Português PRIVACIDADE E SEGURANÇA DOS DADOS

Português
PRIVACIDADE E SEGURANÇA DOS DADOS
Este Anexo será parte integrante do Contrato. Quaisquer termos grafados com iniciais maiúsculas mencionados
neste documento terão o significado a eles atribuídos neste Contrato. Este Anexo e seus Apêndices estabelecem:
a)
b)
1.
os direitos e as obrigações do Cliente e da SAP quanto aos dados pessoais que serão processados pela
SAP e pelos respectivos Subprocessadores autorizados em nome do Cliente e de suas Afiliadas nos termos
do Contrato; e
as medidas técnicas e organizacionais aplicáveis que serão implementadas e mantidas pela SAP para
proteger os Dados do Cliente
Definições
"Exportador de dados" nos termos definidos nas Cláusulas Contratuais Padrão significa o Cliente nos termos
especificados em um Formulário de Pedido ou suas respectivas Afiliadas.
"Importador de Dados" nos termos definidos nas Cláusulas Contratuais Padrão significa a respectiva Entidade
Não Pertencente à UE (União Europeia).
"Entidade Não Pertencente à UE" significa qualquer entidade SAP ou Subprocessador estabelecido em um país
que não ofereça nível adequado de proteção de dados de acordo com as leis e normas da União Europeia.
"SAP" significa a entidade SAP especificada como uma das partes do Formulário de Pedido e qualquer Afiliada
então pertencente à SAP e envolvida no processamento de Dados do Cliente, conforme o caso.
"Cláusulas Contratuais Padrão" (SCC) significa as Cláusulas Contratuais Padrão (processadores) baseadas na
Decisão da Comissão em 5 de fevereiro de 2010, sobre cláusulas contratuais padrão de transferência de dados
pessoais para processadores estabelecidos em outros países, nos termos da Diretiva 95/46/EC (notificada no
documento nº C(2010) 593), inclusive nos Apêndices 1 e 2 anexados a este instrumento.
"Subprocessador" definido nos termos das Cláusulas Contratuais Padrão significa outros subprocessadores
contratados pela SAP nos termos da cláusula 5 abaixo.
2.
Finalidades do Processamento de Dados
2.1 O Cliente e suas Afiliadas, como respectivos controladores de dados, determinarão as finalidades da coleta, do
processamento e qualquer forma de uso dos dados pessoais armazenados no Serviço. Salvo disposição
contrária estabelecida em um suplemento de produto ou em Formulário de Pedido, o Apêndice 1 das Cláusulas
Contratuais Padrão anexado a este instrumento será aplicável ao processamento de dados.
2.2 As finalidades do processamento de dados pessoais armazenados no Serviço ou de alguma forma
disponibilizados para a SAP e suas Afiliadas nos termos do Contrato limitam-se a:
a) configuração, operação, monitoramento e fornecimento do Serviço, inclusive de infraestrutura básica
(hardware, software, instalações de segurança do centro de dados, conectividade), como processador ou
Subprocessador de dados de acordo com a Disponibilidade do Sistema acordada e definida no Contrato;
b) fornecimento de suporte técnico como obrigação principal da SAP nos termos do Contrato;
c) fornecimento de serviços de consultoria como obrigação principal da SAP se e nos termos acordados pelas
partes.
3.
Cláusulas Contratuais Padrão, limitação de responsabilidade e leis aplicáveis
3.1 A versão original das Cláusulas Contratuais Padrão será considerada incorporada a este instrumento por
referência e aplicável se e desde que uma Entidade Não Pertencente à UE (a) possa acessar ou processar
remotamente os dados pessoais do Cliente e de suas Afiliadas hospedados pela SAP em um centro de dados
localizado na União Europeia; ou (b) hospede dados pessoais do Cliente ou de suas Afiliadas estabelecidas em
um estado membro da UE/EEE (Espaço Econômico Europeu) ou na Suíça em um centro de dados da UE. Salvo
quando acordado de outra forma entre as partes, serão aplicados os Apêndices 1 e 2 das Cláusulas Contratuais
Padrão anexados a este instrumento. Nenhuma condição estabelecida no Contrato prevalecerá sobre qualquer
cláusula contraditória das Cláusulas Contratuais Padrão. O Cliente confirma ter tido oportunidade de examinar
as Cláusulas Contratuais Padrão ou de obter da SAP uma cópia na íntegra.
3.2 Um novo parágrafo 4 deverá ser inserido na Cláusula 6 (Responsabilidade) das Cláusulas Contratuais Padrão
estabelecendo:
As partes concordam que, se uma das partes for responsabilizada pela violação das cláusulas cometida pela
outra parte, esta última, na medida de sua responsabilidade, indenizará a primeira parte de quaisquer custos,
despesas, danos, gastos ou perdas incorridas. A indenização deverá ocorrer sob estas condições:
(a) o exportador de dados deverá notificar imediatamente o importador de dados sobre a violação; e
(b) ao importador de dados será dada a oportunidade de cooperar com o exportador de dados na defesa e no
acordo do processo.
3.3 A SAP poderá, a seu exclusivo critério, atualizar ou substituir as Cláusulas Contratuais Padrão por alternativas,
por exemplo, nova versão das SCC promulgadas pela Comissão Europeia e aprovadas por normas corporativas
vinculantes, consideradas adequadas nos termos das normas de proteção de dados então vigentes da UE,
notificando o Cliente com 30 (trinta) dias de antecedência e por escrito, sendo permitida a notificação por email.
3.4 Não obstante o disposto acima, na máxima medida permitida por lei, serão aplicadas as limitações de
responsabilidade estabelecidas no Contrato (por exemplo, Artigo 11 (Responsabilidade) do TCG).
3.5 Leis mais rígidas poderão ser aplicadas diretamente às partes nos termos das leis e normas locais e aplicáveis
