Segurança e UE

Como protegemos os seus dados

• Os dados são cifrados em trânsito (HTTPS/TLS), também entre a GoalCube e a base de dados.
• Os dados dos clientes são armazenados na UE, na Clever Cloud (PostgreSQL e uma cópia semanal cifrada em FS Bucket, Paris). Em produção, o sistema não arranca sem a base de dados e a chave de cifragem.
• Os dados de cada empresa estão na sua própria área. Testes automáticos mostram, em cada alteração, que uma empresa não pode ver, alterar nem apagar os dados de outra.
• Os dados dos clientes são cifrados na GoalCube (AES-256-GCM) com uma chave por empresa antes de serem guardados. As chaves das empresas são, elas próprias, cifradas com uma chave principal a que só têm acesso os responsáveis pela operação da GoalCube. Na eliminação, a chave também é apagada.
• Limite de pedidos por endereço IP em todas as páginas e um limite mais apertado na criação de contas, no início de sessão e nos convites. O endereço IP só é usado na memória durante no máximo uma hora e não é guardado.
• A GoalCube mantém um registo de segurança de, por exemplo, inícios de sessão falhados, criação e eliminação de contas e utilizadores, visualização de valores reais, grandes extrações e e-mails que não puderam ser enviados. Contém apenas a hora, o acontecimento, o identificador aleatório da empresa e códigos fixos, números ou informação técnica como a referência de pagamento, o número da fatura ou o motivo – nunca nomes, e-mails, endereços IP nem conteúdo. É guardado durante 12 meses e depois apagado em meses completos (no máximo 13 meses depois). As cópias em cópias de segurança (as do prestador de alojamento e a cópia semanal da própria GoalCube) podem existir até mais 30 dias.
• Se ocorrer um erro, o utilizador vê um código de erro (por ex. GC-7K3Q9MXA), que pode comunicar à GoalCube. O registo de erros da GoalCube guarda apenas a hora, o código de erro, o tipo de erro, a primeira parte do endereço (sem chaves), o estado e o identificador aleatório da empresa – nunca o texto da mensagem de erro, conteúdo, nomes, e-mails nem endereços IP – e é apagado ao fim de 90 dias. As cópias em cópias de segurança (as do prestador de alojamento e a cópia semanal da própria GoalCube) podem existir até mais 30 dias.
• A partir de 18 de outubro de 2026, o registo de auditoria contém apenas o identificador aleatório do utilizador e do conjunto de dados, códigos fixos, números e montantes – nenhum nome. Os registos mais antigos (anteriores a 18 de outubro de 2026) podem conter nomes de utilizadores (em pagamentos), conjuntos de dados, colunas e ligações de IA, bem como textos de erro; não são alterados (cadeia de hash) e são apagados com os restantes dados da empresa.
• O cliente pode sempre cancelar o contrato ou apagar todos os dados na GoalCube. Após o cancelamento, todos os dados são apagados automaticamente ao fim de 30 dias e, até lá, o cancelamento pode ser anulado. Com «Apagar tudo agora», os dados, os utilizadores, o registo de auditoria e a chave de cifragem da empresa são apagados de imediato. As cópias em cópias de segurança – as do prestador de alojamento e a cópia semanal cifrada da própria GoalCube no mesmo prestador, em Paris – são apagadas quando expiram, no máximo 30 dias após a eliminação. A GoalCube confirma a eliminação por e-mail. Excetuam-se as faturas, notas de crédito e contabilidade da GoalCube (nome da empresa, endereço, número de IVA, montante, referência de pagamento, com IVA a 0 % a data do VIES e o número de consulta, o momento da declaração de compra como empresa e o idioma da fatura), que o direito contabilístico dinamarquês (bogføringsloven) exige que sejam guardadas durante 5 anos após o fim do exercício, e uma soma de controlo do país e do número de IVA, se a empresa tiver recebido o dinheiro de volta, para que a oferta só seja usada uma vez (5 anos).
• Pagamento: o servidor calcula o montante e o IVA; o prestador de pagamentos (Mollie) recebe apenas um número de cliente aleatório, o pacote, o período, o tipo de IVA, o montante e uma referência de pagamento fixa – nunca o nome da empresa, o endereço, o número de IVA nem o e-mail. Após um cancelamento, o cartão fica no prestador de pagamentos até ao fim do período pago (para que o cancelamento possa ser anulado) e é apagado de imediato se a empresa apagar todos os dados. Cada pagamento recebe uma fatura com número sequencial. Os números de IVA de outros países da UE são verificados no registo de IVA da Comissão Europeia (VIES); a GoalCube guarda apenas o resultado, a hora e o número de consulta.
• Uma vez por semana, a GoalCube faz uma cópia adicional de todos os dados, cifrada como na base de dados. Fica no mesmo prestador de alojamento, em Paris, mas fora da base de dados. As quatro cópias mais recentes são guardadas (no máximo 28 dias) e a restauração de cada cópia é testada automaticamente.
