Confiança

Respostas ao questionário de segurança.

95 respostas às perguntas do HECVAT, na ordem do questionário e traduzidas da versão em inglês, com as perguntas que não se aplicam e o porquê. Cada resposta descreve o que a LFW faz hoje, de acordo com as políticas da página Confiança.

Preenchemos o formulário da sua instituição a partir destas respostas. Envie-o para nós, e o devolvemos preenchido, com o que muda para o seu contrato indicado.

Envie-nos o seu formulário A página Confiança

Última atualização: 6 de outubro de 2026

Tradução de cortesia. Prevalece a versão em inglês.

O conjunto de perguntas.

O HECVAT Lite não existe mais como arquivo separado. O questionário atual, HECVAT 4.1.6, reúne Full, Lite e On-Premise em uma única planilha, e indica as suas perguntas de importância crítica como substituto da abordagem Lite. Estas são essas perguntas, conferidas com a planilha em 6 de outubro de 2026.

O que contémAs oito perguntas de escopo, os dados da organização e todas as perguntas críticas do HECVAT 4.1.6, cada uma com a resposta da LFW. Os identificadores das perguntas são os da planilha, para que quem revisa possa compará-los.
O que não contémAs perguntas padrão e menores, que a planilha completa acrescenta. A LFW responde a elas no seu formulário, a partir dos mesmos fatos. Se a sua instituição ainda usa um HECVAT Lite antigo, as categorias dele correspondem às seções abaixo.
O escopo consideradoA solução é o serviço de gestão de sites da LFW: a gestão de um site na hospedagem da instituição, mais o Portal do cliente em my.lfw.com, onde a equipe da instituição envia solicitações e lê relatórios. O portal é o único sistema que a LFW hospeda.

Comece por aqui

Perguntas de escopo.

As oito perguntas que determinam quais seções se aplicam. As respostas explicam por que as seções HIPAA, cartões de pagamento e IA abaixo estão marcadas como não aplicáveis.

REQU-01 Vocês oferecem um produto em nuvem? Sim Em parte. O serviço roda na sua conta de hospedagem. O Portal do cliente (my.lfw.com) é uma aplicação hospedada que a LFW administra; as perguntas sobre o produto abaixo tratam, portanto, do portal.
REQU-02 O seu produto ou serviço tem uma interface? Sim O Portal do cliente para a sua equipe, e o site que a LFW constrói ou mantém para os seus visitantes e editores.
REQU-03 Vocês prestam serviços de consultoria? Sim A equipe da LFW trabalha nos seus sistemas: o seu sistema de gestão de conteúdo, a sua conta de hospedagem e a sua zona na Cloudflare, por meio de contas que você concede.
REQU-04 A sua solução tem funções de IA, ou há previsão de introduzi-las nos próximos 12 meses? Não O Portal do cliente não tem funções de IA. O portal pode ser conectado a um assistente de IA de sua escolha, com o seu consentimento, por meio de uma conexão padrão; a LFW não chama nenhum modelo em seu nome. A LFW usa ferramentas de IA no próprio trabalho, tratadas na seção Privacidade abaixo.
REQU-05 A sua solução trata informações de saúde protegidas (PHI) ou dados cobertos pela lei HIPAA (Health Insurance Portability and Accountability Act)? Não A LFW não assume sites ou formulários que coletam informações de saúde cobertas pela HIPAA.
REQU-06 A solução foi projetada para tratar, armazenar ou transmitir informações de cartão de crédito? Não Nem o Portal do cliente nem o site da LFW tratam dados de cartão de pagamento. No site de um cliente, os pagamentos vão para o fornecedor de pagamentos da instituição, nunca por páginas cujos dados a LFW guarde.
REQU-07 O funcionamento da sua solução exige que a instituição rode equipamentos físicos ou virtuais no próprio ambiente, ou que abra exceções de entrada no próprio firewall para que os seus funcionários administrem remotamente os sistemas da instituição? Não Nenhum equipamento e nenhuma exceção de entrada. A LFW se conecta aos seus sistemas hospedados como a sua equipe faz.
REQU-08 A sua solução tem acesso a dados pessoais ou a dados da instituição? Sim O conteúdo do seu site, as contas dos editores e os envios de formulários, nos seus sistemas. No portal: os nomes e e-mails da sua equipe, as solicitações que ela envia e os arquivos que anexa.

