Segurança e proteção de dados na Scanara

Os dados dos clientes são armazenados na AWS eu-west-1 (Dublin, Irlanda): resultados de verificações com pequenos excertos de código, avaliações, dossiês e registos de auditoria. A Scanara não guarda uma cópia completa do seu repositório. Durante uma verificação, os ficheiros são lidos do GitHub (EUA) para uma memória de curta duração em eu-west-1. Frankfurt (eu-central-1) é a região de recuperação prevista; ainda não foi testada uma comutação completa. A análise do site só é carregada depois do seu consentimento para cookies e envia dados de utilização à Google e à Microsoft nos EUA, com base no EU-US Data Privacy Framework e nas cláusulas contratuais-tipo da UE.

Os dados armazenados são encriptados com AES-256. Os dados em trânsito usam TLS 1.2 ou superior. O armazenamento de auditoria e os registos usam chaves KMS dedicadas, que a Scanara gere na sua própria conta AWS.

O início de sessão usa o AWS Cognito com segurança avançada (autenticação adaptativa, deteção de credenciais comprometidas). A autenticação multifator com uma aplicação de autenticação está disponível, mas é opcional; a Scanara não a impõe. Os clientes Enterprise podem usar o início de sessão único através de OIDC; o SAML está planeado.

As ações na Scanara são gravadas como eventos num registo de escrita única (S3 Object Lock em modo de conformidade), cada um com um hash de integridade SHA-256. A Scanara conserva estes registos durante pelo menos 10 anos em todos os planos. Os fornecedores de sistemas de IA de risco elevado têm de conservar a documentação durante 10 anos após a colocação no mercado ou a colocação em serviço do sistema (artigo 18.º, n.º 1, do Regulamento de IA).

A Scanara documenta as suas medidas do RGPD: um registo das atividades de tratamento, uma avaliação de impacto sobre a proteção de dados para a verificação de código-fonte, avaliações de impacto das transferências para os seus fornecedores dos EUA e um acordo de subcontratação nos termos do artigo 28.º. Os dados de conta e de organização são eliminados ou anonimizados no prazo de 30 dias após o encerramento. A Scanara não treina modelos de IA com o código dos clientes.

As funções limitam o que cada utilizador pode fazer numa organização: administrador da organização, responsável de conformidade, engenheiro de IA, auditor e leitor. Os dados são separados por organização através de consultas limitadas à organização e de segurança ao nível da linha. O pessoal da Scanara acede à AWS através do IAM Identity Center, sem credenciais de longa duração.

A Scanara não tem hoje nenhuma certificação de segurança. A ISO 27001 está em preparação; o SOC 2 e a ISO/IEC 42001 estão planeados, sem datas publicadas. Está planeado um teste de intrusão externo; não há data publicada. As certificações da AWS abrangem apenas a infraestrutura da AWS.

Compras

O pack de avaliação do fornecedor é para equipas de compras

Contém um questionário de segurança preenchido, um modelo de acordo de subcontratação, a lista de subcontratantes, uma descrição da arquitetura e uma declaração sobre a localização dos dados. Os documentos estão em inglês.