de privacidade dos dados. Este Anexo não reduz o nível de proteção aplicável a cada dado pessoal. No caso de
e no tocante a qualquer conflito entre os termos e condições deste Anexo e da lei aplicável, as disposições da
lei aplicável deverão prevalecer na medida máxima permitida.
4.
Obrigações da SAP
4.1 A SAP deverá processar os dados pessoais e outros dados operacionais do Cliente e de suas Afiliadas nas
condições estabelecidas para a SAP pelo Cliente, inclusive, entre outras, a correção, a eliminação e/ou o
bloqueio dos dados se e na medida em que a funcionalidade do Serviço não permita que o Cliente ou o Usuário
Designado assim o faça. A SAP deverá notificar o Cliente se ela considerar que alguma instrução dada pelo
Cliente em nome do controlador de dados viole as leis de proteção de dados. A SAP não será obrigada a
realizar uma avaliação legal completa.
4.2 Para o processamento de Dados do Cliente, a SAP só poderá usar pessoal comprovadamente comprometido a
manter o sigilo dos dados e o segredo das telecomunicações de acordo com as leis aplicáveis de proteção de
dados. A SAP deverá empenhar esforços comercialmente razoáveis para assegurar que os funcionários, a
quem vier a conceder acesso aos Dados do Cliente, sejam regularmente treinados em segurança de TI e
proteção de dados.
4.3 A SAP deverá implementar todas as medidas técnicas e organizacionais para cumprir as exigências
estabelecidas nas leis aplicáveis de proteção de dados. A SAP declara ao Cliente que adotou e adotará,
permanentemente, medidas técnicas e organizacionais adequadas para manter a segurança dos Dados do
Cliente e para protegê-los do processamento não autorizado ou ilegal, e de perdas, destruição ou danos
acidentais. Mais especificamente, a SAP deverá adotar e regularmente verificar estas medidas de proteção,
descritas mais detalhadamente no Apêndice 2:
a)
b)
c)
d)
e)
f)
g)
h)
Controle do acesso físico: a SAP deverá instalar um sistema de controle de acesso.
Controle de acesso: a SAP deverá controlar e efetuar o login de acesso aos sistemas de processamento de
dados.
Controle de limitação de acesso: a SAP deverá definir, implementar e monitorar um conceito de direitos
do usuário, regras para senhas e procedimentos de conexão de acesso remoto ou físico ao Serviço pelo
seu pessoal, na medida do necessário para operar, manter, auxiliar ou garantir o Serviço.
Controle de transmissão: a SAP deverá garantir a transmissão de Dados do Cliente na forma criptografada
ou por algum procedimento alternativo e seguro. As transmissões de Dados do Cliente deverão ser
registradas e realizadas de acordo com diretrizes documentadas por escrito.
Controle de inserção de dados: a SAP deverá implementar um sistema de registro detalhado de inserção,
modificação e exclusão ou bloqueio de Dados do Cliente na medida máxima permitida pelo Serviço.
Controle de tarefas: a SAP deverá definir e estabelecer por escrito mecanismos de controle para garantir o
processamento de Dados do Cliente estritamente de acordo com as instruções do controlador de dados
fornecidas pelo Cliente à SAP e nos termos estabelecidos no Contrato.
Controle de disponibilidade. A SAP deverá manter um sistema de backup de última geração e definir um
procedimento para a operação de restauração a fim de evitar a destruição ou perda acidental de Dados do
Cliente.
Separação de dados: a SAP deverá adotar recursos técnicos e procedimentos organizacionais definidos
para garantir o processamento em separado de Dados do Cliente coletados para diferentes finalidades
(por exemplo, clientes diferentes). Meios técnicos podem ser sistemas separados de computação ou
separação comprovadamente lógica em uma arquitetura de vários locatários. O acesso por um cliente da
SAP aos dados de qualquer outro cliente da SAP deve ser evitado.
A SAP fornece o Serviço da mesma forma a todos os clientes via aplicativo hospedado, baseado na Web; sendo
assim, todas as medidas técnicas e organizacionais apropriadas e então vigentes são aplicadas a toda a base
de clientes da SAP hospedada fora do mesmo centro de dados e aprovadas para o mesmo Serviço. O Cliente
está ciente e acorda que todas as medidas técnicas e organizacionais estão sujeitas ao desenvolvimento e
avanço técnico. Nesse sentido, a SAP fica especificamente autorizada a implementar medidas alternativas
adequadas desde que mantenha o nível de segurança das medidas. Se houver alterações significativas, a SAP
deverá enviar notificação acompanhada da respectiva documentação necessária para o Cliente por e-mail ou
por publicação no Site ou em site alternativo de fácil acesso para o Cliente.
4.4 Se a SAP determinar que as medidas de segurança por ela implementadas não atendem às exigências legais,
deverá imediatamente notificar o Cliente.
4.5 A SAP deverá informar imediatamente ao Cliente a ocorrência de graves interrupções no processo operacional,
suspeita de violação da proteção de dados ou outras irregularidades relacionadas ao processamento de Dados
do Cliente.
4.6 Mediante solicitação por escrito e por conta do Cliente, a SAP deverá razoavelmente auxiliá-lo no tratamento
de solicitações de dados pessoais recebidas de pessoa física e/ou de algum supervisor em relação ao
processamento de dados pessoais nos termos aqui previstos. A SAP deverá notificar o Cliente a respeito de
inspeções e medidas adotadas por algum supervisor ou outra autoridade competente.
5.
Subprocessadores
O Cliente autoriza a SAP, nos termos deste instrumento e de acordo com a Cláusula 11, parágrafo 1 das Cláusulas
