Medidas de segurança para fornecedores

Estas Medidas de Segurança do Fornecedor aplicam-se ao Fornecedor quando este fornece bens, serviços ou software à OpenAI e estão incorporadas no contrato aplicável entre o Fornecedor e a OpenAI (“Contrato”). Os termos utilizados aqui, mas não definidos neste documento, encontram-se definidos no Contrato.

O fornecedor deverá manter e operar um Programa de Segurança da Informação, o qual será revisto pelo menos anualmente, ou antes, caso seja motivado por um incidente de segurança ou por uma alteração substancial na legislação aplicável. A supervisão do Programa de Segurança da Informação será atribuída a pessoal sênior devidamente qualificado. 

Para cumprir suas obrigações de segurança e privacidade sob o Contrato, o Programa de Segurança da Informação do Fornecedor incluirá o seguinte:

• Manter políticas escritas de segurança da informação e privacidade alinhadas com o Programa de Segurança da Informação e todas as Leis de Proteção de Dados aplicáveis. 
• Comunique essas políticas e o Código de Conduta do Fornecedor a todos os funcionários relevantes e exija o reconhecimento formal.
• Monitorar a conformidade e remediar as não conformidades por meio de processos documentados; as violações das políticas serão tratadas com as medidas disciplinares cabíveis.

• Manter e operar um programa de gestão de riscos que inclua avaliações de risco regulares e controles para identificação, análise, monitoramento, relato e ação corretiva de riscos.
• Pelo menos anualmente, realize avaliações de risco (internamente ou com recursos independentes contratados) para identificar riscos para os dados da OpenAI, riscos para os ativos comerciais do fornecedor (por exemplo, infraestrutura técnica), ameaças contra esses elementos (tanto internas quanto externas), a probabilidade de ocorrência dessas ameaças e o impacto sobre a organização.
• Realizar a triagem dos riscos de segurança relacionados aos Dados da OpenAI e priorizar sua remediação.

• Manter e operar as práticas padrão do setor para seleção, treinamento e gestão de pessoal.
• Realizar, na medida em que for legalmente permitido na jurisdição de cada trabalhador, verificações de antecedentes pré-emprego para todo o pessoal que terá acesso aos dados da OpenAI ou que apoiará o desempenho do Fornecedor.
• Fornecer treinamento anual de segurança e privacidade para o pessoal do fornecedor e treinamento de segurança complementar, conforme necessário.
• Exigir que o Pessoal do Fornecedor assine um acordo de confidencialidade ou assegurar que o Pessoal do Fornecedor esteja sujeito a obrigações de confidencialidade compatíveis com aquelas às quais o Fornecedor está sujeito no contexto da prestação de serviços à OpenAI, como condição de emprego ou contratação, e que siga as políticas de proteção de dados de clientes e de outros terceiros.
• Verificar a identidade de seus funcionários e trabalhadores temporários.
• Não empregar ou contratar pessoal de fornecedores localizado em qualquer país ou território: (a) designado como totalmente sancionado pelo Escritório de Controle de Ativos Estrangeiros dos EUA (OFAC); (b) sujeito a um alerta de Nível 4/Não Viajar do Departamento de Estado dos EUA; ou (c) em regiões que vivenciam conflito armado ativo.
• Permitir que a OpenAI realize verificações de segurança pontuais no pessoal do fornecedor e compartilhe prontamente qualquer informação que a OpenAI solicite razoavelmente para dar suporte a essas verificações.
• A OpenAI poderá realizar verificações de segurança suplementares para o pessoal do Fornecedor que esteja em regime remoto, desde que tal ação não limite ou exclua a obrigação do Fornecedor de realizar suas próprias verificações de antecedentes e de identidade, conforme previsto nestas Medidas de Segurança ou no Contrato.

O fornecedor garantirá a segurança de todos os laptops corporativos, dispositivos móveis, servidores locais e outros equipamentos que processam dados da OpenAI, por meio de:

• Gerenciamento centralizado de todos os endpoints e servidores — incluindo a infraestrutura local — por meio de uma plataforma de gerenciamento de endpoints aprovada.
• Aplicação automática de configurações básicas de segurança e patches oportunos em sistemas operacionais, aplicativos e firmware em estações de trabalho e servidores.
• Exigir criptografia em repouso: criptografia de disco completo em laptops e estações de trabalho, e criptografia em nível de volume ou armazenamento em servidores e dispositivos de armazenamento.
• Desativar ou controlar rigorosamente mídias portáteis e removíveis em todos os ativos.

