Conectividade que pode auditar, não apenas acreditar.
A ZetSIM transporta a identidade, os pagamentos e o tráfego de rede de viajantes em 200+ países. Esta página documenta exatamente como isso é protegido — as certificações que temos, os controlos que as sustentam, quem trata os seus dados e o que acontece quando algo corre mal.
Zetexa Global Private Limited é um MVNO registado que presta conectividade local no Canadá, no Reino Unido e nos EUA, e opera ao abrigo de autorizações de telecomunicações em cada mercado onde está presente.
Quatro compromissos que orientam cada decisão
Um eSIM é uma credencial. Autentica-o na rede de um desconhecido, num país cujas leis não leu. É por essa assimetria que tratamos a segurança do aprovisionamento, a minimização de dados e a conformidade regulamentar como funcionalidades do produto e não como burocracia.
Pedimos apenas o que uma compra e um aprovisionamento realmente exigem. Sem carregar o passaporte para comprar um plano de dados, sem perfis ocultos para lhe vender um segundo.
A ZetSIM é um MVNO registado no Canadá, no Reino Unido e nos EUA, e trabalha apenas com operadores anfitriões licenciados nos restantes países. A situação regulatória faz parte do produto.
Um perfil eSIM é uma credencial criptográfica. O nosso é encriptado para um único eUICC, só pode ser utilizado uma vez e pode ser desativado pelo apoio ao cliente assim que um telemóvel desaparece.
Cada afirmação nesta página indica o documento que a sustenta. Se um relatório é confidencial, dizemo-lo; se não estamos certificados segundo uma norma, não mostramos o seu logótipo.
As normas que cumprimos
Cada entrada indica a norma, o que realmente abrange na ZetSIM e como pode verificá-la. Quando um relatório é confidencial, dizemo-lo em vez de sugerir o contrário.
A recolha, o armazenamento e a liquidação de cartões são tratados por fornecedores de pagamento certificados PCI DSS. Nenhum número de conta principal ou CVV é guardado na infraestrutura ZetSIM, o que mantém o nosso ambiente de dados de titulares de cartão mínimo por arquitetura.
O nosso conjunto de controlos está mapeado para os Trust Services Criteria SOC 2 de segurança, disponibilidade e confidencialidade. O relatório é partilhado com clientes empresariais e parceiros em vez de publicado.
Os fundamentos jurídicos estão documentados por finalidade, as transferências assentam em Cláusulas Contratuais-Tipo e os direitos dos titulares dos dados são tratados no prazo de 30 dias. Está disponível um Acordo de Tratamento de Dados para clientes empresariais.
Os residentes na Califórnia podem aceder aos seus dados, eliminá-los, retificá-los e transferi-los, e opor-se à partilha de informações pessoais para publicidade comportamental entre contextos. Não vendemos dados pessoais.
Enquanto fiduciário de dados constituído na Índia, a ZetSIM presta informação e obtém consentimento para o tratamento que realiza, dá resposta a pedidos de retificação e apagamento e mantém um canal de reclamações em support@zetexa.com.
O aprovisionamento de eSIM para consumidores funciona em plataformas SM-DP+ acreditadas pela GSMA, utilizando a hierarquia de certificados da GSMA para a autenticação mútua entre o dispositivo e o servidor.
A conectividade local nos EUA é prestada como operador móvel virtual registado, através de redes anfitriãs licenciadas, sujeita às regras da FCC sobre informação ao consumidor e utilização da rede.
Os planos locais no Canadá são oferecidos como prestador de serviços de telecomunicações registado, através de redes anfitriãs canadianas licenciadas, ao abrigo das obrigações da CRTC.
As operações na Índia são realizadas ao abrigo de autorização do Department of Telecommunications, incluindo as obrigações relativas a assinantes e acesso legal aplicáveis aos serviços oferecidos na Índia.
47 controlos, escritos em linguagem simples
Abra qualquer controlo para ler o que faz e que provas o sustentam. Pesquise para ir diretamente a um tema — encriptação, retenção, aprovisionamento, revisões de acesso.
Governação
5 controlosA segurança tem responsáveis, está documentada e é revista com regularidade — não é improvisada a cada incidente.
Privacidade e proteção de dados
8 controlosRecolhemos o mínimo necessário para vender, aprovisionar e dar apoio a um eSIM — e não vendemos dados de viajantes.
Pagamentos
5 controlosOs dados do cartão não ficam nos sistemas ZetSIM. São recolhidos, tokenizados e liquidados por fornecedores certificados.
Segurança do eSIM e do perfil
7 controlosO aprovisionamento segue a arquitetura GSMA Remote SIM Provisioning. Cada perfil está associado a um único dispositivo.
Infraestrutura e encriptação
6 controlosProteções normais, sem surpresas e bem conhecidas, aplicadas de forma consistente em todos os ambientes.
