quem consegue aceder aos nossos dados no dossiê

O acesso é uma escolha da instituição, não uma escolha da plataforma

Não determinamos quem pode aceder ao dossier da cadeia. A própria organização regula isso, por utilizador e por função. Alguém que só pode preencher dados de identidade — como o nome estatutário ou o número de registo da inscrição — não precisa ter acesso ao estado ISO 27001 ou às respostas dirigidas aos bancos, por exemplo. É aconselhável essa separação assim que vários colegas trabalham em listas, pois nem todos os departamentos precisam dos mesmos dados para fazer a sua parte.

Na prática, isto funciona com funções: um gestor que cria contas e atribui direitos, e utilizadores que só podem ler ou também podem confirmar. Os campos confidenciais — como cifras de volume de negócios ou detalhes sobre o seguro de responsabilidade civil — podem ser protegidos separadamente, também para utilizadores que têm acesso ao dossier. Quem o configura e quão rigoroso, é uma escolha da organização. Mantemos os dados e mostramos-os a quem está autorizado; não tomamos qualquer decisão substantiva sobre quem vê cada campo.

Porquê não temos um papel aqui

Isto decorre da forma como a plataforma está configurada: construímos o lado das respostas, nunca nos ligamos ao portal de um cliente e não lemos listas de perguntas submetidas. A gestão do acesso ao próprio dossier é, portanto, tal como a manutenção de o sector em que a empresa opera ou o número de colaboradores: dados e configurações do cliente, não algo sobre o qual emitimos um parecer. Isto é distinto dos requisitos que podem aparecer nas próprias listas de perguntas sobre gestão do acesso como medida de controlo — como referido no Anexo A da ISO/IEC 27001 ou nas dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2. Esses requisitos referem-se à forma como a própria organização do cliente está estruturada, não às configurações dentro desta plataforma.