Segurança e privacidade

Sim, a Ekata mantém uma política de privacidade interna e formação anual sobre privacidade para todos os membros da equipa.

Sim, a Ekata oferece um DPA aos seus clientes. No entanto, nem todos os contratos de clientes utilizarão este DPA; os casos de uso irão variar. O DPA é um contrato que estabelece o enquadramento legal ao abrigo do qual a Ekata processa Informação Pessoal, incluindo a que recolhe dos clientes para prestar os serviços da Ekata. O DPA é um aditamento ou anexo ao Contrato Principal, ou seja, um Contrato Quadro de Serviços («Master Services Agreement» ou «MSA»), etc., celebrado entre a Ekata e o(s) respetivo(s) cliente(s).

O DPA da Ekata é específico para os serviços multicliente da Ekata e abrange os nossos processos relacionados com estes. Por exemplo, o DPA abrange os nossos processos relativos a notificações de privacidade, auditorias, certificações, medidas de segurança e atividades de subtratamento, todos alinhados com o funcionamento dos serviços e da infraestrutura multicliente da Ekata. O DPA da Ekata também foi redigido para interoperar perfeitamente com o MSA e outros acordos relevantes da Ekata e da Mastercard.

O DPA da Ekata aplica-se a nível global e estabelece as obrigações legais e os compromissos relevantes relacionados com o tratamento de Informações Pessoais no âmbito da prestação dos serviços da Ekata. Para facilitar a consulta, utiliza determinada terminologia de leis específicas de privacidade e proteção de dados, por exemplo, “Responsável pelo Tratamento” e “Subcontratante” do Regulamento Geral de Proteção de Dados (“RGPD”) da União Europeia, que são reconhecidas a nível global. O DPA também inclui um anexo específico para responder às leis de privacidade dos Estados Unidos. Podem ser adicionados outros anexos ao DPA, à medida que os regulamentos de privacidade continuam a evoluir a nível global.

Para clientes que operam apenas na União Europeia, temos um DPA específico para essa região.

Sim, a maior parte do DPA aplica-se aos Clientes, independentemente da respetiva ligação ao Espaço Económico Europeu (“EEE”), à Suíça e/ou ao Reino Unido (“RU”) (em conjunto, a “Europa”). A maioria dos compromissos assumidos no DPA baseia-se em requisitos gerais de privacidade presentes em todas as leis de proteção de dados a nível global e não são específicos apenas das leis europeias.

A Ekata atua como Responsável pelo Tratamento no que respeita à Informação Pessoal sujeita ao RGPD e a leis semelhantes submetida pelos clientes aos serviços da Ekata. O cliente atua como Responsável pelo Tratamento ou como Subcontratante dessa Informação Pessoal. Isto está estabelecido na Secção 2 (“Funções das Partes”) do DPA e na Secção 4 do Aditamento da UE.

A Ekata deve controlar as finalidades e os meios do tratamento de Informação Pessoal de Clientes para apoiar a melhoria contínua dos produtos de segurança e prevenção de fraude da Mastercard e permitir a capacidade total de devolver resultados mais consistentes e fiáveis para os nossos clientes. Por exemplo, a Ekata utiliza a Informação Pessoal submetida pelos clientes através de uma consulta ao serviço (“dados de consulta de clientes”) para alimentar a Ekata Identity Network, o que melhora o produto da Ekata para todos os clientes. A finalidade e o âmbito do tratamento de Informação Pessoal fornecida à Ekata pelos clientes para a melhoria dos produtos de prevenção de fraude da Ekata excedem as noções de um papel tradicional de “subcontratante” conforme previsto no RGPD (e outras leis de privacidade). Além disso, como a Ekata foi recentemente adquirida pela Mastercard, os dados de consulta de clientes serão utilizados para apoiar vários produtos de prevenção de fraude da Mastercard.

