ChatGPTClaudePerplexityGoogle
Ver como Markdown

TL;DR

  • As equipes de segurança analisam com atenção as ferramentas de deduplicação, porque lêem e alteram registros de clientes.
  • Uma análise de segurança começa muitas vezes por saber onde os dados dos clientes estão armazenados e quem pode acessar a eles.
  • Os avaliadores pedem frequentemente certificados, como a ISO 27001, que comprovem uma auditoria independente a um fornecedor.
  • Algumas empresas exigem um NDA ou o seu próprio questionário de fornecedor antes de aprovar uma ferramenta.
  • A Dedupely publica as suas certificações e subcontratantes e trabalha com os NDA e questionários dos clientes.

Encontrou uma ferramenta de deduplicação adequada e a equipe está pronta para começar. Depois, alguém pergunta se a segurança já a aprovou. Em muitas empresas, qualquer ferramenta que toque em dados de clientes passa primeiro por uma análise.

Uma ferramenta de deduplicação recebe uma atenção maior do que muitas. Ela se conecta ao CRM, lê objetos inteiros de registros de clientes e os altera quando mescla. As equipes de segurança querem saber o que isso significa para os dados.

Neste artigo, vai ver o que as equipes de segurança perguntam a qualquer fornecedor, porque o fazem e o que é uma resposta clara. Vai também ver as perguntas específicas da deduplicação e como ajudar a avaliação a avançar mais depressa.

Porque é que uma ferramenta de deduplicação merece uma análise mais atenta

Muitos aplicativos conectados a um CRM leem alguns campos ou registram algumas atividades. Uma ferramenta de deduplicação funciona de outra forma. Para encontrar duplicados, ela precisa dos registros dos objetos que você escolher, muitas vezes com nomes, emails, números de telefone e endereços.

Para mesclá-los, também precisa de permissão para atualizar e excluir registros. Conectar um CRM costuma exigir direitos de administrador no CRM.

É esta combinação de dados pessoais e acesso de escrita que as equipes de segurança analisam. O seu trabalho é garantir que o fornecedor protege os dados tão bem como a sua própria empresa protegeria.

As perguntas que as equipes de segurança fazem a qualquer fornecedor

Cada empresa tem o seu processo, e a profundidade da análise varia. Estas perguntas surgem em muitas análises, independentemente da ferramenta.

Onde são armazenados e tratados os dados?

Os revisores perguntam que fornecedores de cloud alojam os dados, em que regiões e se o fornecedor mantém uma cópia. A localização importa para as leis de proteção de dados e para as políticas internas sobre onde os dados dos clientes podem residir.

Eles também perguntam por quanto tempo os dados são mantidos e se você pode excluí-los quando parar de usar a ferramenta. Uma resposta clara nomeia os provedores e as regiões, e explica a retenção e a exclusão em termos simples.

Quem pode acessar aos dados?

Isto abrange dois lados. Do lado do fornecedor: que colaboradores podem ver dados de clientes, quando, e como esse acesso é controlado.

Do seu lado: quais funções a ferramenta oferece e se ela suporta autenticação de dois fatores, single sign-on e restrições de IP. Os avaliadores também perguntam como a ferramenta se conecta ao CRM. Uma conexão baseada em tokens, como o OAuth, evita armazenar senhas do CRM.

Como é que o fornecedor utiliza os dados?

As equipes de segurança querem saber que os dados dos clientes são usados apenas para prestar o serviço. Perguntam se são usados para marketing, vendidos ou compartilhados, e se são enviados para modelos de IA externos ou usados para os treinar.

Se uma ferramenta usar IA, os revisores querem saber onde é feito o tratamento e que fornecedores veem os dados. Consulte como as ferramentas de IA se comparam na desduplicação de CRM.

Que certificações e auditorias se aplicam?

As certificações mostram que um auditor independente verificou as práticas de segurança do fornecedor. A ISO/IEC 27001 é uma das mais comuns: define requisitos para um sistema de gestão da segurança da informação.