GNRL, COMP, DOCU

Organização.

Quem é a LFW e os documentos que ela tem.

GNRL-01 Nome do fornecedor da solução Resposta da LFW LFW.com LLC, que opera com o nome comercial LFW.
GNRL-02 Nome da solução Resposta da LFW A gestão de sites da LFW (o contrato de Gestão de sites, Web Operations Retainer) e o Portal do cliente.
GNRL-03 Descrição da solução Resposta da LFW A gestão de um site com um contrato mensal: atualizações, segurança, testes e correções de acessibilidade, alterações de conteúdo e um relatório mensal por escrito, em uma hospedagem de propriedade da instituição. O Portal do cliente é onde a equipe da instituição envia solicitações e lê relatórios.
GNRL-04 Nome do contato no fornecedor da solução Resposta da LFW Leland Fiegel, Founder & Technical Lead.
GNRL-06 E-mail do contato no fornecedor da solução Resposta da LFW hello@lfw.com; os relatos de segurança, para security@lfw.com.
GNRL-07 Telefone do contato no fornecedor da solução Resposta da LFW (703) 662-1617.
GNRL-08 País da sede da empresa Resposta da LFW Estados Unidos (Arlington, Virgínia). Todo o trabalho da LFW é feito nos Estados Unidos, a partir de Arlington.
COMP-01 Vocês têm uma ou mais equipes dedicadas ao desenvolvimento de software e sistemas (por exemplo, atendimento ao cliente, implantação, gestão de produto etc.)? Não A LFW é formada por uma pessoa, o seu fundador, que cuida de desenvolvimento, atendimento e implantação (1, em 27 de setembro de 2026).
COMP-02 Descreva a história da sua organização e a sua estrutura societária, incluindo todas as relações com empresas controladoras e controladas. Resposta da LFW A LFW.com LLC é uma sociedade de responsabilidade limitada da Virgínia, constituída no Distrito de Colúmbia em 2020 e transferida para a Virgínia em 2022, de propriedade integral de Leland Fiegel. Não tem empresas controladoras, controladas nem estruturas no exterior.
COMP-03 Vocês operaram esta solução sem interrupções imprevistas nos últimos 12 meses? Não Uma interrupção causada pela própria LFW, de cerca de um minuto, em 8 de setembro de 2026, quando uma publicação parou o serviço web antes de o backup terminar. O procedimento de publicação foi substituído no mesmo dia, e agora as versões só desviam o tráfego depois que a nova versão passa nas verificações.
COMP-04 Vocês têm pessoal ou um setor dedicado à segurança da informação? Não O fundador é o responsável pela segurança (security@lfw.com). Não existe um setor separado.
COMP-05 Use este espaço para compartilhar informações sobre o seu ambiente que ajudem a avaliar o programa de segurança de dados da sua empresa. Resposta da LFW Um servidor na Hetzner em Ashburn, na Virgínia, atrás da Cloudflare. O firewall só aceita tráfego web dos endereços da Cloudflare; o SSH é feito com chave, senhas desativadas. A aplicação, o banco de dados e o índice de busca escutam no endereço de loopback. Os detalhes estão na política de segurança da informação.
DOCU-01 Vocês têm um plano de continuidade de negócios (BCP) bem documentado, com um responsável claro, testado todo ano? Não Não na forma de um plano testado. A organização de continuidade publicada pela LFW: a sua conta de hospedagem e o seu repositório em seu nome desde o primeiro dia, um manual de operação no seu repositório atualizado todo mês, o suporte 24/7 da sua hospedagem e o acesso devolvido sem custo no fim do contrato.
DOCU-02 Vocês têm um plano de recuperação de desastres (DRP) bem documentado, com um responsável claro, testado todo ano? Em parte Os backups são documentados e automáticos: um snapshot criptografado e deduplicado todos os dias e a cada publicação, verificado toda semana, com uma cópia externa. Um exercício anual de restauração planejado ainda não faz parte do registro; o responsável é o fundador.
DOCU-03 Vocês passaram por uma auditoria SSAE 18/SOC 2? Não A LFW não tem nenhum relatório SOC 2. Os relatórios da sua hospedagem cobrem a infraestrutura em que o seu site roda.
DOCU-04 Vocês seguem algum framework de segurança padrão do setor (por exemplo, NIST Cybersecurity Framework, CIS Controls, ISO 27001 etc.)? Não A LFW não declara conformidade com nenhum framework. As suas práticas estão publicadas na íntegra neste site para que você possa compará-las com o seu framework.
DOCU-05 Vocês podem fornecer diagramas da arquitetura geral do sistema ou da aplicação, com uma descrição completa do fluxo de dados de todos os componentes? Sim A pedido. O fluxo de dados é curto: visitante, Cloudflare, nginx no servidor, a aplicação Node, um banco de dados SQLite no mesmo servidor, com backups criptografados no diretório de backup do servidor e no Cloudflare R2.
DOCU-06 A sua organização tem uma política de privacidade de dados? Sim Publicada em lfw.com/privacy, com a sua data e as versões anteriores.
DOCU-07 Vocês têm uma política documentada, e em vigor, para a entrada e a saída de funcionários? Não se aplica A LFW não tem funcionários. A política de controle de acesso descreve como o acesso da LFW aos seus sistemas é concedido e revogado, e também serve de lista de saída.

