Como protegemos os dados da sua organização
O que a Nelura faz hoje pela segurança, pelos dados e pela privacidade da sua organização — cada ponto com o seu estado: em vigor, em preparação ou planeado.
- Isolamento por organizaçãoCada academia vê só os seus dados, imposto pela própria base de dados.
- Ligações cifradasSó HTTPS, em todos os endereços, com HSTS.
- SSO e dois passosGoogle, Microsoft, SAML ou OIDC, e verificação em dois passos.
- Registo de auditoriaQuem fez o quê, encadeado e guardado dois anos.
Em vigor corre hoje em produçãoEm preparação a ser construídoPlaneado aprovado, ainda por construir
Segurança
Como a plataforma separa as organizações, protege as entradas e guarda o registo do que se faz.
- Em vigorCada organização vê só os seus dadosAs academias estão isoladas umas das outras na base de dados por regras de segurança ao nível da linha, aplicadas pela própria base de dados e não só pelo código da aplicação. A presença dessas regras é verificada automaticamente a cada alteração ao código. Um pedido a um recurso de outra organização responde «não encontrado» — nem confirma que ele existe.
- Em vigorLigações cifradasO site, cada academia e o domínio próprio de uma academia respondem só por HTTPS, com certificados renovados automaticamente e HSTS de um ano: o navegador nem tenta uma ligação sem cifra.
- Em vigorPalavras-passeGuardadas com argon2id, nunca em claro. Cada organização define a sua política — comprimento mínimo, tipos de caracteres, bloqueio das palavras-passe mais comuns — e pode bloquear uma conta depois de várias tentativas falhadas.
- Em vigorEntrada única e dois passosEntrada com Google, Microsoft, SAML ou OIDC, chaves de acesso (passkeys) e provisionamento a partir do directório da organização por SCIM. Verificação em dois passos por aplicação de autenticação ou código por email, que a organização pode tornar obrigatória para todos ou só para quem administra.
- Em vigorSessões com as regras da organizaçãoA organização decide quanto tempo uma sessão pode estar parada e quanto dura no máximo. Cada pessoa vê as sessões que tem abertas e pode terminá-las.
- Em vigorPapéis e permissõesPapéis predefinidos, papéis à medida da organização e concessões pontuais: cada pessoa vê e faz só o que lhe compete. O que o ecrã esconde, o servidor também recusa.
- Em vigorRegisto de auditoriaQuem fez o quê, quando, de onde e o que mudou, com o antes e o depois. Cada registo fica encadeado com o anterior por uma impressão digital (hash), o que torna detectável uma alteração. Guardado durante dois anos e exportável para o SIEM da organização.
- Em vigorSegredos cifradosAs chaves de IA de cada organização e os segredos da verificação em dois passos guardam-se cifrados (AES-256-GCM) e nunca são mostrados de volta.
- Em vigorTravões contra abusosLimites de pedidos por endereço, mais apertados na entrada, na recuperação da palavra-passe e nos formulários públicos.
- Em vigorCópias de segurançaUma cópia dos dados de cada academia todos os dias, todas as semanas e todos os meses, verificada depois de feita. Guardam-se 30 diárias, 12 semanais e 12 mensais.
Dados e privacidade
O país, o fornecedor e a região do centro de dados da produção — onde correm a plataforma, a base de dados, os ficheiros e as cópias de segurança — indicam-se a pedido, por escrito, a quem avalia a Nelura: suporte@nelura.ao, assunto «Segurança».
- Em vigorOs dados são da sua organizaçãoA organização descarrega a cópia completa dos seus dados quando quiser, e cada pessoa descarrega os seus dados de aprendizagem.
- Em vigorQuando uma academia terminaUma academia que termina vai primeiro para a reciclagem: durante 30 dias pode ser reposta tal como estava.
- Em vigorLei n.º 22/11 e APDA Nelura está registada na Agência de Protecção de Dados (APD), como pede a Lei n.º 22/11, da Protecção de Dados Pessoais.
