Introdução: Por que a segurança de dados e privacidade do doador importa mais do que nunca

Organizações caridosas operam em uma base de confiança, os apoiadores dão não só seu dinheiro, mas também suas informações pessoais, nomes, endereços, contatos de e-mail, números de telefone e detalhes financeiros, como números de cartão de crédito ou dados de conta bancária, uma única violação de dados ou erro de privacidade pode quebrar essa confiança em segundos, levando a ataques de doadores, cobertura de mídia negativa e até multas regulatórias que ameaçam a estabilidade financeira da organização.

Nos últimos anos, o ambiente regulatório em torno da proteção de dados tem crescido significativamente mais rigoroso. Leis como o Regulamento Geral de Proteção de Dados (RGPD), a Lei de Privacidade do Consumidor da Califórnia (CCPA) e estatutos semelhantes em outras jurisdições impõem obrigações claras sobre como as organizações sem fins lucrativos coletam, armazenam, processam e compartilham dados pessoais. A não conformidade pode resultar em penalidades que atingem os milhões de dólares. Além do risco legal, os próprios doadores estão cada vez mais cientes de questões de privacidade; uma pesquisa de 2023 do Pew Research Center descobriu que 79% dos adultos estão preocupados com a forma como as empresas e organizações usam seus dados pessoais.

Este artigo fornece um guia abrangente para as melhores práticas para segurança de dados de doadores e privacidade em organizações de caridade, que abrange a importância crítica de proteger informações sensíveis, medidas detalhadas para a gestão de segurança e privacidade, o cenário legal e ético, e recomendações acionáveis que qualquer sem fins lucrativos, independentemente do tamanho ou orçamento, pode implementar.

Entendendo a importância da segurança de dados para fins não lucrativos

Os tipos de dados de doador em risco

Os dados dos doadores vão muito além de um nome e endereço de e-mail simples, organizações caridosas normalmente possuem várias categorias de informações pessoais identificáveis (PII):

  • Nome completo, endereço, telefone, endereço de e-mail.
  • Números de cartão de crédito, informações de conta bancária, histórico de transações, detalhes recorrentes do presente.
  • Dados demográficos e comportamentais: idade, faixa de renda, histórico de doação, presença de eventos, preferências de comunicação, notas de noivado, e até mesmo afiliações políticas ou religiosas que podem ser inferidas por dar padrões.
  • Em casos de angariação de fundos ou alívio de desastres médicos, organizações podem ter dados de saúde ou outras categorias especiais de dados que requerem proteção aumentada.

Os registros de doadores roubados podem ser usados para roubo de identidade, fraude de cartão de crédito, ataques de phishing ou vendidos em mercados web escuros, de acordo com o Relatório de Investigação de Violação de Dados da Verizon (DBIR), o setor sem fins lucrativos não é imune, embora não tão frequentemente direcionado como finanças ou saúde, o impacto de uma violação em uma instituição de caridade de pequeno ou médio porte pode ser devastador devido a recursos limitados para recuperação.

Consequências de violação de dados e violações de privacidade

As consequências de proteção de dados inadequada podem assumir várias formas:

  • Um estudo de 2022 da Aliança de Dadores Sábios do "Bert Business Bureau" descobriu que 60% dos doadores disseram que parariam de dar a uma organização que sofreu uma violação de dados envolvendo suas informações pessoais.
  • As multas podem chegar a 4% do volume de negócios global anual ou 20 milhões de euros, as violações da PCCA levam até 7.500 dólares por violação intencional, mesmo que não sejam impostas multas, o custo da investigação, notificação e litígio pode ser substancial.
  • Ataques de resgate ou comprometimentos do sistema podem bloquear organizações de seus próprios bancos de dados, parar campanhas de arrecadação de fundos, e exigir semanas de tempo de inatividade para restaurar sistemas.
  • Uma violação muitas vezes leva ao cancelamento imediato de doações recorrentes, perda de presentes importantes, e dificuldade em adquirir novos apoiadores.

Dadas essas apostas, investimento proativo em segurança de dados de doadores não é um luxo. É um requisito operacional essencial para qualquer organização de caridade que espera manter relacionamentos a longo prazo com sua comunidade.

Melhores práticas para segurança de dados doador

A segurança se concentra em proteger dados de acesso não autorizado, alteração, destruição ou divulgação, as seguintes práticas formam uma base de base que toda caridade deve adotar, independentemente da experiência técnica.