Contratuais Padrão, a contratar terceiros para o processamento de dados pessoais, cada qual sendo considerado
um "Subprocessador", na medida necessária para o cumprimento das obrigações previstas no Contrato, desde que
a SAP continue sendo a responsável por quaisquer atos ou omissões dos Subprocessadores como se fossem seus
próprios atos ou omissões nos termos aqui previstos. A SAP deverá transferir para os Subprocessadores a
obrigação da SAP como processador de dados perante o Cliente conforme estabelece este Anexo e obrigar os
Subprocessadores a obedecer a todas as normas relevantes de proteção de dados. A SAP informará ao Cliente, ao
receber sua solicitação por e-mail ou pelo site da Web acessível ao Cliente, o nome, o endereço e a função de cada
Subprocessador. A SAP poderá, a seu exclusivo critério, excluir ou nomear Subprocessadores qualificados e
confiáveis. Em caso de alterações na lista de Subprocessadores, a SAP informará antecipadamente o Cliente por email ou por algum outro meio. Se o Cliente tiver motivos legítimos para contestar o uso de algum Subprocessador
pela SAP, ele deverá notificar a SAP por escrito em 30 (trinta) dias após o recebimento da notificação da SAP. Se o
Cliente não contestar dentro desse período, os novos Subprocessadores serão considerados aceitos. Se o Cliente
discordar do uso do Subprocessador contratado, a SAP terá direito a fornecer o Serviço sem o Subprocessador ou a
rescindir o Contrato mediante notificação enviada por escrito com 30 (trinta) dias de antecedência. Em qualquer
hipótese, a SAP deverá assegurar a adesão de cada Subprocessador a um nível adequado de proteção de dados,
estabelecido por lei ou contrato, substancialmente equivalente às obrigações aplicáveis à SAP nos termos do
Contrato. No caso de Subcontratado localizado fora da UE, a SAP deverá fornecer nível de proteção de dados
considerado adequado nos termos das normas de proteção de dados da União Europeia.
6.
Direitos do Cliente ao Monitoramento
6.1 A menos que de alguma outra forma estabelecida em um suplemento ou Formulário de Pedido, durante o
período de vigência do Contrato, o Cliente poderá solicitar uma autocertificação anual por escrito da SAP
baseada em auditoria independente que examine e confirme a conformidade do processamento de Dados do
Cliente com as medidas acordadas neste instrumento. Se a SAP deixar de cumprir as obrigações de auditoria
aqui previstas, o Cliente ou uma auditoria independente nomeada por ele e sujeita às obrigações de
confidencialidade consistentes com as estabelecidas no Contrato poderá auditar o ambiente de controle e as
práticas de segurança da SAP relevantes aos dados pessoais processados nos termos aqui estabelecidos, uma
vez em qualquer período de 12 (doze) meses e mediante notificação enviada com razoável antecedência, ou
seja, no mínimo 60 (sessenta) dias, e em condições de tempo, local e modo razoáveis.
6.2 A SAP deverá cooperar razoavelmente com o Cliente durante todo o processo de verificação e disponibilizar as
informações necessárias. O Cliente deverá arcar com quaisquer custos, inclusive dos recursos internos da SAP
baseados nas taxas diárias de remuneração de serviços de consultoria então vigentes na lista de preços da
SAP, relacionados ao excedente de 4 (quatro) horas de serviço por ano.
APÊNDICE 1 DAS CLÁUSULAS CONTRATUAIS PADRÃO E DOCUMENTO 1
As partes poderão especificar mais detalhes em um Formulário de Pedido, se necessário.
Exportador de dados
O exportador de dados (especificar resumidamente suas atividades relevantes à transferência):
O exportador de dados adquiriu assinatura de certos Serviços SAP Cloud que autoriza seus Usuários Designados a
inserir, alterar, usar, excluir ou de algum modo processar os Dados do Cliente nos termos previstos no Contrato.
Importador de dados
O importador de dados (especificar resumidamente suas atividades relevantes à transferência):
A SAP e seu Subprocessador fornecem certos Serviços SAP Cloud, entre os quais, hospedagem do Serviço e
fornecimento de suporte técnico ao Cliente, a suas Afiliadas e seus respectivos Usuários Designados nos termos
previstos no Contrato.
Dados pessoais
Os dados pessoais transferidos estão relacionados às seguintes categorias de dados (especificar):
A menos que fornecidos de outro modo pelo exportador de dados, os dados pessoais podem conter informações de
funcionários, contratados, parceiros de negócios e outras pessoas físicas armazenados no Serviço.
Categorias de dados
Os dados pessoais transferidos estão relacionados às seguintes categorias de dados (especificar):
O Cliente deve determinar as categorias de dados por Serviço assinado. Os campos de dados do Cliente poderão ser
configurados como parte da implementação do Serviço ou de alguma outra forma autorizada no Serviço. Os dados
pessoais transferidos normalmente se referem a um subconjunto das seguintes categorias de dados: nome, telefone,
e-mail, fuso horário, nome de empresa, endereço comercial, além de quaisquer dados específicos de aplicação
inseridos no Serviço pelos Usuários Designados do Cliente.
Categorias especiais de dados (se necessário)
Os dados pessoais transferidos estão relacionados às seguintes categorias especiais de dados (especificar):
Não autorizado (a menos que de alguma forma notificada pelo Cliente à SAP)
Operações de processamento
Os dados pessoais transferidos estarão sujeitos às seguintes atividades básicas de processamento (especificar):






