Segurança e conformidade do backup do Pipedrive: GDPR, ISO 27001, NIS2

O problema da responsabilidade compartilhada

Como a maioria das plataformas SaaS, o Pipedrive opera sob um modelo de responsabilidade compartilhada: eles protegem a infraestrutura e a disponibilidade da plataforma; os dados que você coloca lá — e a capacidade de recuperá-los depois de uma exclusão acidental ou de uma edição em massa malfeita — continuam sendo sua responsabilidade. Os auditores sabem disso. É por isso que "o fornecedor tem backups" não passa em uma avaliação.

Onde um backup independente se encaixa no seu framework

• ISO 27001 (A.8.13) — exige cópias de backup das informações, testadas e protegidas. Um histórico diário de snapshots datados é uma evidência direta.
• SOC 2 (Disponibilidade e Confidencialidade) — os dados dos clientes precisam ser recuperáveis. Um arquivo independente e baixável demonstra que você não depende de um único fornecedor.
• NIS2 — para empresas da UE dentro do escopo, backup e recuperação de desastres são requisitos explícitos. Os dados do CRM entram no escopo quando sustentam operações críticas.
• GDPR — o art. 32 exige a capacidade de restaurar a disponibilidade dos dados pessoais após um incidente. Seus registros de clientes são dados pessoais.

Como os próprios dados de backup são protegidos

• OAuth somente leitura — nunca vemos sua senha do Pipedrive, e você pode revogar o acesso a qualquer momento nas suas configurações do Pipedrive.
• Criptografia — os tokens de acesso e os arquivos de backup são criptografados em trânsito (TLS) e em repouso (AES-256).
• Hospedagem na UE — os snapshots ficam armazenados em servidores na União Europeia.
• Sem uso secundário — seus dados são usados apenas para fornecer o serviço de backup. Nunca analisados, compartilhados ou vendidos. Exclusão mediante solicitação, como exige o GDPR.