THRD, CHNG, PPPR

Terceiros e mudanças.

As empresas de que a LFW depende e como as mudanças e as correções são gerenciadas.

THRD-01 Vocês fazem avaliações de segurança das empresas terceiras com que compartilham dados (por exemplo, hospedagem, serviços em nuvem, PaaS, IaaS, SaaS)? Em parte A LFW lê a documentação de segurança publicada por cada fornecedor antes de usá-lo e mantém pública a lista de fornecedores (os suboperadores da página Confiança). Não faz auditorias próprias desses fornecedores.
THRD-02 Vocês têm cláusulas contratuais com terceiros que regulem o acesso aos dados da instituição? Sim Os termos padrão e os termos de tratamento de dados de cada fornecedor. A LFW não negocia contratos sob medida com eles.
THRD-03 Os contratos com esses terceiros tratam da responsabilidade em caso de violação de dados? Em parte Só na medida em que os termos padrão de cada fornecedor tratam. A LFW não negociou com nenhum fornecedor cláusulas de responsabilidade por violação.
THRD-04 Vocês adotaram uma estratégia de gestão de terceiros? Em parte Uma lista curta e publicada, revista a cada inclusão ou remoção de um fornecedor; a política de privacidade, a página Segurança e a página Confiança mudam juntas.
CHNG-01 A instituição será informada sobre mudanças importantes no seu ambiente que possam afetar a segurança dela? Sim No seu relatório mensal, e nos documentos datados da página Confiança, que mudam de forma transparente.
CHNG-02 O sistema mantém as personalizações do cliente de uma versão para outra? Sim O seu site é um tema sob medida em um repositório de sua propriedade; nenhuma atualização sobrescreve, portanto, o que é seu. O Portal do cliente não é personalizado por cliente.
CHNG-03 Vocês têm um processo de gestão de configuração dos sistemas (por exemplo, imagens “de referência” seguras etc.)? Sim O script de provisionamento do servidor, as unidades de serviço, as regras do firewall e a configuração do servidor web estão no controle de versão. Cada versão é construída em um contêiner descartável e ativada em um só passo.
PPPR-01 Vocês têm um processo documentado de gestão de correções? Sim Para o seu site: atualizações mensais, versões de segurança aplicadas antes do ciclo e um firewall que bloqueia os ataques conhecidos enquanto isso. Para os sistemas da LFW: as dependências são verificadas a cada publicação, e uma versão publicada há menos de sete dias é recusada.
PPPR-02 A sua organização pode cumprir as políticas da instituição sobre privacidade e proteção de dados em relação aos usuários dos sistemas dela, se necessário? Sim Dentro do seu contrato. Envie-nos a política; a LFW a lê antes de assinar.
PPPR-03 A sua empresa está sujeita às leis e aos regulamentos da região geográfica da instituição? Sim A LFW é uma empresa dos Estados Unidos. Dentro do contrato de uma instituição pública, aceita a lei do estado e o foro da instituição.

