Data e hora na origem
Cada entrada tem a sua data, a sua hora e a identidade do seu autor no momento em que a ação é feita: nada de reconstituições de memória, nada de datas «arredondadas» vários dias depois do incidente.
Provas & arquitetura · a base e o rasto
Como a Galyct Pro rastreia as decisões e os elementos de prova.
Cada entrada do registo conserva o seu autor, a sua data e hora, o seu contexto e os elementos a que está associada. O registo foi concebido para reconstituir uma cronologia e exportar um dossiê utilizável pela direção, por um auditor ou por um terceiro autorizado.
Compreender o risco. Retomar o controlo. Manter no tempo.
Registo apenas de acréscimo · com carimbo temporal · alojado em França na Scaleway · IA da Mistral (UE) · os seus dados continuam exportáveis.
PRINCÍPIO
A confiança
prova-se.
«Soberano» tornou-se um argumento de marketing. Preferimos os factos verificáveis: o país de alojamento, o nome de cada subcontratante, o fornecedor da nossa IA, a natureza exata da cifragem e a lista explícita do que não fazemos. Uma organização não confia a sua cibersegurança a uma promessa: confia-a a uma arquitetura que pode ler, auditar e submeter ao seu próprio DPO.
Parte IA prova, o que fica depois da decisão
01 · O REGISTO DE PROVAS
Um registo datado que se preenche sozinho
Não tem de «se lembrar de documentar». Cada gesto feito na consola (uma decisão de crise, uma medida de tratamento, um desvio de conformidade corrigido, uma análise de IOC) alimenta o registo no momento em que acontece, com a sua data e hora e o seu autor. A prova não é um relatório redigido a posteriori: é o rasto do que realmente aconteceu.
Associado ao seu contexto
Uma prova nunca existe isolada: está ligada ao risco, ao incidente, ao playbook ou ao requisito regulamentar que a produziu. Sobe-se do facto à decisão, e da decisão ao facto.
Registos, capturas, documentos
Decisões, hipóteses, registos de eventos, capturas, trocas e anexos: o dossiê constitui-se em contínuo, pronto para ser relido por um terceiro que não estava na sala.
Conservado o tempo necessário
Conservação por categoria e finalidade, proporcionada: os dossiês de incidente são arquivados para fins probatórios até 5 anos (a ação civil de direito comum prescreve em cinco anos, art. 2224 do Código Civil francês); as contas, 24 meses após a última atividade. Nunca indefinida.
02 · DIÁRIO DE DECISÕES DATADO E RASTREÁVEL
Append-only: acrescenta-se, não se reescreve a história
Um diário só tem valor se não puder ser maquilhado a posteriori. O diário de decisões da Galyct Pro funciona em append-only: acrescentam-se entradas, não se elimina nem se modifica silenciosamente o passado. Corrigir uma decisão é escrever uma nova entrada que explica a correção; a entrada original continua visível. Como o diário é selado e verificável →
O princípio
Uma linha de vida, não um rascunho
Cada decisão regista: o que foi decidido, por quem, em que momento, com base em que informações então disponíveis, e porquê. Uma revisão posterior empilha-se por cima sem apagar o que a precede. O fio lê-se por ordem, do primeiro sinal ao encerramento.
É exatamente o que esperam uma seguradora que instrói um sinistro, um regulador que verifica o cumprimento de um prazo ou um juiz que reconstitui uma cronologia: uma cronologia que ninguém pôde retocar depois dos factos.
O que cada entrada retém
- O quê: a decisão ou a ação tomada
- Quem: o autor identificado, o seu papel na célula
- Quando: a data e hora ao segundo
- Com base em quê: os elementos conhecidos nesse instante
- Porquê: a justificação, a arbitragem escolhida
- Estado: facto estabelecido, hipótese ou sinal fraco
03 · CONSTATADO VS SUPOSTO
Distinguir o que está estabelecido do que é suposto
O erro mais caro, tanto em crise como em auditoria, é apresentar uma hipótese como um facto. A Galyct Pro qualifica explicitamente cada elemento do dossiê: ao relê-lo, sabe-se o que foi demonstrado e o que continuava a ser uma suposição no momento de decidir.
Constatado
Um facto estabelecido, apoiado num rasto verificável: um registo de evento, uma captura, um documento, uma confirmação técnica. O que pode ser mostrado a um terceiro.
Suposto
Uma hipótese de trabalho, útil para avançar mas não demonstrada. É identificada como tal: decide-se com base nela com conhecimento de causa, sem a disfarçar de certeza.
