Declaração de Proteção de Dados – Medidas Organizacionais e Técnicas
A Radius Limited («Radius») está empenhada em garantir a segurança e a proteção de todas as informações pessoais que trata, quer se trate de informações na posse da organização, tratadas em nome dos seus clientes ou dos utilizadores dos seus serviços. Aplicando uma abordagem baseada no risco à privacidade de dados, foram implementados controlos organizacionais, processuais e técnicos eficazes para cumprir a legislação em vigor e os princípios de proteção de dados.
Para garantir esta proteção, a Radius utiliza a estrutura do Sistema de Gestão da Segurança da Informação (SGSI) da norma ISO 27001. Através de um investimento significativo na sua infraestrutura de TI, a Radius mantém esta certificação desde 2018, tendo obtido com sucesso a certificação para a nova norma de 2022 em março de 2024. Além disso, a Radius também possui a certificação Cyber Essentials Plus desde 2016.
As informações abaixo apresentam uma descrição detalhada dos controlos implementados pela organização.
A declaração foi revista e atualizada pela última vez a 16 de janeiro de 2026 – Versão 2.0
As funções e responsabilidades organizacionais estão definidas e documentadas, com um responsável executivo que presta contas, garantindo a alocação de recursos adequados para se alinharem com a orientação estratégica do Grupo. O SGSI é gerido centralmente por uma equipa dedicada de profissionais das áreas de Conformidade, Auditoria Interna, Segurança da Informação e Cibersegurança.
Os riscos de segurança da informação são identificados no âmbito de um quadro de gestão de riscos baseado no âmbito e nos critérios definidos do SGSI. Os objetivos internos são definidos e monitorizados regularmente em conjunto com os principais intervenientes.
Está em vigor uma política global de Segurança da Informação, acompanhada de uma Declaração Executiva. As políticas principais são obrigatórias para todo o pessoal, e um conjunto de políticas secundárias é categorizado com base na relevância para determinadas áreas do negócio, por exemplo, o Desenvolvimento de Software de TI. Todo o pessoal pode aceder a estas políticas no nosso site da Intranet interna e é ministrada formação anualmente no âmbito do nosso Sistema de Gestão da Aprendizagem.
Todas as informações são processadas de acordo com as diretrizes de classificação de dados do Grupo, com controlos adequados atribuídos aos dados confidenciais, privados e públicos. Existe um inventário de ativos e sistemas, com a responsabilidade atribuída à gestão competente.
Está também em vigor uma política e um procedimento de comunicação de incidentes, com um mecanismo simples para que os colaboradores possam comunicar eventos ou incidentes. Os incidentes são registados e tratados pelas equipas internas de Segurança da Informação e Cibersegurança. Um procedimento de comunicação de violações está documentado e integrado no Plano de Continuidade de Negócios da organização. Os planos são revistos e testados regularmente (pelo menos uma vez por ano). As lições aprendidas são documentadas e divulgadas a todos os níveis.
São realizadas avaliações de riscos de segurança aos fornecedores com base na sua interação com os sistemas e dados da Radius. Os contratos, acordos e acordos de confidencialidade (NDAs) são implementados em conformidade com uma Política de Gestão de Fornecedores formal.
Toda a legislação e requisitos regulamentares relevantes foram identificados e revistos, com uma análise contínua do panorama. Foi nomeado um Responsável pela Proteção de Dados para garantir a conformidade com a legislação em matéria de privacidade de dados a que a Radius está sujeita nas jurisdições em que opera. São realizadas avaliações de impacto para quaisquer alterações significativas nas atividades de tratamento, a fim de garantir a conformidade contínua.
Todos os colaboradores são avaliados de acordo com os níveis de risco aceites, sendo realizadas verificações adicionais do DBS (Serviço de Verificação de Antecedentes Criminais) para o pessoal sénior e para aqueles que desempenham funções em áreas regulamentadas. As responsabilidades e os termos e condições relativos à confidencialidade são comunicados e assinados pelos colaboradores nos contratos de trabalho, com disposições que se mantêm em vigor após a rescisão do contrato.
