Medidas de segurança do fornecedor

Estas Medidas de Segurança do Fornecedor aplicam-se ao Fornecedor quando este fornece bens, serviços ou software à OpenAI e são incorporadas no acordo aplicável entre o Fornecedor e a OpenAI («Acordo»). Os termos usados aqui, mas não definidos aqui, são definidos no Acordo.

O Fornecedor deverá manter e operar um Programa de segurança da informação, que deve ser revisto, no mínimo, anualmente ou antes, se tal for exigido na sequência de um Incidente de Segurança ou de uma alteração material na legislação aplicável. A supervisão do Programa de Segurança da Informação será atribuída a pessoal sénior devidamente qualificado. 

Para satisfazer as obrigações de segurança e privacidade no âmbito do Acordo, o Programa de Segurança da Informação do Fornecedor deverá incluir o seguinte:

• Manter políticas escritas de segurança da informação e políticas de privacidade alinhadas com o Programa de Segurança da Informação e todas as Leis de Proteção de Dados aplicáveis. 
• Comunicar estas políticas e o Código de Conduta do Fornecedor a todo o pessoal relevante e exigir uma confirmação formal.
• Monitorizar a conformidade e corrigir situações de não conformidade através de processos documentados; as violações da política serão tratadas com medidas disciplinares adequadas.

• Manter e operar um programa de gestão de riscos, que inclua avaliações regulares dos riscos e controlos para a identificação, análise, monitorização e reporte de riscos, bem como para a adoção de medidas corretivas.
• Uma vez por ano, no mínimo, realizar avaliações de riscos (seja internamente ou mediante a contratação de recursos externos independentes), para identificar riscos relacionados com os Dados da OpenAI, riscos para os ativos comerciais do Fornecedor (p. ex., a infraestrutura técnica), ameaças contra esses elementos (tanto internas como externas), a probabilidade de concretização dessas ameaças e o respetivo impacto na organização.
• Triagem de riscos de segurança para os Dados da OpenAI e priorização da respetiva remediação.

• Manter e aplicar práticas padrão do setor para a seleção, formação e gestão do pessoal.
• Implementar, dentro dos limites legais permitidos em cada jurisdição, análises prévias à contratação, para todos os recursos humanos que venham a ter acesso aos Dados da OpenAI ou a dar apoio ao desempenho do Fornecedor.
• Disponibilizar formação anual sobre segurança e privacidade ao Pessoal do Fornecedor, bem como formação complementar em segurança, conforme apropriado.
• Exigir que o Pessoal do Fornecedor celebre um acordo de confidencialidade ou garantir que o Pessoal do Fornecedor esteja sujeito a obrigações de confidencialidade consistentes com aquelas às quais o Fornecedor está sujeito no âmbito da prestação de serviços à OpenAI, como condição da sua contratação ou colaboração, e cumpra as políticas relativas à proteção dos dados do cliente e de outros terceiros.
• Verificar a identidade dos seus funcionários e trabalhadores temporários.
• Não empregar nem recorrer a Pessoal do Fornecedor localizado em qualquer país ou território: (a) sujeito a sanções abrangentes pelo Gabinete de Controlo de Ativos Estrangeiros dos EUA (OFAC); (b) sujeito a um aviso de nível 4/não viajar do Departamento de Estado dos EUA; ou (c) em regiões afetadas por conflito armado ativo.
• Permitir que a OpenAI realize verificações de segurança ad hoc aos recursos humanos do Fornecedor e partilhe de imediato quaisquer informações que a OpenAI solicite, dentro do razoável, para apoiar tais verificações.
• A OpenAI poderá realizar verificações de segurança adicionais ao Pessoal do Fornecedor em trabalho remoto, desde que essa intervenção da OpenAI não limite nem exclua a obrigação do Fornecedor de realizar as próprias verificações de antecedentes e de identificação, no âmbito destas Medidas de segurança ou do Acordo.

