As Primeiras 72 Horas Após uma Fuga de Dados no Restaurante

Neste artigo

1. Onde estão realmente os dados dos seus clientes
2. O relógio de 72 horas, janela a janela
3. O que uma apólice de cibersegurança cobre mesmo — e o que não cobre
4. O que as seguradoras verificam antes de sequer lhe apresentarem uma proposta
5. Conclusão: o relógio conta de qualquer forma — a questão é se já o sabia

Uma fuga de dados no seu restaurante não é um problema informático — é um relógio jurídico que já está a contar a partir do momento em que a descobre. Assim que sabe, ou razoavelmente devia saber, que dados de clientes foram roubados, apagados ou expostos a quem não tinha o direito de os ver, o RGPD dá-lhe 72 horas para notificar a autoridade de controlo. Não são 72 horas para resolver o problema — são 72 horas para o comunicar.

Raramente começa com um alarme a tocar. Mais frequentemente é um cliente que telefona porque o cartão foi debitado duas vezes, o fornecedor do seu sistema de reservas que envia um e-mail sobre «atividade fora do normal», ou um colaborador que encontra o ecrã da caixa cheio de texto estranho numa manhã qualquer. Nesse momento, a pergunta deixa de ser «quão grave é isto tecnicamente» e passa a ser «o que faço agora, hoje» — e a maioria dos proprietários não sabe responder, porque ninguém alguma vez escreveu a resposta.

O risco é real e não está reservado às grandes cadeias. As caixas registadoras e os terminais de ponto de venda estão sistematicamente entre os equipamentos mais visados em todo o mundo na hotelaria e no retalho, precisamente porque processam dados de cartões e muitas vezes continuam a funcionar sem atualizações durante anos. Um pequeno restaurante não tem departamento de informática para absorver o impacto — e é exatamente por isso que um seguro de cibersegurança, e um plano escrito para as primeiras 72 horas, pesa mais aqui do que numa empresa com equipa de segurança própria.

Este guia percorre exatamente isso: onde estão realmente os dados dos seus clientes, o que deve acontecer em cada uma das quatro janelas do relógio de 72 horas, o que uma apólice de cibersegurança costuma e não costuma cobrir e — com uma calculadora construída com os seus próprios números — quanto uma fuga de dados poderia realisticamente custar ao seu restaurante.

Onde estão realmente os dados dos seus clientes

Uma fuga de dados é qualquer incidente em que dados pessoais de clientes se percam, sejam alterados ou fiquem acessíveis a alguém sem direito a isso, de forma acidental ou ilícita — o que é muito mais amplo do que «ser pirateado». Um portátil esquecido no carro, um e-mail de confirmação de reserva enviado para a pessoa errada, ou uma cópia de segurança da caixa registadora deixada acidentalmente acessível ao público contam tanto quanto um ataque dirigido.

A maioria dos proprietários subestima quantos sistemas gerem realmente. Faça as contas: a caixa registadora com os dados do cartão de cada transação, o sistema de reservas e CRM com o nome, telefone e por vezes alergias de cada cliente, o programa de fidelização com endereços de e-mail e histórico de encomendas, o wifi para clientes com um portal de acesso que pede muitas vezes um e-mail, a integração com plataformas de entregas que reencaminha moradas, e o registo de cartões-presente com códigos que valem dinheiro a sério. Seis sistemas, seis pontos onde uma fuga pode começar — e na maioria das casas ninguém alguma vez os pôs lado a lado.

O nosso guia sobre dados de clientes e o RGPD explica como recolher e usar esses dados de forma legal; o nosso guia sobre cibersegurança no restaurante explica os nove passos que evitam um ataque à partida. Este guia trata do momento seguinte: já correu mal — e agora?

O relógio de 72 horas, janela a janela

O artigo 33.º do RGPD obriga a notificar a autoridade de proteção de dados no prazo de 72 horas após tomar conhecimento de uma fuga, a menos que seja improvável que esta implique um risco para os direitos e liberdades dos seus clientes. Esse relógio não começa quando percebe tudo — começa no momento em que razoavelmente sabe que algo aconteceu. É assim que essas 72 horas se desenrolam na prática.

Hora 0 a 1: descobrir e conter

Desligue o equipamento afetado da rede — retire o cabo ou desligue o wifi — mas não desligue nada nem apague nada. Cada vestígio que apagar agora é um vestígio que o seu técnico ou a seguradora deixarão de conseguir usar depois para perceber exatamente o que aconteceu.

Mude de imediato as palavras-passe de todas as contas de administrador com acesso à caixa registadora, ao sistema de reservas e ao seu e-mail. Anote a hora exata em que descobriu o incidente — esse momento é o ponto de partida das suas 72 horas, e vai precisar dele em todos os formulários que se seguem.

Hora 1 a 24: avaliar e documentar

Ligue ao seu fornecedor de informática ou, se não tiver um, a um serviço especializado — e ligue também de imediato à sua seguradora, se tiver apólice: a maioria das apólices de cibersegurança tem uma linha de emergência que pode acionar desde o primeiro dia, e esperar custa muitas vezes exatamente a cobertura de que precisa.