uso dos Dados do Cliente para fornecer o Serviço e assistência ao suporte técnico
armazenamento de Dados do Cliente em centros de dados dedicados ao Serviço (arquitetura multilocatária)
carregamento de qualquer correção, atualização, upgrade, novas versões para o Serviço
cópia reserva de Dados do Cliente
computação de Dados do Cliente, inclusive transmissão de dados, recuperação de dados e acesso aos dados
acesso à rede para transferência de Dados do Cliente, se necessário
APÊNDICE 2 DAS CLÁUSULAS CONTRATUAIS PADRÃO E DOCUMENTO 1
Alguns Serviços SAP Cloud estão sujeitos a diferentes condições de suporte técnico, estabelecidas no
Suplemento ou Formulário de Pedido.
Em todos os demais casos aplicam-se a descrição de medidas técnicas e organizacionais de segurança
(TOM) implementadas pelo importador de dados para os Dados do Cliente de acordo com as Cláusulas
4(d) e 5(c):
A. TOM: Serviço SAP Cloud
1.
Controle de acesso
Objetivo: evitar o acesso não autorizado; o termo deverá ser interpretado literalmente no sentido de impedir que
pessoas não autorizadas acessem os sistemas de processamento e processem ou usem dados pessoais.
Medidas: medidas técnicas e organizacionais para controle de acesso, principalmente para controle de legitimidade
da entrada autorizada nas instalações e nos sistemas de armazenamento de dados.
A SAP adota medidas de segurança nas instalações de hospedagem, por exemplo, segurança nas entradas e
saídas, e dentro do edifício, por exemplo, sistemas de alarme e restrição de acesso às salas do servidor, nas
instalações alugadas adotando estes procedimentos:










2.
áreas de segurança restritas;
proteção e restrição nos caminhos de acesso;
segurança de equipamentos de processamento de dados e computadores pessoais descentralizados;
autorizações de acesso para funcionários, inclusive com respectiva documentação;
identificação de pessoas com acesso autorizado;
normas de códigos de chave;
restrição às chaves;
cartões de autorização codificados;
registro de visitantes, inclusive do tempo de permanência;
sistema de alarme de segurança e outras medidas adequadas de segurança.
Controle de acesso ao sistema
Objetivo: evitar a entrada não autorizada nos sistemas de computação.
Medidas: medidas técnicas (senha / proteção com senha) e organizacionais (cadastro de usuários) relacionadas a
identificação e autenticação de usuário:


A SAP emprega criptografia padrão da indústria.
Para o controle de usuário, deverão ser adotadas estas medidas:

perfil VPN restrito;
desativação automática do ID de usuário em caso de vários erros de informação de senha,
arquivo de registro de eventos, por exemplo, monitoramento de tentativa de invasão;
o
emissão de controles de senha que deve ser usada apenas uma vez;
o
implementação de autenticação bifatorial.
Para controle de acesso aos Dados do Cliente, deverão ser adotadas estas medidas:
o
o
o
o
o
3.
monitoramento de qualificação dos indivíduos que excluem, adicionam ou modificam os
dados exportados;
lembretes sobre confidencialidade acionados automaticamente pelo sistema e exibidos a
cada tentativa de acesso aos sistemas usados no processamento de dados;
ações disciplinares efetivas e avaliadas para indivíduos que acessam os dados sem
autorização.
Controle de acesso aos dados
Objetivo: evitar atividades não autorizadas nos sistemas de computação decorrentes do excesso ou desvio de
autorizações concedidas. Mais especificamente, garantir que pessoas com autorização para usar um sistema
acessem apenas os dados aos quais estão autorizadas e impedir a leitura, cópia, alteração ou exclusão de dados
pessoais sem autorização durante o processamento, o uso ou após a gravação.
Medidas: abordagem de projeto orientado por demanda e autorização dos direitos de acesso, seu monitoramento e
registro por meio de:

A SAP usa uma combinação de segregação de funções, listas locais de controle de acesso e registro
central para garantir o acesso aos dados autorizado e usado adequadamente:
o
Sistemas de detecção de invasão são instalados na rede e nos sistemas host para assegurar
o acesso adequado;
o
Controles de acesso são examinados periodicamente em auditoria interna e externa.


4.
A SAP usa cookies de sessão não persistentes para autenticação e navegação apenas de uma sessão
de usuário.
A SAP emprega criptografia padrão da indústria.
Controle de transmissão de dados
Objetivo: definir aspectos de transferência de dados, transporte de dados e controle de transmissão. Impedir a
leitura, cópia, alteração ou exclusão de dados sem autorização durante a transferência ou o transporte eletrônico
ou durante a gravação em mídia de armazenamento de dados.
Medidas: usadas no transporte, na transferência e na transmissão ou no armazenamento em disco, manual ou
eletrônico, e durante controles subsequentes:

5.
Deverão
o
o
o
abranger medidas implementadas pelo Cliente em conjunto com a SAP comparáveis a:
documentação dos programas de recuperação e transmissão;
uso de criptografia;
monitoramento de integridade e correção da transferência de dados (relatórios de
sucesso/falha serão enviados ao administrador).
Controle de inserção de dados
Objetivo: garantir a rastreabilidade e documentação de gerenciamento e manutenção de dados. Deverá ser
possível verificar e confirmar posteriormente se os dados pessoais foram inseridos, alterados ou removidos dos
sistemas de processamento de dados e, em caso afirmativo, por quem.
Medidas: métodos usados em avaliação subsequente para refletir se os dados foram inseridos, modificados ou
removidos (excluídos) e por quem:

6.
Deverá abranger medidas comparáveis a:
o
prova estabelecida dentro da organização da SAP de autorização de inserção de dados;
o
gravação eletrônica dos dados inseridos (especificada posteriormente pela SAP).
Controle de tarefas
Objetivo: garantir a completa observância das instruções do Cliente.
Medidas técnicas e organizacionais na divisão de responsabilidades entre a SAP e o Cliente:




7.
responsabilidades claramente definidas;
critérios de seleção da SAP, determinados e comunicados pelo Cliente;
monitoramento de execução e desempenho por análises de autocertificação
disponibilizados, se aplicável;
contatos nomeados para envio de ordens de modificação.
e
auditoria
Controle de disponibilidade
Objetivo: proteger os dados da destruição ou perda acidental.
Medidas: de armazenamento/backup (físico/lógico) de dados:






8.
procedimentos documentados de backup completos semanais ou em incrementos diários;
infraestrutura de sistema redundante; clustering High-Available Oracle;
alimentação de energia ininterrupta (no-breaks);
armazenamento separado;
antivírus/firewall;
plano de emergência.
Controle de separação
Objetivo: dados coletados para finalidades diferentes podem ser processados separadamente.
Medidas de processamento (armazenamento, modificação, exclusão, transferência) separado de informações com
finalidades diferentes:


separação funcional/produção/não produção: a SAP mantém total separação física entre produção,
desenvolvimento e testes. São provisionadas para o Cliente 2 (duas) instâncias distintas: uma para
produção e, pelo menos, uma para não produção.
O Cliente, inclusive suas Afiliadas, terá acesso apenas às instâncias do Cliente.
B.
TOM: Suporte SAP Cloud (sistema separado de monitoramento de suporte global SAP)
As seguintes seções definem as medidas de segurança vigentes no momento. Elas poderão ser aprimoradas ou
ampliadas a qualquer momento. Ou seja, toda medida poderá ser substituída por outra com a mesma finalidade.
1.
Controle de acesso
Objetivo: evitar o acesso não autorizado; o termo deverá ser interpretado literalmente no sentido de impedir que
pessoas não autorizadas acessem os sistemas de processamento e processem ou usem dados pessoais.
Medidas: a SAP protege seus ativos e instalações usando meios adequados e classificados quanto à segurança por
orientação de um departamento interno de segurança.




