Gerador de questionários de segurança e RGPD para fornecedores de universidades

Descreva a ferramenta que vai adquirir em sete perguntas curtas e obtenha um questionário para o fornecedor que pergunta apenas o que importa nesse caso. Cada pergunta indica o motivo, a referência legal ou normativa e as provas a pedir. Copie-o, descarregue-o em CSV ou Markdown, ou imprima-o.

Publicado a 9 de outubro de 2026 · Fontes verificadas a 9 de outubro de 2026

Também disponível em: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Français · Español

O que é um questionário de segurança para fornecedores?

Um questionário de segurança para fornecedores é um conjunto estruturado de perguntas que uma universidade envia a um fornecedor antes de adquirir ou renovar um serviço. Pergunta como o fornecedor protege os dados, que legislação cumpre e que documentos o comprovam. Bem utilizado, funciona como um índice de provas: cada resposta remete para uma cláusula contratual, um certificado, um relatório ou uma lista que pode verificar.

Numa universidade europeia, o questionário serve várias pessoas ao mesmo tempo. O encarregado da proteção de dados precisa das cláusulas de subcontratação, dos subcontratantes ulteriores e das transferências nos termos do RGPD. A segurança informática precisa de certificados, cifragem, controlo de acessos e gestão de incidentes. Os serviços de compras precisam das cláusulas contratuais, de responsabilidade e de saída, e cada vez mais alguém tem de verificar as funcionalidades de IA à luz do Regulamento da IA e a acessibilidade segundo a EN 301 549. O nosso guia de avaliação de fornecedores para universidades descreve todo o processo; o questionário é uma das suas etapas.

Porquê adaptar o questionário?

Porque questionários longos e genéricos produzem respostas pobres. Os fornecedores que vendem a muitas universidades recebem centenas de questionários por ano. Quando chega uma folha de cálculo de 300 linhas para uma ferramenta simples sem dados pessoais, as respostas são muitas vezes copiadas de uma resposta anterior, e as perguntas que importam perdem-se entre as que não importam.

A adaptação ajuda ambas as partes:

• O fornecedor responde a menos perguntas, todas claramente aplicáveis, pelo que as respostas são mais concretas.
• Quem avalia lê menos respostas e pode dedicar o tempo aos documentos que as sustentam.
• A decisão é mais fácil de defender, porque a profundidade da avaliação corresponde ao risco.

A definição do âmbito em função do risco é também a forma como funcionam hoje os questionários setoriais. A EDUCAUSE afirma que o HECVAT 4 começa com perguntas de enquadramento que decidem que perguntas se aplicam (veja o nosso guia do HECVAT para universidades europeias). Várias universidades ajustam o seu processo em função do valor ou dos dados, como mostram os exemplos abaixo.

Como o gerador escolhe as perguntas

O gerador atribui à ferramenta uma pontuação a partir das suas respostas de enquadramento. Os dados pessoais, as categorias especiais de dados, os dados de menores, a IA generativa, o alojamento desconhecido ou fora do EEE, integrações amplas, o âmbito da NIS2 e um valor contratual elevado somam pontos. A pontuação define um nível, e cada pergunta do banco tem um nível mínimo e, quando relevante, um critério de ativação.

Os critérios de ativação funcionam independentemente do nível. Se assinalar LTI, recebe as perguntas sobre LTI 1.3 e dados de inscritos. Se a ferramenta usar IA generativa, recebe as perguntas sobre treino, prestador do modelo, conservação dos prompts e transparência do artigo 50.º. Se o alojamento for fora do EEE ou desconhecido, as perguntas sobre transferências passam para o nível ligeiro. As categorias especiais de dados e os dados de menores dão sempre origem a um questionário completo.

O resultado é um ponto de partida. Elimine as perguntas que não se aplicam e acrescente os requisitos próprios da instituição, como regras nacionais de classificação de segurança ou condições das licenças da biblioteca.

Existe uma alternativa europeia ao HECVAT?

O HECVAT continua a ser útil na Europa, mas não substitui as perguntas específicas da UE. O HECVAT, mantido pela EDUCAUSE com a Internet2 e a REN-ISAC, é um questionário abrangente de segurança, privacidade e acessibilidade que muitos fornecedores do ensino superior já preencheram. O direito europeu exige documentos específicos: um contrato de subcontratação nos termos do artigo 28.º, um instrumento de transferência para cada destinatário fora do EEE, uma classificação à luz do Regulamento da IA e um relatório de conformidade com a EN 301 549.

Análise do Validemic
Se um fornecedor enviar um HECVAT 4 recente, aceite-o para as perguntas gerais de segurança e envie apenas os domínios específicos da UE deste gerador: RGPD e contrato de subcontratação, subcontratantes ulteriores, transferências, IA e acessibilidade. Assim evita perguntar duas vezes a mesma coisa ao fornecedor. Para uma versão Word com 77 perguntas em 11 secções, veja o questionário europeu para fornecedores na nossa página sobre o HECVAT.

Está a avaliar um fornecedor? O Validemic analisa a documentação do fornecedor à luz do RGPD e do Regulamento da Inteligência Artificial e indica a fonte de cada conclusão. Experimentar o ambiente de demonstração

Como avaliar as respostas?

