ou uma vulnerabilidade, ou para qualquer questão sobre esta política, contacte info@apollotec.pt.