Política de Segurança da Informação

Princípios públicos de segurança aplicáveis aos sistemas, website e informação tratados pela APTC.

Versão aprovada em julho de 2026 • Entidade: Associação Portuguesa de Terapia do Comportamento (NIF 501492232)

Âmbito público. Por razões de segurança, esta Política descreve princípios e controlos gerais. Procedimentos técnicos detalhados, credenciais, configurações, inventários e planos de resposta são documentos internos e não são publicados.

Cláusula 1.ª — Objetivo e âmbito

A APTC procura proteger a confidencialidade, integridade, disponibilidade, autenticidade e rastreabilidade da informação que trata, incluindo dados pessoais, documentação associativa, dados de pagamento, candidaturas, comunicações, conteúdos científicos e informação técnica do website.

Esta Política aplica-se a membros dos órgãos, colaboradores, prestadores, voluntários e utilizadores com acesso autorizado aos sistemas ou informação da APTC, na medida das respetivas funções e responsabilidades.

Cláusula 2.ª — Princípios de segurança

A APTC aplica uma abordagem baseada no risco, na proporcionalidade, na minimização de dados e na segurança desde a conceção e por defeito. O acesso à informação é limitado ao necessário, é atribuído por função e é revisto quando a relação ou a necessidade de acesso muda.

As medidas de segurança são selecionadas tendo em conta o estado da técnica, os custos de aplicação, a natureza do tratamento e os riscos para os direitos e liberdades das pessoas e para a continuidade das atividades da APTC.

Cláusula 3.ª — Governação e responsabilidades

A Direção e os responsáveis designados pela APTC promovem a conformidade, definem responsabilidades, aprovam medidas proporcionais e asseguram que incidentes relevantes são escalados. Cada pessoa com acesso autorizado deve cumprir esta Política, os procedimentos internos e os deveres de confidencialidade.

Prestadores com acesso a sistemas ou dados devem ser selecionados com diligência e ficar vinculados a obrigações adequadas de segurança, confidencialidade, assistência em incidentes, limitação de acesso e eliminação ou devolução de dados no termo da relação, quando aplicável.

Cláusula 4.ª — Gestão de acessos

As contas devem ser individuais, com privilégios mínimos necessários e mecanismos de autenticação adequados ao risco. Credenciais partilhadas devem ser evitadas e, quando tecnicamente inevitáveis, sujeitas a controlos compensatórios e registo.

Os acessos são revistos quando funções mudam, a colaboração termina ou surge indício de risco. Contas inativas, temporárias ou comprometidas devem ser desativadas ou protegidas com prontidão.

Cláusula 5.ª — Segurança de sistemas e website

A APTC procura manter software, extensões, bibliotecas e configurações atualizados, realizar cópias de segurança adequadas, restringir acessos administrativos, utilizar canais de comunicação protegidos e monitorizar indicadores relevantes de segurança.

Desenvolvimentos, alterações de configuração e integrações de terceiros devem ser avaliados antes da entrada em produção, com especial atenção a dados pessoais, autenticação, pagamentos, formulários, cookies e transferência de informação.

Cláusula 6.ª — Proteção e conservação da informação

A informação é classificada e conservada de acordo com a sua sensibilidade, finalidade e obrigações legais. Dados pessoais e informação confidencial devem ser acedidos apenas por pessoas autorizadas e transmitidos por meios adequados ao risco.

A eliminação, anonimização ou arquivamento seguro devem ocorrer quando a conservação deixar de ser necessária, sem prejuízo de deveres legais, requisitos de prova, obrigações estatutárias ou exercício de direitos.

Cláusula 7.ª — Incidentes e comunicação

Qualquer suspeita de acesso indevido, perda, divulgação, malware, fraude, indisponibilidade relevante ou vulnerabilidade deve ser comunicada imediatamente pelo canal interno definido. A APTC regista, avalia, contém, investiga e corrige os incidentes de forma proporcional.

Quando um incidente constituir violação de dados pessoais, a APTC avaliará a necessidade de notificar a CNPD e os titulares nos prazos e condições legalmente aplicáveis.

Cláusula 8.ª — Continuidade e cópias de segurança

A APTC mantém medidas adequadas de cópia de segurança, recuperação e continuidade para os sistemas e informação críticos, testando-as periodicamente de forma proporcional. A prioridade é restaurar serviços e dados de modo seguro, evitando propagar a causa de um incidente.

Cláusula 9.ª — Formação, revisão e melhoria

As pessoas com responsabilidades de tratamento ou acesso recebem orientação adequada sobre confidencialidade, palavras-passe, phishing, comunicação segura, reporte de incidentes e proteção de dados. A APTC pode realizar verificações, auditorias e revisões de risco proporcionais.

Esta Política é revista pelo menos quando ocorram alterações relevantes nos sistemas, nos serviços, na lei, no risco ou após incidente significativo.

Cláusula 10.ª — Contacto de segurança

Comunicações de segurança relativas ao website podem ser enviadas para aptc.portugal@gmail.com, com o assunto «Segurança do website». A APTC agradece a divulgação responsável e pede que não sejam exploradas vulnerabilidades, acedidos dados, interrompidos serviços ou divulgados detalhes antes de avaliação.