• Manter e operar as práticas padrão do setor para controle de identidade, autenticação e gerenciamento de acesso.
• Documentar as políticas e os procedimentos que regem a gestão de acesso para o pessoal do fornecedor e as contas de serviço.
• Mantenha uma lista precisa e atualizada de todos os funcionários do fornecedor com acesso aos sistemas. 
• Desabilitar ou revogar credenciais em até um dia útil após a transferência ou a rescisão.
• Utilizar login único (SSO) para todos os acessos interativos a sistemas internos e serviços de terceiros que dão suporte à prestação dos Serviços.
• Exigir autenticação multifatorial pelo provedor de identidade como parte do fluxo de login único (SSO). 
• Implementar o controle de acesso baseado em funções (RBAC) com os princípios do menor privilégio e da segregação de funções.
• Utilize contas privilegiadas (“root”/“administrador”) somente quando tecnicamente necessário, de acordo com os procedimentos de controle de alterações aprovados; proíba usuários sem privilégios de executar funções privilegiadas.
• Exigir análise e aprovação formais para qualquer solicitação de acesso a sistemas que armazenam dados da OpenAI, além de auditorias de acesso periódicas (pelo menos trimestrais) para confirmar a adequação dos privilégios.
• Estabelecer procedimentos para reportar e revogar credenciais comprometidas (por exemplo, senhas, chaves de API) e para verificar a identidade do usuário antes de emitir redefinições ou credenciais temporárias.
• Para os usuários finais da OpenAI, há dependência de um serviço de gerenciamento de identidade e acesso de terceiros; o fornecedor não armazena as senhas fornecidas pelo usuário.

• Manter e operar um plano de resposta a Incidentes de Segurança para responder e resolver eventos que comprometam a confidencialidade, disponibilidade ou integridade da performance do Fornecedor ou dos Dados da OpenAI.
• Ao tomar conhecimento de um Incidente de Segurança real ou suspeito, forneça notificação por escrito à OpenAI pelo e-mail security@openai.com sem atraso indevido e, em qualquer caso, dentro de 48 horas a partir do momento em que tomar conhecimento do Incidente de Segurança. Sempre que possível, tal notificação incluirá todos os detalhes disponíveis exigidos pelas Leis de Proteção de Dados para que a OpenAI cumpra suas próprias obrigações de notificação às autoridades reguladoras ou aos indivíduos afetados pelo Incidente de Segurança.
• Adote medidas razoáveis para mitigar os riscos de futuros incidentes de segurança. Caso o Incidente de Segurança ocorra devido ao descumprimento destas Medidas de Segurança do Fornecedor, o Fornecedor reembolsará (sujeito às limitações de responsabilidade incluídas no Contrato) a OpenAI pelos custos e despesas reais e diretos de remediação incorridos como resultado de ações exigidas pelas Leis de Proteção de Dados ou acordadas entre as partes em relação a um Incidente de Segurança, incluindo, quando aplicável: (i) criação e envio de notificações exigidas por lei aos indivíduos afetados; (ii) suporte de call center para responder a consultas; e (iii) serviços legalmente exigidos de monitoramento de crédito para indivíduos afetados. A OpenAI terá total discricionariedade para controlar o tempo, conteúdo e forma de quaisquer notificações fornecidas conforme este parágrafo.

• Criar e manter registros de auditoria para todos os sistemas, redes e infraestrutura de suporte usados para fornecer os Serviços, permitindo o monitoramento, análise, investigação e relato de atividades ilegais ou não autorizadas.
• Registre todas as ações privilegiadas de forma que cada evento seja vinculado a um indivíduo específico.
• Registre e monitore continuamente a atividade privilegiada em endpoints, servidores e infraestrutura de suporte para detectar alterações não autorizadas ou violações de políticas.
• Monitore continuamente a segurança e a disponibilidade — incluindo o tráfego de rede e os registros de serviço — e aja prontamente em caso de alertas. 
• Analisar e revisar regularmente os registros de segurança e operacionais para detectar atividades suspeitas, violações de políticas ou eventos que possam afetar a confidencialidade, integridade ou disponibilidade dos dados da OpenAI.
• Fornecer registros de auditoria à OpenAI mediante solicitação.