Existe um processo formal para novos colaboradores, transferências e cessações de contrato, destinado a registar os critérios de integração e saída, com medidas disciplinares claramente definidas para os colaboradores que não cumpram as políticas de segurança da informação.
A formação em segurança da informação é obrigatória e ministrada a todo o pessoal, pelo menos uma vez por ano, através do Sistema de Gestão da Aprendizagem do Grupo. Será ministrada formação adicional na sequência de quaisquer eventos, feedback ou alterações na legislação.
São realizadas avaliações de risco em todas as instalações da Radius, de acordo com os princípios das melhores práticas de segurança física, tendo sido implementados inúmeros controlos, tais como cartões de identificação para controlo de acesso, câmaras de CCTV e ANPR e alarmes de segurança. O acesso a áreas seguras é concedido consoante a necessidade e é aprovado e revisto pelos responsáveis de departamento. São realizadas inspeções regulares para garantir que as secretárias estão desocupadas nos escritórios.
Os centros de dados de terceiros estão alojados em instalações com requisitos rigorosos de segurança física, sendo realizada uma auditoria anual.
É realizada manutenção regular do equipamento e dos serviços de utilidades, e o equipamento em fim de vida é registado e eliminado de acordo com os Regulamentos WEEE (ou equivalentes fora do Reino Unido) e com a nossa Política Ambiental.
Gerida pelas suas equipas internas de Operações de TI, Cibersegurança e Infraestruturas, a Radius utiliza tecnologia de ponta para identificar, monitorizar e mitigar potenciais ameaças dentro da sua rede segura e dos ambientes de servidores, por exemplo, NDR e EDR, com proteção de terminais implementada em todos os ativos. As chaves de criptografia são geridas centralmente e de acordo com as melhores práticas.
A todos os utilizadores são atribuídas contas de utilizador padrão, compostas por um ID único, uma palavra-passe e o princípio do privilégio mínimo. São aplicados privilégios elevados e a separação de funções ao acesso de administrador. O acesso só pode ser concedido através de tickets de serviço internos com as aprovações relevantes. A autenticação multifator (MFA) está em uso em todo o Grupo e o início de sessão único (SSO) está a ser cada vez mais adotado. O acesso é revisto regularmente para garantir que os princípios de «necessidade de saber» são respeitados.
São realizadas revisões regulares da gestão da capacidade, com alertas automatizados para determinar quando a capacidade atinge o seu limite. Estão implementados backups, que são testados regularmente para garantir que funcionariam numa situação «real». Os registos são conservados durante 12 meses.
A segregação de rede está implementada em toda a infraestrutura, com vários mecanismos de segurança para detetar e impedir o acesso a sistemas de informação, tais como firewalls e DMZs. A monitorização da rede através de soluções NDR e EDR também está em vigor.
A garantia por parte de terceiros é obtida através de testes de penetração independentes regulares, e são realizadas regularmente avaliações de vulnerabilidade das aplicações expostas externamente. São também realizadas auditorias de certificação anuais para a norma ISO 27001 e para o Cyber Essentials.
A segurança da informação está integrada nos princípios de «segurança desde a conceção» para o desenvolvimento de software de TI, sendo realizadas Avaliações de Impacto na Proteção de Dados (DPIA) para todas as alterações obrigatórias. Estão em vigor políticas e processos seguros do Ciclo de Vida do Desenvolvimento de Software (SDLC), com revisões de código concluídas. Os testes são realizados por uma equipa de testes interna. Um procedimento de viabilização/gestão de alterações está alinhado com os princípios da ITIL v4 e realizam-se reuniões semanais do Conselho Consultivo de Alterações para analisar e aprovar as alterações planeadas.