2.
Em geral, os edifícios são protegidos por sistemas de controle de acesso (por cartão eletrônico). Como
requisito mínimo, a delimitação mais externa do edifício deve ser monitorada por sistema de chave
mestra, inclusive por gerenciamento avançado de chave ativa.
Dependendo da classificação de segurança, os edifícios, as áreas individuais e o entorno deverão ser
protegidos por outras medidas adicionais: entre as quais, perfis específicos de acesso, circuito fechado de
TV, sistema de alarme contra invasão e até sistema de controle biométrico de acesso. Um conceito
separado de controle de acesso, abrangendo a documentação de nomes, será usado nos centros de
dados.
Direitos de acesso serão concedidos a pessoas autorizadas individualmente de acordo com critérios
definidos. Medida esta aplicável inclusive a acesso de visitantes. Convidados e visitantes nos edifícios da
SAP devem ser registrados na recepção e acompanhados de pessoal da empresa.
Os funcionários da SAP e colaboradores externos devem sempre portar cartões de identificação em todos
os locais da SAP.
Controle de acesso ao sistema
Objetivo: evitar a entrada não autorizada nos sistemas de computação.
Medidas:






3.
Vários níveis de autorização são usados na concessão de acesso a sistemas sigilosos. Existem processos
implementados para garantir que os usuários sejam devidamente autorizados a adicionar, excluir ou
modificar usuários.
Todos os usuários acessam o sistema da SAP com um identificador exclusivo (ID de usuário).
A SAP adota procedimentos que garantem que as mudanças de autorização solicitadas sejam
implementadas exclusivamente de acordo com as diretrizes, por exemplo, nenhum direito será concedido
sem autorização. Se algum usuário deixar a empresa, seus direitos de acesso serão rescindidos.
A SAP adota uma política de senhas que proíbe o compartilhamento de senhas, estabelece o procedimento
no caso de divulgação de alguma senha e exige a alteração constante de senhas. Para autenticação, são
atribuídos IDs de usuário personalizados. Todas as senhas são armazenadas criptografadas. No caso de
senhas de domínio, o sistema força a alteração da senha a cada seis meses. Esta condição atende aos
requisitos de senhas complexas. A SAP garante a alteração de senhas padrão nos dispositivos de rede.
Cada computador tem um protetor de tela com senha.
A rede da empresa é protegida da rede pública por firewall de hardware. A SAP usa software antivírus nos
pontos de acesso à rede da empresa, para contas de e-mail, e em todos os servidores de arquivo e todas
as estações de trabalho.
Atualizações de segurança do software existente são regular e automaticamente baixadas e instaladas.
Controle de acesso aos dados
Objetivo: evitar atividades não autorizadas nos sistemas de computação decorrentes do excesso ou desvio de
autorizações concedidas. Mais especificamente, garantir que pessoas com autorização para usar um sistema
acessem apenas os dados aos quais estão autorizadas e impedir a leitura, cópia, alteração ou exclusão de dados
pessoais sem autorização durante o processamento, o uso ou após a gravação.
Medidas:



O acesso a informações pessoais, confidenciais ou sigilosas será concedido conforme a necessidade. Ou
seja, funcionários ou colaboradores externos terão acesso apenas às informações de que necessitam para
completar seu trabalho. A SAP adota conceitos de autorização que documentam como e quais
autorizações são atribuídas. Todos os dados pessoais, confidenciais ou de alguma forma sigilosos são
protegidos dentro dos padrões de segurança relevantes. As informações confidenciais devem ser
processadas confidencialmente.
Todos os serviços de produção são operados em centros de dados/salas de servidor relevantes. Os
sistemas de segurança que protegem os aplicativos de processamento de dados pessoais, confidenciais ou
sigilosos são verificados regularmente. Para isso, a SAP realiza verificação interna e externa de segurança
e testes de penetração nos sistemas de TI.
A SAP proíbe a instalação de software pessoal ou outro software não aprovado pela SAP.