Sinal fraco
Um indício que merece ser anotado sem concluir. Registado para não se perder, poderá confirmar-se (ou infirmar-se) à medida que o dossiê avança.
Consequência direta: nenhuma atribuição sem prova. Nenhum responsável, nenhuma causa raiz é afirmada enquanto os elementos técnicos ou contextuais não a sustentarem. O que não é demonstrável continua a ser apresentado como hipótese ou como limite.
04 · EXPORTAÇÕES UTILIZÁVEIS
O mesmo dossiê, legível por cada um dos seus interlocutores
Um registo de provas só serve se sair da ferramenta. A Galyct Pro produz exportações estruturadas a partir dos mesmos factos, declinadas consoante quem as lê. Uma única verdade, vários níveis de leitura: a direção, o banco, a seguradora, o advogado, o auditor e o regulador não recebem versões contraditórias.
Banco
Cronologia do incidente e medidas tomadas: o necessário para fundamentar uma participação de fraude, um pedido de bloqueio ou um processo de recuperação, com as datas que contam.
Seguradora cibernética
Um processo de sinistro fundamentado: carimbos temporais, decisões, registos e provas de remediação, os comprovativos que as seguradoras pedem com frequência, conforme o seu contrato.
Advogado & jurídico
Uma cronologia não retocada, que distingue factos e hipóteses: a base de uma queixa, de uma notificação ou de uma defesa, sem zonas cinzentas sobre o que está provado.
Auditor
Provas ligadas aos requisitos (ISO 27001, NIS 2, DORA): a documentação remete para práticas reais e para vestígios, não para declarações de intenção.
Regulador · CNIL, autoridade NIS 2
Notificação de uma violação de dados dentro dos prazos (72 h no âmbito do RGPD), com o rasto das decisões tomadas: o relógio regulamentar e o diário falam a mesma linguagem.
Direção & comité
Uma restituição sintética, orientada para a decisão e o orçamento: o que aconteceu, o que foi arbitrado, o que falta fazer, tudo apoiado no dossiê detalhado.
Formatos abertos e legíveis fora da plataforma. Ver os referenciais cobertos →
05 · RASTREABILIDADE DE PONTA A PONTA
Do primeiro sinal à prova, uma única cadeia
A prova não se fabrica no fim: deposita-se em cada elo. Porque o risco, a análise, o incidente e a conformidade vivem no mesmo lugar, nada é introduzido duas vezes e nada se perde entre duas ferramentas. Qualquer elemento do dossiê pode ser rastreado até à sua origem.
01SinalUm alerta de conector (reunido na vista «Sinais»), uma análise de IOC, um cenário de risco: o evento entra datado.
02QualificaçãoConstatado, suposto ou sinal fraco: o elemento é identificado antes de ser utilizado.
03DecisãoA arbitragem é registada com o seu autor, a sua hora e a sua justificação.
04AçãoPlaybook, responsável, prazo, remediação: cada gesto deixa o seu rasto.
05ProvaFactos, decisões e documentos ligam-se no registo append-only.
06ExportaçãoO dossiê sai, declinado para o banco, a seguradora, o advogado, o auditor ou o regulador.
06 · REVERSIBILIDADE
As suas provas pertencem-lhe, e pode levá-las consigo
Um registo de provas fechado numa ferramenta que não controla não é uma prova: é uma dependência. Com a Galyct Pro, os seus dados continuam seus, alojados em França na Scaleway, e exporta-os quando quiser, incluindo para sair da plataforma.
Alojado em França, na Scaleway
As suas provas e os seus registos estão alojados em França, na Scaleway. O assistente de IA apoia-se na Mistral (UE), sob supervisão humana: nenhum tratamento fora da UE nas suas costas.
Exportável a qualquer momento
O registo, o diário de decisões e os documentos exportam-se em formatos abertos: não precisa do nosso acordo, nem da nossa ferramenta, para reler o seu próprio dossiê.
Reversibilidade assumida
Sair tem de continuar a ser possível. Recupera o histórico completo das suas decisões e das suas provas: a rastreabilidade não desaparece por mudar de solução.
Nunca lhe pedimos os seus códigos de acesso aos seus bancos, correio eletrónico ou serviços de terceiros. A prova constrói-se a partir do que constata e decide, não de um acesso às suas contas.
Parte IIA arquitetura: onde vivem os seus dados, e quem os trata
07 · A BASE: ONDE VIVEM OS SEUS DADOS
Os seus dados de conta e de incidente, alojados e tratados em França, na Scaleway
Alojamento, cópias de segurança, registos e provas ficam em França (UE), na Scaleway. As verificações externas opcionais (resolução DNS, reputação de um URL, pesquisa de fugas) são acionadas de forma controlada e documentada: para cada uma, sabe que dados são transmitidos e a que serviço. Factos, descritos, não um absoluto de marketing.