Ponha por escrito que dados podem ter sido afetados: apenas nomes e e-mails, ou também dados de cartão e alergias? Quantos clientes estão nesse ficheiro? Estas duas perguntas — o quê e quantos — determinam praticamente tudo o que acontece nas 48 horas seguintes, por isso anote assim que souber, mesmo que a resposta ainda esteja incompleta.

Hora 24 a 72: notificar a autoridade

Avalie com a seguradora, o fornecedor de informática ou um consultor jurídico se a fuga constitui provavelmente um «risco» para os seus clientes. Se a resposta for sim, a notificação à autoridade de proteção de dados é obrigatória — não é opcional, nem algo que se adie até ter a certeza absoluta.

Envie a notificação antes de terminarem as 72 horas, com o que sabe nesse momento: a natureza da fuga, uma estimativa de quantos clientes foram afetados, as consequências prováveis e as medidas já tomadas. Pode completar informação incompleta mais tarde — não pode deixar de notificar dentro das 72 horas, e uma notificação tardia tem de ser justificada explicitamente.

Depois das 72 horas: avisar os clientes e recuperar

Avise os clientes diretamente apenas se o risco para eles for elevado — por exemplo, dados de cartão ou palavras-passe roubados. Com um risco mais baixo, a notificação à autoridade é suficiente. Escreva essa mensagem em linguagem simples: o que aconteceu, o que está a fazer quanto a isso, e o que o cliente pode fazer por si próprio (bloquear o cartão, mudar a palavra-passe).

Só restaure a partir de uma cópia de segurança limpa depois de ter a certeza de que a falha está mesmo resolvida — caso contrário, restaura exatamente o mesmo problema. E comunique à seguradora a dimensão final do incidente: é esse número, e não a sua primeira estimativa, que determina o valor pago.

O que uma apólice de cibersegurança cobre mesmo — e o que não cobre

A maioria dos proprietários acha que o seu seguro atual já cobre isto. Quase nunca cobre: uma apólice clássica de incêndio, de perda de exploração ou de responsabilidade civil costuma excluir explicitamente fugas de dados e incidentes informáticos, precisamente por ser um risco à parte com um preço próprio. O nosso guia sobre seguros para restaurantes dá o panorama completo do que uma casa média precisa; o que se segue é especificamente sobre a apólice de cibersegurança.

Uma apólice de cibersegurança cobre normalmente o custo de resolver o problema e de avisar os seus clientes. Raramente cobre o custo da confiança que perde, ou de um risco que não declarou quando contratou a apólice.

Introduza os seus próprios números e veja de imediato mais ou menos onde está. O simulador trabalha com o número de clientes nos seus ficheiros, a sua faturação por dia de serviço, e duas perguntas que as próprias seguradoras fazem em primeiro lugar.

Compare esse valor com o preço de uma apólice, e com o que custa resolver hoje as duas bandeiras vermelhas acima — normalmente esta segunda opção é de longe a mais barata. Para rever também a sua cobertura geral, use o nosso guia sobre seguros para restaurantes.

O que as seguradoras verificam antes de sequer lhe apresentarem uma proposta

Isto não é um projeto de um mês. Três tarefas de meia hora cada levam-no de «não faço ideia» a um dossiê que uma seguradora leva a sério:

Hoje — a correção gratuita:

• Ative o MFA na caixa registadora, no e-mail e no sistema de reservas — muitas vezes o único ponto que decide se lhe dão sequer uma proposta
• Pergunte ao seu fornecedor de caixa registadora se os dados de cartão são tokenizados ou guardados localmente
• Guarde o número de emergência do seu fornecedor de informática ou da seguradora no telemóvel, não numa gaveta

Esta semana — verificar a sua cobertura:

• Pergunte explicitamente ao seu mediador se o risco cibernético está incluído ou exige uma apólice à parte
• Peça duas a três propostas e compare a cobertura, não só o prémio
• Escreva numa única folha a quem liga primeiro se algo parecer estranho

Este mês — fechar o dossiê:

• Configure cópias de segurança encriptadas e testadas dos dados de clientes e reservas
• Leia as exclusões da sua apólice antes de precisar delas
• Afixe o plano de emergência junto das instruções de incêndio — a mesma seriedade, o mesmo lugar

Conclusão: o relógio conta de qualquer forma — a questão é se já o sabia

Nunca vai evitar uma fuga de dados a cem por cento — até grandes empresas com equipas de informática próprias são atingidas. O que está mesmo nas suas mãos é se as primeiras 72 horas são caos ou uma checklist. Uma equipa que sabe qual equipamento desligar primeiro, uma seguradora já ao telefone desde a primeira hora, e uma notificação enviada a tempo: é essa a diferença entre um incidente incómodo e uma segunda crise a somar-se à primeira.

E as casas que tratam bem disto raramente o fazem só pelo prémio do seguro. Fazem-no porque a confiança do cliente — de que os seus dados estão seguros consigo — faz parte da marca tanto quanto a cozinha. Na HappyChef construímos o sistema de reservas com isso em mente: os seus dados ficam junto de um único parceiro, não espalhados por cinco sistemas que ninguém alguma vez auditou. Veja quanto custa e dê hoje mesmo o primeiro passo, gratuito: ative o MFA.