Centro de Confiança: certificações, auditorias e proteção de dados
Este é o centro de evidências de conformidade da BroadNet — as certificações, atestados, controlos de tratamento de dados, subcontratados e processo de divulgação que um analista de compras ou de segurança precisa para aprovar um fornecedor. Os relatórios detalhados estão protegidos por um acordo de confidencialidade; tudo o que um analista deve ver primeiro está aqui.
- ISO/IEC 27001:2022 — Segurança da informação
- ISO/IEC 27018 — Privacidade na nuvem (dados pessoais)
- ISO 9001 — Gestão da qualidade
- ISO 22301 — Continuidade de negócios
- SOC 2 Tipo II — relatório sob acordo de confidencialidade
- RGPD — em conformidade; acordo de tratamento de dados (DPA) disponível
Cópias de certificados e relatórios de auditoria partilhados sob acordo de confidencialidade mediante solicitação. Para trust@broadnet.me.
O que um analista de compras pode abrir agora, sem precisar de uma ligação de vendas.
Os resumos abaixo são públicos. Os relatórios de auditoria completos e as cópias dos certificados permanecem sob acordo de confidencialidade e são enviados mediante solicitação.
Acordo de Processamento de Dados (DPA)
O Contrato de Processamento de Dados padrão, com as Cláusulas Contratuais Padrão da UE, está incorporado em todos os MSAs. BroadNet atua como processadora e o cliente como controlador.
Leia o Acordo de Processamento de DadosLista de subprocessadores
A lista atual de subcontratados deve ser atualizada com pelo menos 30 dias de antecedência antes da contratação de um novo.
Veja a listaQuestionário de segurança (SIG/CAIQ)
Solicite o questionário SIG/CAIQ preenchido, o resumo executivo do teste de penetração e cópias dos certificados. Responderemos em até um dia útil.
Solicite o pacoteOnde os dados são alojados, por mercado
Onde os dados dos clientes estão alojados para cada mercado e como definir uma região específica.
Veja por mercadoAuditado onde contagens.
A BroadNet realiza auditorias contínuas por terceiros, seguindo padrões internacionalmente reconhecidos de segurança da informação, qualidade e continuidade de negócios. Todas as cópias de certificados e relatórios são partilhadas mediante solicitação, sob um acordo de confidencialidade mútuo.
| Padrão | Âmbito da certificação | Emitida pela | Ciclo de auditoria | Certificado e verificação |
|---|---|---|---|---|
| ISO/IEC 27001:2022 | O SGSI (Sistema de Gestão de Segurança da Informação) abrange a plataforma de mensagens, os produtos da operadora, o tratamento de dados do cliente e o relacionamento com fornecedores. | Organismo de certificação acreditado (nomeado no certificado) | Acompanhamento anual · Recertificação a cada 3 anos | Certificado e Declaração de Aplicabilidade nos termos do Acordo de Confidencialidade. Verificar no IAF CertSearch (pesquise “BroadNet”) |
| ISO/IEC 27018 | Proteção de dados pessoais (PII) nos serviços de mensagens em nuvem da BroadNet. A norma ISO/IEC 27018 é o código de boas práticas de privacidade em nuvem que amplia a norma ISO 27001 de Sistema de Gestão de Segurança da Informação (SGSI). | Organismo de certificação acreditado (nomeado no certificado) | Avaliado segundo a norma ISO 27001 ISMS | Cópia do certificado partilhada sob acordo de confidencialidade. Verificar no IAF CertSearch (pesquise “BroadNet”) |
| ISO 9001:2015 | Sistema de Gestão da Qualidade para o projeto, entrega e suporte de produtos de mensagens de telecomunicações. | Organismo de certificação acreditado (nomeado no certificado) | Auditoria anual de vigilância | Cópia do certificado partilhada sob acordo de confidencialidade. Verificar no IAF CertSearch (pesquise “BroadNet”) |