Os avaliadores costumam pedir o próprio certificado, o seu âmbito e o auditor. Alguns pedem também os resultados de testes de penetração.

Que subcontratantes tratam os dados?

Os subprocessadores são as outras empresas de que um fornecedor depende, como os prestadores de alojamento em nuvem. As equipes de segurança pedem a lista, a localização de cada um e os dados a que cada um tem acesso.

Ao abrigo do GDPR, um subcontratante precisa da autorização escrita do responsável pelo tratamento antes de recorrer a outro subcontratante. É uma das razões pelas quais os avaliadores querem a lista por escrito.

O que acontece num incidente?

Os avaliadores perguntam se o fornecedor tem um plano de resposta a incidentes, como os incidentes são classificados e como e quando os clientes afetados são informados. Podem também perguntar como o fornecedor cifra os dados em trânsito e em repouso.

NDA, contratos e questionários de fornecedores

Algumas avaliações exigem documentação antes de começarem as perguntas. Uma empresa pode pedir um acordo de confidencialidade mútuo antes de o fornecedor compartilhar documentos detalhados, como políticas ou relatórios de testes.

As empresas sujeitas ao GDPR também precisam de um contrato com cada subcontratante que regule o tratamento de dados pessoais. Muitos fornecedores oferecem um acordo de tratamento de dados para isso.

As empresas maiores costumam enviar o seu próprio questionário a fornecedores. Pode ter dezenas de perguntas e é normalmente preenchido pela equipe de segurança ou de suporte do fornecedor. Pergunte cedo, pois os questionários podem demorar a concluir.

Perguntas específicas sobre ferramentas de deduplicação

Uma análise geral avalia como o fornecedor protege os dados. Uma ferramenta de deduplicação também altera os dados, por isso alguns avaliadores vão mais longe. Estas perguntas convém responder antes de serem colocadas.

Conectar a ferramenta altera algo no CRM?

Os avaliadores querem saber se a sincronização, por si só, edita, mescla ou elimina registros. Uma resposta clara separa a leitura dos dados da sua alteração e indica o que dispara uma alteração.

As mesclagens podem ser desfeitas, e existe um registro delas?

As mesclagens na maioria dos CRM são permanentes. Os revisores perguntam o que é mantido de cada registro mesclado, se existe um histórico de mesclagens e se este pode ser exportado. Por isso, muitas equipes faça uma cópia de segurança do CRM antes de uma mesclagem grande.

Quem pode mesclar, e o que fica registrado?

As equipes de segurança perguntam se o acesso pode ser limitado por função, e se um audit log registra mesclagens, logins e alterações nas configurações. Na Dedupely, você pode usar funções predefinidas (Administrador, Gestor de dados, Contador e Usuário somente leitura) ou funções personalizadas, com Sem acesso, Ler ou Ler e modificar em cada área. Perguntam também se a ferramenta tem salvaguardas que retêm correspondências arriscadas antes de uma mesclagem em massa.

Como ajudar uma análise de segurança a avançar mais depressa

As revisões demoram mais quando a segurança só ouve falar da ferramenta no fim. Envolva-a assim que a ferramenta parecer adequada e explique por que você precisa dela.

Compartilhe a página de segurança e o centro de confiança do fornecedor, a lista de objetos que vai conectar e quem da sua equipe vai usar a ferramenta. Se a diretoria também precisar aprovar o projeto, o caso de negócio para uma limpeza do CRM pode ir para eles ao lado da revisão.

Se sua empresa usa um questionário próprio, envie-o cedo ao fornecedor. Pergunte quem é o contato para questões de segurança, para que as respostas não se percam numa caixa de email genérica.