4.
O padrão de segurança da SAP determina como serão excluídos ou destruídos os dados e os meios de
transferência de dados não mais utilizados.
Controle de transmissão de dados
Objetivo: definir aspectos de transferência de dados, transporte de dados e controle de transmissão. Impedir a
leitura, cópia, alteração ou exclusão de dados sem autorização durante a transferência ou o transporte eletrônico
ou durante a gravação em mídia de armazenamento de dados.
Medidas: os dados transferidos da rede da SAP para outras redes externas são criptografados. Em caso de
transporte físico de dispositivo de dados, devem ser adotadas medidas adequadas para assegurar os níveis de
serviço, por exemplo, criptografia, contêiner blindado e assim por diante.
5.
Controle de inserção de dados
Objetivo: garantir a rastreabilidade e documentação de gerenciamento e manutenção de dados. Deverá ser
possível verificar e confirmar posteriormente se os dados pessoais foram inseridos, alterados ou removidos dos
sistemas de processamento de dados e, em caso afirmativo, por quem.
Medidas: a SAP permite o acesso apenas de pessoas autorizadas a dados pessoais na medida do necessário para a
realização do seu trabalho. Como parte do processo de fornecimento de suporte, o acesso de usuários e
administradores aos sistemas do cliente é registrado em arquivo.
6.
Controle de tarefas
Objetivo: garantir a completa observância das instruções do Cliente.
Medidas:








7.
A SAP usa controles e processos para garantir o cumprimento dos contratos firmados entre a SAP e seus
provedores de serviços.
Como parte da política de segurança da SAP, todas as informações do cliente são classificadas no mínimo
como "confidenciais".
O acesso aos sistemas de dados do cliente geralmente é concedido por suporte remoto. Acesso esse
regido por estes requisitos de segurança:
Em geral, a conexão remota por Internet é estabelecida via conexão SNC (Secure Network
Communications) ou VPN (Virtual Private Network). Ambas as opções usam várias medidas de segurança
para proteção dos sistemas e dados do cliente do acesso não autorizado: inclusive tecnologia de
criptografia sólida, autenticação de usuário e controle de acesso.
Área de Segurança é uma instalação especialmente destinada a ticket de suporte em que a SAP
disponibiliza uma área especial de segurança monitorada e com acesso protegido para transferência de
dados e senha de acesso.
O tempo todo, os clientes da SAP têm controle sobre suas conexões de suporte remoto. Os funcionários
da SAP não podem acessar o sistema de um cliente sem o conhecimento ou o suporte ativo e total do
cliente.
Todos os funcionários e parceiros contratuais da SAP são legalmente obrigados a respeitar a
confidencialidade de todas as informações sigilosas, inclusive segredos comerciais de clientes e parceiros
da SAP.
Durante o processo de suporte, os dados pessoais de diferentes clientes são física ou logicamente
separados.
Controle de disponibilidade
Objetivo: proteger os dados da destruição ou perda acidental.
Medidas: a SAP emprega processos de backup e outras medidas que garantem a rápida restauração de sistemas
críticos de negócios como e quando necessária. A SAP adota inclusive fontes de alimentação ininterrupta, como nobreaks, baterias, geradores etc., para garantir o fornecimento de energia aos centros de dados. Os processos e
sistemas de emergência são regularmente testados.
Firewalls ou outras tecnologias de segurança de rede também são usadas. De acordo com a política de segurança,
todos os sistemas contam com antivírus regularmente atualizados.
8.
Controle de separação
Objetivo: dados coletados para finalidades diferentes podem ser processados separadamente.
Medidas para processamento (armazenamento, modificação, exclusão e transferência) separado de informações
com diferentes finalidades: sistema de monitoramento de suporte separado do Serviço.