Conformidade que resiste a uma fiscalização e a uma reunião do conselho.
Proteção de dados, cibersegurança e a sua normativa setorial — governadas em um só lugar, com evidência selada que pode ser verificada fora da plataforma.
Projetada para CISOs, DPOs, governança de dados e conselhos de administração que respondem perante a autoridade e o board.
Cada responsável, a sua evidência. Um mesmo sistema.
O que a AlerceGRC resolve conforme quem você é e perante quem responde.
Postura, não planilhas
Controles de referência da ISO 27001, do NIST e da Lei 21.663 conectados por mapeamentos entre marcos. Incidentes com relógio regulatório ao vivo conforme o seu tipo de entidade, e a notificação ao CSIRT como uma permissão à parte.
Accountability demonstrável
RAT (registro das atividades de tratamento) com portal público, solicitações de direitos dos titulares (acesso, retificação, cancelamento, oposição e portabilidade — ARCOP) com prazos em dias úteis, PIA/DPIA com aprovação e violações de dados com alertas. Preparado para a Lei 21.719.
Do dado ao controle
Quem avalia não aprova: segregação de funções em avaliações, auditoria, risco e incidentes. Declaração de Aplicabilidade (SoA) gerada em PDF a partir dos seus controles.
Decisão com respaldo
Risco corporativo frente ao apetite definido, com KRI e mapa de calor. Relatórios executivos em PDF com prova de integridade e selo de tempo.
O que já está na plataforma.
Contado sobre o catálogo e o produto, não estimado.
Controles com citação legal
Controles chilenos com referência conferida com a Biblioteca do Congresso Nacional (BCN).
Mapeamentos entre marcos
7 crosswalks: uma mesma evidência se relaciona com vários marcos.
Idiomas
Interface em espanhol, inglês e português para equipes regionais.
Fechamento de auditoria
A sala de auditoria se fecha com a assinatura do auditor designado e se torna imutável.
Todo o ciclo GRC, em uma única plataforma.
Conformidade, risco, evidência, incidentes, privacidade e operação compartilham os mesmos controles, responsáveis e evidências.
Conformidade
- Avaliações multimarco com revisão e aprovação
- Segregação de funções e exportação CSV auditada
- SoA gerada automaticamente em PDF
- Biblioteca normativa, crosswalks e lacunas por obrigação
Risco corporativo (ERM)
- Registro de riscos e responsáveis
- Apetite de risco por categoria, com permissão separada
- KRI com histórico e mapa de calor
- Vínculo risco ↔ controle (mitiga, causa, monitora)
Evidência e auditoria
- Cadeia de custódia selada e verificável
- Salas de auditoria com fechamento pela assinatura do auditor
- Auditoria interna com separação executar / revisar
- Exportações legais verificáveis e simulação de auditoria
Incidentes e continuidade
- Incidentes da Lei 21.663 com relógio regulatório ao vivo
- Continuidade: BIA, planos, exercícios e achados
- Capacitação e simulações conduzidas por um facilitador
Privacidade
- RAT com portal público de transparência
- Solicitações de direitos ARCOP com prazos em dias úteis
- PIA/DPIA com fluxo de aprovação
- Violações de dados com alertas e painel de privacidade
Terceiros, políticas e ética
- Inventário de fornecedores e o seu risco
- Questionários com separação respondente / revisor
- Políticas com campanhas de atestação e exceções
- Canal de denúncias e conflitos de interesse
Operação
- CMDB: ativos, criticidade, dependências e controles
- Tarefas de controle por cadência, com vencimentos
- Ciclos de certificação ISO, SOC 2 e PCI da sua organização
- Central de notificações: e-mail e sino
Relatórios
- Dashboard com incidentes, notificações e ERM frente ao apetite
- Relatório executivo em PDF com prova de integridade e selo de tempo
- Histórico de relatórios emitidos
War Room
- Coordenação de incidentes com playbooks e remediação controlada
- Linha do tempo unificada multi-papel com rastreamento por UUID
- Enforcement que bloqueia fechamentos sem prova verificável
- Tabletops autoguiados exigidos pela Lei 21.663 e ISO 22301: simulações de crise sem afetar a produção
Revisão legal (Vertical 0)
- Fila de revisão da biblioteca normativa por advogados
- Aprovação em lote antes de publicar no catálogo
- Handoff controlado para automação (sem autopublicação)
34 marcos e 705 controles de referência, prontos para ativar.
15 marcos chilenos por setor, 16 internacionais e 3 marcos base da Alerce, sobre o mesmo motor de evidência.
A Lei 21.719 vem pré-carregada em todos os planos. Os pacotes normativos adicionais —ISO 27001, NIST CSF, Lei 21.663, CMF, MINSAL, etc.— são contratados à parte conforme o setor e o escopo da sua organização.