| ISO 22301 | Gestão da Continuidade de Negócios — resposta a incidentes, objetivos de recuperação e cenários de falha de fornecedores. | Organismo de certificação acreditado (nomeado no certificado) | Auditoria anual · Plano de continuidade testado todos os anos | Resumo do certificado e do plano de continuidade sob acordo de confidencialidade. Verificar no IAF CertSearch (pesquise “BroadNet”) |
| SOC 2 Type II | Critérios de Serviços de Confiança: Segurança, Disponibilidade e Confidencialidade, durante um período de relatório definido. | Escritório de contabilidade independente | Período de reporte anual | Relatório completo sob acordo de confidencialidade. Os relatórios SOC 2 não são publicados em registo público. Solicite o pacote |
| GDPR | Regulamento Geral de Proteção de Dados da UE (Regulamento (UE) 2016/679): a BroadNet trata os dados pessoais dos clientes como operador (processador), nos termos do acordo de tratamento de dados. | Regulamento da UE (conformidade, não um certificado) | Obrigação contínua | Acordo de tratamento de dados com as cláusulas contratuais-tipo da UE. Leia o Acordo de Processamento de Dados |
Em andamento: credenciamento GSMA SAS-SM (Subscription Manager) para a operação eSIM. Ainda não foi concedido, por isso não é listado como certificação obtida.
A MobileValidate é operada pela BroadNet e está coberta pelas certificações ISO da BroadNet e pelo seu acordo de proteção de dados (DPA).
Verificação: cópias dos certificados mais recentes e relatórios de auditoria são disponibilizados sob acordo de confidencialidade, mediante solicitação. trust@broadnet.meA BroadNet também é membro associado da GSMA e membro do Mobile Ecosystem Forum (MEF).
Privacidade e setor estruturas.
Além de seguir padrões certificados, a BroadNet opera os seus controlos de processamento para estar em conformidade com os regimes de proteção de dados e setoriais aos quais os nossos clientes estão sujeitos.
GDPR
Controlos de processamento do Artigo 28, um DPA padrão com Cláusulas Contratuais Padrão da UE, minimização de dados e ferramentas de direito ao apagamento do Artigo 17. Encaminhamento exclusivo para a UE mediante solicitação.
UAE PDPL
Decreto-Lei Federal nº 45 de 2021: base legal, direitos do titular dos dados, notificação de violação de dados e controlos de transferência transfronteiriça.
Saudi PDPL
Consentimento, minimização de dados, restrições à transferência internacional de dados e notificação de violação de dados em 72 horas estão alinhados à aplicação da SDAIA.
HIPAA-aligned
Disponibilidade de BAA confirmada durante a contratação. Templates seguros para PHI, logs restritos, AES-256 em repouso, TLS 1.3 em trânsito.
SOC 2 Trust Services
Critérios de segurança, disponibilidade e confidencialidade comprovados por um relatório independente SOC 2 Tipo II.
ISO 27001 ISMS
Um sistema de gestão certificado, não um retrato momentâneo — os controlos são auditados e mantidos continuamente.
Dentro dos corpos que Estabelecer os padrões.
A BroadNet é membro das entidades do setor que definem os padrões de mensagens, sinalização e interconexão em todo o mundo — cada uma delas contém um link para uma breve explicação sobre o que a associação abrange.
membro associado da GSMA
Grupos de trabalho de mensagens, diretrizes de segurança de sinalização e ciclos de documentação de interconexão.
MEF (Fórum do Ecossistema Móvel)
Código de conduta para mensagens A2P, melhores práticas para identificação do remetente e iniciativas de proteção ao consumidor.
GLF (Fórum Global de Líderes da ITW)
Padronização, liderada pelas operadoras, da interconexão por grosso, da prevenção de fraudes e do envio de mensagens.
Carrier Community
Interconexão de mensagens por grosso e fóruns de qualidade.
reguladores regionais
Reconhecida pela TDRA (Emirados Árabes Unidos), CST (Arábia Saudita), NTRA (Egito), TRC (Jordânia) e autoridades equivalentes nos mercados em que atuamos.
