Software para ocultar dados e proteção de dados: 7 perguntas

«A nossa informática e o nosso encarregado da proteção de dados têm de aprovar tudo o que é novo.» Num software para ocultar dados, a proteção de dados é a primeira coisa que vão perguntar, porque a ferramenta trata precisamente os documentos que pretende proteger. Eis sete perguntas a fazer a qualquer ferramenta de ocultação antes de a aprovar. Para cada uma, uma resposta breve sobre o Dress Docs e uma ligação para a resposta completa no nosso dossiê de conformidade. O dossiê foi escrito para a sua análise; este artigo é o mapa.

Software para ocultar dados e proteção de dados: o que está em causa

Nos termos do RGPD, o responsável pelo tratamento tem de integrar a proteção de dados nos meios de tratamento que escolhe (artigo 25.º). As diretrizes 4/2019 do CEPD (em inglês) indicam que isto inclui o momento da aquisição de software, hardware e serviços, e acrescentam que os responsáveis pelo tratamento não devem escolher fabricantes ou subcontratantes cujos sistemas não permitam cumprir esse dever. Se um fornecedor tratar dados pessoais por sua conta, o artigo 28.º exige um contrato com ele (artigo 28.º; diretrizes 07/2020 do CEPD, em inglês). As organizações abrangidas pela Diretiva NIS2 têm ainda de gerir a segurança da cadeia de abastecimento, incluindo as relações com os fornecedores diretos (artigo 21.º da NIS2).

As perguntas seguintes transformam esses deveres em pontos que pode verificar.

Para onde vai o documento?

Se a ferramenta carregar o ficheiro, o fornecedor fica com uma cópia dos próprios dados que está a retirar. Dress Docs: o seu documento nunca sai do seu dispositivo. Abrir, ocultar e exportar acontecem no navegador ou na aplicação; nenhum documento, página ou excerto é carregado. Resposta completa: Fluxo de dados · É seguro carregar documentos online?

Quem trata o quê?

A resposta decide se precisa de um contrato de subcontratação e para que dados. Dress Docs: os documentos são tratados apenas no seu dispositivo; nas palavras do dossiê, «não tratamos qualquer conteúdo de documentos por sua conta». Para os dados de conta nos planos pagos, o responsável pelo tratamento é a Vzlaio digital LLC (EUA). «Esta é a nossa leitura dos papéis previstos no RGPD, não aconselhamento jurídico; a decisão cabe ao seu encarregado da proteção de dados.» Resposta completa: Não tratamos os seus documentos

O que mais chega ao fornecedor?

Peça a lista completa do que a ferramenta envia, além do documento. Dress Docs: contagens de páginas sem cookies para o nosso próprio servidor de análise na Alemanha; registos do servidor com dados como endereço IP, hora, página, página de origem e navegador; e relatórios de erros para a Sentry, nos Estados Unidos, apenas com dados técnicos e nunca com conteúdo de documentos. Nos planos pagos, o e-mail e o plano ficam guardados nos Estados Unidos e a Stripe processa o pagamento. Resposta completa: Telemetria, sem rodeios

A ocultação aguenta?

Uma tarja que se pode levantar é uma divulgação, não uma ocultação. Dress Docs: cada página exportada é uma única imagem plana, por isso nada do que está por baixo de uma tarja fica no ficheiro; autor, título, programa de origem, datas e a impressão digital do PDF são apagados. Fizemos uma autoavaliação face à ISO/IEC 27038; o Dress Docs não tem qualquer certificação. Resposta completa: Método de ocultação · O que a norma ISO/IEC 27038 pede a uma ferramenta de ocultação

Trabalho guardado e eliminação no dispositivo

Pergunte o que fica no equipamento e como se elimina. Dress Docs: os documentos são temporários por predefinição, e as cópias de identificação são-no sempre. Guardar trabalho é opcional: fica guardado neste navegador, neste dispositivo, cifrado com a frase-passe do utilizador; «Eliminar tudo neste dispositivo» elimina o trabalho guardado e destrói a respetiva chave. O Registo de ocultações (Pro) é guardado nos ficheiros do próprio utilizador e não contém conteúdo do documento (o Registo de ocultações). Resposta completa: Armazenamento no dispositivo

Acessibilidade

No Reino Unido, os organismos públicos têm de cumprir as WCAG 2.2 AA nos seus próprios sites e aplicações, e as orientações do governo pedem que incluam a acessibilidade nas aquisições (gov.uk). Dress Docs: concebido segundo as WCAG 2.2 AA; ainda não foi publicada nenhuma avaliação formal. No plano Organização, pode pedir um relatório de conformidade. Resposta completa: Declaração de acessibilidade

Faturas e utilizadores

O departamento de compras vai querer saber quem fatura e como se gerem os utilizadores. Dress Docs: o plano Equipa gere os utilizadores do seu escritório, com faturas com IVA emitidas através da Stripe, o comerciante registado. O plano Organização acrescenta apoio com o dossiê de conformidade: reuniões de revisão e respostas aos seus questionários. Resposta completa: Preços · Pedir orçamento

O que não afirmamos também está escrito: nenhuma certificação e nada de «conforme com o RGPD» por si só. Uma ferramenta ajuda a partilhar e a guardar menos dados pessoais; a conformidade cabe à sua organização (o que não afirmamos). Para as respostas completas, leia o dossiê de conformidade.