O Fornecedor deverá garantir a segurança de todos os portáteis da empresa, dispositivos móveis, servidores locais e outro hardware que processem Dados da OpenAI, da seguinte forma:

• Gerindo de forma centralizada todos os endpoints e servidores — incluindo a infraestrutura no local — através de uma plataforma de gestão de endpoints aprovada.
• Aplicando automaticamente configurações de segurança de base e patches atempados nos sistemas operativos, aplicações e firmware, em todas as estações de trabalho e servidores.
• Exigindo a encriptação em repouso: encriptação completa do disco em computadores portáteis e estações de trabalho, e encriptação ao nível do volume ou do armazenamento em servidores e dispositivos de armazenamento.
• Desativando ou controlando rigorosamente os suportes portáteis e amovíveis em todos os ativos.

• Manter e operar práticas reconhecidas pela indústria para controlo de identidade, autenticação e gestão de acessos.
• Documentar políticas e procedimentos que regem a gestão de acessos dos Recursos Humanos do Fornecedor e das contas de serviço.
• Manter uma lista precisa e atualizada de todo o pessoal do Fornecedor com acesso aos Sistemas. 
• Desativar ou revogar as credenciais, no prazo máximo de um dia útil após a transferência ou a cessação.
• Usar início de sessão único (SSO) para todos os inícios de sessão interativos em sistemas internos e serviços de terceiros que apoiem a disponibilização dos Serviços.
• Garantir a autenticação multifator pelo fornecedor de identidade, como parte do fluxo de início de sessão SSO. 
• Implementar controlos de acesso baseados em funções (RBAC), com base nos princípios de privilégios mínimos e separação de funções.
• Usar apenas contas privilegiadas («root»/«administrador») quando exigido tecnicamente no âmbito de procedimentos de controlo de alterações aprovados; proibir os utilizadores não privilegiados de realizar funções privilegiadas.
• Exigir uma revisão e aprovação formais de quaisquer pedidos de acesso a sistemas que armazenem Dados da OpenAI, bem como auditorias periódicas (pelo menos trimestrais) para confirmar a adequação dos privilégios.
• Definir procedimentos para reportar e revogar credenciais comprometidas (p. ex., palavras-passe, chaves de API) e para verificar a identidade do utilizador antes de emitir redefinições ou credenciais temporárias.
• Para utilizadores finais da OpenAI, recurso a um serviço de gestão de identidades e acessos de terceiros; o Fornecedor não armazena palavras-passe fornecidas pelos utilizadores.

• Manter e operar um plano de resposta a Incidentes de Segurança, para reagir e resolver eventos que comprometam a confidencialidade, disponibilidade ou integridade do desempenho do Fornecedor ou dos Dados da OpenAI.
• Após tomar conhecimento de um Incidente de Segurança real ou suspeito, deverá enviar uma notificação escrita à OpenAI através do endereço security@openai.com, sem demora injustificada e, em qualquer caso, no prazo de 48 horas após tomar conhecimento do Incidente de Segurança. Sempre que possível, tal notificação deverá incluir todos os pormenores disponíveis exigidos ao abrigo das Leis de Proteção de Dados, de modo a que a OpenAI possa cumprir as suas próprias obrigações de notificação às autoridades de regulação ou aos indivíduos afetados pelo Incidente de Segurança.
• Adotar medidas razoáveis para mitigar os riscos de outros Incidentes de Segurança. Sempre que o Incidente de Segurança seja devido ao incumprimento, pelo Fornecedor, destas Medidas de Segurança do Fornecedor, o Fornecedor deverá reembolsar a OpenAI (sujeito às limitações de responsabilidade incluídas no Acordo) pelos custos e despesas de remediação efetivamente desembolsados, incorridos em resultado das ações necessárias ao abrigo da Legislação sobre a Proteção de Dados ou acordadas entre as partes relativamente a um Incidente de Segurança, incluindo, quando aplicável: (i) a criação e transmissão de notificações legalmente exigidas às pessoas afetadas; (ii) o apoio de um centro de atendimento para responder aos pedidos de informação; e (iii) os serviços de monitorização de crédito legalmente exigidos para as pessoas afetadas. A OpenAI terá, a seu exclusivo critério, o controlo do momento, do conteúdo e da forma relativos a quaisquer avisos emitidos no âmbito desta alínea.

