Quais frameworks de conformidade se aplicam a você?
Responda algumas perguntas sobre o que você vende, onde estão seus clientes e os dados que você trata. Veja quais frameworks de segurança os clientes vão pedir e quais leis de privacidade provavelmente se aplicam: SOC 2, ISO 27001, HIPAA, PCI DSS, GDPR, CCPA, PIPEDA e outros.
Frameworks, leis e o que os clientes pedem
Três coisas diferentes decidem do que você precisa. Leis de privacidade e segurança se aplicam por causa de onde as pessoas estão e de quais dados você trata. Contratos e programas do setor, como PCI DSS para dados de cartão ou CMMC para a defesa dos EUA, se aplicam por causa de com quem você trabalha. E frameworks de segurança como SOC 2 e ISO 27001 raramente são exigidos por lei, mas os clientes pedem antes de assinar.
SOC 2 ou ISO 27001?
Ambos mostram aos clientes que sua segurança é gerenciada e verificada de forma independente. SOC 2 é um relatório de auditor e é o pedido usual de clientes dos EUA. ISO 27001 é um certificado, mais comum na Europa, no Reino Unido e na Ásia. Os controles se sobrepõem bastante, então muitas empresas começam pelo que seus clientes pedem e acrescentam o outro depois.
As leis de privacidade se aplicam a empresas B2B?
Sim. A GDPR, a UK GDPR e a PIPEDA protegem quaisquer dados pessoais, incluindo contatos comerciais e funcionários dos seus clientes. A CCPA cobre dados de funcionários e contatos comerciais desde 2023. Quando você trata dados pessoais em nome de clientes, normalmente é operador ou service provider deles, e eles vão pedir um acordo de tratamento de dados.
Perguntas frequentes
Isto é aconselhamento jurídico?
Não. Ela indica os frameworks e as leis que suas respostas sugerem, com o motivo de cada um, para você saber o que verificar. As leis têm exceções e limites; confirme com um assessor qualificado.
A HIPAA se aplica se apenas hospedamos dados para clínicas?
Normalmente sim. Uma empresa que cria, recebe, guarda ou envia informações de saúde para um prestador de saúde ou plano de saúde é um business associate: precisa assinar um business associate agreement e cumprir a HIPAA Security Rule.
Precisamos de PCI DSS se usamos um provedor de pagamentos?
Se os dados do cartão vão direto para a página ou o formulário hospedado do provedor e nunca passam pelos seus sistemas, seu escopo é bem menor, muitas vezes um questionário curto de autoavaliação. Ainda assim, cabe a você confirmar isso com o seu banco adquirente.
Esta ferramenta é gratuita?
Sim. Não é preciso criar conta. Se você informar seus dados de contato e baixar o PDF, a Sourceably os salva para que nossa equipe possa ajudar você, a menos que você marque “Não entrar em contato”.