CONFIANÇA E SEGURANÇA
Feito para passar a sua revisão de segurança.
Cada protocolo, subprocessador e compromisso de incidente, num só lugar. Leia em cinco minutos, ou entregue-o à sua equipa.
CONFORMIDADE
Normas pelas quais nos responsabilizamos perante si.
Publicamos o que alcançámos, o que estamos a auditar e o que está no roteiro. Sem afirmações sem provas.
SOC 2
No roteiro de auditoriaObjetivo Type I no Q1 2027, objetivo Type II no Q4 2027. Recertificação anual a partir daí.
GDPR
AlinhadoOpera em conformidade com os princípios do GDPR da UE. DPA disponível mediante pedido.
CCPA
AlinhadoDireitos do California Consumer Privacy Act respeitados para todos os utilizadores da Califórnia.
ISO 27001
No roteiroPlaneado após a conclusão do SOC 2 Type II.
Seja notificado quando o nosso relatório SOC 2 estiver pronto
TRATAMENTO DE DADOS
O que guardamos, e por quanto tempo.
Cada categoria de dados que tocamos, onde reside e quando é eliminada. As predefinições são conservadoras; os espaços de trabalho podem reforçá-las.
- Áudio da reunião
- Processado para transcrição, depois eliminado nas 24 horas seguintes ao fim da reunião. Nunca usado para treino de modelos.
- Transcrições e traduções
- Armazenadas no seu espaço de trabalho. A retenção é configurável por espaço de trabalho; a predefinição é de 90 dias.
- Resumos e ações a tomar
- Armazenados junto da transcrição de origem e seguem a mesma política de retenção.
- Metadados de conta e espaço de trabalho
- Retidos enquanto a conta estiver ativa. Eliminados nos 30 dias seguintes ao encerramento da conta.
- Dados de faturação
- Pagamentos processados pela LemonSqueezy como Merchant of Record. O Sageio armazena apenas metadados de subscrição — nunca os dados do cartão de pagamento.
- Residência de dados
- Implementação multirregional disponível. Regiões da UE, EUA e Ásia-Pacífico suportadas nos planos Enterprise.
- Acesso interno
- O acesso em produção exige necessidade de negócio explícita, é limitado no tempo e é registado para auditoria.
ENCRIPTAÇÃO
Protocolos modernos, sem exceções.
A encriptação é uma predefinição, não um escalão. As normas abaixo aplicam-se a todos os espaços de trabalho, em todos os planos.
TLS 1.3 para cada ligação de cliente, com HSTS imposto nos domínios Sageio.
AES-256-GCM em repouso nas bases de dados das aplicações e no armazenamento de objetos.
Chaves de encriptação geridas pelo fornecedor através de AWS KMS, rodadas de forma agendada.
Áudio da reunião encriptado em trânsito, do bot à camada de processamento.
Cópias de segurança encriptadas, retidas durante 30 dias, restauradas segundo um calendário testado.
CONTROLOS DE ACESSO
As chaves do seu espaço de trabalho, nos seus termos.
Identidade, funções e trilhos de auditoria configurados como as equipas de TI empresariais esperam. Não aparafusados — incorporados desde o primeiro utilizador.
Single sign-on SAML 2.0, disponível nos planos Enterprise.
Início de sessão OIDC via Google e Microsoft para espaços de trabalho self-serve.
Controlo de acesso baseado em funções com quatro escalões: Owner, Admin, Member e Viewer.
Registo de auditoria de cada ação de administração e de acesso a dados, retido durante 12 meses.
Tempo limite de sessão configurável e lista de IPs autorizados nos planos Enterprise.
SUBPROCESSADORES
Os fornecedores de que dependemos, nomeados publicamente.
O Sageio apoia-se num pequeno conjunto de fornecedores consolidados para armazenamento, identidade e processamento de IA. A lista completa, com finalidade e localização dos dados, encontra-se no DPA.
RESPOSTA A INCIDENTES
Quando algo falha, sabe primeiro por nós.
A notificação ao cliente é a primeira hora da resposta, não a última. Os clientes afetados recebem aviso direto; a comunidade alargada vê a nossa página de estado pública.
A deteção funciona através de monitorização contínua. Os engenheiros de prevenção declaram e atribuem um comandante de incidente em 30 minutos. Para qualquer incidente que envolva dados de clientes, os clientes afetados são notificados por e-mail nas 24 horas seguintes à confirmação, com atualizações intercalares enquanto a investigação prossegue. Uma revisão pós-incidente por escrito é partilhada em 7 dias, e as indisponibilidades visíveis para os clientes são registadas em status.sageio.net.
Tem um questionário de segurança?
Envie-o. Respondemos dentro de dois dias úteis com respostas concluídas, atestações e os documentos de apoio de que a sua equipa precisa.