1. Implemente fortes políticas de senha e autenticação multifator

Senhas fracas continuam sendo um dos vetores de ataque mais comuns, que requerem funcionários e voluntários para usar senhas complexas e únicas para cada sistema que acessa dados doador, senhas de pelo menos 12 a 16 caracteres, incluindo letras maiúsculas e minúsculas, números e símbolos, e nunca serem reutilizadas em plataformas, e reforçar as mudanças periódicas de senhas, embora o Instituto Nacional de Padrões e Tecnologia (NIST) agora recomende contra a rotação arbitrária obrigatória, a menos que haja evidência de compromisso, em vez disso, foco em monitoramento de força e violação.

Autenticação multifatorial (MFA) adiciona uma camada extra de segurança, exigindo uma segunda forma de verificação – como um código de uma vez enviado para um telefone, uma varredura biométrica ou um token de hardware. Habilite o MFA em todas as contas de e-mail, sistemas de gerenciamento de doadores (CRMs), gateways de pagamento e plataformas de armazenamento na nuvem. Ferramentas como Duo Security, Microsoft Authoritator ou Google Authorityator são econômicas e fáceis de implantar.

Para orientação detalhada sobre políticas de senha, veja o Quadro de Cibersegurança NIST e as recomendações de senhas da publicação especial NIST 800-63B.

2. Criptografar dados em repouso e em trânsito.

A criptografia garante que mesmo que uma parte não autorizada tenha acesso ao armazenamento de dados ou intercepte dados em movimento, a informação permanece ilegível sem a chave de descriptografia adequada.

  • Todos os bancos de dados de doadores, arquivos de backup, planilhas e arquivos de arquivo devem ser criptografados usando algoritmos fortes como AES-256. Os sistemas de banco de dados mais modernos (por exemplo, MySQL, PostgreSQL) e serviços de nuvem (AWS, Azure, Google Cloud) oferecem recursos de criptografia integrados que podem ser ativados com configuração mínima.
  • Encriptação em trânsito:]] Use SSL/TLS (Transport Layer Security) para todo o tráfego web envolvendo formulários de doação, portais de doadores ou interfaces administrativas.

A criptografia de ponta a ponta é particularmente importante para os dados de pagamento, mesmo que sua organização use um processador de pagamento de terceiros, qualquer informação de doadores que passe por seus sistemas deve ser transmitida por canais criptografados.

3. Mantenha o software e sistemas atualizados.

Cibercriminosos exploram vulnerabilidades conhecidas em software ultrapassado, estabelecem um cronograma regular de gerenciamento de patches para o seu sistema de gerenciamento de doadores, sistema de gerenciamento de conteúdo, sistemas operacionais, firewalls e todos os plugins ou integrações de terceiros, habilitam atualizações automáticas, onde possível, e monitoram anúncios de fornecedores para patches de segurança críticos.

Sistemas legados, especialmente bancos de dados personalizados ou versões antigas de CRM populares, são particularmente arriscados, se sua organização ainda depende de software que não recebe mais atualizações de segurança, priorize migrar para uma plataforma suportada, muitas alternativas seguras e acessíveis estão disponíveis, incluindo soluções baseadas em nuvem que lidam com patching automaticamente.

4. Limitar o acesso a dados doador usando o princípio do mínimo privilégio

Nem todo funcionário ou voluntário precisa de acesso a todos os dados doador, implemente o controle de acesso baseado em funções (RBAC) para restringir o acesso de dados apenas aos indivíduos que o exigem para desempenhar suas funções específicas.

  • Angariação de fundos pode precisar ver informações de contato do doador e dar histórico, mas não números de cartão de crédito.
  • O pessoal das finanças pode precisar de acesso aos registros de transações, mas não de endereços pessoais ou anotações de noivado.
  • Estagiários ou funcionários temporários devem ter acesso somente para leitura ou permissões limitadas.

Revisando regularmente os registros de acesso para detectar atividades incomuns, como um funcionário baixando grandes volumes de dados fora do horário normal de trabalho, os processos de provisionamento e desprovisionamento do usuário devem ser automatizados: quando um membro da equipe deixa a organização ou muda de funções, seus direitos de acesso devem ser revogados ou ajustados imediatamente.

5. Usem as vias seguras de pagamento e cumpram com o PCI DSS.

Se sua organização aceitar doações de cartão de crédito, online, por telefone ou pessoalmente, você deve cumprir o padrão de segurança de dados da indústria de cartões de pagamento (PCI DSS), este conjunto de 12 requisitos regula como os dados do titular do cartão são tratados, armazenados e transmitidos.

