Integrações e setores
Acesso ao ERP, ficheiros de pagamento, âmbito PCI DSS, dados de cartão e de pacientes, consentimento, webhooks e as regras de cada setor.
24 perguntas
Podemos seguir quem aprovou e enviou um pagamento?
Sim. A aprovação permanece no seu ERP, com os controlos existentes. A camada de integração regista cada ficheiro que cria, assina, envia e recebe, com timestamps, identificadores e a conta técnica usada. Esse log liga cada pagamento do relatório de estado do banco de volta ao documento do ERP e aos seus aprovadores.
Leia mais: Ficheiros de pagamento e reconciliação entre ERP e bancoLigação para esta pergunta
Isso mantém os dados de cartão fora dos nossos sistemas?
Esse é o objetivo do desenho. Os números de cartão são capturados pelo terminal certificado ou por uma página de pagamento hospedada e substituídos por tokens no gateway, por isso o seu POS, o seu ERP e os seus repositórios de dados só veem tokens. Isso reduz a parte do seu parque à qual o PCI DSS aplica-se. O seu avaliador confirma o âmbito final.
Suportam EMV 3-D Secure para pagamentos em linha?
Sim. Para pagamentos em linha com cartão, integramos o EMV 3-D Secure pelo gateway, para que o emissor possa autenticar o portador onde a regulação ou o risco exigir. Tratamos os fluxos com desafio e sem atrito no checkout e testamos os dois com os cartões de teste do fornecedor.
Como o consentimento do cliente é tratado?
O cliente vê quais dados são partilhados, para que finalidade e por quanto tempo, e autentica-se no seu próprio banco. O conector guarda o consentimento e os seus tokens encriptados, e cada chamada está ligada a um consentimento válido. Os clientes podem retirar o consentimento, e o conector deixa de chamar esse banco em nome deles quando isso acontece.
Como os dados de open banking são protegidos?
Tokens e registos de consentimento são encriptados em repouso, apenas o conector pode usá-los, e cada chamada é registada com o consentimento por trás dela. Recolhemos apenas os dados de que a finalidade precisa e definimos por quanto tempo são mantidos. Regras de proteção de dados como o GDPR se aplicam a esses dados, e projetamos junto com o seu encarregado de proteção de dados.
Como protegem os webhooks recebidos?
Todo webhook recebido é verificado antes de ser processado: por assinatura, quando o parceiro assina as suas mensagens, e por verificação de token, origem e timestamp, quando não assina. Os conteúdos são validados contra o contrato, e os eventos são processados uma única vez mesmo que o parceiro os envie mais de uma.
Leia mais: Ligações de API entre ERP e terceirosLigação para esta pergunta
Como tratam o acesso ao nosso ERP?
Cada integração usa a sua própria conta técnica com apenas as permissões de que os seus fluxos precisam, nunca o início de sessão de uma pessoa. As credenciais ficam no seu cofre de segredos, não no código, e o acesso dos engenheiros é nominal, registado e removido quando saem do projeto.
Leia mais: Implementação e sincronização de ERP e CRMLigação para esta pergunta
Como os dados de clientes são protegidos no CRM?
O acesso é baseado em funções e segue o seu fornecedor de identidade, para que cada pessoa veja apenas os clientes e campos de que o seu trabalho precisa. Campos sensíveis podem ser mascarados ou encriptados, e as mudanças são registadas. As integrações usam contas técnicas próprias com permissões limitadas, e as credenciais delas ficam no seu cofre de segredos.
Leia mais: Implementação e sincronização de ERP e CRMLigação para esta pergunta
Como mantêm os ficheiros de pagamento seguros?
Os ficheiros de pagamento são assinados e encriptados conforme cada banco exige e circulam apenas pelo canal acordado. Chaves e certificados ficam no seu cofre de chaves ou módulo de segurança de hardware, nunca no código. Os ficheiros são validados antes do envio, e cada transferência é registada, para que possa seguir quem aprovou e enviou cada pagamento.
Leia mais: Conetividade bancária, de tesouraria e ISO 20022Ligação para esta pergunta
Como reduzem o nosso âmbito PCI DSS?