Avalie as provas, não o texto das respostas. A resposta a um questionário é uma declaração do fornecedor; a decisão deve assentar nos documentos para que remete. Leia cada resposta ao lado da respetiva prova, registe as lacunas e envie uma ronda de perguntas de seguimento antes de decidir.

1. Verificar se as respostas correspondem ao plano que vai adquirir. As condições de privacidade, as predefinições de treino de IA e a localização dos dados diferem muitas vezes entre planos gratuitos, para educação e empresariais.
2. Ler o contrato de subcontratação face ao artigo 28.º, n.º 3. Cada uma das alíneas a) a h) tem de constar do contrato, e não apenas do questionário. O nosso verificador de contratos de subcontratação confronta uma minuta ponto a ponto.
3. Verificar a lista de subcontratantes ulteriores e os fluxos de dados. O CEPD afirma que os responsáveis pelo tratamento devem ter a identidade de todos os subcontratantes e subcontratantes ulteriores "readily available at all times" (prontamente disponível a todo o momento) (Parecer 22/2024). Compare a lista com as respostas sobre a localização dos dados e o acesso remoto e use depois a ferramenta de mecanismos de transferência para cada destinatário fora do EEE.
4. Verificar o âmbito e a data dos certificados. Um certificado ISO/IEC 27001 ou um relatório SOC 2 só conta se abranger o produto e o alojamento que vai adquirir e estiver em vigor.
5. Classificar as funcionalidades de IA. Use o verificador do Regulamento da IA para o ensino para qualquer funcionalidade que classifique, admita, coloque ou vigie estudantes.
6. Decidir se é necessária uma AIPD. Faça a triagem de AIPD com o que apurou.
7. Registar as condições. Aprove com condições quando necessário, por exemplo "apenas com SSO" ou "funcionalidades de IA desativadas", e fixe uma data de revisão.

Sinais de alerta nas respostas dos fornecedores

Análise do Validemic
Nenhuma destas respostas é, por si só, motivo de exclusão. Cada uma exige uma pergunta de seguimento antes da aprovação.

As ferramentas não aprovadas escapam muitas vezes por completo a esta avaliação. O nosso guia sobre shadow IT e ferramentas de IA nas universidades explica como as trazer para o processo.

Como as universidades fazem a avaliação de fornecedores

Os procedimentos publicados pelas universidades mostram o mesmo padrão: a avaliação é desencadeada pelo acesso a dados ou sistemas, a sua profundidade depende do risco ou do valor e começa bem antes do contrato.

• Universidade de Aberdeen (Reino Unido). As suas orientações para o pessoal, de outubro de 2020, usam o valor do contrato para escolher o percurso: "If the total value of your contract is under £10,000, complete the Standard Assessment." (Se o valor total do contrato for inferior a 10 000 libras, preencha a avaliação normal.) Acima desse valor, a avaliação reforçada usa a Cyber Security Procurement Support Tool do Governo escocês. As orientações recomendam prever cerca de quatro semanas.
• Universidade de Edimburgo (Reino Unido). As suas orientações sobre serviços de nuvem pedem ao pessoal que verifique os acordos negociados, os locais de armazenamento dos dados e a cifragem: "Check that any cloud service provider handling data on your behalf will encrypt it, both at rest and in transit." (Verifique se qualquer prestador de nuvem que trate dados por sua conta os cifra, tanto em repouso como em trânsito.)
• Universidade de Tecnologia de Luleå (Suécia). As suas orientações para a segurança da informação na contratação, baseadas em orientações da Agência Sueca de Contingências Civis (MSB), exigem requisitos pormenorizados e passíveis de avaliação, indicando "which requirements are mandatory ("must") and which are non-mandatory ("should")" (que requisitos são obrigatórios e quais não são obrigatórios).
• Montclair State University (EUA). Exige uma avaliação de segurança dos serviços de nuvem e SaaS antes da compra, da renovação ou de um piloto, aceita o HECVAT 3.x ou posterior e afirma que "Generally, vendor security reviews are valid for two years." (Em geral, as avaliações de segurança de fornecedores são válidas por dois anos.)

O gerador segue a mesma lógica: o enquadramento define a profundidade, e o resultado separa o que perguntar do que verificar.

Fontes

Todas as fontes consultadas em 9 de outubro de 2026. Os textos jurídicos da UE foram lidos nas versões do Jornal Oficial do Serviço das Publicações e têm ligação para o EUR-Lex.