• Criar e guardar registos de auditoria para todos os sistemas, redes e infraestrutura de apoio usados para disponibilizar os Serviços, permitindo a monitorização, análise, investigação e reporte de atividades ilegais ou não autorizadas.
• Registar todas as ações privilegiadas, de forma a permitir ligar cada evento a um indivíduo identificado.
• Registar e monitorizar, de forma contínua, a atividade privilegiada em endpoints, servidores e infraestrutura de apoio, para detetar alterações não autorizadas ou violações de política.
• Monitorizar continuamente a segurança e a disponibilidade — incluindo o tráfego de rede e os registos de serviço — e atuar prontamente perante quaisquer alertas. 
• Rever e analisar os registos de segurança e operacionais de forma regular, para detetar atividade suspeita, violações de políticas ou eventos passíveis de afetar a confidencialidade, integridade ou disponibilidade dos Dados da OpenAI.
• Disponibilizar os registos de auditoria à OpenAI, mediante solicitação.

• Manter e operar um processo de Desenvolvimento Seguro/Segurança por Design documentado, que abranja o planeamento, codificação, experimentação, implementação e manutenção do software ou dos sistemas que disponibiliza à OpenAI.
• O SDLC tem de incluir a modelação de ameaças, a revisão de código, a análise automatizada de vulnerabilidades em dependências e testes de segurança (análise estática, dinâmica e de contentores ou de IaC) antes de o código ser promovido para produção. 
• Os resultados destas atividades, juntamente com as evidências de remediação relativas a constatações de risco elevado, devem ser guardados durante, pelo menos, 12 meses e disponibilizados à OpenAI mediante pedido.

• Segregar ambientes — mantendo os ambientes de produção e de não produção separados e garantindo que os Dados da OpenAI apenas residem em ambientes de produção.
• Separar, de forma lógica, os Dados da OpenAI de todos os outros dados dos clientes e impor limites distintos ao nível do utilizador dentro de cada organização cliente da OpenAI.
• Garantir que os recursos de backend principais são implementados por trás de controlos de rede privada (VPN, ligação privada ou uma arquitetura de confiança zero equivalente).
• As políticas de segurança de rede e as firewalls estão configuradas para acesso com privilégios mínimos, tendo por base um conjunto predefinido de fluxos de tráfego permitidos. 
• Os fluxos de tráfego não permitidos são bloqueados.

• Manter e operar um programa de gestão de vulnerabilidades reconhecido pela indústria, para garantir a prompt remediação de vulnerabilidades que afetem os serviços disponibilizados pelo Fornecedor.
• Manter e implementar um programa de gestão de vulnerabilidades que efetue regularmente análises de vulnerabilidades, subscreva um serviço de notificação de vulnerabilidades, priorize a remediação com base no risco e estabeleça prazos de remediação com base na classificação de risco.
• Depois de publicado uma correção e de a vulnerabilidade de segurança associada ter sido revista e avaliada em termos de aplicabilidade e importância, a correção tem de ser aplicada e verificada dentro de um prazo que seja adequado ao risco para os Sistemas.
• Implementar uma solução de gestão de registos e manter registos produzidos por sistemas de deteção de intrusões durante um período mínimo de um ano.

• Manter a segurança física em todos os locais onde os Dados da OpenAI possam estar armazenados ou ser acedidos.
• Controlar o acesso a escritórios e centros de dados através de cartões, biometria ou outra autenticação equivalente.
• Registar e acompanhar todos os visitantes.
• Operar sistemas de videovigilância 24 horas por dia, 7 dias por semana, e de deteção de intrusão física.
• Manusear e eliminar, de forma segura, os suportes físicos, utilizando armazenamento trancado, transferências rastreadas e destruição certificada.