Não podemos eliminar o PCI DSS, mas podemos reduzir quanto do seu parque de TI ele abrange. Páginas de pagamento hospedadas, criptografia ponto a ponto no terminal e tokens do gateway mantêm os números de cartão fora do seu POS, ERP e data warehouse. Documentamos os fluxos de dados para o seu avaliador.
Leia mais: Pagamentos, comércio agêntico (AP2) e POSLigação para esta pergunta
Conseguem ligar o nosso fornecedor de identidade?
Sim. Adicionamos início de sessão único com OpenID Connect ou SAML 2.0 por fornecedores como Microsoft Entra ID ou Keycloak. Os utilizadores são provisionados com SCIM quando a aplicação é compatível. O seu fornecedor de identidade continua a ser o único lugar onde o acesso é concedido e removido.
Leia mais: Serviços de middleware e integração de APIsLigação para esta pergunta
Conseguem trabalhar dentro dos nossos requisitos regulatórios e de segurança?
Sim. Trabalhamos dentro das suas políticas: as suas regras de acesso, os seus ambientes, o seu processo de mudança e os seus requisitos de auditoria. Antes do início do trabalho, acordamos como os dados são tratados, quais ambientes os engenheiros podem aceder e quais evidências as suas equipas de risco e conformidade precisam. Descrevemos os controlos que aplicamos com clareza, para que os seus avaliadores possam revisá-los.
Leia mais: Fintech e serviços financeirosLigação para esta pergunta
Como tratam dados de cartão?
Projetamos para que o menor número possível de sistemas veja um número completo de cartão. Campos de pagamento hospedados, tokenização e tokens de rede mantêm os dados de cartão com o processador, o que reduz o seu âmbito de PCI DSS. Quando um sistema precisa tratar dados de cartão, desenvolvemos segundo os controlos de PCI DSS aplicáveis e os documentamos para o seu avaliador.
Leia mais: Fintech e serviços financeirosLigação para esta pergunta
Onde os dados ficarão hospedados?
Onde as suas regras determinarem. Trabalhamos com regiões de nuvem governamental ou soberana, nuvens comerciais aprovadas ou os seus próprios centros de dados, e projetamos o sistema para que a decisão de hospedagem seja sua. Backups, registos e acesso de suporte seguem a mesma regra, porque os dados muitas vezes saem de uma região por esses meios, e não pela aplicação.
Como protegem dados de hóspedes e locatários?
Cada sistema guarda apenas os dados de que precisa, na região que escolher, encriptados em trânsito e em repouso. O acesso segue as funções e é registado. Projetamos para o GDPR e as leis de proteção de dados pessoais do Médio Oriente e Norte de África aplicáveis a si.
Como trabalham em sistemas de OT sem arriscar a operação?
Lemos dados por caminhos protegidos e monitorizados e nunca alteramos um sistema de controlo fora dos seus processos de mudança e segurança. O trabalho em sistemas em produção é planeado com os seus engenheiros de operações, e toda mudança pode ser revertida.
Leia mais: Energia e concessionáriasLigação para esta pergunta
Como protegem os dados dos pacientes?
Recolhemos apenas os dados de que uma funcionalidade precisa, mantemos na região e no ambiente que escolher e encriptamo-los em trânsito e em repouso. O acesso segue funções e é registado. Os nossos engenheiros trabalham com dados sintéticos ou anonimizados sempre que possível, e com dados reais apenas com a sua aprovação e sob a sua supervisão.
O software nos tornará conformes à HIPAA ou ao GDPR?
A conformidade pertence à sua organização e à forma como ela opera um sistema, por isso nenhum fornecedor de software pode torná-lo conforme sozinho. O que fazemos é projetar e construir conforme os requisitos aplicáveis, documentar os controlos e apoiar as suas equipas de privacidade e segurança nas avaliações delas.
É seguro usar os nossos dados de público com IA?
Os dados pessoais são mascarados ou tokenizados antes de os modelos os verem, e os modelos podem correr numa nuvem privada ou soberana, para que os dados nunca saiam do seu ambiente.