Controlo de acessos
5 controlosO menor número de pessoas, o menor privilégio, o menor tempo — com registo de quem fez o quê.
Segurança das aplicações
4 controlosAs alterações são revistas, as dependências são vigiadas e convidamos terceiros a analisar.
Resposta a incidentes e resiliência
7 controlosA gravidade é definida pelo impacto no cliente. Um viajante sem dados é um incidente.
Os seus dados, da compra à eliminação
A Zetexa Global Private Limited é a responsável pelo tratamento dos dados. Recolhemos o mínimo necessário para lhe vender um eSIM, aprovisioná-lo e prestar apoio — e não vendemos dados de viajantes.
O que acontece realmente quando lê o código QR
A entrega do eSIM é a parte do nosso serviço que a maioria das pessoas nunca vê. Assenta na arquitetura GSMA Remote SIM Provisioning e cada passo está criptograficamente vinculado a um único dispositivo.
Quando compra, preparamos um perfil numa plataforma SM-DP+ acreditada pela GSMA e emitimos um código de ativação associado. A credencial em si nunca viaja no seu e-mail — apenas a referência para ela.
Na transferência, o eUICC do seu telemóvel e o servidor de aprovisionamento autenticam-se mutuamente através da hierarquia de certificados da GSMA. O perfil é depois encriptado especificamente para esse chip, pelo que não pode ser instalado em mais nenhum lado.
Assim que o perfil é instalado, o código de ativação e o Matching ID ficam gastos. Uma captura de ecrã partilhada não aprovisiona nada. Se perder o telemóvel, o apoio ao cliente desativa o perfil para que os dados restantes não possam ser usados.
Se algo falhar, este é o procedimento
A gravidade é atribuída em função do impacto no cliente, não da conveniência interna. Um viajante sem dados é um incidente, não um pedido de apoio.
A monitorização, alertas de operadores de rede ou a comunicação de um cliente abrem um incidente. Qualquer pessoa na ZetSIM pode abrir um; ninguém precisa de autorização para escalar.
É designado um responsável pelo incidente e a gravidade é definida em função do impacto no cliente — falhas de aprovisionamento e exposição de dados têm prioridade sobre incómodos internos.
O acesso é cortado, as credenciais são renovadas e os percursos afetados são isolados. A preservação de provas decorre em paralelo com a contenção dos danos.
As violações de dados pessoais confirmadas são comunicadas à autoridade de controlo sem demora injustificada e no prazo de 72 horas quando se aplica o RGPD, e às pessoas afetadas quando o risco o exige.
Uma análise sem atribuição de culpas produz uma cronologia, os fatores que contribuíram e ações corretivas com responsáveis e prazos definidos, acompanhadas a par do trabalho de produto.
Quem mais tem acesso aos seus dados
Cada terceiro abaixo tem contrato, é avaliado antes da integração e está limitado à finalidade indicada. O registo oficial atual está disponível mediante pedido.
Leia ou peça
Os documentos públicos estão à distância de um clique. O material confidencial — relatórios de auditoria, resumos de testes de intrusão, o registo atualizado de subcontratantes — é disponibilizado a clientes e parceiros mediante acordo de confidencialidade.
Respostas diretas
We do not sell personal data. We do use marketing and advertising partners to run campaigns, and where you live may give you the right to tell us not to share your information for targeted advertising — email support@zetexa.com and we will apply that preference.
Customer and order data sits with our commerce and support providers in their operating regions, protected by contractual transfer safeguards. Network traffic is carried in the destination country by the licensed local operator, which is what makes a local plan local. Our subprocessor register names each party and its region.
A profile is cryptographically bound to the single eUICC that downloaded it, and the activation code is single-use. Once installed, a copy of the QR is useless. If your device is lost, contact support and we disable the profile.
No. Card data is captured and stored by PCI DSS certified payment providers. ZetSIM sees a token, the last four digits and the transaction result — never the full card number or CVV.
SOC 2 is the framework our control set is mapped to, and the report is shared with customers and partners under NDA rather than published. Where we are not certified against a standard we say so on this page instead of displaying a badge.
Email support@zetexa.com with your company, the document you need and any deadline. Standard requests — DPA, security overview, subprocessor register, insurance summary — are usually turned around within five business days.
Your account data is deleted or de-identified on verified request. Transaction, invoice and tax records are kept for the period the law requires in the relevant jurisdiction, then removed on the normal retention cycle.
Encontrou algo que devamos corrigir?
Comunique uma suspeita de vulnerabilidade para support@zetexa.com com SECURITY no assunto. Confirmamos a receção dos relatórios, mantemo-lo informado durante a investigação e não agiremos contra investigadores de boa-fé que evitem violações de privacidade, interrupções do serviço e destruição de dados.