O DPA da Ekata representa o nosso compromisso global com a proteção dos dados dos nossos clientes. Como as transações digitais são globais e sem fronteiras, este documento inclui referências a estatutos de privacidade em muitos mercados globais, incluindo os EUA, o EEE, o Reino Unido, o Brasil, a Argentina, entre outros. Se não tens atividade nesses mercados atualmente, o documento estipula que a linguagem que rege esses países não será aplicável. A Ekata não removerá essa linguagem do acordo. Torna-se irrelevante na medida em que o teu negócio não entre em novos mercados, mas protege ambas as empresas caso um indivíduo fora dos mercados típicos do cliente tente fazer negócios com a tua empresa, independentemente de ser conhecido ou desconhecido pelas tuas salvaguardas atuais.

Para que o teste piloto seja bem-sucedido, os dados de consulta dos clientes — incluindo Informações Pessoais — têm de ser introduzidos na Rede num ambiente de produção para receber os sinais da Rede e demonstrar a total eficácia do produto. O DPA mantém-se em vigor após o período de teste e aplica-se aos serviços aquando da comercialização.

Muitas leis de privacidade de dados em todo o mundo garantem aos respetivos residentes determinados direitos relativos às suas Informações Pessoais e à forma como as empresas as podem tratar – Direitos dos Titulares dos Dados. Para exercer estes direitos, os indivíduos cujas Informações Pessoais estão a ser processadas («Titulares dos Dados») devem submeter um pedido de direitos dos titulares dos dados à empresa e, se o pedido for válido, a empresa está legalmente obrigada a tomar a medida solicitada e a dar cumprimento ao pedido. Alguns dos pedidos de direitos dos titulares dos dados mais comuns são o direito de solicitar uma cópia, corrigir, parar de processar ou eliminar Informações Pessoais. Os estados norte-americanos da Califórnia e da Virgínia adicionaram recentemente o direito de um indivíduo solicitar que uma empresa deixe de vender as suas Informações Pessoais se a empresa for um corretor de dados (Data Broker).

A Ekata responde aos pedidos dos Titulares dos Dados para exercer os direitos concedidos aos mesmos ao abrigo das leis de proteção de dados globais, incluindo o Regulamento Geral de Proteção de Dados e as leis de privacidade estaduais dos EUA, conforme aplicável.

Os nossos fornecedores de dados terceiros são contratualmente obrigados a proporcionar aos titulares dos dados a capacidade de exercerem os seus direitos de proteção de dados, tais como o direito de um indivíduo aceder ou apagar as suas informações. Além disso, os nossos fornecedores de dados são obrigados a notificar a Ekata sobre os pedidos dos titulares dos dados. Quando a Ekata recebe esta notificação por parte do fornecedor de dados, efetuamos a avaliação jurídica necessária e damos cumprimento aos pedidos válidos.

Os indivíduos (ou os seus representantes, se aplicável) podem enviar pedidos à Ekata utilizando qualquer um dos métodos adequados às pessoas em cada jurisdição indicada no nosso Aviso de Privacidade. Os residentes da Califórnia e da Virgínia também podem clicar no link “Não vender as minhas informações pessoais” na parte inferior do site da Ekata para enviar um pedido através do nosso formulário Web.

Sim, ocasionalmente. Avaliamos cada submissão em massa individualmente quanto à validade e aplicabilidade. Por vezes, recebemos pedidos em massa de terceiros que foram contratados pelos Titulares dos Dados para submeter pedidos em seu nome. Também poderemos receber pedidos em massa dos nossos fornecedores de dados terceiros ou de determinados clientes. Dependendo da situação, podemos processar cada pedido em massa de forma diferente.

Quando um titular de dados submete um pedido que exige que a Ekata elimine ou deixe de processar as Informações Pessoais do indivíduo, removemos essas informações das nossas bases de dados Identity Network e Identity Graph que alimentam os nossos produtos. Quando isto ocorre e um cliente apresenta uma consulta a solicitar informações sobre esse indivíduo, a resposta devolvida ao cliente é “Null” ou poderá não haver qualquer resultado se a consulta fizer parte de um teste em lote histórico. Infelizmente, isto significa que a resposta à consulta não ajudará o cliente a tomar uma decisão de prevenção contra fraudes.