CONS

Acesso do consultor.

Como a LFW trabalha nos seus sistemas.

CONS-01 O consultor precisará acessar os recursos de rede da instituição? Não Nenhum acesso à rede, nenhuma VPN nem equipamento. A LFW usa contas nominais que você concede nos seus sistemas hospedados.
CONS-02 O consultor recebeu treinamento sobre tratamento de dados (sensíveis, HIPAA, PCI etc.)? Não Não existe um programa de treinamento formal; uma única pessoa detém o acesso. As regras escritas são a política de uso aceitável e a política de controle de acesso deste site.
CONS-03 Os dados são criptografados (em repouso) quando estão em posse do consultor? Em parte A LFW mantém os seus dados nos seus sistemas e evita guardar cópias no próprio equipamento. O trabalho em andamento fica no repositório de sua propriedade. Os backups criptografados da LFW cobrem os registros do Portal do cliente.
CONS-04 O acesso pode ser restrito pelo endereço IP de origem? Sim Quando a sua plataforma permitir. A LFW trabalha dentro de uma lista de endereços autorizados que você define.

APPL, FIDP, VULN, DCTR

Aplicação e infraestrutura.

O Portal do cliente e o servidor em que ele roda.

APPL-01 Os controles de acesso às contas da instituição se baseiam em regras estruturadas, como controle de acesso baseado em papéis (RBAC), em atributos (ABAC) ou em políticas (PBAC)? Sim Os papéis do portal são proprietário, membro e leitor, com acesso por site para os membros. A equipe da LFW não pode escrever em nome de um cliente: a consulta de uma conta de cliente pela equipe é somente leitura e registrada.
APPL-02 Vocês usam um firewall de aplicação web (WAF)? Sim O firewall de aplicação da Cloudflare na frente do LFW.com e do portal; o servidor só aceita tráfego web da Cloudflare. Os sites dos clientes usam o Wordfence Premium e o firewall da Cloudflare.
APPL-03 Os sistemas ou as aplicações que terão acesso aos dados da instituição usam só sistemas operacionais, softwares e bibliotecas com suporte atual? Sim Uma versão atual do Node.js e bibliotecas atuais, fixadas em um arquivo de lock e verificadas a cada publicação. A compilação recusa uma vulnerabilidade conhecida de gravidade alta.
APPL-04 A sua aplicação precisa acessar dados de localização ou de GPS? Não Não. As estatísticas de visualizações de página guardam só um país ou uma região deduzidos do endereço, que não é guardado.
APPL-05 A sua aplicação garante a separação de funções entre administração de segurança, administração do sistema e funções de usuário padrão? Em parte Entre a LFW e os clientes, sim: a administração interna e o portal do cliente são sites separados com sessões separadas. Dentro da LFW, não: uma única pessoa exerce os papéis de administração de segurança e de sistemas.
APPL-06 Vocês submetem o seu código a análise estática ou a testes estáticos de segurança de aplicação antes de cada publicação? Em parte O lint, uma verificação das dependências das duas árvores de produção e a suíte de testes rodam em um contêiner descartável antes de cada publicação e a bloqueiam se falharem. Não existe um produto SAST separado.
APPL-07 Vocês têm processos de teste de software (dinâmicos ou estáticos) definidos e seguidos? Sim Uma suíte de testes automáticos a cada publicação, verificações no navegador das páginas alteradas e as verificações diárias do site no ar pelo LFW Monitor.
FIDP-01 Vocês usam um firewall com inspeção de estado de pacotes (SPI)? Sim O firewall do host (netfilter via ufw), com a Cloudflare na frente.
FIDP-02 Vocês têm uma política documentada para pedidos de alteração do firewall? Sim As regras do firewall estão no script de provisionamento, no controle de versão; uma alteração é um commit revisado e uma publicação.
FIDP-03 Vocês têm um sistema de detecção de intrusão (de rede)? Não Nenhum sistema de detecção de intrusão de rede. O firewall e a proteção DDoS da Cloudflare ficam na frente do servidor, e só a Cloudflare consegue alcançá-lo nas portas web.
FIDP-04 Vocês usam detecção de intrusão no nível do host? Em parte O fail2ban bloqueia endereços após repetidas tentativas de login malsucedidas. Não existe um produto mais amplo de detecção de intrusão no host.
FIDP-05 Há logs de auditoria disponíveis para todas as alterações na rede, no firewall e nos sistemas IDS e IPS? Sim Cada alteração no firewall ou na configuração do servidor é um commit no controle de versão, com autor e data, e um registro das publicações.
VULN-01 Os seus sistemas e aplicações passam por varredura de vulnerabilidades com uma conta de usuário autenticada (e as vulnerabilidades são corrigidas) antes de cada nova versão? Não Nenhum scanner autenticado roda antes de uma publicação. O que roda: a verificação das dependências, a suíte de testes e as verificações diárias não autenticadas do LFW Monitor sobre cabeçalhos, TLS e política de conteúdo.
VULN-02 Vocês fornecerão à instituição os resultados das varreduras de vulnerabilidades da aplicação e do sistema? Sim A verificação diária do LFW.com pelo LFW Monitor é pública, e o resultado da verificação das dependências é compartilhado a pedido.
VULN-03 Vocês permitirão que a instituição faça os próprios testes ou varreduras de vulnerabilidades dos seus sistemas ou da sua aplicação, em data e hora combinadas? Sim Em um momento combinado, dentro das regras da política de divulgação de vulnerabilidades em lfw.com/security.
DCTR-06 Uma barreira física cerca completamente o espaço físico, impedindo qualquer contato físico não autorizado com os seus equipamentos? Sim A LFW não tem data centers. O servidor fica nas instalações da Hetzner em Ashburn; os controles físicos são os da Hetzner, descritos na documentação publicada pela Hetzner, e não verificados no local pela LFW.
DCTR-10 As fontes de energia redundantes são testadas? Sim Segundo o operador do data center. A LFW não verificou isso no local.