GSMA Open Gateway
Em conformidade com os padrões de API de rede de nível de operadora para mensagens, fraude e identidade.
Tudo o que um avaliador faz pede.
Páginas detalhadas e políticas para download. Os itens marcados com NDA são partilhados somente após a assinatura de um acordo mútuo de confidencialidade — você pode obtê-los em conjunto solicitando o pacote de segurança.
Relatórios ISO 27001, 9001, 22301 e SOC 2 sob NDA.
Explicação do âmbito, certificado e Declaração de Aplicabilidade do SGSI (Sistema de Gestão de Segurança da Informação).
Explicação e âmbito de aplicação do Sistema de Gestão da Qualidade.
Gestão da Continuidade de Negócios — RTO/RPO e testes de mesa.
Cobertura dos Trust Services Criteria; relatório sob NDA.
DPA padrão com Cláusulas Contratuais Padrão da UE, incorporado automaticamente a todo MSA (contrato-quadro de serviços).
Subprocessadores atuais, com aviso prévio de 30 dias sobre alterações.
Onde os seus dados ficam armazenados e como fixar uma região.
Notificação em até 72 horas e divulgação coordenada.
Como a BroadNet lida com dados de visitantes, potenciais clientes e utilizadores finais.
O contrato, a política de uso aceitável e a legislação aplicável.
Controlos de plataforma, de conta, operacionais e de telecomunicações.
Residência, retenção, encriptação, chaves.
Como os dados de clientes e utilizadores finais são localizados, protegidos e, eventualmente, destruídos. Todos os detalhes estão descritos na Lei de Proteção de Dados (DPA) e na visão geral de segurança.
| Controlar | Como BroadNet implementa isso |
|---|---|
| Residência de dados | Alojamento padrão na região MENA; alojamento na UE, nos EUA e em Singapura disponível. Encaminhamento exclusivo para a UE sob consulta; residência no GCC em contratos corporativos. |
| Retenção de dados | Corpos de mensagens armazenados por 90 dias (padrão), até 7 anos em planos empresariais (configurável). Informações pessoais identificáveis (PII) e informações de saúde protegidas (PHI) são removidas dos registos de webhook por predefinição para o setor de saúde. |
| Encriptação em trânsito | TLS 1.3 em todo o tráfego API e webhook. |
| Encriptação de dados armazenados | AES-256 com derivação de chave por locatário para dados de clientes em repouso. |
| Gestão de chaves criptográficas | Custódia com suporte de HSM (nível mínimo FIPS 140-2 3 para chaves de assinatura eSIM) sob procedimentos documentados de cerimónia de chaves. |
| Controlo de acesso | Controlo de acesso baseado em funções (RBAC), autenticação de dois fatores (2FA) obrigatória para administradores e registo de auditoria imutável de todas as ações que alteram o estado do sistema. |
| Direito ao apagamento | Ferramentas do Artigo 17 do GDPR expostas via API — exclusão em massa iniciada pelo cliente por hash de número de telefone, intervalo de ID de mensagem ou locatário. |
| Transferências transfronteiriças | Cláusulas Contratuais Padrão da UE (2021) mais o Acordo Internacional de Transferência de Dados (IDTA) do Reino Unido, quando aplicável; decisões de adequação monitorizadas. |
Onde os dados são alojados, por mercado
| Mercado | Onde os dados são alojados | Como você consegue isso? |
|---|---|---|
| Emirados Árabes Unidos e o Conselho de Cooperação do Golfo (CCG) em geral | Alojado na região MENA por predefinição: a maior parte do processamento de mensagens em produção é executada em instalações Tier-3 operadas BroadNet na região, incluindo o centro de dados do Dubai. | Padrão. A residência de dados no GCC está prevista em contratos empresariais. |
| Arábia Saudita | No Reino da Arábia Saudita: BroadNet opera um centro de dados em Riade para manter os dados dos clientes com contas na Arábia Saudita residentes, em conformidade com a Lei de Proteção de Dados Pessoais da Arábia Saudita (PDPL). | A pedido. |
| União Europeia | Alojamento na União Europeia; o tráfego da UE pode ser isolado em rotas e armazenamento exclusivos da UE. | Mediante solicitação. As transferências internacionais de dados são regidas pelas Cláusulas Contratuais Padrão da UE (2021). |
| Estados Unidos | Alojamento nos Estados Unidos. | Dependendo do contrato. |
| Singapura | Alojamento em Singapura. | Dependendo do contrato. |
A política de residência de dados contém os detalhes, e a região está definida no seu contrato. Leia a política de residência de dados
Versões legíveis por máquina para ferramentas de compras e agentes de IA: compliance.json (certificações, residência, tratamento de dados) · sla.json (disponibilidade, créditos de serviço, metas de suporte)
Uma lista curta, e com 30 dias de antecedência.
