R

Transparência sobre onde correm os seus dados

Segurança e alojamento

Alojado na Europa (Hetzner, Alemanha) — conforme RGPD, nenhum dado sai da UE. Esta página explica em detalhe onde correm os seus dados, porque é que a residência europeia satisfaz o RGPD e o RJC para entidades portuguesas, e que controlos técnicos estão em vigor.

Honestidade primeiro. A Reglyze NÃO é alojada em Portugal. A nossa infra-estrutura de produção corre em servidores físicos da Hetzner Online GmbH no centro de dados de Falkenstein (Alemanha). Preferimos dizê-lo aqui, em primeiro lugar, do que prometer alojamento exclusivamente nacional e quebrar essa promessa silenciosamente — qualquer auditor pode verificar o IP público da api.reglyze.com por WHOIS em 30 segundos.

Onde estão os seus dados

Servidores de aplicação

Hetzner Online GmbH — centro de dados de Falkenstein (Saxónia, Alemanha). Servidor físico dedicado, IP público 95.216.191.129 (verificável por WHOIS).

Base de dados PostgreSQL

Co-localizada no mesmo servidor de produção (Alemanha). Encriptação em repouso ao nível do sistema de ficheiros. Isolamento de tenants via Row-Level Security.

Ficheiros carregados (políticas, evidências)

Object storage MinIO no mesmo servidor (Alemanha). URLs pré-assinados de 5 minutos para download — sem acesso público.

Backups

Snapshot diário comprimido + encriptado. Retenção de 7 dias localmente (Hetzner Alemanha) + mirroring para Google Drive em datacenters europeus (Google Cloud EU).

Porque é que Alemanha cumpre o RGPD para Portugal

Tanto Portugal como a Alemanha são Estados-Membros da União Europeia, pelo que aplicam o mesmo Regulamento (UE) 2016/679 (RGPD). Para efeitos de transferência de dados entre os dois países, o RGPD trata esses fluxos como internos ao mercado único — não existem "transferências internacionais" (art. 44.º a 49.º) e não são necessárias cláusulas contratuais-tipo (SCC).

  • Reguladores sob o EDPB. A CNPD (Portugal) e o BfDI / autoridades de proteção de dados dos Länder (Alemanha) participam no European Data Protection Board e aplicam a mesma jurisprudência.
  • Mesma proteção em caso de incidente. Uma violação de dados pessoais é notificada à CNPD (autoridade de controlo da entidade cliente) — não às autoridades alemãs — uma vez que o responsável pelo tratamento permanece em Portugal.
  • Sem CLOUD Act exposure. A Hetzner é uma empresa alemã independente, sem capital ou subsidiárias nos Estados Unidos. Não está sujeita ao US CLOUD Act nem à FISA Section 702 — riscos que persistem mesmo quando hyperscalers norte-americanos abrem regiões em Portugal.
  • Energia 100 % renovável. Centros de dados Hetzner em Falkenstein operam com eletricidade certificada renovável — relevante para entidades públicas portuguesas com critérios de contratação ESG (Decreto-Lei n.º 60/2018, concursos públicos sustentáveis).

Dependências fora da UE e como são tratadas

Para honestidade plena: existem três serviços externos no stack Reglyze que não estão na UE. Aqui está como são tratados.

Anthropic (modelo de IA Claude)

A funcionalidade de geração de políticas e respostas a questionários invoca o modelo Claude através da API Anthropic (Estados Unidos). Antes de cada chamada o texto é submetido a um redactor PII que substitui e-mails, números de telefone, NIPC, IBAN e outros identificadores por placeholders. A Anthropic não é treinada com os dados de input (cláusula contratual). Esta dependência pode ser desligada por organização (kill-switchREGLYZE_LLM_REMEDIATION) para clientes com requisitos jurídicos mais estritos.

Stripe (pagamentos)

Apenas dados estritamente necessários ao processamento de pagamentos (nome, e-mail de faturação, último-quatro do cartão). Stripe Ireland Limited (Dublin, Irlanda) é o responsável pelo tratamento; Stripe Inc. (EUA) é sub-encarregado sob Standard Contractual Clauses e compromissos contratuais explícitos. Nenhum dado de conformidade NIS 2 atravessa Stripe.

