Segurança e Confiança

Em vigor a partir de 2026-10-06 · Tradução portuguesa; prevalece a versão checa

As empresas na Negotiq confiam aos agentes os seus preços, condições e decisões comerciais. O presente documento descreve a forma como protegemos a Plataforma, como pode verificar por si próprio a integridade dos registos, como tratamos os incidentes e como nos pode comunicar uma vulnerabilidade. Tem caráter informativo; as medidas vinculativas para o tratamento de dados pessoais constam do Anexo 1 do Acordo de Tratamento de Dados. Os termos com inicial maiúscula têm o significado que lhes é atribuído nos Termos e Condições.

Certificações: O Operador ainda não dispõe de certificação ISO/IEC 27001, de relatório SOC 2 nem de qualquer outra certificação de segurança. Ambos estão previstos. Até lá, fornecemos, a pedido, informações mais pormenorizadas ou preenchemos um questionário de segurança razoável.

1. O que a Plataforma não faz

• Não detém dinheiro. O Operador não recebe, não detém nem transfere fundos das partes nos Acordos e não presta serviços de pagamento; os pagamentos são efetuados diretamente da conta do Comprador para a conta do Fornecedor. A Plataforma limita-se a apresentar as instruções de pagamento e a manter registos (artigo 7.º dos Termos e Condições).
• Não treina modelos com os seus dados. Não utilizamos o Conteúdo do Utilizador para treinar modelos de inteligência artificial; nos termos do respetivo contrato, o fornecedor do modelo generativo também não o utiliza para treino.
• Não deixa a IA generativa negociar. Os agentes são regras determinísticas; o modelo generativo limita-se a converter tabelas de preços não estruturadas e o resultado é sempre verificado por uma pessoa (declaração de Governação da Inteligência Artificial).
• Não o rastreia. Nem a aplicação nem as páginas jurídicas carregam código analítico, publicitário ou de rastreamento, nem tipos de letra ou scripts de terceiros. A língua da página segue as definições do seu navegador, sem consultar qualquer outro serviço.
• Não vende dados. Não vendemos dados pessoais nem dados comerciais; as referências de mercado são publicadas apenas sob forma anonimizada e agregada, a partir de acordos de, pelo menos, dois Fornecedores diferentes.

2. Acesso e contas

• Todas as comunicações com a Plataforma são cifradas através de HTTPS (TLS).
• As palavras-passe são armazenadas apenas sob a forma de hash Argon2id. Os códigos de recuperação, as sessões iniciadas e as chaves API são armazenados apenas sob a forma de hash criptográfico; uma chave API só é apresentada no momento da sua criação.
• O cookie de sessão é HttpOnly, Secure e SameSite=Lax; nos pedidos que alteram dados, verificamos o cabeçalho Origin (proteção contra CSRF).
• Após 5 tentativas falhadas de início de sessão, a conta é bloqueada durante 15 minutos; a alteração da palavra-passe termina a sessão em todos os dispositivos. A API está sujeita a limites de pedidos.
• Quem pode fazer o quê é determinado pelas funções atribuídas pelo Administrador da Organização (por exemplo, a permissão para aprovar Propostas). O Administrador da Organização cria, designa e revoga as chaves API e vê os registos de auditoria da sua Organização.

3. Separação dos clientes

Todo o acesso aos dados está limitado à Organização do Utilizador com sessão iniciada ou da chave API; a Plataforma rejeita qualquer pedido de dados de outra Organização. Testes automatizados verificam esta separação a cada alteração. Os dados de demonstração são mantidos separados dos dados de empresas reais. Antes da celebração de um Acordo, a contraparte não vê a identidade nem os limites da outra parte.