A BroadNet mantém a sua infraestrutura de subprocessadores deliberadamente pequena. A maior parte do processamento de mensagens em produção é executada em instalações Tier-3 operadas pela BroadNet no Médio Oriente e Norte de África (MENA); um conjunto limitado de terceiros oferece suporte a cargas de trabalho e ferramentas operacionais fora da região MENA.
O que usamos e porquê
- Infraestrutura — Instalações BroadNet Tier-3 MENA (primárias); nuvem regional para cargas de trabalho fora da região MENA.
- E-mail transacional — somente notificações de conta e alertas.
- Página de status — alojamento de comunicações públicas sobre incidentes.
- Análises — Alojado internamente; sem análises de terceiros ou do Google Analytics.
Como as alterações são notificadas
Os clientes são notificados com pelo menos 30 dias de antecedência da contratação de qualquer novo subcontratado, dando-lhes tempo para analisar ou apresentar objeções antes do processamento de quaisquer dados. A lista atualizada e oficial é mantida na página de subcontratados e é referenciada pela Autoridade de Proteção de Dados.
Veja a lista atual de subprocessadores →Com quem você firma contrato, No papel.
A entidade do grupo por trás da plataforma e os documentos de política que regem o relacionamento.
BroadNet Technologies Sarl
- Fundada
- 2003
- sede
- Dubai, Emirados Árabes Unidos
- Forma legal
- Sarl (sociedade de responsabilidade limitada)
- Contratação
- Assinado pela filial da BroadNet que atende o seu mercado; o seu contrato indica a entidade contratante.
- Regulador
- TDRA (Autoridade Reguladora Governamental de Telecomunicações e Digital)
- Pegada
- Em todo o Médio Oriente e Norte de África, além de parcerias na África, Ásia, Europa e América Latina.
Divulgação coordenada, testado regularmente.
A BroadNet realiza testes de penetração regulares por terceiros e opera um processo coordenado de divulgação de vulnerabilidades. Reporte qualquer coisa que encontrar — respondemos rapidamente.
Reportar uma vulnerabilidade
Envie um e-mail para security@broadnet.me ou leia a política em formato legível por máquina e os idiomas preferenciais em /.well-known/security.txt.
Teste de penetração
Testes de penetração independentes realizados com periodicidade recorrente; o resumo executivo é partilhado com os avaliadores sob NDA.
Remediation SLA
Problemas de alta gravidade são resolvidos num SLA de 30 dias; problemas críticos são priorizados imediatamente.
Questões de compras, respondido.
As perguntas mais frequentes das equipas de segurança e compras. Tudo o que não estiver abordado aqui está incluído no pacote de segurança.
Quais certificações e atestados a BroadNet possui?
BroadNet possui as certificações ISO/IEC 27001 (segurança da informação), ISO/IEC 27018 (proteção de dados pessoais na nuvem), ISO 9001 (gestão da qualidade) e ISO 22301 (continuidade de negócios), além de um relatório SOC 2 Tipo II que abrange Segurança, Disponibilidade e Confidencialidade. A empresa também está em conformidade com o GDPR (há um acordo de tratamento de dados disponível). O credenciamento GSMA SAS-SM (Subscription Manager) da sua infraestrutura eSIM está em andamento. BroadNet é ainda membro associado da GSMA e membro do Mobile Ecosystem Forum (MEF).