• Manter e operar um processo documentado de Desenvolvimento Seguro/Segurança por Design que abranja o planejamento, a codificação, os testes, a implantação e a manutenção do software ou dos serviços que fornece à OpenAI.
• O SDLC (Ciclo de Vida de Desenvolvimento de Software) deve incluir modelagem de ameaças, revisão de código, varredura automatizada de dependências e vulnerabilidades e testes de segurança (estáticos, dinâmicos e de contêineres ou IaC) antes que o código seja promovido para produção. 
• Os resultados dessas atividades, juntamente com as evidências de remediação para as constatações de alto risco, serão mantidos por pelo menos 12 meses e disponibilizados à OpenAI mediante solicitação.

• Segregar ambientes — mantendo os ambientes de produção e não produção separados e garantindo que os dados da OpenAI residam apenas em ambientes de produção.
• Separe logicamente os dados da OpenAI de todos os outros dados do cliente e imponha limites distintos em nível de usuário dentro de cada organização cliente da OpenAI.
• Garanta que os principais recursos de backend sejam implantados por trás de controles de rede privada (VPN, link privado ou arquitetura de confiança zero equivalente).
• As políticas de segurança de rede e os firewalls são configurados para acesso com privilégios mínimos em relação a um conjunto preestabelecido de fluxos de tráfego permitidos. 
• O tráfego não autorizado está bloqueado.

• Manter e operar um programa de gerenciamento de vulnerabilidades em conformidade com os padrões da indústria, projetado para garantir a correção imediata de vulnerabilidades que afetem os serviços prestados pelo Fornecedor.
• Manter e implementar um programa de gestão de vulnerabilidades que realize varreduras regulares em busca de vulnerabilidades, utilize um serviço de notificação de vulnerabilidades, priorize a correção com base no risco e estabeleça prazos de correção com base na classificação de risco.
• Após o lançamento de uma correção e a análise e avaliação da aplicabilidade e importância da vulnerabilidade de segurança associada, a correção é aplicada e verificada dentro de um prazo compatível com o risco que representa para os sistemas.
• Implemente uma solução de gerenciamento de logs e retenha os logs produzidos pelos sistemas de detecção de intrusão por um período mínimo de um ano.

• Mantenha a segurança física em todos os locais onde os dados da OpenAI possam ser armazenados ou acessados.
• Controle o acesso a escritórios e centros de dados por meio de crachá, biometria ou autenticação equivalente.
• Registre e acompanhe todos os visitantes.
• Operar sistemas de vigilância por vídeo e detecção de intrusão física 24 horas por dia, 7 dias por semana.
• Manuseie e descarte mídias físicas com segurança, utilizando armazenamento trancado, transferências rastreadas e destruição certificada.

O fornecedor garantirá a confidencialidade, a integridade e a disponibilidade dos Serviços e de quaisquer Dados da OpenAI por meio de:

• Gerenciamento de disponibilidade
  • Monitorar, analisar e avaliar continuamente o desempenho e a disponibilidade do sistema.
  • Detectar e reportar falhas em tempo hábil e restabelecer os serviços prontamente após uma interrupção.
  • Acompanhar, atestar e documentar o tempo de atividade do serviço, incidentes e aderência aos objetivos de nível de serviço acordados.
  • Fornecer à OpenAI, mediante solicitação, métricas de desempenho relevantes que demonstrem a conformidade com os níveis de serviço.
• Continuidade de negócios e recuperação de desastres (BC/DR)
  • Mantenha planos de continuidade de negócios e recuperação de desastres documentados que abordem emergências ou outros eventos capazes de interromper os Serviços ou comprometer os Dados da OpenAI.
  • Faça backup de sistemas e dados críticos regularmente, de acordo com os planos de continuidade de negócios e recuperação de desastres.
  • Teste os planos de continuidade de negócios/recuperação de desastres pelo menos anualmente e corrija quaisquer lacunas materiais identificadas durante os testes.
  • Obter o consentimento prévio por escrito da OpenAI antes de fazer qualquer alteração que reduza materialmente a proteção que esses planos oferecem, e esse consentimento não será negado sem justa causa.

• Manter e operar um programa de gestão de riscos padrão do setor para todos os subcontratados, subempreiteiros e subfornecedores críticos com acesso aos dados da OpenAI ou que dão suporte ao software ou aos serviços.
• Firmar contratos por escrito com cada terceiro que exijam salvaguardas de segurança pelo menos tão rigorosas quanto as destas Medidas de Segurança do Fornecedor.
• Submeter todos os terceiros ao processo formal de avaliação de segurança do Fornecedor antes da integração e em intervalos regulares subsequentes, mantendo a documentação resultante.
• Identificar, a pedido da OpenAI, todos os subfornecedores críticos, seus países de origem e quaisquer dependências importantes relevantes para o desempenho do fornecedor.
• Manter processos que avaliem os riscos da cadeia de suprimentos de TIC e de produtos e notifiquem prontamente a OpenAI sobre qualquer interrupção, vulnerabilidade ou ameaça emergente que possa comprometer a confidencialidade, integridade ou disponibilidade do software, dos serviços, do desempenho do fornecedor ou dos dados da OpenAI.