Alojamento francês
Servidores operados em França na Scaleway, alojador sem qualificação SecNumCloud. Os dados dos seus incidentes, dos seus riscos e das suas provas não saem da UE no quadro normal do serviço.
Cifragem em repouso & em trânsito
Os dados sensíveis são cifrados em repouso; as trocas passam por TLS (HTTPS), com cabeçalhos de segurança reforçados (HSTS, CSP). A cifragem protege os dados, nunca é um pretexto para não rastrear nada.
Compartimentação multientidade
Cada organização (e cada entidade de um grupo) dispõe de um espaço compartimentado. Uma filial não vê os dados de outra; a partilha, quando existe, é uma escolha explícita e registada.
Cópias de segurança & reversibilidade
Cópias de segurança regulares e exportabilidade dos seus dados: as suas provas, os seus registos e os seus diários pertencem-lhe. Sai com o que produziu, sem retenção hostil.
Acesso mínimo & registado
Papéis (administrador, editor, membro), privilégio mínimo e rastreabilidade dos acessos. As ações sensíveis são datadas: quem viu o quê, quem decidiu o quê, e quando.
Resolução DNS cifrada (DoH)
A peça Galyct Domain consulta o DNS de forma cifrada (DNS-over-HTTPS) através de resolvedores públicos não filtrantes da União Europeia, Mullvad (Suécia), Freifunk München (Alemanha) e LibreDNS (Grécia), com recurso em França à FDN: só transita o nome de domínio verificado, nenhum dado pessoal. Uma observação controlada, descrita tal como é.
As suas ferramentas continuam a ser suas. Os conectores (EDR, firewalls, cópias de segurança, inteligência) funcionam só em leitura: «o cliente traz a sua instância». A Galyct lê os seus eventos e nunca controla as suas ferramentas: nenhum agente Galyct é necessário para estes conectores. Existe, além disso, um sensor opcional para postos de trabalho («Agente de posto»), se quiser enriquecer a telemetria. Ver os conectores →
08 · A IA SOB SUPERVISÃO HUMANA
Uma IA europeia que assiste, nunca que decide sozinha
O assistente da Galyct Pro apoia-se por defeito na Mistral, um fornecedor francês cujos modelos são operados na União Europeia. A IA prepara, propõe e acelera; a decisão continua humana, e cada restituição é verificável.
Modelo europeu por defeito
O tratamento de IA é efetuado na Mistral (França/UE). A escolha do fornecedor é governada do lado do servidor: sabe que motor trata os seus pedidos, e nada é enviado para um modelo fora da UE sem o seu conhecimento.
O humano valida, a IA não age sozinha
A IA redige um rascunho de playbook, propõe uma qualificação, resume um incidente: um humano valida. Nenhuma ação irreversível é desencadeada pelo assistente sem decisão do operador.
Análise de ficheiros (UE)
A análise automatizada de ficheiros e indicadores apoia-se num motor de análise que não sai da UE, em complemento de fontes abertas reconhecidas. As capacidades de análise avançada enriquecem-se por vagas: algumas chegam em breve, e dizemo-lo em vez de o deixar crer.
Consentimento & registo
O recurso à IA está enquadrado por um consentimento e um registo: um ecrã de risco explica o que é enviado ao modelo. Mantém o controlo sobre o que é submetido, e sobre o que não é.
A IA da Galyct Pro não pretende substituir um analista: faz-lhe ganhar tempo no que é repetitivo, para que se concentre na decisão. Ver o espaço de análise →
09 · O QUADRO REGULAMENTAR
Concebido para a sua conformidade, sem a simular
A Galyct Pro equipa os quadros que as suas partes interessadas exigem. A plataforma ajuda-o a documentar e a cumprir as suas obrigações: não lhe emite nenhum selo do Estado, e não substitui nem o seu DPO nem o seu auditor.
RGPD · notificação em 72 h
Registo das atividades de tratamento, avaliações de impacto, procedimento de notificação de violação dentro dos prazos. Você é o responsável pelo tratamento; nós somos subcontratante, com um quadro contratual (DPA) dedicado.
NIS 2
Diretiva europeia: obrigações, governação, controlo do risco de terceiros e trajetória de adequação. A plataforma estrutura a prova; a apreciação continua a caber a si e às suas autoridades.
DORA
Resiliência operacional do setor financeiro: gestão do risco de prestadores de TIC, testes, incidentes graves e reporte. Cada requisito está ligado a decisões e a provas exportáveis.