  • Nunca guarde números de cartão de crédito, códigos CVV ou dados magnéticos depois que uma transação for autorizada.
  • Usando tokenização ou criptografia para substituir dados sensíveis de cartões por equivalentes não sensíveis.
  • Contratando com um processador de pagamento compatível com PCI (por exemplo, Stripe, PayPal, Braintree, ou processadores especializados sem fins lucrativos como Donorbox ou GiveWP).
  • Realizando auto-avaliação anual ou varreduras de vulnerabilidade como exigido pelo seu banco adquirente.

Muitos sem fins lucrativos podem reduzir o peso de sua conformidade PCI usando um gateway de pagamento de terceiros que lida com dados de cartão diretamente, para que a caridade nunca toque ou guarde números de cartão completos.

Recurso externo: ] Saiba mais sobre os requisitos de PCI DSS para pequenas empresas e sem fins lucrativos no site oficial do Conselho de Normas de Segurança PCI .

Melhores práticas para gestão de privacidade

Enquanto a segurança se concentra em controles técnicos, a privacidade aborda como dados de doadores são coletados, usados, compartilhados e retidos, e como doadores são informados e dados de controle sobre suas informações, e gerenciamento eficaz de privacidade cria transparência e confiança.

1. Desenvolva uma Política de Privacidade clara e acessível.

Toda organização de caridade deve ter uma política de privacidade escrita que explique:

  • Que tipos de dados de doadores são coletados (por exemplo, nome, contato, informações de pagamento, comportamento de navegação se cookies são usados).
  • Como os dados são coletados (formas on-line, eventos offline, fontes de terceiros).
  • Os propósitos para os quais os dados são usados (processamento de doações, envio de recibos, comunicações de marketing, análise).
  • Se os dados são compartilhados com terceiros (por exemplo, processadores de pagamento, plataformas de email marketing, serviços de análise de dados) e em que condições.
  • Quanto tempo os dados são retidos e como doadores podem solicitar a eliminação.
  • Direitos dos doadores sob as leis aplicáveis (por exemplo, direito de acesso, correta, deletar ou portar seus dados; direito de optar por não vender/compartilhar).
  • Informações de contato para perguntas de privacidade.

A política deve ser postada de forma proeminente em seu site (tipicamente no rodapé), escrita em linguagem simples, e mantida atualizada à medida que as práticas de dados evoluem.

2. Obtenha o consentimento explícito para coleta e processamento de dados.

Sob muitos regulamentos de privacidade, o consentimento deve ser dado livremente, específico, informado e inequívoco, o que significa que caixas pré-cheque ou consentimento implícito de uma transação de doação não são mais suficientes para fins de marketing.

  • Usando caixas de seleção opt-in (não opt-out) para newsletters de e-mail, atualizações de SMS ou compartilhar dados com organizações parceiras.
  • Fornecendo escolhas granulares, por exemplo, deixando doadores selecionarem quais tipos de comunicações desejam receber.
  • Claramente, indicando o propósito da coleta de dados no ponto de captura (por exemplo, "Usamos seu e-mail para enviar seu recibo de impostos e atualizações ocasionais sobre nosso trabalho - você pode cancelar a assinatura a qualquer momento").
  • Gravando e guardando provas de consentimento (por exemplo, horários, endereços IP, e texto de consentimento mostrado) para que você possa demonstrar conformidade se auditado.

Para doadores existentes que estavam a bordo antes de sua organização adotar práticas de consentimento robustas, considere uma campanha de consenso para trazer seu banco de dados em conformidade.

3. Pratique a Minimização de Dados.

Se não precisar da data de nascimento, número de telefone ou ocupação de um doador para processar um presente, não peça, a minimização dos dados reduz o potencial dano de uma violação e simplifica o cumprimento das obrigações de retenção e eliminação.

Reveja seus formulários de doação, páginas de registro de eventos e pedidos de voluntários periodicamente para retirar campos desnecessários, use lógica condicional para mostrar campos opcionais apenas quando relevante, por exemplo, peça informações sobre o empregador apenas se o doador indicar que está interessado em presentes correspondentes.

4. Estabelecer políticas de retenção de dados e eliminação segura

Os dados do doador não devem ser mantidos indefinidamente, desenvolvam um cronograma de retenção que defina quanto tempo cada categoria de dados é mantida com base em necessidades operacionais e requisitos legais, por exemplo:

  • Os registros de transações podem precisar ser mantidos por 7 anos (para fins fiscais).
  • Dados de engajamento de marketing (por exemplo, taxas de abertura de e-mail) podem ser mantidos por 3 anos.
  • Perfis de doadores inativos (sem atividade por mais de 5 anos) podem ser arquivados ou apagados.

Quando os dados chegarem ao fim do período de retenção, devem ser eliminados de forma segura.