Sim, os pedidos dos titulares de dados, especialmente os pedidos em massa, podem afetar as métricas de desempenho dos Serviços Ekata. Se, por exemplo, a Ekata tiver executado recentemente um pedido de dados em massa para eliminar ou parar de processar Informações Pessoais, os clientes poderão registar uma quebra no desempenho como resultado do aumento de respostas "Null".

Sim, é possível que agentes mal-intencionados submetam pedidos de titulares de dados para remover as respetivas Informações Pessoais dos serviços de prevenção de fraude e dificultar a deteção das suas ações. No entanto, as autoridades globais de proteção de dados consideraram geralmente que este risco é menos importante do que o direito de todos os indivíduos poderem controlar as suas Informações Pessoais.

Sim. A Ekata pode partilhar a Informação Pessoal que recebe quando os clientes utilizam os nossos Serviços com as nossas subsidiárias e afiliadas que fazem parte do grupo de empresas da Mastercard. Também podemos partilhar Informação Pessoal com os nossos prestadores de serviços que realizam serviços em nosso nome. Exemplos dos nossos prestadores de serviços incluem fornecedores de analítica, fornecedores de armazenamento de dados e fornecedores de processamento de pagamentos. Exigimos que estes prestadores de serviços processem a Informação Pessoal que recebem apenas de acordo com as nossas instruções e conforme necessário para realizar serviços em nosso nome, cumprir requisitos legais e proteger as informações com medidas de segurança adequadas.

Um desempenho eficaz e eficiente dos serviços da Ekata requer a utilização de subcontratantes. Estes subcontratantes podem incluir Afiliados da Mastercard, da Ekata e/outros terceiros, tais como fornecedores ou prestadores de serviços. A utilização de subcontratantes por parte da Ekata pode exigir a transferência de Dados do Cliente para subcontratantes para fins como o alojamento de Dados do Cliente, a prestação de assistência ao cliente e a garantia do correto funcionamento dos serviços.

Toda a Informação Pessoal pode ser acedida pelos sistemas da Ekata a partir dos Estados Unidos. Uma vez que o acesso constitui uma “transferência” ao abrigo do RGPD, toda a Informação Pessoal submetida à Ekata e armazenada nos sistemas da Ekata é transferida para os EUA.

Ao abrigo da lei de proteção de dados da UE, as informações pessoais não podem ser transferidas para fora da Europa, a menos que (i) o país importador seja considerado adequado pelo organismo governamental relevante; ou (ii) o exportador de dados tenha salvaguardas adequadas em vigor para garantir que as informações pessoais transferidas estão sujeitas a um nível adequado de proteção de dados. As “salvaguardas adequadas” incluem mecanismos de transferência como cláusulas de proteção de dados padrão (ou seja, as Cláusulas Contratuais Padrão) e regras corporativas vinculativas.

Dependendo dos Serviços específicos do Contrato Principal, a Ekata pode transferir dados com base nas respetivas Regras Vinculativas das Empresas (“BCRs”) – políticas de proteção de dados específicas da empresa e aplicáveis a todo o grupo, aprovadas pelas autoridades de proteção de dados para facilitar as transferências de Informações Pessoais fora da Europa no seio do grupo Mastercard. Alguns acordos mais antigos podem recorrer a cláusulas contratuais-tipo para autorizar estas transferências de dados.

A Ekata não oferece atualmente opções de localização de dados para nenhum dos Serviços Ekata, embora as nossas equipas de produtos estejam a trabalhar nessas opções para o futuro. As configurações atuais dos Serviços Ekata exigem que as Informações Pessoais da UE sejam transferidas para e/ou acedidas a partir dos Estados Unidos.

A equipa de Privacidade e Proteção de Dados da Mastercard avalia os pedidos de dados governamentais (“GDRs”) que envolvem Informações Pessoais caso a caso. Em particular, a equipa determinará se o GDR é (i) juridicamente vinculativo; (ii) baseado em regras claras, precisas e acessíveis; (iii) necessário e proporcional; (iv) sujeito a supervisão independente por parte de reguladores e/ou do sistema judicial nacional; e (v) sujeito a recursos efetivos para os indivíduos afetados. Apenas quando estivermos certos de que o processo legal é válido e adequado, e quando estivermos convencidos de que o GDR não impede a Ekata de cumprir as suas obrigações ao abrigo das Regras Corporativas Vinculativas da Mastercard e não tem um efeito substancial nas garantias fornecidas pelas mesmas, é que entregamos o conjunto mais restrito possível de dados necessários para responder ao GDR. Se não conseguirmos resolver o conflito de leis, a equipa de Privacidade e Proteção de Dados envidará os melhores esforços para suspender o GDR durante um atraso razoável, de modo a consultar a Autoridade de Proteção de Dados da Bélgica sobre como resolvê-lo.

