Política de segurança da informação
PT.EL Portugal Economics and Legal · Versão 3.0 · Documento público · 1 de outubro de 2026
Esta Política diz como a Portugal Economics and Legal protege a informação que lhe é confiada. É um documento público, dirigido a clientes, parceiros e fornecedores. As normas internas que a concretizam não são publicadas, porque a sua divulgação reduziria a sua eficácia.
1. Objeto e âmbito
A Política aplica-se a toda a informação tratada pela sociedade, em qualquer suporte, em papel ou digital: processos e documentos de clientes, dados pessoais, informação financeira, contratos, correspondência e informação interna. Aplica-se igualmente aos sistemas e equipamentos que a suportam, ao arquivo físico e aos serviços contratados a terceiros.
Vincula a gerência, os advogados, os economistas, os estagiários, o pessoal administrativo e todos os prestadores de serviços e parceiros que tenham acesso a informação da sociedade ou dos seus clientes.
2. O que protegemos e porquê
A informação que os clientes nos confiam está coberta pelo segredo profissional dos advogados (artigo 92.º do Estatuto da Ordem dos Advogados) e pelos deveres de confidencialidade dos economistas. Grande parte dela contém dados pessoais, por vezes de categorias especiais, e informação comercial ou financeira cuja divulgação causaria prejuízo. Protegê-la é uma obrigação legal e deontológica e é a condição da confiança em que assenta a nossa atividade.
3. Enquadramento legal e referências
A Política cumpre o Regulamento (UE) 2016/679 (RGPD) e a Lei n.º 58/2019, o Estatuto da Ordem dos Advogados, os deveres de conservação e sigilo da Lei n.º 83/2017 e a Lei do Cibercrime (Lei n.º 109/2009). Segue, como referência de boas práticas, o Quadro Nacional de Referência para a Cibersegurança do Centro Nacional de Cibersegurança.
4. Princípios
Confidencialidade: a informação só é acessível a quem precisa dela para o trabalho que lhe está atribuído.
Integridade: a informação é exata e completa, e as alterações ficam registadas.
Disponibilidade: a informação está acessível quando é necessária, incluindo após uma falha ou um incidente.
Menor privilégio: cada pessoa tem apenas os acessos de que precisa, pelo tempo em que precisa deles.
Proporcionalidade: as medidas são adequadas ao risco e ao valor da informação.
Responsabilidade: cada pessoa responde pela informação a que acede e pelas credenciais que usa.
Segurança desde a conceção: a segurança é considerada quando se escolhe uma ferramenta ou se desenha um processo, não depois.
Melhoria contínua: as medidas são revistas à luz dos incidentes, das auditorias e da evolução das ameaças.
5. Governação e responsabilidades
A gerência aprova esta Política, assegura os meios para a cumprir e é informada dos incidentes relevantes.
A gerência é responsável pela segurança da informação: coordena a aplicação da Política, mantém o inventário de ativos e a avaliação de riscos, acompanha os incidentes e propõe a revisão das medidas.
Cada pessoa que trabalha na sociedade cumpre as normas internas, protege as suas credenciais, usa os sistemas apenas para os fins autorizados e comunica de imediato qualquer incidente ou suspeita.
Os prestadores de serviços cumprem as obrigações de segurança e de confidencialidade fixadas no contrato.
O incumprimento pode dar lugar a responsabilidade disciplinar, civil ou criminal, nos termos da lei.
6. Gestão de riscos e classificação da informação
Mantemos um inventário dos ativos de informação e avaliamos os riscos pelo menos uma vez por ano e sempre que haja uma alteração relevante, como a adoção de uma nova ferramenta ou de um novo prestador. Os riscos identificados dão origem a um plano de tratamento com responsáveis e prazos.
A informação é classificada em três níveis, com regras próprias de acesso, partilha, armazenamento e destruição:
Pública: destinada a divulgação, como os conteúdos do sítio.
Interna: informação de gestão cuja divulgação não é pretendida, mas não causaria dano grave.
Confidencial: informação de clientes e toda a que está coberta pelo segredo profissional ou contenha dados pessoais. Nunca sai dos sistemas aprovados pela sociedade.
7. Medidas de proteção
Acessos. Contas individuais, nunca partilhadas; autenticação em dois passos em todos os sistemas que tratam informação confidencial; revisão periódica dos acessos; revogação imediata quando uma pessoa deixa a sociedade ou muda de funções.
Equipamentos. Discos cifrados, bloqueio automático, atualizações de segurança instaladas sem demora e proteção contra software malicioso. A informação confidencial não é guardada em equipamentos que a sociedade não gere.
Comunicações. Correio eletrónico com cifra em trânsito e proteção contra falsificação do remetente; documentos confidenciais enviados por canal seguro, e nunca através de formulários públicos ou de aplicações de mensagens não aprovadas.
Serviços em nuvem. Só usamos fornecedores que oferecem garantias contratuais de segurança e de proteção de dados, com os dados no Espaço Económico Europeu ou com garantias equivalentes. As cópias de segurança são diárias, guardadas em local distinto e testadas periodicamente.
Arquivo físico. Documentos em papel guardados em armários fechados, com acesso restrito, e destruídos de forma segura quando terminam os prazos de conservação.
Trabalho fora do escritório. Acesso aos sistemas apenas por ligação segura; regras para o uso de redes públicas e para a proteção de documentos em viagem.
Continuidade. Plano de recuperação que permite repor os sistemas e os dados num prazo definido após uma falha ou um ataque.
8. Prestadores de serviços
Antes de contratar um prestador com acesso a informação confidencial, avaliamos as suas garantias de segurança. O contrato inclui obrigações de confidencialidade, as cláusulas exigidas pelo artigo 28.º do RGPD quando haja tratamento de dados pessoais por nossa conta, a limitação do acesso ao estritamente necessário, o dever de comunicar incidentes e o direito de verificarmos o cumprimento.
9. Incidentes de segurança
Um incidente é qualquer acontecimento que comprometa, ou possa comprometer, a confidencialidade, a integridade ou a disponibilidade da informação: acesso não autorizado, perda ou roubo de equipamento, envio de informação ao destinatário errado, software malicioso, indisponibilidade de um sistema.
Quem detete um incidente comunica-o de imediato ao responsável pela segurança da informação. Clientes, parceiros e terceiros podem comunicar incidentes ou vulnerabilidades para seguranca@pt-on.com; comprometemo-nos a responder e a não agir contra quem comunique de boa-fé uma vulnerabilidade.
A resposta segue quatro passos: conter o incidente, avaliar o seu alcance e as pessoas afetadas, recuperar os sistemas e os dados, e registar o sucedido e as lições a retirar. Quando o incidente envolva dados pessoais e apresente risco para os titulares, notificamos a Comissão Nacional de Proteção de Dados no prazo de 72 horas e, se o risco for elevado, informamos as pessoas afetadas. Os clientes cuja informação tenha sido afetada são sempre informados.
10. Formação, revisão e controlo documental
Todas as pessoas recebem formação em segurança da informação quando entram na sociedade e, depois, pelo menos uma vez por ano, com exercícios práticos sobre as ameaças mais frequentes, como as mensagens fraudulentas.
Esta Política é revista anualmente e sempre que ocorra uma alteração legal, um incidente relevante ou uma mudança significativa nos sistemas ou na organização. As alterações são aprovadas pela gerência e comunicadas a todos os destinatários.
Versão 3.0 · Classificação: público · Aprovada pela gerência em 1 de outubro de 2026 · Próxima revisão: 1 de outubro de 2027.
