Seguros empresariais em Massachusetts
🗣 Falamos português · Hablamos español · English — ligue para (781) 349-7360
O seguro de responsabilidade cibernética (cyber liability) paga o que acontece depois de uma violação de dados, um ataque de ransomware ou uma falha de sistemas: a investigação forense, o advogado especializado em violação de dados, as notificações exigidas por lei e a receita perdida enquanto os sistemas estão fora do ar. Uma apólice de responsabilidade civil geral comercial (commercial general liability) geralmente não responde por nada disso — a maioria dos formulários modernos exclui a perda eletrônica de dados — e, em Massachusetts, as obrigações de notificação de violação de dados se aplicam a empresas de todos os portes.
Vale a pena conhecer pelo nome dois requisitos de Massachusetts, porque ambos são acionados pelos dados que você mantém, e não pelo seu faturamento ou número de funcionários.
Daí decorrem duas consequências que pegam os empresários de surpresa. Primeiro, "informações pessoais" é aqui um termo definido que alcança registros comerciais comuns: o nome de um residente de Massachusetts junto com um número do Seguro Social (Social Security), um número de carteira de motorista ou de identidade estadual, ou um número de conta financeira, cartão de crédito ou cartão de débito que permita o acesso à conta financeira do residente. Um arquivo de folha de pagamento se enquadra. Uma pasta com os formulários I-9 dos funcionários se enquadra. Um empreiteiro com oito funcionários e nenhum banco de dados de clientes muito provavelmente mantém informações pessoais de residentes de Massachusetts.
Em segundo lugar, essas obrigações acompanham o residente, não o seu endereço. Uma empresa de New Hampshire com clientes de Massachusetts ou funcionários de Massachusetts está dentro do alcance das regras.
Somos uma agência de seguros, não o seu advogado. Se e como esses requisitos se aplicam à sua empresa específica — e o que o seu WISP precisa dizer — é uma questão para um advogado. O que podemos fazer é garantir que, se algo der errado, o custo de cumprir as exigências esteja segurado, em vez de sair da sua conta operacional. O texto atual dos dois requisitos é publicado pelo estado de Massachusetts (Commonwealth); os links estão no final desta página.
As apólices cibernéticas se dividem em duas metades. O lado próprio (first-party) paga os seus custos. O lado de terceiros (third-party) paga o que você deve a outras pessoas. A maioria dos sinistros de pequenas empresas cai no lado próprio.
| Cobertura | A que responde | Lado |
|---|---|---|
| Resposta a violação de dados / resposta a incidentes (breach / incident response) | Perícia forense, advogado especializado em violação de dados, notificação das pessoas afetadas e dos órgãos reguladores, central de atendimento, monitoramento de crédito | Próprio |
| Extorsão cibernética (cyber extortion) / ransomware | Negociação e pagamento do resgate onde permitido por lei, e o trabalho de recuperação associado | Próprio |
| Interrupção de negócios (business interruption) | Receita perdida e despesas extras incorridas enquanto os sistemas estão fora do ar | Próprio |
| Interrupção de negócios dependente (dependent business interruption) | Receita perdida quando quem sai do ar é o seu fornecedor ou provedor de nuvem, e não você | Próprio |
| Restauração de dados | Recriação ou restauração de dados e sistemas que foram corrompidos ou destruídos | Próprio |
| Fraude em transferência de fundos (funds transfer fraud) / engenharia social | Dinheiro transferido com base em uma instrução fraudulenta — muito comumente com sublimite, às vezes excluído e às vezes apenas na apólice de crime (crime policy) | Próprio |
| Responsabilidade por segurança de rede e privacidade | Reclamações apresentadas contra você por pessoas cujos dados você mantinha, ou por partes prejudicadas por meio da sua rede | Terceiros |
| Defesa regulatória e penalidades | Processos regulatórios e multas, onde as multas forem seguráveis por lei | Terceiros |
| Responsabilidade de mídia (media liability) | Reclamações por difamação e propriedade intelectual decorrentes do seu site e do seu conteúdo | Terceiros |
| Multas e cobranças PCI (PCI fines and assessments) | Cobranças das bandeiras de cartão após uma violação de dados de cartões de pagamento, se você aceita cartões | Terceiros |
Ele não deixa você em conformidade. Uma apólice não é um programa escrito de segurança da informação (WISP), e contratá-la não atende à 201 CMR 17.00. Ele não paga a modernização dos sistemas que permitiram o incidente — melhorias (betterment) geralmente são excluídas. Raramente responde por uma perda que você poderia ter evitado aplicando um patch que você disse à seguradora que já tinha aplicado. E não cobre o custo para a reputação do telefonema que você terá de fazer ao seu melhor cliente.