- Em vigorPedidos sobre dados pessoaisAcesso, correcção ou eliminação de dados pessoais: escreva para suporte@nelura.ao. É a caixa que a equipa da Nelura lê.
IA responsável
Os agentes de IA preparam o trabalho; uma pessoa decide. O que a IA faz com os dados da sua organização, e o estado de cada agente.
- Em vigorOs seus dados não treinam modelosOs dados das academias não servem para treinar modelos de IA.
- Em vigorA IA propõe; uma pessoa decideNenhum agente envia, atribui, publica ou dá uma nota sozinho. Devolve uma proposta com o porquê, e é o toque de uma pessoa que a executa.
- Em vigorO tutor mostra as fontesO tutor responde a partir do conteúdo da sua academia e mostra os excertos de onde tirou a resposta.
- Em vigorDados pessoais fora do pedidoAntes de um pedido chegar a um modelo de fora, saem dele os emails, telefones, NIF e BI, IBAN e números de cartão, que voltam a entrar na resposta. O assistente do Centro de comando trabalha com pseudónimos no lugar dos nomes.
- Em vigorChave própria de IAA organização pode ligar a sua própria chave de um fornecedor de modelos; a chave é testada antes de ser guardada e fica cifrada.
- Em preparaçãoMemória de aprendizagem que a pessoa controlaO que os agentes guardarem sobre o percurso de cada pessoa, ela vê, esquece, apaga ou desliga. Quem forma nunca vê a memória de outra pessoa.
Os agentes e o estado de cada um
- Tutor com fontes — responde a partir do conteúdo da academiaEm vigor
- Novo curso com IA — propõe o curso a partir dos documentos; quem forma revê e publicaEm vigor
- Simulador com rubrica — avalia a conversa critério a critérioEm vigor
- Assistente do Centro de comando — prepara a acção; quem gere confirmaEm vigor
- Coach de risco — redige a mensagem; quem forma decide se a enviaEm vigor
- Resumo das aulas — resume e divide em capítulos a gravação de uma aulaEm vigor
- Correcção assistida — propõe a nota e o comentário; quem corrige aprovaEm vigor
- Prática com personagens — avalia a resposta por palavras próprias pela rubrica; o que for contestado vai a quem formaEm vigor
- Analista da turma — vai propor o passo seguinte para a turma; alguém aprovaPlaneado
Subcontratados
As empresas a quem a Nelura confia uma parte do serviço, para quê, e onde.
| Serviço | Para quê | Fornecedor e região |
|---|---|---|
| Alojamento da plataforma e da base de dados | Correr a plataforma | Indicado a pedido |
| Armazenamento de ficheiros e cópias de segurança | Guardar os ficheiros das academias e as cópias | Indicado a pedido |
| Modelos de IA | Responder aos pedidos de IA quando a academia não usa chave própria | Indicado a pedido |
| Envio de email | Convites, avisos e códigos de entrada | Indicado a pedido |
As aulas ao vivo correm num servidor de vídeo da própria Nelura, e não num serviço de vídeo de terceiros.
O que as áreas de segurança nos perguntam
Indicamos o país, o fornecedor e a região do centro de dados da produção a pedido, por escrito, a quem avalia a Nelura: escreva para suporte@nelura.ao com o assunto «Segurança».
Não. Os dados das academias não servem para treinar modelos.
Não. Cada academia está isolada das outras pela própria base de dados, e um pedido a um recurso de outra organização responde «não encontrado».
Sim. A organização liga a chave do seu fornecedor de modelos nas definições da academia; a chave é testada antes de ser guardada, fica cifrada e nunca é mostrada de volta.
Sim. A organização descarrega a cópia completa dos seus dados quando quiser, e cada pessoa descarrega os seus dados de aprendizagem.
Escreva para suporte@nelura.ao com o assunto «Segurança». Não divulgue o problema publicamente antes de falarmos.
Tem mais perguntas sobre segurança?
Respondemos por escrito às perguntas da sua área de segurança, e mostramos a Nelura com os seus documentos.