O Fornecedor vai salvaguardar a confidencialidade, integridade e disponibilidade dos Serviços e de quaisquer Dados da OpenAI, através do seguinte:

• Gestão da Disponibilidade
  • Monitorizar, analisar e avaliar, de forma contínua, o desempenho e a disponibilidade do sistema.
  • Detetar e comunicar falhas atempadamente e restaurar os serviços prontamente após uma interrupção.
  • Monitorizar, autoatestar e documentar o tempo de disponibilidade do serviço, os incidentes e a adesão aos objetivos de nível de serviço acordados.
  • Disponibilizar à OpenAI, quando solicitado, as métricas de desempenho relevantes que comprovem a conformidade com os níveis de serviço.
• Continuidade do negócio e recuperação de desastres (BC/DR)
  • Manter planos documentados de BC/DR, que tratem de emergências ou outros eventos passíveis de perturbar os Serviços ou comprometer os Dados da OpenAI.
  • Fazer cópias de segurança de sistemas e dados críticos, segundo um calendário regular, de forma consistente com os planos de BC/DR.
  • Testar os planos de BC/DR, pelo menos uma vez por ano, e corrigir quaisquer lacunas materiais identificadas durante os testes.
  • Obter o consentimento prévio por escrito da OpenAI antes de efetuar qualquer alteração que reduza substancialmente a proteção proporcionada por esses planos, consentimento esse que não será recusado sem motivo razoável.

• Manter e operar um programa de gestão de riscos reconhecido pela indústria para todos os subprocessadores, subcontratados e subfornecedores críticos com acesso aos Dados da OpenAI ou que prestem apoio ao software ou aos serviços.
• Celebrar, com cada terceiro, acordos escritos que exijam salvaguardas de segurança pelo menos tão rigorosas como as previstas nestas Medidas de Segurança do Fornecedor.
• Sujeitar todos os terceiros ao processo formal de avaliação de segurança do Fornecedor, antes da integração e, posteriormente, a intervalos regulares, conservando a documentação daí resultante.
• Identificar, a pedido da OpenAI, todos os subfornecedores críticos, o respetivo país de origem e qualquer dependência chave que seja relevante para o desempenho do Fornecedor.
• Manter processos que avaliem os riscos de TIC e da cadeia de fornecimento do produto e que notifiquem de imediato a OpenAI de qualquer perturbação, vulnerabilidade ou ameaça emergente passível de comprometer a confidencialidade, integridade ou disponibilidade do software, os serviços, o desempenho do Fornecedor ou os Dados da OpenAI.

• Proteger os Dados da OpenAI em trânsito em qualquer rede pública ou privada, usando protocolos de encriptação fortes e reconhecidos pela indústria (TLS 1.2 ou superior, SSH 2, IPsec ou equivalente). Protocolos antigos ou inseguros (p. ex., SSL v3, TLS 1.0/1.1) têm de ser desativados. 
• Encriptar todos os Dados da OpenAI armazenados em qualquer suporte persistente — incluindo bases de dados, armazéns de objetos, sistemas de ficheiros, dispositivos de endpoint e cópias de segurança — usando algoritmos fortes e reconhecidos pela indústria (p. ex., AES-256 ou equivalente) e módulos criptográficos validados de acordo com FIPS 140-2/3, ISO/IEC 19790 ou normas comparáveis. 
• Gerir chaves de encriptação utilizando um sistema dedicado de gestão de chaves; o acesso às chaves deve ser restringido a pessoal autorizado e as chaves devem ser rodadas pelo menos anualmente ou em caso de suspeita de comprometimento. O Fornecedor deverá garantir que instantâneos, réplicas e cópias de segurança offline estão protegidos pelos mesmos controlos.