Cloudflare (mitigação DDoS + cache)

Cloudflare opera infra-estrutura distribuída globalmente, mas para tráfego europeu a entrega é servida a partir de PoPs na UE (Frankfurt, Madrid, Paris, Lisboa). Apenas metadados de pedido (IP, user-agent) transitam. Conteúdo de aplicação é cifrado TLS 1.3 ponto-a-ponto até ao servidor em Falkenstein.

Controlos técnicos em vigor

  • TLS 1.3 em trânsito. Cifragem ponto-a-ponto entre o browser do operador e o servidor de produção. SSL Full mode na Cloudflare (sem fallback HTTP).
  • Encriptação em repouso. Sistema de ficheiros do servidor de produção cifrado; os backups são comprimidos e cifrados antes de saírem do servidor.
  • Isolamento de tenants. Cada entidade cliente é uma organização com chave primária própria; consultas SQL passam por filtros aplicacionais obrigatórios. Testes automatizados de cross-tenant isolation correm em CI antes de cada deploy.
  • Audit log imutável. Toda a actividade relevante (alterações de scoping, geração de documentos, pacotes MyCiber preparados) é registada numa tabela append-only com protecções a nível de role da base de dados (ADR 0019 da arquitectura Reglyze).
  • Segregação de chaves API. Ambientes dev / prod usam chaves Anthropic distintas, com rotação documentada em runbook. O acesso ao servidor de produção é via SSH com chave pública dedicada (não há password authentication).
  • Code review obrigatório. Todo o código que vai para produção passa por revisão (humana ou via agente code-review automatizado) antes do merge. Pipeline de deploy tira backup completo antes de aplicar migrações e faz rollback automático em caso de falha do smoke-test.

Perguntas frequentes

Onde estão alojados os meus dados quando uso a Reglyze?

Todos os dados aplicacionais — base de dados, ficheiros carregados, registos de auditoria, backups — estão alojados em servidores físicos da Hetzner Online GmbH no centro de dados de Falkenstein (Alemanha). O endereço IP de produção é público (95.216.191.129) e pode ser verificado por WHOIS. Nenhum dado de cliente sai do Espaço Económico Europeu.

Porque é que a Reglyze não está alojada em Portugal?

A escolha de um centro de dados alemão prende-se com a maturidade do mercado europeu de infra-estrutura e com a estabilidade económica do fornecedor (Hetzner é um provider europeu independente, sem capital americano e sem CLOUD Act exposure). Para efeitos de RGPD a residência em Portugal ou em Alemanha é equivalente — ambos os Estados-Membros aplicam o mesmo Regulamento (UE) 2016/679.

Os meus dados podem ser acedidos por autoridades dos EUA?

Não. A Hetzner é uma empresa alemã sem capital ou jurisdição nos EUA, pelo que não está sujeita ao US CLOUD Act nem à FISA Section 702. Reglyze não usa serviços geridos da AWS, Google Cloud ou Azure para dados de cliente. As únicas dependências fora da UE são a Anthropic (com redacção de PII antes do envio) e a Stripe (apenas para pagamentos, sob SCC).

A Reglyze cumpre o RJC (DL 125/2025) e o RGPD para entidades portuguesas?

Sim. Como sub-encarregado de tratamento (sub-processor) ao serviço da entidade cliente, a Reglyze opera sob um Data Processing Agreement (DPA) que aplica os requisitos do art. 28.º do RGPD. Para o RJC, a Reglyze é uma ferramenta operacional ao serviço do dever de cibersegurança do operador — não submete por si nem assume responsabilidade pela conformidade (princípio ADR 0017 §1 da arquitectura Reglyze: o operador é sempre o último ato).

Posso receber o DPA assinado antes de subscrever?

Sim. O DPA é fornecido em PT-PT e EN. Para clientes do plano Pro e MSP é assinado por e-mail; entidades públicas podem solicitar uma versão adaptada para procedimento contratual público. Contacte [email protected].

Recursos relacionados

Comece sem comprometer a residência dos seus dados

A Reglyze foi pensada para entidades europeias. Comece pelo diagnóstico gratuito de 2 minutos — sem cartão de crédito, sem dados a sair da UE.