AAAI

Autenticação e auditoria.

Como as pessoas entram no Portal do cliente e o que é registrado.

AAAI-01 A sua solução suporta protocolos de login único (SSO) para usuários e administradores? Sim OpenID Connect, diretamente com o seu provedor de identidade (por exemplo, Entra ID, Okta ou Google Workspace). O endereço de redirecionamento é registrado pela sua equipe de TI.
AAAI-02 Para os clientes que não usam SSO, a sua solução suporta protocolos de autenticação local para usuários e administradores? Sim Um link enviado por e-mail que funciona uma única vez e expira após 15 minutos, ou uma passkey. Não há senhas.
AAAI-03 Para os clientes que não usam SSO, vocês conseguem impor requisitos de complexidade de senha ou frase-senha (definidos pela instituição)? Não se aplica Não há senhas às quais aplicar regras.
AAAI-04 Para os clientes que não usam SSO, o sistema impõe limites ou restrições de complexidade ou de tamanho de senha? Não se aplica Nenhuma senha.
AAAI-05 Para os clientes que não usam SSO, vocês têm procedimentos documentados de redefinição de senha ou frase-senha, aplicados no sistema ou pelo atendimento ao cliente? Não se aplica Nada para redefinir. Um novo link de acesso substitui um link perdido; uma passkey pode ser registrada de novo depois de um login por e-mail.
AAAI-06 A sua organização participa da InCommon ou de outra federação de confiança afiliada à eduGAIN? Não Não é membro. O SSO é configurado por instituição com o seu provedor de identidade.
AAAI-07 Há senhas ou frases-senha escritas no código dos seus sistemas ou soluções? Não Os segredos ficam em um arquivo no servidor, restrito ao administrador do servidor e à conta de serviço. O repositório não contém nenhum; a revisão de setembro de 2026 verificou isso.
AAAI-08 Vocês guardam senhas em texto simples? Não A LFW não guarda nenhuma senha.
AAAI-09 Há logs de auditoria disponíveis que incluam PELO MENOS todos os seguintes elementos: login, logout, ações realizadas e endereço IP de origem? Em parte O portal registra as ações em solicitações e documentos (um histórico somente de inclusão), cada consulta de uma conta de cliente pela equipe e os tokens de acesso usados. Os logs do servidor web guardam o endereço de origem de cada requisição. Um relatório de logins e logouts por usuário ainda não é oferecido aos clientes.
AAAI-11 Vocês podem fornecer à instituição documentação sobre o tempo de retenção desses logs, sua proteção e sua acessibilidade para o cliente (e, se sim, como)? Sim A pedido, por escrito, para os logs citados acima.