O que ele faz é marcar a diferença entre uma semana cara e o fim da empresa. Os custos de resposta a uma violação de dados chegam nas primeiras setenta e duas horas, antes que você tenha qualquer ideia de qual será a responsabilidade final, e chegam quer alguém processe você ou não.
O seguro cibernético costuma ser uma das últimas coberturas que uma empresa contrata e uma das linhas mais baratas da conta em relação ao que faz. Ele fica ao lado da responsabilidade civil geral, do seguro patrimonial, do auto comercial e do seguro de acidentes de trabalho (workers' compensation) — e, quando tudo isso está espalhado por quatro agências, ninguém está olhando a exposição como um todo. Consolidar a conta é a forma de resolver isso.
Provavelmente sim. Massachusetts define informações pessoais de forma tão ampla que os registros de folha de pagamento, sozinhos — o nome de um residente mais um número do Seguro Social —, colocam você dentro da 201 CMR 17.00 e da lei de notificação de violação de dados. Dados de cartão são um gatilho entre vários, não o único.
Um programa escrito de segurança da informação (Written Information Security Program, WISP) é o plano de segurança documentado que a 201 CMR 17.00 exige de qualquer pessoa que seja proprietária ou licenciada de informações pessoais sobre um residente de Massachusetts. Se a exigência alcança a sua empresa específica, e o que o seu WISP deve conter, é uma questão jurídica — consulte um advogado. Uma apólice de seguro cibernético não substitui um WISP.
Geralmente não. A responsabilidade civil geral comercial responde por lesões corporais e danos físicos a bens, e a maioria dos formulários modernos traz uma exclusão explícita para a perda eletrônica de dados. Custos de resposta a violação de dados, notificação, interrupção de negócios por queda de sistemas e responsabilidade por privacidade ficam em uma apólice cibernética.
As apólices cibernéticas comumente incluem uma parte de cobertura de extorsão cibernética (cyber extortion) que cobre a negociação, o pagamento onde for permitido por lei e o trabalho de recuperação, além da interrupção de negócios enquanto você estiver parado. Termos e sublimites variam consideravelmente entre seguradoras, e algumas seguradoras agora condicionam a cobertura a controles como autenticação multifator e backups offline.
Isso é engenharia social ou fraude em transferência de fundos, e é a parte da cobertura que mais precisa ser verificada. Muitas apólices aplicam a ela um sublimite bem abaixo do limite da apólice, algumas a excluem e, em algumas contas, ela pertence a uma apólice de crime. Peça o sublimite específico por escrito antes de efetivar a contratação (bind).
As obrigações estão ligadas às informações pessoais de residentes de Massachusetts, não ao endereço da sua empresa. Se você mantém dados de residentes de Massachusetts — clientes ou funcionários —, presuma que as exigências alcançam você e confirme com um advogado.
Comece pelo que um evento real custaria a você: de quantas pessoas você mantém registros, quanto custariam a notificação e o monitoramento de crédito para essa quantidade de pessoas e quanta receita você perderia por dia de paralisação. Isso produz um número defensável. Um limite escolhido por ser a opção mais barata, não.
Envie-nos as suas apólices empresariais atuais. Diremos se você tem alguma cobertura cibernética, quais são os sublimites e onde estão as lacunas — sem custo e sem compromisso.
Esta página é uma tradução do original em inglês, oferecida para a sua conveniência. Se houver qualquer diferença entre as versões, prevalece a versão em inglês.
Esta página contém informações gerais para empresas de Massachusetts. Não é aconselhamento jurídico, nem uma cotação, nem uma promessa de cobertura. Se alguma lei ou regulamento se aplica à sua empresa, e o que ele exige de você, é uma questão para o seu advogado. Termos de cobertura, sublimites, exclusões e disponibilidade variam conforme a seguradora e a apólice; a cobertura está sujeita a subscrição e só é efetivada quando confirmada por escrito por uma seguradora. Nada aqui altera os termos de qualquer apólice emitida.