Segurança e conformidade

A Veriff obteve e mantém a Certificação ISO/IEC 27001:2022, que se estende aos controles adicionais definidos na ISO/IEC 27017:2015 e ISO/IEC 27018:2019*. Além disso, a Veriff está em conformidade com SOC 2 Tipo II, GDPR e obteve a certificação Cyber Essentials. Ademais, a Veriff oferece produtos certificados pelo UKDIATF (UK Digital Identity and Attributes Trust Framework).

*A Veriff Brasil ainda não recebeu oficialmente a certificação, porém está em conformidade com os mesmos requisitos.

A Veriff implementa medidas de controle lógico de acesso sobre sistemas usados para processar dados pessoais. Tais medidas incluem, mas não estão limitadas a:

1. 1. Aplicação de diferentes níveis de acesso baseados nos princípios “necessário para saber” e “privilégio mínimo” para garantir que apenas funcionários autorizados que necessitem acessar para a execução imediata de suas tarefas tenham direitos de acesso às fontes de informação, incluindo dados pessoais. O acesso é encerrado quando não for mais necessário.
   2. Habilitação técnica para registro das operações de processamento nos sistemas da Veriff em extensão razoável. Caso haja necessidade de acesso aos registros, estes podem ser solicitados através de nosso suporte ao cliente mediante pedido.
   3. Exclusão de acesso não autorizado aos sistemas e plataformas de informação da Veriff, por exemplo, permitindo que convidados usem somente acesso dedicado à internet sem fio para visitantes.
   4. Acesso protegido a todos os sistemas com autenticação de dois fatores.
   5. Aplicação de política de senha complexa.
   6. Dispositivos de trabalho configurados para bloqueio automático após 10 minutos de inatividade.
   7. Informações protegidas só podem ser acessadas, armazenadas, compartilhadas ou manipuladas usando sistemas e canais de comunicação controlados e autorizados para uso pela Veriff. É proibido o uso de equipamentos e contas da Veriff para uso pessoal.

A Veriff implementa medidas técnicas de segurança sobre sistemas usados para processar dados pessoais. Tais medidas incluem, mas não estão limitadas a:

1. 1. Protocolos seguros (ex.: HTTPS) e conexões de rede (ex.: VPN, IPSEC) são utilizados para transferir dados pessoais.
   2. Criptografia de dados em repouso e em trânsito. A Veriff utiliza criptografia padrão do setor AES-256 para dados em repouso e TLSv1.2+ para dados durante a transmissão.
   3. Hardware e software modernos e seguros para garantir confidencialidade, integridade, disponibilidade e resiliência duradouras dos dados pessoais.
   4. Capacidade de restaurar, em tempo hábil, a disponibilidade dos dados pessoais e o acesso a eles em caso de incidente físico ou técnico por meio de backups. A preservação e integridade dos dados pessoais são garantidas por intervalos regulares de backup.
   5. Backups completos de todos os dados em sistemas de produção são realizados diariamente. Os backups são armazenados e criptografados em servidores AWS. Eles são periodicamente testados pelas equipes de engenharia para garantir a integridade do procedimento. A restauração bem-sucedida de objetos com backup confirma a validade do procedimento. O período padrão de retenção dos backups é de 90 dias.
   6. Testes regulares eficazes (incluindo testes externos de penetração e vulnerabilidades) e avaliação de medidas técnicas e organizacionais, inclusive proteção dos sistemas contra vulnerabilidades e ataques potenciais.
   7. Manutenção de software antivírus e antimalware atualizado, razoável, além de firewalls para todas as redes, sistemas e dispositivos relevantes.

A Veriff implementa medidas organizacionais de segurança sobre sistemas usados para processar dados pessoais. Tais medidas incluem, mas não estão limitadas a:

1. 1. Programas efetivos para gestão de incidentes de segurança da informação, gestão de continuidade do negócio e recuperação de desastres.
   2. Políticas e diretrizes internas extensas para o processamento e segurança de dados pessoais, que abrangem, entre outros, processamento de dados pessoais e atendimento a solicitações dos titulares, gerenciamento de acesso, criptografia, segurança da informação, recuperação de incidentes, gestão de fornecedores, segurança física e requisitos para trabalho remoto.
   3. Treinamentos regulares que cobrem, entre outros, proteção de dados, segurança da informação e especificidades relacionadas à função. Dependendo da função, tendências gerais e necessidades, são oferecidos treinamentos ad hoc e personalizados.
   4. Agente de proteção de dados que monitora e audita a conformidade geral da Veriff com as leis de privacidade.

A Veriff implementa extensos controles de segurança física para garantir a segurança no processamento de dados pessoais. Tais medidas incluem, mas não se limitam a:

1. Manutenção de controles físicos, incluindo acesso aos escritórios da Veriff que é fechado e protegido com autenticação personalizada de dois fatores.
2. Funcionários devem usar crachás de identificação.
3. Escritórios da Veriff possuem áreas de trabalho separadas acessíveis somente a funcionários autorizados.
4. Escritórios da Veriff possuem áreas designadas para visitantes, e convidados só podem acessar outras áreas determinadas quando acompanhados por um funcionário da Veriff. Todos os visitantes devem usar crachás e são registrados na entrada e saída na recepção.
5. Escritórios da Veriff estão equipados com controles perimetrais, vigilância por câmeras no local e segurança (em certos locais).