DATA

Dados.

Onde ficam os dados da instituição nos sistemas da LFW, criptografados ou não, e o que acontece com eles no fim.

DATA-01 Os dados da instituição serão armazenados em equipamentos (servidores de banco de dados, servidores de arquivos, SAN, NAS etc.) configurados com endereços IP não RFC 1918/4193 (ou seja, roteáveis publicamente)? Sim O único servidor tem um endereço público. O firewall só aceita tráfego web das faixas da Cloudflare e SSH só com chave; o banco de dados é um arquivo nesse servidor, legível só pela conta de serviço.
DATA-02 O transporte de dados sensíveis é criptografado com protocolos ou algoritmos de segurança (por exemplo, do sistema para o cliente)? Sim TLS 1.3 para os visitantes, com uma política HSTS de um ano; as versões mais antigas de TLS são recusadas. O tráfego entre a Cloudflare e o servidor também é criptografado.
DATA-03 O armazenamento de dados sensíveis é criptografado com protocolos ou algoritmos de segurança (por exemplo, criptografia de disco, em repouso, de arquivos e em um banco de dados em operação)? Em parte Os backups são criptografados antes de sair do servidor. O banco de dados de produção é protegido pelas permissões de arquivo e pelo firewall; a LFW não declara criptografia de disco para ele.
DATA-04 Todos os módulos criptográficos usados na sua solução estão em conformidade com os Federal Information Processing Standards (FIPS PUB 140-2 ou 140-3)? Não Nenhuma validação FIPS é declarada.
DATA-05 Os dados da instituição continuarão disponíveis no sistema por um período após o fim deste contrato? Sim Por 30 dias após o fim, durante a transição prevista no contrato de serviços, e a pedido a LFW exporta os seus registros do portal.
DATA-06 Os direitos de propriedade sobre todos os dados, entradas, saídas e metadados são mantidos mesmo em caso de aquisição ou falência do fornecedor? Sim O seu conteúdo e os seus dados continuam seus segundo o contrato de serviços, e o trabalho que você paga é seu depois de pago. Uma mudança de controle da LFW não muda nada.
DATA-07 Os backups que contêm dados da instituição alguma vez saem da área de dados da instituição, fisicamente ou por roteamento de rede? Sim O servidor e os seus backups ficam em Ashburn, na Virgínia. A cópia externa criptografada fica no Cloudflare R2, na jurisdição padrão da Cloudflare, que pode colocá-la fora dos Estados Unidos; a cópia é criptografada antes de sair do servidor. Os backups do seu site ficam na sua hospedagem.
DATA-08 As mídias usadas para armazenamento de longo prazo e arquivamento dos dados da empresa são guardadas em uma área segura e protegida do ambiente? Sim Nenhuma mídia física. O armazenamento é feito nos data centers da Hetzner e da Cloudflare.

ITAC

Acessibilidade digital.

Para o Portal do cliente e o LFW.com, e para os sites que a LFW constrói.

ITAC-06 Nos últimos 12 meses, foi criado ou atualizado um VPAT ou um ACR para a solução e a versão em análise? Sim Um relatório de conformidade de acessibilidade do LFW.com datado de 2 de outubro de 2026 está publicado na página Confiança. Para um site que a LFW constrói, um relatório é entregue no lançamento.
ITAC-07 A sua empresa aceitará cumprir o padrão de acessibilidade que declara ou as WCAG 2.1 AA no seu contrato para a solução? Sim Para os modelos e as páginas que a LFW constrói e mantém, como padrão do seu contrato. A LFW não promete conformidade em uma data exata para conteúdo que não controla.
ITAC-08 A solução está substancialmente em conformidade com as WCAG 2.1 AA? Sim O LFW.com, segundo o relatório autodeclarado: todo critério de nível A e AA é suportado ou não aplicável. O relatório informa que não se trata de uma auditoria independente.
ITAC-09 Vocês têm um processo documentado e em prática para relatar e acompanhar problemas de acessibilidade? Sim Relate uma barreira por e-mail, como indica a declaração de acessibilidade, ou no Portal do cliente. Os apontamentos são acompanhados como solicitações, e o LFW Monitor verifica as páginas de novo todos os dias.

