Os Controles de Organizações de Serviços (SOC) são um padrão desenvolvido pela Associação Internacional de Contadores Profissionais Certificados (AICPA) para reforçar a implementação de critérios de serviços de confiança em segurança, disponibilidade, privacidade, confidencialidade e integridade de processamento.

Esses relatórios têm como objetivo atender às necessidades de uma ampla gama de usuários que precisam de informações detalhadas e garantias sobre os controles em organizações de serviços.

Esses controles podem ser relevantes para a segurança, disponibilidade e integridade de processamento dos sistemas que a organização de serviços utiliza para processar os dados dos usuários e a confidencialidade e privacidade das informações processadas por esses sistemas.

Esses relatórios podem desempenhar um papel importante em:

• Supervisão da organização
• Programas de gestão de fornecedores
• Governança corporativa interna e processos de gestão de riscos
• Supervisão regulatória

A organização pode adaptar suas necessidades de serviço ao conjunto de critérios fornecidos pela AICPA para demonstrar que os controles de TI estão em vigor para mitigar e eliminar os riscos associados à prestação de serviços.

Uma empresa que está em conformidade com o SOC 2 é obrigada a provar como os controles de TI e os procedimentos operacionais foram implementados para garantir que os dados dos clientes estejam em conformidade com os critérios de Serviço de Confiança escolhidos.

Normalmente, as organizações de serviços que processam ou armazenam dados sensíveis para seus clientes são obrigadas a cumprir os requisitos do SOC 2.

Esse padrão é um padrão internacional exigido por muitas empresas diferentes, independentemente de seu tamanho ou setor.

A Veriff demonstrou, através da emissão do relatório SOC 2 Tipo 2 por um auditor externo da AICPA, que os controles de TI gerais foram implementados.

Isso garante que o serviço prestado aos nossos clientes é seguro para o Serviço de Verificação de Identidade, em conformidade com os Critérios de Serviço de Confiança de Segurança, Disponibilidade e Confidencialidade.

Isso se divide da seguinte forma:

Segurança

O sistema está protegido contra acesso não autorizado (tanto físico quanto lógico).

Nesse sentido, nossas melhores práticas são:

• A Veriff implementará medidas físicas, técnicas e organizacionais apropriadas para garantir a segurança do serviço e proteger os dados dos clientes contra modificações, divulgação, aquisição, destruição, perda, roubo, uso indevido, alteração ou acesso não autorizado.
• A Veriff notificará os clientes no caso de um incidente de segurança, sem demora indevida, e investigará e tomará medidas para corrigir qualquer não conformidade com o processamento de dados.

Estamos atendendo aos seguintes Requisitos de Sistema Padrão para:

• Acesso lógico
• Acesso físico
• Provisionamento e desprovisionamento de funcionários
• Revisões de acesso
• Criptografia
• Gestão de riscos e vulnerabilidades
• Padrões de manuseio de incidentes
• Gestão de mudanças
• Gestão de fornecedores

Disponibilidade

O sistema está disponível para operação e uso, conforme comprometido ou acordado.

Políticas e procedimentos de recuperação de desastre e continuidade de negócios estão em vigor, juntamente com práticas operacionais para garantir a disponibilidade do serviço.

Estamos atendendo aos seguintes Requisitos de Sistema Padrão para:

• Monitoramento do sistema
• Padrão de backup e recuperação
• Proteções físicas e ambientais

Confidencialidade

As informações designadas como "confidenciais" são protegidas de acordo com política ou acordo.

Nossas melhores práticas são:

• A Veriff manterá os dados dos clientes em confidencialidade, conforme o Acordo de Serviço assinado com os clientes da Veriff.
• A Veriff tratará os dados dos clientes com o mesmo grau de cuidado que confere às suas próprias informações confidenciais de natureza similar.
• A Veriff implementou uma gestão de ciclo de vida de dados determinística. A Veriff, dentro de um número acordado de dias após a data de rescisão dos serviços, excluirá e usará todos os esforços razoáveis para assegurar a exclusão de todas as outras cópias dos dados dos clientes processados pela Veriff ou por qualquer subprocessador.