• Todas as páginas têm regras de segurança (entre outras, CSP), para que o navegador execute apenas os scripts da própria GoalCube e as páginas não possam ser apresentadas dentro de sites de terceiros.
• Os serviços de IA ligam-se com início de sessão na GoalCube (OAuth 2.1 com PKCE) – não há nenhuma chave no endereço. O utilizador dá o consentimento com a sua passkey, vê para onde a resposta é enviada e pode sempre ver e interromper ligações. A GoalCube guarda apenas somas de controlo das chaves; uma ligação expira no máximo ao fim de 180 dias e termina de imediato quando o utilizador é removido ou o contrato cessa.
• Os serviços de IA que o cliente liga recebem pseudónimos em vez dos valores das colunas que o cliente protege e em vez dos termos secretos do cliente. Em texto livre, a GoalCube encontra também nomes, e-mails, números de identificação, de telefone e de conta e endereços, com base em listas, padrões e no serviço de nomes da própria GoalCube na Clever Cloud, em Paris, e substitui-os por pseudónimos. Uma informação pode, excecionalmente, passar, por exemplo um nome que não conste das listas ou um endereço ou número escrito de forma invulgar. O cliente pode ver o que a IA vê antes de o conjunto de dados ser guardado.
• Nos conjuntos de dados que o cliente carrega, a GoalCube torna também menos precisas as informações indiretas em texto livre antes de um serviço de IA as receber: os nomes de cidades são substituídos pela região, e as palavras sobre, por exemplo, saúde, filiação sindical, religião ou condenações são substituídas por omissão por «[personligt forhold]». Para cada palavra assinalada, o cliente pode escolher se fica, se é generalizada ou se é ocultada. Nas tabelas sobre pessoas, a GoalCube mostra que registos podem destacar-se a partir das colunas, e o serviço de IA recebe apenas um nível de risco (baixo, médio, alto). A deteção baseia-se em listas e padrões para texto em dinamarquês, inglês, alemão, francês, neerlandês, italiano, espanhol, sueco, finlandês, polaco, português e checo, e o marcador aparece na língua do conjunto de dados (por ex. «[personligt forhold]» em dinamarquês). Pode falhar alguma coisa.
• Os ficheiros carregados não são guardados; apenas o texto lido que o próprio cliente escolheu guardar como conjunto de dados.
• As decisões, confirmações e alterações são registadas num registo de auditoria com somas de controlo (cadeia de hash) e carimbos temporais independentes. Cada empresa tem a sua própria cadeia e, todos os dias, a impressão digital conjunta de todas as cadeias recebe um carimbo temporal independente.
• Os termos secretos nunca são guardados no registo de auditoria.
• As páginas não obtêm ficheiros de terceiros (por ex. tipos de letra da Google). O cartão é introduzido na página da própria Mollie, para que os dados do cartão nunca cheguem à GoalCube, e as páginas da GoalCube não obtêm nada da Mollie. O sistema não define cookies de rastreio.
• Os e-mails para contact@goalcube.eu são lidos e respondidos na caixa de correio da Simply enquanto o agente de e-mail da GoalCube estiver desligado. Quando o agente de e-mail estiver ligado, os e-mails a que um ser humano tem de responder são lidos e respondidos na GoalCube, e o colaborador recebe apenas uma mensagem sem conteúdo no seu próprio e-mail.
• As chaves de acesso não são escritas no registo do servidor.
• Só os colaboradores da GoalCube que precisam têm acesso à operação e aos dados, e estão sujeitos a dever de confidencialidade.

Onde estão os dados

Todos os dados dos clientes estão alojados em Clever Cloud SAS, Região de Paris (zona «par» da Clever Cloud), França. Veja todos os subcontratantes ulteriores no contrato de subcontratação.

O que prometemos

• Aviso de uma violação de dados pessoais no máximo 48 horas depois de a termos detetado.
• Aviso 14 dias antes de começarmos a utilizar um novo subcontratante ulterior.
• Pode apagar todos os dados a qualquer momento, de imediato. Após a cessação do contrato, tudo é apagado no máximo 30 dias depois.
• As cópias de segurança são apagadas no máximo 30 dias após a eliminação.

Ponto de situação das medidas

A norma ISO/IEC 27001:2022 tem 93 medidas. Os números vêm diretamente do nosso sistema de gestão da segurança da informação (SGSI) e são atualizados automaticamente.

Comunicar uma vulnerabilidade

Encontrou uma falha de segurança? Escreva para contact@goalcube.eu com «segurança» no assunto. Um ser humano lê todas as mensagens sobre segurança. security.txt

Teste independente

Está planeado um teste de segurança independente (teste de intrusão) uma vez por ano.