5. Treine todos os funcionários e voluntários em privacidade e segurança.

Os controles de tecnologia são tão eficazes quanto as pessoas que os usam, erros humanos, como clicar em links de phishing, deixar registros de doadores visíveis em telas destrancadas ou compartilhar senhas, continuam sendo a principal causa de incidentes de dados, e implementar programas de treinamento obrigatórios que cobrem:

  • Como reconhecer tentativas de phishing, engenharia social e e-mails suspeitos.
  • Não discutir informações de doadores em locais públicos, não enviar planilhas não criptografadas por e-mail, bloquear estações de trabalho quando não atendidas.
  • Procedimentos para relatar suspeitas de violação de dados ou incidentes de privacidade.
  • Entender as leis de privacidade relevantes para sua jurisdição.

O treinamento deve ocorrer com a contratação e, pelo menos, anualmente, fornecer exemplos e testes para reforçar a aprendizagem, encorajando uma cultura onde os funcionários se sintam confortáveis em relatar erros sem medo de retribuição, reportar precocemente pode limitar danos por uma violação.

Leis de Proteção de Dados Afetando Organizações Caritativas

Dependendo de onde sua organização opera ou onde seus doadores residem, várias leis podem se aplicar.

  • GDPR (União Europeia]] Aplica-se a qualquer organização que processa os dados pessoais de indivíduos na UE, independentemente da localização da organização. Requer base legal para o processamento, notificação de violação obrigatória dentro de 72 horas, avaliação de impacto de proteção de dados para atividades de alto risco, e nomeação de um oficial de proteção de dados (DPO) em certos casos.
  • A Procuradoria Geral da Califórnia indicou que organizações caritativas que mantêm dados de doadores devem adotar padrões semelhantes como a melhor prática.
  • Requer consentimento significativo, minimização de dados e responsabilidade pela proteção de dados.
  • Outras leis estaduais: Virginia's CDPA, Colorado's CPA, Connecticut's CTDPA, e outras estão expandindo a reforma de regras de privacidade dos EUA.

É aconselhável consultar com advogados especializados em privacidade ou lei sem fins lucrativos para realizar uma auditoria de conformidade.

Para uma visão detalhada das leis de privacidade dos EUA, visite o monitor de privacidade do Estado dos EUA.

A stewardship dos dados éticos além da conformidade

A responsabilidade ética significa respeitar a autonomia do doador e construir relacionamentos de longo prazo.

  • Por exemplo, se você compartilhar listas de doadores com outras organizações sem fins lucrativos, divulgue isso claramente e ofereça uma opção de exclusão.
  • Respeite as preferências dos doadores, opt-outs de comunicação de honra rapidamente, dentro de 10 dias úteis, é um padrão comum, implemente um sistema centralizado de gerenciamento de preferência para evitar enviar mensagens para doadores que pediram para serem removidos.
  • Antes de lançar uma nova campanha de arrecadação de fundos, plataforma tecnológica ou parceria de compartilhamento de dados, realize uma avaliação de impacto de privacidade para identificar riscos potenciais para a privacidade dos doadores e mitigá-los antecipadamente.
  • Isso promove a boa vontade e se alinha com o espírito de propriedade dos dados.

O tratamento ético dos dados dos doadores não é apenas para evitar multas, é para demonstrar que sua organização valoriza as pessoas que servem como parceiros em missão, não apenas fontes de receita.

Conclusão: Construindo uma Cultura de Segurança e Privacidade

Segurança e privacidade de dados doador não são projetos únicos, são compromissos contínuos que exigem atenção contínua, investimento e adaptação a novas ameaças e mudanças regulatórias.As organizações caridosas que incorporam essas práticas em suas operações diárias – através de fortes controles técnicos, políticas transparentes, treinamento regular e tomada de decisões éticas – não só se protegerão de danos, mas também fortalecerão a confiança vital para sua missão.

Comece onde está, realize um inventário de dados para entender quais informações do doador você possui e onde vive, realize uma avaliação de risco para identificar suas vulnerabilidades mais críticas, execute as práticas descritas neste guia, priorizando as áreas de maior risco, como processamento de pagamentos e acesso remoto, e documente suas políticas e procedimentos por escrito e reveja-as pelo menos anualmente.

Nenhuma organização pode eliminar todo o risco, mas tomando medidas deliberadas e informadas, você pode reduzir significativamente a probabilidade e o impacto de um incidente de dados.

Para mais orientações sobre a criação de um plano de segurança de dados sem fins lucrativos, consulte os recursos da CISA para pequenas organizações.