• Proteja os dados da OpenAI em trânsito por qualquer rede pública ou privada usando protocolos criptográficos fortes e reconhecidos pelo setor (TLS 1.2 ou superior, SSH 2, IPsec ou equivalente). Protocolos legados ou inseguros (por exemplo, SSL v3, TLS 1.0/1.1) devem ser desabilitados. 
• Criptografar todos os Dados da OpenAI armazenados em qualquer médio persistente — incluindo bancos de dados, armazenamentos de objetos, sistemas de arquivos, dispositivos endpoint e backups — usando algoritmos robustos e reconhecidos pelo setor (por exemplo, AES-256 ou equivalente) e módulos criptográficos validados conforme FIPS 140-2/3, ISO/IEC 19790 ou padrões comparáveis. 
• Gerenciar chaves de criptografia usando um sistema dedicado de gestão de chaves; o acesso às chaves deve ser restrito a pessoal autorizado e rotacionado pelo menos anualmente ou ao menor sinal de comprometimento. O fornecedor deve garantir que snapshots, réplicas e backups offline estejam protegidos sob os mesmos controles.

No término ou rescisão do Contrato, o Fornecedor deverá, a critério da OpenAI, excluir ou devolver todos os Dados da OpenAI (exceto quaisquer cópias de backup ou de arquivamento, as quais deverão ser excluídas de acordo com o cronograma de retenção de dados do Fornecedor), exceto quando o Fornecedor for obrigado a reter cópias nos termos das leis aplicáveis, caso em que o Fornecedor isolará e protegerá esses Dados da OpenAI de qualquer Tratamento adicional, exceto na medida exigida pelas leis aplicáveis. O fornecedor disponibilizará à OpenAI a capacidade de configurar períodos de retenção de dados dentro do produto, caso seja aplicável aos serviços prestados pelo fornecedor.

• Implementa controles projetados para garantir o descarte seguro dos dados da OpenAI em conformidade com a legislação aplicável, considerando a tecnologia disponível, de forma que os dados da OpenAI não possam ser lidos ou reconstruídos. 
• Apague com segurança as mídias eletrônicas antes do descarte, utilizando os métodos descritos na norma NIST SP 800-88 ou equivalente, por meio de sobrescrita ou desmagnetização, ou destrua-as fisicamente antes do descarte ou da realocação para outro sistema.

• Avaliar regularmente a eficácia dos controles de segurança — por meio de varreduras automatizadas, revisões manuais e verificações de conformidade com as políticas — em comparação com as estruturas padrão do setor e suas próprias políticas. 
• Notificar a OpenAI com antecedência sobre qualquer alteração substancial em sua infraestrutura, arquitetura, dependências de terceiros, fluxos de dados ou postura de segurança que possa afetar razoavelmente a confidencialidade, integridade ou disponibilidade dos dados da OpenAI.

Pelo menos anualmente, o Fornecedor deverá:

• Contrate um auditor independente qualificado para revisar os controles de segurança da empresa em relação a um padrão reconhecido do setor (por exemplo, SOC 2 Tipo 2 ou vigilância/recertificação ISO 27001).  
• Forneça um resumo ou relatórios completos (conforme apropriado) à OpenAI mediante solicitação.

Caso o Fornecedor forneça Serviços Hospedados ou serviços online, o Fornecedor deverá:

• Providencie testes de penetração anuais de terceiros que abranjam: (i) os Serviços ou serviços hospedados; (ii) todo o perímetro exposto à internet; e (iii) a rede corporativa interna do Fornecedor.
• Compartilhar evidências de que os testes ocorreram, além de resumos executivos das conclusões, sob acordo de confidencialidade. 
• Corrigir vulnerabilidades críticas e de alta gravidade que afetam os dados da OpenAI em até 60 dias após a descoberta ou informar imediatamente a OpenAI sobre os controles compensatórios e o risco residual.

