Confiança e segurança
Autónoma por conceção. Segura de raiz.
A Proofpoints transforma as palavras dos seus próprios clientes em histórias publicadas. Criámo-la para merecer a confiança das organizações mais exigentes do mundo em matéria de segurança – o que começa com uma escolha de arquitetura simples: nunca nos ligamos aos seus sistemas.
Não existe qualquer integração com o seu CRM, o seu pipeline de vendas, os seus sistemas financeiros, o seu fornecedor de identidade ou a sua rede interna. Não há nada para ligar. Só nos chegam os conteúdos da história que os seus defensores decidem partilhar e os contactos específicos que escolhe convidar para uma campanha – nunca uma ligação aos sistemas onde residem os seus dados sensíveis.
A fronteira de confiança
O que atravessa a fronteira – e o que nunca a atravessa
Tudo o que está à esquerda é aquilo de que uma história precisa. Tudo o que está à direita fica sempre dentro da sua organização. Somos um serviço contido, com um único propósito e uma superfície deliberadamente reduzida.
Entra
· Transcrição da entrevista
· Conteúdo e edições da história
· Nome e função do defensor
· Contactos da campanha que carrega (nome, função, e-mail profissional)
· Nome da empresa e dados públicos
A fronteira da Proofpoints
Encriptado. Alojado na UE. Isolado por organização. Tratado apenas para produzir a sua história.
› Base de dados e registo de auditoria (UE)
› Armazenamento de ficheiros encriptado
› Modelos de IA (nunca treinados com os seus dados)
› Transcrição
Nunca atravessa
✕ O seu CRM
✕ Dados de vendas e pipeline
✕ Sistemas financeiros
✕ Fornecedor de identidade / diretório de SSO
✕ Redes internas
✕ As suas bases de dados de clientes ou colaboradores
Não tocamos em nenhum dos seus sistemas nem importamos nenhum dos seus dados operacionais em massa. O que guardamos limita-se ao conteúdo da história e aos contactos de campanha específicos que nos fornece – uma pegada deliberadamente pequena e bem definida.
Âmbito dos dados
Apenas aquilo de que uma história precisa
O que guardamos
A transcrição da entrevista e a história à medida que é escrita e editada; o nome e a função do defensor; os dados públicos da empresa cliente; e, no caso de uma campanha, os contactos que decide convidar – nome, função e e-mail profissional. É tudo o que guardamos.
Como tratamos os dados de contacto
Trata-se das pessoas específicas que pretende destacar numa história – um pequeno grupo nomeado de potenciais defensores, não uma lista de envio em massa. Atuamos como seu subcontratante: os respetivos dados são utilizados apenas para as convidar e recolher a sua história, nunca são vendidos, nunca são partilhados e nunca são utilizados para treinar IA. Tratados ao abrigo do RGPD, abrangidos pelo nosso acordo de tratamento de dados (DPA) e eliminados mediante pedido.
Consentimento para o que é publicado
O consentimento de gravação e uma etapa formal de aprovação estão integrados no fluxo de trabalho. O defensor revê e aprova a sua história antes de esta ser publicada – nunca publica algo com que ninguém concordou.
Onde ficam os dados
Alojamento, residência dos dados e subcontratantes
A Proofpoints assenta numa infraestrutura SOC 2. Todos os fornecedores de infraestrutura indicados abaixo – base de dados, alojamento, armazenamento de ficheiros, e-mail e pagamentos – dispõem de um relatório SOC 2 Type II atualizado, auditado de forma independente todos os anos. Os três que armazenam os seus dados – base de dados, alojamento e armazenamento de ficheiros – têm também certificação ISO 27001, e os seus dados estão alojados na UE. Os nossos fornecedores de infraestrutura são identificados abaixo; os serviços especializados são listados pela função que desempenham e por aquilo que lhes é permitido ver. A lista nominal completa é disponibilizada aos clientes, e a potenciais clientes mediante acordo de confidencialidade, com notificação de quaisquer alterações.
Para clientes dos EUA e de outros países fora da UE: o alojamento na UE cumpre o padrão de proteção de dados mais exigente, pelo que os seus dados ficam protegidos ao mais alto nível – uma proteção reforçada é uma vantagem, não uma limitação, e os mecanismos padrão abrangem qualquer transferência internacional. Se a sua organização exigir uma região de alojamento específica, fale connosco.
A IA e os seus dados
As suas palavras nunca servem para treinar modelos
Nunca treinamos modelos com o seu conteúdo
A Proofpoints não utiliza as suas histórias, transcrições ou dados para treinar qualquer modelo – nunca.
Nem os nossos fornecedores de modelos
Utilizamos apenas modelos de ponta – os atuais modelos de referência dos principais laboratórios de IA – ao abrigo de termos de API que proíbem o treino com os dados enviados e permitem uma retenção curta ou nula. Cada chamada ao modelo é processada na região do próprio fornecedor durante o tempo da chamada; as histórias e os ficheiros que armazena nunca saem da UE. Em contratos empresariais, encaminhamos os pedidos apenas para estes fornecedores.