O tratamento predefinido das Informações Pessoais dos Clientes consiste na pseudonimização e encriptação dos dados.

A Ekata mantém medidas técnicas e organizacionais adequadas para proteger os Dados de Clientes, incluindo, sem caráter limitado:

Controlo de acesso físico

As medidas técnicas e organizacionais para impedir que pessoas não autorizadas obtenham acesso aos sistemas de processamento de dados disponíveis em instalações e edifícios (incluindo bases de dados, servidores de aplicações e hardware relacionado), onde as Informações Pessoais são processadas, incluem:

• Estabelecimento de áreas de segurança, restrição de caminhos de acesso;
• Estabelecimento de autorizações de acesso para funcionários e terceiros;
• Sistema de controlo de acessos (leitor de identificação, cartão magnético, cartão com chip);
• Gestão de chaves, procedimentos de cartões-chave;
• Bloqueio de portas (abridores de portas elétricos, etc.);
• Pessoal de segurança, pessoal de limpeza;
• Instalações de vigilância, monitor de vídeo/CCTV, sistema de alarme;
• Proteção de equipamentos de processamento de dados descentralizados e computadores pessoais.

Controlo de acesso virtual

As medidas técnicas e organizacionais para evitar que os sistemas de processamento de dados sejam utilizados por pessoas não autorizadas incluem:

• Procedimentos de identificação e autenticação de utilizadores;
• Procedimentos de segurança de ID/palavra-passe (caracteres especiais, comprimento mínimo, alteração da palavra-passe);
• Bloqueio automático (por exemplo, da palavra-passe ou por tempo limite);
• Monitorização de tentativas de intrusão e desativação automática do ID de utilizador após várias tentativas com palavras-passe incorretas;
• Criação de um registo principal por utilizador, procedimentos de dados principais do utilizador, por ambiente de processamento de dados.

Controlo de acesso a dados

As medidas técnicas e organizacionais para garantir que as pessoas autorizadas a utilizar um sistema de tratamento de dados só têm acesso às Informações Pessoais de acordo com os respetivos direitos de acesso, e que as Informações Pessoais não podem ser lidas, copiadas, modificadas ou eliminadas sem autorização, incluem:

• Políticas e procedimentos internos;
• Controlar os esquemas de autorização;
• Direitos de acesso diferenciados (perfis, funções, transações e objetos);
• Monitorização e registo dos acessos;
• Medidas disciplinares contra os funcionários que acedem a Informações Pessoais sem autorização;
• Relatórios de acesso;
• Procedimento de acesso;
• Procedimento de alteração;
• Procedimento de eliminação.

Consulta também a página de Segurança dedicada da Ekata que detalha as nossas certificações de conformidade e abordagem à segurança, ou o Anexo 1 do DPA.

• O Aviso de Privacidade da Ekata pode ser consultado aqui.
• Pode encontrar o DPA aplicável aos produtos da Ekata aqui.
• A Ekata tem uma página de segurança dedicada.

Se tiveres questões adicionais, contacta o teu gestor de conta.

A Ekata mantém políticas e procedimentos de gestão de incidentes de segurança, que são descritos nas FAQ de segurança aplicáveis (disponíveis aqui). Na Secção 9.1 do DPA (disponível aqui). A Ekata compromete-se a notificar os Clientes sem demora injustificada após tomar conhecimento de uma violação de Informação Pessoal.

Se a tua organização for afetada por uma violação de segurança, o(s) contacto(s) de segurança da tua organização será(ão) notificado(s). Estão disponíveis aqui os passos sobre como criar e manter a tua Lista de Contactos de Segurança.