4. Integridade e verificabilidade dos registos

• Cadeia de Auditoria. Registamos os atos relevantes numa cadeia à qual apenas podem ser acrescentados registos. Cada registo contém o hash do registo anterior e um trigger da base de dados bloqueia a alteração ou o apagamento de registos, pelo que qualquer adulteração é detetável.
• Assinaturas Ed25519. Os Mandatos, os Comprovativos, os Registos AP2 (IntentMandate, CartMandate, PaymentMandate) e as exportações da Cadeia de Auditoria são assinados com a chave da Plataforma. A chave pública (algoritmo, chave e identificador da chave) está disponível em https://app.negotiq.synqflows.com/api/trust/public-key e, em formato JWKS, em https://app.negotiq.synqflows.com/.well-known/jwks.json; os Registos AP2 contêm assinaturas em formato JWS (EdDSA). As assinaturas dos Mandatos, dos Comprovativos e dos Registos AP2 podem também ser verificadas diretamente através dos pontos de verificação da API.
• Verificação pública. Em https://app.negotiq.synqflows.com/api/trust/chain, qualquer pessoa pode verificar se a Cadeia de Auditoria está íntegra, incluindo o último hash assinado; https://app.negotiq.synqflows.com/api/trust/status mostra que o ambiente de produção não utiliza chaves de assinatura ou de cifragem de desenvolvimento.
• Atestação custodial. Os registos são assinados pelo Operador com a sua própria chave, e não com chaves detidas pelas partes. A assinatura prova que o registo foi originado na Plataforma e não foi alterado desde a assinatura; por si só, não prova que uma parte o assinou — a ligação à pessoa que atua é assegurada pelo início de sessão, pelas funções e pela Cadeia de Auditoria. Quando procedermos à rotação da chave, publicaremos a nova chave com um novo identificador e manteremos disponíveis as chaves públicas anteriores para a verificação de registos mais antigos.
• Webhooks. As notificações são assinadas com HMAC-SHA256, de acordo com a especificação Standard Webhooks (cabeçalhos webhook-id, webhook-timestamp, webhook-signature). Verifique tanto a assinatura como a antiguidade da mensagem e mantenha o segredo fora do código-fonte.

5. Proteção de dados

• Cifragem em trânsito (TLS) e em repouso junto do prestador de alojamento.
• As credenciais de acesso a sistemas ligados (ERP) e os segredos de assinatura de Webhooks são cifrados com AES-256-GCM. As credenciais são utilizadas apenas para obter a tabela de preços por instrução de um Utilizador; recomendamos que, para a ligação, crie um utilizador dedicado com acesso apenas de leitura e com as permissões mínimas necessárias.
• Os anexos só são aceites em formatos e tamanhos permitidos, são disponibilizados apenas a pessoas autorizadas e sempre para descarregamento, nunca apresentados no navegador.
• As mensagens enviadas para o Endereço de Receção só são importadas automaticamente quando provêm de Remetentes Verificados; as restantes aguardam confirmação na aplicação. O remetente, o assunto, a hora de receção e os anexos são apagados decorridos 90 dias.
• Os agentes não tratam o conteúdo de tabelas de preços, especificações, anexos ou mensagens de correio eletrónico como instruções (proteção contra a injeção de instruções, a chamada prompt injection).
• Relativamente a potenciais fornecedores, conservamos apenas contactos genéricos das empresas.

6. Funcionamento, cópias de segurança e registos

• A aplicação e a base de dados funcionam junto do prestador de alojamento indicado na secção 9. É feita regularmente uma cópia de segurança da base de dados; as cópias de segurança são substituídas no ciclo normal, o mais tardar no prazo de 90 dias.
• Os registos operacionais (incluindo endereços IP) e os registos de entrega de Webhooks são conservados durante, no máximo, 90 dias; os registos da Cadeia de Auditoria, durante 10 anos.
• O acesso ao ambiente de produção está limitado a pessoal autorizado do Operador vinculado a confidencialidade.
• As dependências são fixadas em versões exatas. A cada alteração, testamos automaticamente as invariantes de segurança: separação das Organizações, cumprimento dos limites dos Agentes e confidencialidade dos preços máximos e mínimos.