10 · OS NOSSOS SUBCONTRATANTES, IDENTIFICADOS
Dizemos-lhe quem trata o quê. Pelo nome.
A confiança verifica-se na cadeia de subcontratação. Eis os prestadores-chave que intervêm no serviço, o seu papel e onde operam. A lista completa é mantida atualizada (última revisão: 15 de agosto de 2026) e disponibilizada no quadro contratual (DPA).
| Subcontratante | Papel | Localização |
|---|---|---|
| Scaleway / Online Alojamento |
Alojamento da infraestrutura, das bases de dados, das cópias de segurança e dos registos do serviço. | França |
| Mistral Inteligência artificial |
Fornecedor do modelo de IA que assiste a análise e a redação, sob supervisão humana. | França / UE 🇪🇺 |
| Stancer Pagamento |
Prestador de pagamento francês para as assinaturas e os passes. Não armazenamos os seus dados de cartão: transitam pelo prestador. | França |
Editor do serviço: Datashield Risk Consulting (SAS), que edita o ecossistema Galyct. Qualquer alteração desta lista é-lhe comunicada no quadro contratual. Aviso legal →
11 · O QUE NUNCA LHE PEDIMOS
Nunca pedimos os seus códigos
Uma plataforma de confiança também se reconhece pelo que se recusa a pedir-lhe. Estas regras não são promessas comerciais: são proibições que as nossas equipas aplicam a si próprias.
Nunca
Não lhe pediremos…
- as suas palavras-passe, códigos de acesso ou credenciais das suas contas de terceiros;
- os códigos recebidos por SMS, e-mail ou aplicação de autenticação;
- que desative a sua autenticação de dois fatores ou as suas proteções;
- um acesso remoto aos seus postos fora de uma missão enquadrada e contratualizada com a consultora.
Se uma mensagem disser vir da Galyct e lhe pedir uma destas coisas, é uma tentativa de fraude. Em caso de dúvida: comunique um incidente →
Sempre
O que lhe devemos
- dizer-lhe onde vivem os seus dados e quem os trata;
- rastrear os acessos sensíveis e prestar-lhe contas;
- deixá-lo exportar e recuperar o que produziu;
- distinguir um facto estabelecido de uma hipótese, em cada restituição.
12 · O QUE NÃO PROMETEMOS
A confiança também se constrói sobre o que nos recusamos a prometer
Um registo documenta o que aconteceu; uma arquitetura reduz a exposição. Nenhum deles reescreve a história, garante um desfecho ou substitui o juízo dos seus consultores. Dizê-lo é precisamente o que lhes dá valor.
Um rasto, não uma garantia de resultado
Documentar uma decisão não garante que fosse a certa, nem que um incidente será evitado: nenhum resultado é garantido. O registo prova o que foi feito e quando, não que isso será suficiente.
Um elemento sólido, não um veredicto
Um diário datado e coerente constitui um elemento sólido: o seu alcance exato perante uma seguradora, um regulador ou um juiz depende da apreciação destes e dos seus consultores jurídicos, não de uma promessa nossa.
Nada de risco zero, nada de «inviolável»
Não usamos nem «inviolável», nem «100 % seguro», nem «garantido». O objetivo é reduzir a exposição e manter a prova; uma verificação limitada nunca prova a ausência total de risco.
Uma conformidade ligada às práticas reais
A plataforma documenta; não emite nenhum selo. A documentação tem de corresponder a responsabilidades e a práticas reais: documenta-se o que é feito, não o contrário.
Referenciado, não certificado pelo Estado
A Galyct é um prestador referenciado na Cybermalveillance.gouv.fr, um sinal de seriedade, não uma certificação do Estado, e nunca o apresentamos como tal. Isso não prejulga a qualificação de um determinado incidente.
O software, e o humano quando é preciso
A Galyct Pro pilota no dia a dia. Para a auditoria, o EBIOS RM, a análise forense, a gestão de crise ou um CISO/DPO externalizado, a consultora intervém mediante orçamento: a camada humana não se substitui por uma caixa assinalada.
Uma crise cibernética em curso?
Suspeita de intrusão, ransomware, conta comprometida, fuga de dados: estabilize sem destruir as provas. Abrimos uma célula de crise, mantemos o diário das decisões e constituímos o dossiê à medida que avança.
Provas e arquitetura, no seu contexto.
Visite livremente o cockpit com dados de exemplo, ou peça uma demonstração de 30 minutos: coloque as suas perguntas sobre rastreabilidade, alojamento e subcontratação. Sem compromisso, tratamento na União Europeia, os seus dados continuam seus.