• Durante a vigência do Acordo e por um ano após o seu término, a OpenAI (ou seu auditor designado) poderá, mediante aviso prévio razoável, revisar os livros, registros e instalações relevantes para confirmar a conformidade com estas Medidas de Segurança do Fornecedor. As revisões serão limitadas às informações razoavelmente necessárias para esse fim e conduzidas sob obrigações de confidencialidade. 
• O fornecedor também fará esforços comercialmente razoáveis para preencher os questionários de segurança que a OpenAI possa enviar ocasionalmente.

O Fornecedor reconhece que a Regra Final que implementa a Ordem Executiva 14117 emitida pelo Departamento de Justiça dos EUA proíbe ou restringe o acesso a grandes volumes de Dados Protegidos por Países de Preocupação ou Pessoas Protegidas (conforme tais termos e outros termos em maiúsculas utilizados neste parágrafo estão definidos na Regra Final).

• Se os serviços fornecidos pelo Fornecedor envolverem acesso a Dados Protegidos da OpenAI ou de suas afiliadas, então o Fornecedor declara e garante que: (i) nem ele nem nenhuma de suas afiliadas é ou será organizado ou constituído em um País de Preocupação, tem ou terá sua principal sede de negócios em um País de Preocupação, ou é ou será 50% ou mais de propriedade, direta ou indiretamente, individualmente ou em conjunto, de um ou mais Países de Preocupação ou Pessoas Protegidas; e (ii) nem o Fornecedor, nem qualquer uma de suas afiliadas, nem qualquer funcionário ou contratado do Fornecedor que tenha acesso a tais Dados Protegidos está ou estará localizado em um País de Preocupação, foi considerado pelo Procurador-Geral dos EUA uma Pessoa Protegida, ou de outra forma se qualifica ou se qualificará como uma Pessoa Protegida. Se (a) ou (b) forem alterados, o Fornecedor notificará imediatamente a OpenAI.
• O fornecedor e suas afiliadas não se envolverão em nenhuma Transação de Dados Protegidos que envolva os Dados Protegidos da OpenAI com um País de Preocupação ou Pessoa Protegida. Caso o Fornecedor realize uma Transação Restrita relacionada aos Dados Abrangidos da OpenAI, o Fornecedor deverá fornecer à OpenAI todas as informações necessárias para que a OpenAI cumpra os requisitos da Regra Final.

• Dados Abrangidos significa grandes volumes de dados sensíveis dos EUA ou dados relacionados ao governo dos EUA, conforme isso possa ser mais detalhado na Regra Final que implementa a Ordem Executiva 14117 emitida pelo Departamento de Justiça dos EUA.
• Leis de Proteção de Dados significa todas as leis de proteção de dados aplicáveis ao desempenho do Fornecedor nos termos do Contrato.
• Serviço hospedado significa software como serviço (SaaS), plataforma como serviço (PaaS) ou qualquer serviço hospedado ou online similar que o Fornecedor forneça à OpenAI.
• Programa de Segurança da Informação significa uma estrutura organizada de políticas, procedimentos e controles que inclui controles administrativos, técnicos e físicos alinhados com os padrões da indústria, todos projetados para salvaguardar a confidencialidade, integridade e disponibilidade dos dados da OpenAI.
• Dados da OpenAI significa informações que o Fornecedor recebeu ou coletou da OpenAI ou em nome da OpenAI em relação ao desempenho do Fornecedor para a OpenAI. Os dados da OpenAI incluem, mas não se limitam a, dados pessoais. 
• Dados Pessoais tem o significado atribuído ao termo “dados pessoais” ou “informações pessoais” conforme definido nas Leis de Proteção de Dados aplicáveis.
• Processamento significa qualquer operação realizada sobre dados, por meios automatizados ou não, incluindo coleta, registro, organização, armazenamento, uso, divulgação ou destruição.
• Incidente de segurança significa qualquer evento real ou suspeito envolvendo acesso, uso, divulgação, alteração ou destruição não autorizados de dados da OpenAI, ou interrupção de sua disponibilidade ou integridade, dentro dos sistemas do fornecedor ou subcontratado.
• Código de Conduta do Fornecedor significa o Código de Conduta do Fornecedor da OpenAI em: https://openai.com/policies/supplier-code/.⁠
• Pessoal do Fornecedor significa todo o pessoal que desempenha qualquer função relacionada ao desempenho do Fornecedor em seu contrato com a OpenAI, incluindo funcionários, contratados, trabalhadores temporários e subcontratados.
• Sistemas significa sistemas de informação utilizados pelo Fornecedor ou seus subfornecedores para processar, transmitir ou armazenar Dados da OpenAI. Isso inclui o hardware, o software, o pessoal e os procedimentos integrados que dão suporte a essas funções.