Segurança e confiança

Cada farmácia e organização vê apenas os seus dados. O isolamento é aplicado na própria base de dados, com políticas de acesso por linha, e o âmbito de cada pedido é decidido no servidor: na dúvida, o acesso é recusado.

• A sessão VASCO ID é validada no servidor em cada operação protegida; a identidade nunca vem do navegador.
• Dentro de um workspace, cada pessoa tem uma função e permissões geridas pelos administradores do Cliente.
• As operações de administração da plataforma exigem função autorizada e, nas ações sensíveis (exportações, faturação, alterações de plano), autenticação de dois fatores confirmada na sessão.
• As tentativas de acesso recusadas ficam registadas para auditoria.

As comunicações entre o navegador e o VASCO são cifradas (HTTPS). Os dados são cifrados em repouso (AES-256) na base de dados e nas cópias de segurança automáticas do fornecedor de alojamento, e em trânsito (TLS).

• As conversas não são guardadas por omissão; o histórico pessoal é opcional e só o próprio o vê.
• Antes de qualquer envio aos modelos de inteligência artificial, os identificadores são minimizados automaticamente.
• Os registos de auditoria guardam códigos e contadores — nunca o texto das perguntas nem das respostas.
• As páginas das áreas reservadas nunca são guardadas na cache do navegador pela aplicação instalada.
• A conversa em curso fica apenas na sessão do separador do navegador, para poder ser retomada depois de recarregar a página, e desaparece quando o separador é fechado.

Os modelos de inteligência artificial só são usados se constarem de um registo ativo, para finalidades autorizadas e com exclusão contratual de treino; fora disso, o pedido não sai. Os pagamentos são processados pela Stripe, sem que a Vasco.chat receba o número completo do cartão. Lista em Subcontratantes.

A disponibilidade dos serviços de inteligência artificial e a validação das respostas são monitorizadas, com alertas automáticos à equipa que contêm apenas códigos técnicos, sem dados pessoais.

Perante um incidente, a prioridade é conter, avaliar e corrigir. Quando a lei o exige, a violação de dados pessoais é notificada à CNPD no prazo de 72 horas (artigo 33.º do RGPD) e comunicada aos titulares afetados (artigo 34.º); as farmácias e empresas clientes são notificadas nos termos do Acordo de Tratamento de Dados. A Vasco.chat mantém um procedimento interno documentado de resposta e recuperação de incidentes.

Se encontrar uma vulnerabilidade, escreva para help@vasco.chat com o assunto «Segurança», sem aceder a dados de terceiros nem perturbar o serviço. Cada relato feito de boa-fé é tratado com confidencialidade, e quem o fizer não será alvo de qualquer ação por isso.