Sempre sob controlo humano
A IA redige; as pessoas decidem. Cada história é revista e aprovada por uma pessoa antes de ser publicada. Nada é publicado automaticamente a partir de um modelo.
Onde a IA é utilizada, ao pormenor
Total transparência sobre cada tarefa que envolve um modelo: o que faz e que dados vê. Em todos os casos, os dados pertencem à própria organização e uma pessoa revê o resultado.
A equipa da Proofpoints escolhe a gama de modelos e mantém-na atualizada: apenas modelos de ponta, nunca modelos pequenos, não validados ou alojados internamente. Os administradores escolhem a partir dessa gama e podem personalizar as instruções subjacentes a cada tarefa. Todos os resultados são editáveis, e uma pessoa revê e aprova cada história antes de ser publicada.
Como é assinalado o conteúdo criado por IA
O artigo 50.º do Regulamento da UE sobre IA exige que o conteúdo gerado por IA possa ser reconhecido como tal e que as pessoas saibam quando estão a falar com uma IA. Eis o que aplicamos atualmente, em cada ponto de contacto. O essencial é anterior a qualquer regulamento: a pessoa citada lê a história final e aprova-a em nome próprio.
Ainda não: credenciais de conteúdo com assinatura criptográfica (C2PA) nos ficheiros exportados. Voltaremos a analisar esta questão quando um cliente ou um processo de aquisição o solicitar. Não submetemos as histórias a “detetores de IA”; explicamos as nossas razões nas nossas normas.
Controlos
Como protegemos os seus dados, no dia a dia
Isolamento entre organizações
Os dados de cada organização estão totalmente isolados. Os pedidos entre organizações devolvem 'não encontrado' – nunca os dados de outro cliente, nem qualquer indício de que existem.
Acesso baseado em funções
As funções de membro, administrador e proprietário controlam todas as ações. Leituras, escritas e eliminações exigem a função adequada, verificada no servidor em cada pedido.
Encriptação em toda a parte
Todos os dados são encriptados em trânsito (TLS) e em repouso, por predefinição, na nossa base de dados, no armazenamento de ficheiros e nas cópias de segurança.
Registo de auditoria
Cada criação, atualização e eliminação é registada com o utilizador, a ação, o recurso, o IP e a data e hora, sendo conservada durante um mínimo de dois anos.
Privilégio mínimo
As chaves administrativas existem apenas no servidor e nunca são expostas ao navegador. Os webhooks têm a assinatura verificada antes de qualquer processamento.
Segurança reforçada por predefinição
Cabeçalhos de resposta de segurança, validação rigorosa dos dados de entrada em cada pedido e erros internos da base de dados que nunca são revelados aos clientes.
Conformidade
Em que ponto estamos
A Proofpoints detém a certificação Cyber Essentials, a certificação de base do National Cyber Security Centre do Reino Unido, emitida pela IASME a 16 October 2026 e válida até October 2027. É renovada todos os anos e o certificado pode ser verificado no registo público.
A plataforma foi construída segundo os controlos SOC 2: o isolamento entre organizações, o privilégio mínimo, a encriptação, o registo de auditoria e a gestão de alterações fazem parte da sua conceção, não foram acrescentados depois. Uma auditoria SOC 2 formal e um teste de intrusão independente estão previstos no nosso roteiro; teremos todo o gosto em partilhar o estado atual, as evidências e os prazos ao abrigo de um acordo de confidencialidade. Apoiamos o cumprimento das obrigações do RGPD, a residência de dados na UE e disponibilizamos um Acordo de Tratamento de Dados com uma cláusula explícita que proíbe o treino de IA. Estamos registados no Information Commissioner's Office (ICO) do Reino Unido, com o número de registo ZC197482.
Para além disso, preferimos dizer-lhe exatamente em que ponto estamos do que sugerir um selo que não conquistámos. Se uma certificação for um requisito para si, fale connosco – mostramos-lhe o plano.
As perguntas de uma avaliação de segurança
Uma linha para cada uma, para que um avaliador possa analisá-las rapidamente.
Due diligence
O pacote de segurança
Público – esta página
A nossa postura de arquitetura, o âmbito dos dados, a lista de subcontratantes, a nossa posição sobre IA e os controlos. Tudo o que uma primeira análise exige, sem necessidade de NDA.
Privado – mediante NDA
O pacote de evidências: estado e relatórios da auditoria de segurança, resultados de testes de intrusão, um questionário de segurança preenchido (CAIQ / SIG), o nosso DPA e os acordos com subcontratantes, e um fluxo de dados detalhado para sua análise. Solicite-o e daremos resposta rapidamente.
Questões de segurança ou de due diligence? Envie um e-mail para security@proofpoints.com. Estado do serviço em tempo real: proofpoints.betteruptime.com. Para comunicar uma vulnerabilidade, utilize o mesmo endereço – respondemos com prontidão e não tomaremos medidas contra investigadores que atuem de boa-fé.