1. Regulamento (UE) 2016/679 (RGPD), em especial os artigos 3.º, 5.º, 8.º, 9.º, 22.º, 25.º, 27.º, 28.º, 30.º, 32.º a 36.º, 44.º a 49.º e 89.º: eur-lex.europa.eu/eli/reg/2016/679/oj/por
2. Regulamento (UE) 2024/1689 (Regulamento da IA), artigos 3.º, 4.º, 5.º, 6.º, 13.º a 15.º, 25.º a 27.º, 50.º e 53.º e anexo III: eur-lex.europa.eu/eli/reg/2024/1689/oj/por
3. Regulamento (UE) 2026/1744 (Omnibus Digital sobre a IA), que altera o artigo 4.º, a transição do artigo 50.º e as datas do artigo 113.º: eur-lex.europa.eu/eli/reg/2026/1744/oj/por
4. Diretiva (UE) 2022/2555 (NIS2), artigos 2.º, n.º 5, 21.º e 23.º e anexos I e II: eur-lex.europa.eu/eli/dir/2022/2555/oj/por
5. Regulamento (UE) 2023/2854 (Regulamento dos Dados), artigos 25.º e 29.º: eur-lex.europa.eu/eli/reg/2023/2854/oj/por
6. Regulamento (UE) 2024/2847 (Regulamento de Ciber-Resiliência), artigos 14.º e 71.º: eur-lex.europa.eu/eli/reg/2024/2847/oj/por
7. Diretiva (UE) 2016/2102 (Diretiva relativa à acessibilidade da Web), artigo 7.º: eur-lex.europa.eu/eli/dir/2016/2102/oj/por
8. Decisão de Execução (UE) 2021/1339 da Comissão (referência da EN 301 549 V3.2.1): eur-lex.europa.eu/eli/dec_impl/2021/1339/oj/por
9. Diretiva 2014/24/UE (contratação pública), artigos 4.º, 42.º, n.º 1, e 58.º, n.º 4: eur-lex.europa.eu/eli/dir/2014/24/oj/por
10. Decisão de Execução (UE) 2018/1523 da Comissão (modelo de declaração de acessibilidade): eur-lex.europa.eu/eli/dec_impl/2018/1523/oj/por
11. Diretiva 2002/58/CE (Diretiva Privacidade Eletrónica), artigo 5.º, n.º 3, na redação dada pela Diretiva 2009/136/CE: eur-lex.europa.eu/eli/dir/2009/136/oj/por
12. Decisão de Execução (UE) 2021/914 da Comissão (cláusulas contratuais-tipo), cláusulas 14 e 15: eur-lex.europa.eu/eli/dec_impl/2021/914/oj/por
13. Decisão de Execução (UE) 2023/1795 da Comissão (Quadro de Privacidade de Dados UE-EUA): eur-lex.europa.eu/eli/dec_impl/2023/1795/oj/por
14. CEPD, Parecer 22/2024 sobre determinadas obrigações decorrentes do recurso a subcontratantes e subcontratantes ulteriores, adotado em 9 de outubro de 2024: edpb.europa.eu, Parecer 22/2024
15. CEPD, Orientações 07/2020 sobre os conceitos de responsável pelo tratamento e de subcontratante no RGPD: edpb.europa.eu, Orientações 07/2020
16. CEPD, Recomendações 01/2020 sobre medidas complementares para as transferências, versão 2.0, ponto 13 (o acesso remoto é uma transferência): edpb.europa.eu, Recomendações 01/2020
17. ENISA, Good Practices for Supply Chain Cybersecurity (13 de junho de 2023): enisa.europa.eu
18. EDUCAUSE, Higher Education Community Vendor Assessment Toolkit (HECVAT): educause.edu (pormenores conforme resumidos no nosso guia do HECVAT, verificado em 7 de outubro de 2026)
19. ISO/IEC 27001:2022, sistemas de gestão da segurança da informação: iso.org/standard/27001; ISO/IEC 42001:2023, sistemas de gestão de IA: iso.org/standard/42001
20. ETSI EN 301 549 V3.2.1 (2021-03), requisitos de acessibilidade para produtos e serviços de TIC: etsi.org (PDF)
21. 1EdTech, Learning Tools Interoperability (LTI 1.3 e LTI Advantage): 1edtech.org/standards/lti
22. Universidade de Aberdeen, "How to undertake a supplier assessment" (21 de outubro de 2020): abdn.ac.uk
23. Universidade de Edimburgo, Information Security, "Using cloud services": infosec.ed.ac.uk
24. Universidade de Tecnologia de Luleå, "Guidelines for information security in procurement and purchasing" (LTU-2486-2021, 4 de dezembro de 2023): ltu.se (PDF)
25. Montclair State University, Information Security, "Vendor Assessment (HECVAT)": inside.montclair.edu

Sobre esta página

Redigimos o banco de perguntas a partir dos textos jurídicos e normas acima indicados, lidos em 9 de outubro de 2026, e de procedimentos publicados por universidades. As perguntas são nossas e não foram retiradas do HECVAT nem de qualquer outro questionário licenciado. As referências apontam para a disposição em que cada pergunta se apoia; quando uma disposição só se aplica em certos casos (por exemplo, sistemas de IA de risco elevado ou serviços de tratamento de dados nos termos do Regulamento dos Dados), a pergunta indica-o. As alterações pendentes ao RGPD previstas na proposta Omnibus Digital da Comissão não são lei e não estão refletidas. As citações em inglês são acompanhadas de uma tradução nossa entre parênteses. Esta ferramenta não constitui aconselhamento jurídico, e a universidade continua responsável pela sua avaliação. Se encontrar um erro ou uma referência que tenha mudado, contacte-nos e corrigi-lo-emos.