7. Incidentes e notificação de violações

1. Avaliamos cada incidente de segurança, contemos o seu impacto, eliminamos a sua causa e documentamo-lo.
2. Informamos os clientes afetados sem demora injustificada. Notificamos o Responsável pelo Tratamento de uma violação de dados pessoais relativa a dados que tratamos na qualidade de subcontratante, o mais tardar, no prazo de 48 horas após dela termos tido conhecimento (artigo 5.º do Acordo de Tratamento de Dados).
3. Quando somos o responsável pelo tratamento, notificamos uma violação de dados pessoais à autoridade checa para a proteção de dados pessoais no prazo de 72 horas após dela termos tido conhecimento, salvo se for improvável que resulte num risco para os direitos e liberdades das pessoas singulares (artigo 33.º do RGPD); se o risco for elevado, informamos também as pessoas afetadas sem demora injustificada (artigo 34.º do RGPD).
4. Após o encerramento de um incidente, fornecemos aos clientes afetados, a pedido, um resumo das suas causas e das medidas adotadas.

8. Comunicação de vulnerabilidades

Comunique-nos as vulnerabilidades para inquiry@negotiq.synqflows.com. Os contactos e as regras estão também disponíveis no ficheiro legível por máquina https://app.negotiq.synqflows.com/.well-known/security.txt.

• Inclua uma descrição da vulnerabilidade, o endereço ou a interface afetados, os passos para a reproduzir e o impacto potencial; aceitam-se comunicações em checo e em inglês.
• Acusaremos a receção da sua comunicação sem demora injustificada, mantê-lo-emos informado sobre a evolução e, com o seu consentimento, agradecer-lhe-emos publicamente após a correção. Não pagamos recompensas monetárias (bug bounty).
• Regras: teste apenas com as suas próprias contas e dados; aceda a dados de outras pessoas apenas na medida necessária para demonstrar a vulnerabilidade, não altere nem apague nada e não conserve os dados obtidos; não realize ataques de negação de serviço (DoS), engenharia social, phishing nem ataques físicos; não envie mensagens em massa para os Endereços de Receção; não divulgue a vulnerabilidade antes de a termos corrigido ou de terem decorrido 90 dias desde a sua comunicação, salvo acordo em contrário.
• Porto seguro: Consideramos autorizada a investigação realizada de boa-fé e em conformidade com estas regras, e consentimos no acesso dentro desse âmbito. Não intentaremos ações judiciais contra si nem apresentaremos queixa-crime e, se um terceiro iniciar tais ações, confirmaremos que agiu em conformidade com estas regras. Não podemos dar consentimento em nome de terceiros (por exemplo, o prestador de alojamento ou os Serviços de Terceiros).

9. Localização dos dados e subcontratantes ulteriores

A lista vinculativa e as regras aplicáveis às alterações (aviso com, pelo menos, 14 dias de antecedência e direito de oposição) constam do Acordo de Tratamento de Dados (artigo 4.º). Os sistemas escolhidos pela Organização (ERP, feeds de produtos, pontos de destino de Webhooks, agentes de terceiros) não são nossos subcontratantes; transmitimos-lhes dados por instrução da Organização.

10. Continuidade do serviço

Procuramos assegurar uma disponibilidade contínua, mas, na falta de um acordo de nível de serviço (SLA) celebrado por escrito, não garantimos qualquer nível de disponibilidade nem qualquer tempo de recuperação. Fazemos regularmente cópias de segurança da base de dados e anunciamos antecipadamente as manutenções programadas, sempre que possível. Pode, a qualquer momento e gratuitamente, exportar os dados da sua Organização (JSON), bem como descarregar os Comprovativos e os Registos AP2 e verificá-los com a chave pública, mesmo sem acesso à Plataforma.

11. Contacto

• Segurança e vulnerabilidades: inquiry@negotiq.synqflows.com
• Proteção de dados: inquiry@negotiq.synqflows.com
• Outros pedidos de informação e ponto de contacto nos termos do Regulamento dos Serviços Digitais: inquiry@negotiq.synqflows.com