Requisitos de Segurança para uma Plataforma de Contagem de Pessoas com SOC2

O cenário repete-se em quase todos os processos de compra que acompanhamos: a equipa de operações de retalho já escolheu o fornecedor de contagem de pessoas, o piloto correu bem, e só então o questionário de segurança chega à equipa de TI. Três semanas depois, o projeto está parado porque o fornecedor não consegue responder a perguntas básicas sobre encriptação em trânsito, gestão de acessos ou localização dos dados. Se a sua organização exige garantias do tipo SOC2 aos fornecedores SaaS, uma plataforma de contagem de pessoas SOC2 — ou com controlos equivalentes e verificáveis — deixa de ser um detalhe técnico e passa a ser condição de contrato.

Este artigo destina-se a quem tem de assinar o parecer de segurança: diretores de TI, responsáveis de compliance, equipas de procurement e segurança. Não vamos explicar o que é o SOC2 — assumimos que já sabe. Vamos antes traduzir os Trust Services Criteria para o contexto específico de sensores instalados em lojas, gateways na rede da loja e dashboards na cloud.

Porque é que a contagem de pessoas é um caso especial de due diligence

Uma plataforma de contagem de pessoas tem uma superfície de ataque diferente de um SaaS típico. Existem dispositivos físicos instalados em dezenas ou centenas de localizações, frequentemente ligados à mesma rede que os sistemas de POS. Existe firmware que precisa de ser atualizado remotamente. E existe a questão da natureza dos dados: sensores baseados em câmara podem, se mal configurados, captar imagens identificáveis — o que transforma um projeto de analítica num problema de RGPD.

O ponto de partida correto é exigir que a plataforma trabalhe apenas com contagens agregadas, sem identificação pessoal. A abordagem da Vemco, por exemplo, assenta em contagem conforme o RGPD: nenhum indivíduo é identificado, os funcionários podem ser excluídos das contagens e os dados que chegam à plataforma são agregados. Isto reduz drasticamente o âmbito da avaliação de privacidade — mas não elimina os requisitos de segurança sobre a infraestrutura, os acessos e a disponibilidade.

Os cinco critérios SOC2 aplicados a sensores e dashboards

Ao avaliar um fornecedor, mapeie as suas perguntas diretamente para os Trust Services Criteria. Eis como cada um se traduz neste domínio:

• Segurança: encriptação TLS entre sensor, gateway e cloud; autenticação dos dispositivos (nenhum sensor deve aceitar comandos não autenticados na rede da loja); segregação de rede documentada; gestão de vulnerabilidades com prazos de correção definidos, incluindo para firmware.
• Disponibilidade: SLA de uptime da plataforma, mas também comportamento offline dos sensores — o que acontece às contagens quando a ligação da loja falha? Um bom sensor armazena localmente e sincroniza depois, sem perda de dados.
• Integridade de processamento: aqui a contagem tem uma particularidade única — a precisão é um controlo de integridade. Exija um mínimo contratual (a Vemco garante 96% por contrato, com valores típicos de 98–99% quando a iluminação, o layout da loja e o comportamento dos visitantes o permitem) e um procedimento de validação auditável.
• Confidencialidade: quem, do lado do fornecedor, pode aceder aos seus dados de tráfego? Dados de fluxo de visitantes são informação comercialmente sensível — revelam desempenho de lojas antes dos resultados serem publicados.
• Privacidade: confirmação técnica, não apenas contratual, de que nenhum dado biométrico ou identificável sai do dispositivo.

Relatório SOC2 Tipo I ou Tipo II — e o que fazer quando não existe

Um relatório Tipo I descreve controlos num momento específico; um Tipo II demonstra que funcionaram durante um período, tipicamente de seis a doze meses. Para uma plataforma que vai operar dentro da sua rede de lojas durante anos, o Tipo II é o que interessa. Mas o mercado de contagem de pessoas inclui muitos fornecedores europeus cuja moldura de referência é a ISO 27001 ou o RGPD, não o SOC2 americano. Isso não é necessariamente um sinal negativo — significa que a sua equipa deve avaliar controlos equivalentes em vez de exigir um selo específico. Peça sempre a documentação atual: certificações, âmbito da certificação e data da última auditoria devem ser verificados antes da assinatura, nunca assumidos com base no site do fornecedor.

Uma observação de quem já passou por dezenas destas avaliações: o ponto onde os projetos encalham raramente é o relatório de auditoria em si — é o processo de atualização de firmware dos sensores. Muitas equipas de segurança aprovam a plataforma cloud e só depois descobrem que as atualizações dos dispositivos exigem portas abertas de entrada ou acesso remoto do fornecedor à rede da loja. Pergunte cedo: as atualizações são iniciadas pelo dispositivo (outbound-only) ou exigem acesso de entrada? A resposta muda semanas de trabalho de arquitetura de rede.

Residência de dados, retenção e modelo de alojamento

Mesmo tratando-se de dados agregados, a residência dos dados importa para organizações com políticas internas rígidas ou operações em múltiplas jurisdições. Três perguntas concretas para o caderno de encargos: em que região são alojados os dados; qual o período de retenção e quem o controla; e existe opção de cloud privada? A Vemco disponibiliza alojamento gerido ou em cloud privada e integração com os sistemas de TI existentes — relevante para quem precisa de manter os dados de analítica dentro de fronteiras de infraestrutura já auditadas. Detalhes específicos de residência e retenção devem constar do contrato, não de uma promessa comercial.

Gestão de identidades e acessos ao dashboard

Numa cadeia de retalho, o dashboard de contagem será usado por gerentes de loja, gestores regionais e equipas centrais — potencialmente centenas de utilizadores com necessidades de acesso distintas. Exija controlo de acessos baseado em funções com granularidade por loja e por região, registos de auditoria de acessos e um processo claro de desativação de contas quando colaboradores saem. Confirme com o fornecedor o suporte atual para SSO/SAML e a integração com o seu fornecedor de identidade antes de fechar o contrato; é um dos pontos mais frequentemente assumidos e menos frequentemente verificados nos processos de compra que observamos.

Checklist prático para o questionário de fornecedor

• Relatório SOC2 Tipo II atual ou certificação equivalente, com âmbito que inclua a plataforma de contagem (verificar, não assumir)
• Confirmação técnica de processamento apenas de dados agregados, com exclusão de funcionários
• Arquitetura de rede dos sensores: comunicação apenas de saída, portas e destinos documentados
• Processo de atualização de firmware e prazos de correção de vulnerabilidades
• Opções de residência de dados e cloud privada, com retenção contratualizada
• Precisão mínima contratual com método de validação auditável
• Plano de resposta a incidentes com prazos de notificação alinhados com as suas obrigações regulatórias

Se está a preparar um caderno de encargos ou um questionário de segurança para uma plataforma de contagem de pessoas, fale connosco. A equipa da Vemco responde diretamente às perguntas técnicas das suas equipas de TI e compliance — arquitetura de rede, modelo de alojamento, documentação de conformidade — antes de qualquer compromisso comercial. Contacte-nos em vemcogroup.com/contact-us e traga o seu checklist de segurança para a primeira conversa.