Na data de expiração ou cessação do Acordo, o Fornecedor deverá, por opção da OpenAI, eliminar ou devolver todos os Dados da OpenAI (excluindo quaisquer cópias de segurança ou de arquivo, que deverão ser eliminadas em conformidade com o calendário de retenção de dados do Fornecedor), exceto se o Fornecedor for obrigado a conservar cópias ao abrigo da legislação aplicável, caso em que o Fornecedor deverá isolar e proteger esses Dados da OpenAI de qualquer Tratamento adicional, exceto na medida exigida pela legislação aplicável. O Fornecedor deverá disponibilizar à OpenAI a possibilidade de configurar períodos de retenção de dados no produto, se tal for aplicável aos serviços disponibilizados pelo Fornecedor.

• Implementa controlos concebidos para garantir a eliminação segura dos Dados da OpenAI, em conformidade com a legislação aplicável e tendo em consideração a tecnologia disponível, de modo que os Dados da OpenAI não possam ser lidos ou reconstruídos. 
• Apagar, de forma segura, os meios eletrónicos antes da eliminação, utilizando os métodos descritos na norma NIST SP 800-88 ou equivalente, através de sobrescrita ou desmagnetização, ou destruí-los fisicamente antes da eliminação ou da reatribuição a outro sistema.

• Avaliar regularmente a eficácia dos próprios controlos de segurança — através de análise automatizada, análises manuais e verificações de conformidade com as políticas —, tendo por base quadros reconhecidos pela indústria e as próprias políticas. 
• Notificar a OpenAI com antecedência relativamente a qualquer alteração material à sua infraestrutura, arquitetura, dependências de terceiros, fluxos de dados ou postura de segurança que possa razoavelmente afetar a confidencialidade, integridade ou disponibilidade dos Dados da OpenAI.

Pelo menos uma vez por ano, o Fornecedor deverá:

• Contratar um auditor qualificado e independente para rever os próprios controlos de segurança, tendo por base uma norma reconhecida pela indústria (p. ex., SOC 2 Tipo 2 ou vigilância/recertificação da ISO 27001).  
• Disponibilizar um resumo ou relatórios completos (o que for mais adequado) à OpenAI, mediante pedido.

Se o Fornecedor disponibilizar Serviços Alojados ou serviços online, o Fornecedor deverá:

• Realizar, anualmente, testes de penetração realizados por terceiros, que incluam: (i) os Serviços Alojados ou os serviços; (ii) todo o perímetro exposto à Internet; e (iii) a rede corporativa interna do Fornecedor.
• Partilhar evidência de que os testes foram realizados e resumos executivos das conclusões, ao abrigo de um acordo de confidencialidade (NDA). 
• Remediar as vulnerabilidades críticas e de elevada importância que afetem os Dados da OpenAI, no prazo máximo de 60 dias após a descoberta, ou informar de imediato a OpenAI dos controlos compensatórios e do risco residual.

• Durante a vigência do Acordo e durante um ano após o termo do mesmo, a OpenAI (ou um auditor por ela designado) poderá, mediante aviso razoável, rever os livros, registos e instalações relevantes para confirmar a conformidade com estas Medidas de Segurança do Fornecedor. As revisões serão limitadas à informação razoavelmente necessária para esse objetivo e realizadas ao abrigo de obrigações de confidencialidade. 
• O Fornecedor também fará esforços comercialmente razoáveis para preencher os questionários de segurança que a OpenAI possa enviar periodicamente.

O Fornecedor reconhece que a Decisão Final que implementa a Ordem Executiva 14117, emitida pelo Departamento de Justiça dos EUA, proíbe ou restringe o Acesso a Dados Abrangidos em massa por parte de Países Preocupantes ou Pessoas Abrangidas (conforme definidos na Decisão Final, tais termos e outros termos com inicial maiúscula utilizados neste parágrafo).