Como impedem que um agente de IA faça algo que não deveria?
Cada agente tem a sua própria identidade e credenciais just-in-time, as ferramentas ficam atrás de salvaguardas contra injeção de prompt e envenenamento de ferramentas, e cada ação é registada.
Como são protegidos os dados dos funcionários?
O acesso segue os papéis e é registado, os dados ficam onde a lei exige, e as plataformas são projetadas para o GDPR e para as leis de proteção de dados pessoais do Médio Oriente e Norte de África.
Podem nos tornar conformes?
A conformidade pertence à sua organização e à forma como ela opera. Projetamos e construímos sistemas para passar nas auditorias aplicáveis, documentamos os controlos e apoiamos as suas equipas nas avaliações.
Leia mais: Jurídico, risco e conformidadeLigação para esta pergunta
Como preparam sistemas de IA para o Regulamento de IA da UE?
Com governação de IA, salvaguardas e auditorias de risco algorítmico, e registos do que cada modelo e agente fez, para que uma avaliação tenha evidências com que trabalhar.
Leia mais: Jurídico, risco e conformidadeLigação para esta pergunta
A IA pode correr sem enviar os nossos dados para o exterior?
Sim. Os modelos podem correr em ambiente isolado (air-gapped), no local (on-premises) ou numa nuvem soberana regional, com recuperação ciente de permissões que aplica o acesso antes de qualquer modelo ver os dados.
Leia mais: Jurídico, risco e conformidadeLigação para esta pergunta
Mais perguntas
- Trabalhar com a XSISComo protegemos os seus sistemas, o seu código e os seus dados, onde os dados ficam armazenados, ferramentas de programação com IA e o acesso de que precisamos.13 perguntas
- Software, IA e dadosOs seus dados em modelos de IA, explicabilidade e viés, data warehouses, segurança de web, mobile e nuvem e migrações seguras.6 perguntas
- IA e dadosPara onde vão os seus dados em modelos de IA e serviços geridos, quem detém as chaves, como os dados de teste são criados e as regras que precisa atender.15 perguntas
- Segurança cibernética e quânticaCriptografia resistente a quântica, identidade de agentes de IA, confiança zero, inventários de software, monitorização de OT e certificação de segurança.21 perguntas
- Custo e preçoO que determina o custo de um projeto ou de uma equipa e como estimamos.29 perguntas
- PrazosQuanto tempo o trabalho leva para começar e para ser entregue, e o que altera isso.10 perguntas
- Propriedade e contratosQuem é dono do código, dos dados e dos resultados, e como funcionam os contratos.22 perguntas
- Equipas e alocaçãoQuem trabalha no seu projeto, como é escolhido e como as equipas mudam.30 perguntas
- Processo e comunicaçãoComo o trabalho é planeado, relatado e aceite.121 perguntas
- TecnologiaAs plataformas, padrões e ferramentas com que trabalhamos.144 perguntas
- Suporte e operaçõesO que acontece após a entrada em produção: suporte, monitorização e mudanças.29 perguntas
- Sobre a XSISQuem somos, onde estamos e como falar connosco.6 perguntas
Comece com uma conversa, não com um contrato.
Conte o que precisa construir, ligar ou proteger. Um arquiteto analisa consigo e recomenda por onde começar.
O que acontece a seguir
Definição do horário
A nossa equipa envia um e-mail para combinar o horário da sessão.
Sessão de pré-consultoria
Uma sessão em linha gratuita de pré-consultoria de 30 minutos: analisamos os seus objetivos, sistemas e restrições.
Avaliação de prontidão
Numa avaliação de prontidão gratuita de 48 horas, um Arquiteto Principal verifica o seu projeto com a Definição de Prontidão em 6 pontos e recomenda o percurso adequado.
Escolha do percurso
Projetos com âmbito pronto recebem uma proposta vinculante em 3–5 dias úteis. Projetos em estágio de conceito começam no Blueprint Studio. Um sistema em produção com falhas, não documentado ou que precisa de integração começa com um diagnóstico de 1–2 semanas. O Blueprint Studio e o diagnóstico têm cada um uma taxa fixa, cotada na proposta.