Estamos atendendo aos seguintes requisitos para:

• Classificação de dados
• Padrões de retenção e destruição
• Padrões de tratamento de dados
• Padrões internos de confidencialidade
• Padrões de compartilhamento de informações

Componentes do sistema para fornecer os serviços

Infraestrutura

A Veriff projetou e está oferecendo seus serviços utilizando uma arquitetura de sistema totalmente hospedada na nuvem. Por design, nenhum dado é armazenado nas próprias instalações da Veriff. A Veriff utiliza os Serviços Web da Amazon (AWS) para fornecer os recursos para hospedar o Serviço de Verificação de Identidade Online da Veriff.

A empresa aproveita a experiência e os recursos da AWS para escalar rápida e seguramente, conforme necessário, para atender à demanda atual e futura.

No entanto, a empresa é responsável por projetar e configurar a arquitetura do Serviço de Verificação de Identidade Online da Veriff dentro da AWS para garantir que os requisitos de disponibilidade, segurança e resiliência sejam atendidos.

A ISO/IEC 27017:2015 cobre nossos serviços em nuvem.

Software

Consiste nos programas e softwares que suportam os Serviços de Verificação de Identidade Online da Veriff (sistemas operacionais [OSs], middleware e utilitários).

A Veriff utiliza softwares e softwares auxiliares para construir, apoiar, proteger, manter e monitorar os Serviços de Verificação de Identidade Online da Veriff, como os serviços de armazenamento simples da AWS (S3), Microsoft Sentinel, Snyk.

A lista de softwares e softwares auxiliares usados para construir, apoiar, proteger, manter e monitorar a Veriff Online Identity Verification.

Mais detalhes sobre nosso software podem ser encontrados aqui.

Pessoas

A empresa desenvolve, gerencia e protege os serviços de verificação de identidade online da Veriff por meio de departamentos separados com clara segregação de funções em Gestão Executiva, Engenharia, Segurança da Informação, Gestão de Produtos, Recursos Humanos, etc.

Procedimentos

Os procedimentos incluem os procedimentos automatizados e manuais envolvidos na operação dos Serviços de Verificação de Identidade Online da Veriff.

Os procedimentos são desenvolvidos e documentados pela equipe de Qualidade Empresarial junto com suas respectivas equipes para uma variedade de processos, incluindo aqueles relacionados à gestão de produtos, engenharia, operações técnicas, segurança, tecnologia da informação (TI) e RH.

Esses procedimentos são elaborados em alinhamento com as políticas gerais de segurança da informação e são atualizados e aprovados conforme necessário para mudanças nos negócios, mas não menos que anualmente.

Os principais procedimentos em escopo são acesso lógico e físico, operações do sistema, gestão de mudanças e mitigação de riscos.

Dados

Isso se refere a fluxos de transação, arquivos, armazenamento de dados, tabelas e resultados usados ou processados pela Veriff.

O cliente define e controla os dados que os usuários finais são solicitados a enviar por meio dos serviços da Veriff. Os dados pessoais processados são armazenados nos servidores da Amazon Web Services, principalmente localizados na região do EEE. Uma vez armazenados no ambiente seguro, os dados são acessados remotamente pelos clientes da Veriff. Nossos clientes podem acessar seus próprios dados apenas, o que significa que implementamos práticas de clustering de dados em todos os buckets da AWS. Como resultado, os clientes não conseguem visualizar os dados de outros clientes. Os dados pessoais são gerenciados, processados e armazenados de acordo com as regulamentações de proteção de dados relevantes, como o GDPR, e com os requisitos específicos formalmente estabelecidos nos contratos com os clientes.

A empresa implantou métodos e protocolos seguros para a transmissão de informações confidenciais ou sensíveis por meio de redes públicas. Os bancos de dados que armazenam dados sensíveis de clientes são criptografados em repouso e em trânsito.

A Veriff processa dados de acordo com sua Política de Privacidade.