Resumo: o que perguntam as equipes de segurança e porquê

Pergunta Porque perguntam O que inclui uma resposta clara
Onde são guardados os dados? Leis de proteção de dados e políticas internas Fornecedores, regiões, retenção e eliminação
Quem pode acessar? Limitar a exposição dos dados dos clientes Acesso da equipe do fornecedor, funções, 2FA, forma como o CRM se conecta
Como são utilizados os dados? Impedir a utilização fora do serviço Sem uso para marketing, sem compartilhamento, tratamento por IA explicado
Que certificações se aplicam? Prova independente das práticas de segurança Certificados, âmbito, auditor, resultados de testes
Que subcontratantes são utilizados? Conheça todas as empresas que tratam os dados Nomes, localizações e a função de cada um
O que acontece num incidente? Saiba como e quando será informado Plano de resposta a incidentes e passos de notificação
As mesclagens podem ser desfeitas ou rastreadas? As mesclagens alteram os registros de clientes Histórico de mesclagens, exportação, registro de auditoria, salvaguardas

Como a Dedupely responde a uma avaliação de segurança

Use o página de segurança e Centro de Confiança para iniciar a revisão. Peça o escopo e a validade atuais dos certificados, os locais de tratamento, os subprocessadores, os prazos de retenção e a política sobre tratamento com IA. Revise essas provas para os objetos e campos reais do CRM que você pretende conectar, e combine quaisquer documentos exigidos do fornecedor antes do acesso.

Veja como o Dedupely trata os seus dados de CRM

Uma boa revisão protege os dados e o projeto

Equipes de segurança perguntam a qualquer fornecedor onde os dados ficam armazenados, quem pode vê-los e como são usados. Perguntam também quem os audita e quem mais os trata. Uma ferramenta de deduplicação acrescenta alguns pontos a mais, porque altera registros de clientes e não apenas os lê.

Uma análise corre bem quando essas respostas são publicadas, específicas e fáceis de compartilhar. Envolva a segurança desde o início, limite a análise aos objetos necessários e conte com a burocracia. O resultado é uma ferramenta em que a equipe de segurança confia para os dados de que toda a empresa depende.

Referências: Segurança do Dedupely; Centro de Confiança da Dedupely.

Perguntas frequentes

O que perguntam as equipes de segurança antes de aprovar uma ferramenta SaaS?

Costumam perguntar onde os dados são armazenados e tratados, quem pode acessar a eles e como o fornecedor os utiliza. Perguntam também que certificações e auditorias se aplicam, que subcontratantes tratam os dados e o que acontece em caso de incidente. Muitas empresas exigem ainda um acordo de confidencialidade, um acordo de tratamento de dados ou o seu próprio questionário.

É seguro conectar uma ferramenta de deduplicação ao meu CRM?

Pode ser, desde que sua equipe de segurança tenha verificado o fornecedor. Procure certificações publicadas, regiões de hospedagem claras, uma conexão com o CRM baseada em tokens, como OAuth, e uma lista de suboperadores. Pergunte se a sincronização, por si só, altera registros e se as mesclagens ficam registradas num histórico que você possa exportar.

O que é um questionário de segurança de fornecedores?

Um questionário de segurança de fornecedor é uma lista de perguntas que uma empresa envia a um fornecedor durante uma análise de segurança. Ele cobre temas como armazenamento de dados, controle de acesso, criptografia, certificações, suboperadores e resposta a incidentes. Empresas grandes costumam usar o seu próprio modelo, e a equipe de segurança ou de suporte do fornecedor o preenche.

O que é um subcontratante?

Um subcontratante é uma empresa de que um fornecedor depende para tratar dados de clientes, como um fornecedor de alojamento na nuvem. As equipes de segurança pedem a lista, onde cada um está sediado e que dados cada um vê. Ao abrigo do GDPR, a inclusão de um novo exige autorização escrita do cliente, dada de forma específica ou geral.

Porque é que a ISO 27001 importa numa avaliação de segurança?

A ISO/IEC 27001 define requisitos para um sistema de gestão de segurança da informação, e a certificação significa que um auditor independente verificou o fornecedor face a esses requisitos. Os avaliadores costumam pedir o certificado, o seu âmbito e o auditor. Não responde a todas as perguntas, por isso as avaliações continuam a abranger alojamento, acesso e subcontratantes.