• Se os serviços prestados pelo Fornecedor envolverem o Acesso a Dados Abrangidos da OpenAI ou das suas Afiliadas, o Fornecedor declara e garante que: (i) nem o Fornecedor nem qualquer das suas Afiliadas está ou estará organizado ou constituído num País de Preocupação, tem ou terá o seu estabelecimento principal num País de Preocupação, ou é ou será detido em 50% ou mais, direta ou indiretamente, individualmente ou em conjunto, por um ou mais Países de Preocupação ou Pessoas Abrangidas; e (ii) nem o Fornecedor, nem qualquer das suas Afiliadas, nem qualquer empregado ou contratado do Fornecedor que tenha Acesso a tais Dados Abrangidos está ou estará localizado num País de Preocupação, foi determinado pelo Procurador-Geral dos EUA como sendo uma Pessoa Abrangida, ou de outra forma se qualifica ou se qualificará como Pessoa Abrangida. Se (a) ou (b) se alterar, o Fornecedor notificará imediatamente a OpenAI.
• O Fornecedor e as suas afiliadas não se envolverão em qualquer Transação de Dados Abrangidos que envolva os Dados Abrangidos da OpenAI com qualquer País de Preocupação ou Pessoa Abrangida. Se o Fornecedor se envolver numa Transação Restringida relacionada com os Dados Abrangidos da OpenAI, o Fornecedor deverá disponibilizar à OpenAI todas as informações necessárias para a OpenAI cumprir os requisitos da Regra Final.

• Dados Abrangidos refere-se a dados sensíveis dos EUA em bloco ou a dados relacionados com o Governo dos EUA, tal como possam vir a ser mais aprofundadamente definidos ao abrigo da Decisão Final que implementa a Ordem Executiva 14117, emitida pelo Departamento de Justiça dos EUA.
• Leis de Proteção de Dados refere-se a todas as leis de proteção de dados aplicáveis ao desempenho do Fornecedor ao abrigo do Acordo.
• Serviço Alojado significa software enquanto serviço, plataforma enquanto serviço ou quaisquer serviços alojados ou online semelhantes que o Fornecedor disponibilize à OpenAI.
• Programa de Segurança da Informação significa um conjunto estruturado de políticas, procedimentos e controlos que inclui controlos administrativos, técnicos e físicos, em conformidade com as normas da indústria, todos concebidos para salvaguardar a confidencialidade, integridade e disponibilidade dos Dados da OpenAI.
• Dados da OpenAI significa a informação que o Fornecedor recebeu ou recolheu da OpenAI ou em nome da OpenAI, relacionada com o desempenho do Fornecedor para a OpenAI. Os Dados da OpenAI incluem, nomeadamente, os Dados Pessoais. 
• Dados Pessoais tem o significado atribuído ao termo “dados pessoais” ou “informações pessoais” pelas Leis de Proteção de Dados aplicáveis.
• Processamento refere-se a qualquer operação realizada em dados, quer seja por meios automatizados ou não, incluindo recolha, registo, organização, armazenamento, utilização, revelação ou destruição.
• Incidente de Segurança refere-se a qualquer evento real ou suspeito que envolva o acesso, a utilização, a divulgação, a alteração ou a destruição não autorizados de Dados da OpenAI, ou a perturbação da respetiva disponibilidade ou integridade, nos Sistemas do Fornecedor ou de qualquer subprocessador.
• Código de Conduta do Fornecedor refere-se ao Código de Conduta da OpenAI para Fornecedores, disponível em: https://openai.com/policies/supplier-code/.⁠
• Recursos Humanos do Fornecedor refere-se a qualquer membro do pessoal que efetue algum aspeto do desempenho do Fornecedor no seu relacionamento com a OpenAI, e inclui funcionários, contratados, trabalhadores temporários e subcontratados.
• Sistemas refere-se aos sistemas de informação utilizados pelo Fornecedor ou pelos seus subprocessadores para processar, transmitir ou armazenar Dados da OpenAI. Isto inclui o hardware integrado, o software, os recursos humanos e os procedimentos que apoiam estas funções.