O nosso compromisso
O tratamento dos dados pessoais cumpre o RGPD e a legislação nacional aplicável. A instituição trata apenas os dados necessários ao canal e protege-os desde a conceção, tendo em conta que muitas denúncias contêm informação sensível.
Princípios aplicados
- Licitude, lealdade e transparência: as pessoas são informadas sobre o tratamento (ver a Política de privacidade).
- Limitação das finalidades: os dados só são usados para tratar a denúncia e cumprir obrigações legais.
- Minimização: o formulário só pede o necessário; numa denúncia anónima não pede dados de identificação.
- Exatidão: os dados inexatos podem ser corrigidos a pedido.
- Limitação da conservação: os dados são conservados pelo prazo legal (ver a página Conservação de dados).
- Integridade e confidencialidade: os dados são protegidos contra o acesso, a alteração e a perda não autorizados.
- Responsabilidade: a instituição é capaz de demonstrar que cumpre estes princípios.
Medidas técnicas
- Ligação cifrada (HTTPS) entre o navegador e o servidor.
- Cifragem dos conteúdos das denúncias, das mensagens, das notas e dos anexos no armazenamento.
- Credenciais dos denunciantes guardadas de forma irreversível; palavras-passe da equipa guardadas com algoritmo de resumo seguro.
- Autenticação em dois passos disponível para a equipa.
- Limitação de tentativas de acesso e proteção contra ataques comuns (falsificação de pedidos, injeção de código, ficheiros maliciosos).
- Verificação dos ficheiros anexados pelo seu conteúdo e remoção dos metadados das fotografias JPG e PNG.
- Política de segurança de conteúdos que impede scripts e recursos de terceiros: o site não usa serviços externos de estatística, fontes ou publicidade.
- Registo de auditoria dos acessos e das operações, sem copiar o conteúdo das denúncias.
- Cópias de segurança regulares.
Medidas organizativas
- Acesso restrito a pessoas designadas, com perfis que dão apenas as permissões necessárias.
- Dever de sigilo para todos os que tratam denúncias.
- Contratos com os prestadores de serviços que tratam dados em nome da instituição, nos termos do artigo 28.º do RGPD.
- Avaliação de impacto sobre a proteção de dados, sempre que exigida pela lei.
- Procedimento para responder a incidentes de segurança.
Violações de dados pessoais
Em caso de violação de dados pessoais, a instituição avalia o risco para os titulares, notifica a CNPD no prazo de 72 horas quando a lei o exigir e, se o risco for elevado, comunica a violação às pessoas afetadas.
Os seus direitos e contactos
Para esclarecer dúvidas sobre o tratamento de dados ou exercer os seus direitos, utilize os contactos da instituição indicados na página Contactos, onde consta também o contacto do encarregado de proteção de dados, quando designado.
Tem ainda o direito de apresentar reclamação à autoridade de controlo, a Comissão Nacional de Proteção de Dados (CNPD), em www.cnpd.pt.