Posso obter os relatórios de auditoria e os certificados referentes à revisão do processo de aquisição?
Sim. Cópias dos certificados, a Declaração de Aplicabilidade da ISO 27001, o relatório SOC 2 Tipo II e o resumo executivo mais recente do teste de penetração são partilhados com clientes corporativos atuais e potenciais sob um acordo de confidencialidade mútuo. Solicite o pacote de avaliação pelo e-mail trust@broadnet.me e geralmente respondemos num dia útil.
Você assina um DPA (Acordo de Processamento de Dados) e existe uma lista de subcontratados?
Um Contrato de Processamento de Dados (DPA) padrão, que incorpora as Cláusulas Contratuais Padrão da UE, está incluído em todos os Contratos de Prestação de Serviços — a BroadNet atua como Processadora e o cliente como Controlador, de acordo com o GDPR. Uma lista atualizada de subprocessadores é publicada e os clientes são notificados com pelo menos 30 dias de antecedência da contratação de qualquer novo subprocessador, para que possam apresentar objeções.
Onde os dados dos clientes são armazenados e podemos escolher a região?
A BroadNet oferece suporte o alojamento em servidores residentes no Médio Oriente e Norte de África (padrão), na UE, nos EUA e em Singapura, dependendo do contrato. Os dados de clientes da UE podem ser isolados em rotas e armazenamento exclusivos da UE mediante solicitação, e a residência de dados no GCC está disponível em contratos corporativos. As transferências internacionais são regidas pelas Cláusulas Contratuais Padrão da UE, além de adendos específicos para cada região.
Como os dados são encriptados e como as chaves são geridas?
Todo o tráfego de API e webhook utiliza TLS 1.3 em trânsito. Os dados em repouso são encriptados com AES-256 usando derivação de chave por locatário. A custódia das chaves para a plataforma de gestão de assinaturas eSIM é executada em HSMs que atendem, no mínimo, ao nível 3 do FIPS 140-2, sob procedimentos documentados de cerimónia de chaves com controlo duplo.
Por quanto tempo você retém o conteúdo das mensagens?
Os corpos das mensagens são retidos por 90 dias nos planos padrão e por até 7 anos nos planos empresariais, configuráveis por contrato. Informações pessoais identificáveis (PII) e informações de saúde protegidas (PHI) são removidas dos registos de webhook por predefinição para cargas de trabalho da área da saúde, e as ferramentas de direito ao apagamento do Artigo 17 do GDPR são disponibilizadas via API para exclusão em massa iniciada pelo cliente.
Você oferece suporte a cargas de trabalho que atendem à HIPAA?
A BroadNet está alinhada à HIPAA. Se planeia enviar PHI, informe-nos sobre os seus requisitos de HIPAA primeiro; a disponibilidade de BAA é confirmada durante a contratação. Os controlos incluem templates seguros para PHI, logs restritos, encriptação AES-256 em repouso e TLS 1.3 em trânsito. O alinhamento com a HIPAA é um compromisso contratual e de controlo, não uma certificação.
Como faço para reportar uma vulnerabilidade de segurança?
Envie um e-mail para security@broadnet.me ou consulte o ficheiro /.well-known/security.txt para obter informações sobre a política de divulgação coordenada e os idiomas preferenciais. A BroadNet realiza testes de penetração regulares por terceiros e partilha o resumo executivo sob acordo de confidencialidade (NDA); as vulnerabilidades consideradas de alta gravidade são corrigidas num prazo de 30 dias.
Precisa do pacote de segurança?
Para revisão de aquisição?
Enviaremos cópias dos certificados, o relatório SOC 2, o resumo do teste de penetração, o questionário de segurança preenchido (SIG/CAIQ), o modelo de DPA e a lista de subcontratados em até um dia útil, sob acordo de confidencialidade.