PCOM, PTHP, PDAT, PRPO, DPAI

Privacidade.

Violações de dados, terceiros, os tipos de dados que a LFW não coleta e as ferramentas de IA.

PCOM-01 Nos últimos três anos, vocês sofreram uma violação de dados pessoais que tenha levado a uma comunicação a uma autoridade pública, a uma notificação às pessoas (mesmo voluntária) ou a uma notificação a outra organização ou instituição? Não Nenhuma.
PTHP-01 Vocês têm acordos contratuais com terceiros que os obriguem a manter padrões e a cumprir todos os requisitos regulatórios? Sim Os termos padrão e os termos de tratamento de dados de cada fornecedor.
PDAT-01 Vocês coletam, tratam ou armazenam informações demográficas? Não Não.
PDAT-02 Vocês capturam ou criam informações genéticas, biométricas ou comportamentais (por exemplo, reconhecimento facial ou impressões digitais)? Não Não. A verificação biométrica de uma passkey acontece no dispositivo do usuário; a LFW recebe só uma chave pública.
PDAT-03 Vocês combinam dados da instituição (incluindo dados “desidentificados”, “anonimizados” ou mascarados de outra forma) com dados pessoais de outras fontes? Não Não.
PRPO-06 Vocês têm um programa de conscientização ou de treinamento sobre privacidade? Não Nenhum programa formal. A política de privacidade é a regra escrita.
PRPO-12 Vocês compartilham dados da instituição com as autoridades policiais sem um mandado ou uma ordem judicial válidos? Não Não.
DPAI-02 Dados da instituição são retidos no processamento por IA? Não Os sistemas da LFW não têm funções de IA. No trabalho da LFW, as ferramentas de IA podem tratar informações de clientes para redigir e verificar o trabalho; elas nunca são usadas para treinar modelos, uma pessoa revisa cada resultado e todo dado que você indicar no seu contrato é excluído.
DPAI-03 Vocês têm acordos com terceiros ou subcontratados sobre a proteção dos dados dos clientes e o uso de IA? Sim Os termos comerciais da Anthropic, que proíbem o treinamento com conteúdo de clientes. A lista de suboperadores da página Confiança cita cada fornecedor de IA.

HIPA, PCID, seções de IA

Não se aplica, e por quê.

As perguntas críticas que as respostas de escopo excluem. Cada uma está listada para que quem revisa veja que o identificador não foi omitido.

HIPA-01 a HIPA-04 Treinamento sobre HIPAA, áreas de risco, planos testados e acordos com business associates (BAA). Não se aplica A LFW não trata nenhuma informação de saúde protegida (REQU-05).
PCID-01 a PCID-03 Atestado PCI DSS, inclusão na lista PA-DSS e tratamento de dados de titulares de cartão por terceiros. Não se aplica Nenhum dado de cartão de pagamento passa pelos sistemas da LFW (REQU-06). Os pagamentos no site de um cliente vão para o fornecedor da instituição.
AIGN-01 a AIGN-03 Modelo de risco de IA, desativação das funções de IA, treinamento em IA responsável. Não se aplica Nenhuma função de IA na solução (REQU-04).
AIPL-01 a AIPL-04 Políticas de IA publicadas, riscos de IA medidos, desativação e reativação das funções de IA após um incidente. Não se aplica Nenhuma função de IA na solução (REQU-04).
AISC-01 a AISC-03 Remoção de dados de um modelo, influência das entradas dos usuários sobre um modelo, registro das ações da IA. Não se aplica Nenhuma função de IA na solução (REQU-04).
AIML-01, AIML-02, AILM-01 a AILM-04 Separação dos dados de treinamento e feedback do aprendizado de máquina; privilégios, dados de treinamento, intervenção humana e extensões dos grandes modelos de linguagem. Não se aplica Nenhuma função de IA na solução (REQU-04).

Envie-nos o formulário da sua instituição.

HECVAT, um questionário estadual ou a sua planilha. Devolvemos preenchido a partir destas respostas, com links para as políticas citadas.

Escreva para hello@lfw.com Como contratar