Marcos chilenos por setor 15 marcos · 344 controles
| Setor | Marco e normas base | Controles | Citação conferida com a BCN |
|---|---|---|---|
| Transversal | Lei 21.663 · Lei-Quadro de Cibersegurança | 10 | Sim |
| Transversal | Lei 21.719 · Proteção de dados pessoais | 8 | Sim |
| Bancos e fintechs | CMF: RAN 1-13, RAN 20-10, Lei 21.521, NCG 502, Lei 19.913 | 28 | Sim |
| Saúde | MINSAL: Lei 20.584, DS 41, DS 140 | 21 | Sim |
| Governo digital | DS 7, Lei 21.180, Lei 20.285 | 22 | Sim |
| Governos regionais | GORE: Lei 19.175, DS 295 | 22 | Sim |
| Municipalidades | Lei 18.695, Lei 18.575 | 23 | Sim |
| Educação | Transversal, todos os níveis | 25 | Sim |
| Educação | Educação básica | 20 | Sim |
| Educação | Educação média | 17 | Sim |
| Educação | Educação superior: Lei 21.091, Lei 20.129, Lei 21.369 | 21 | Sim |
| Energia | Lei 20.936, DS 109 | 20 | Sim |
| Mineração | DS 132 | 20 | Sim |
| Varejo e comércio | Lei 19.496, Lei 20.009 | 18 | Sim |
Crosswalks entre marcos 7 · 116 mapeamentos
| Origem → destino | Mapeamentos |
|---|---|
| Lei 21.663 → NIST CSF 2.0 (informativo) | 8 |
| GDPR → ISO/IEC 27701 | 8 |
| ISO 27001 → NIST SP 800-53 | 13 |
| ISO 27001 → NIST CSF | 17 |
| ISO 27001 → SOC 2 | 10 |
| NIST SP 800-53 → PCI DSS | 48 |
| NIST CSF → NIST SP 800-53 | 12 |
Marcos internacionais 16
Rastreabilidade legal em cada controle chileno. Os controles citam a sua origem normativa:
com link para a fonte oficial na LeyChile (BCN). A sua normativa não está aqui? Nós a modelamos sobre o mesmo motor, sem refazer o que você já tem.
Os marcos internacionais são catálogos de controles de referência (subconjuntos), não o texto completo de cada norma. A AlerceGRC ajuda a gerenciar e evidenciar a conformidade; não substitui a assessoria jurídica nem garante a conformidade. Os catálogos são marcos de referência e não substituem o texto legal oficial. As marcas de normas indicam marcos suportados, não certificações.
Fala a sua lei, não um modelo traduzido.
Módulos operacionais para as leis que hoje exigem evidência no Chile, mais os marcos do seu regulador setorial.
Incidentes com relógio regulatório
- Alerta precoce, relatório de atualização e relatório final conforme o seu tipo de entidade (operador de importância vital, serviço essencial ou outra)
- Contagem regressiva ao vivo e avisos escalonados de vencimento
- Notificação ao CSIRT Nacional como faculdade separada: quem contém o incidente não reporta por conta própria
- Relatório do incidente para download, com selo de tempo
Os prazos são parametrizados por tipo de entidade e validados pela sua área jurídica. A plataforma registra e documenta a notificação; o envio à autoridade é feito pela sua organização.
Privacidade operacional
- RAT (registro das atividades de tratamento) com portal público de transparência
- Solicitações de direitos ARCOP com controle de prazos em dias úteis chilenos
- Avaliações de impacto (PIA/DPIA) com aprovação
- Registro de violações de dados com alerta imediato ao DPO
A lei entra em vigor em 1º de dezembro de 2026 (um projeto de lei no Senado, Boletim 18.623-07, propõe estender o prazo para 1º de dezembro de 2027). Diante de uma violação de segurança, você deve reportar à Agência de Proteção de Dados Pessoais sem demora indevida e, em certos casos, avisar os titulares. Multas de até 20.000 UTM (Unidade Tributária Mensal, referência chilena reajustada todo mês; ≈ CLP 1.434 milhões, UTM set. 2026) e, em reincidência gravíssima de empresas que não são de menor porte, de até 4 % da receita anual. Os prazos de resposta são validados pela sua área jurídica.
Seu setor, com citação da fonte
- CMF: bancos e fintechs (RAN, Lei 21.521, NCG 502)
- MINSAL: Lei 20.584, DS 41 e DS 140
- Educação: básica, média e superior (Leis 21.091, 20.129, 21.369)
- Governo: governo digital (DS 7, Lei 21.180), GORE e municipalidades
Marcos de referência construídos pela AlerceGRC; não são produtos aprovados pelos reguladores.
Projetada para o dia em que você for auditado.
O que um CISO ou DPO precisa quando tem de provar — e não apenas declarar — que cumpre.
Cadeia de custódia, não confiança
- Registro HMAC-SHA256 encadeado: cada evento inclui o hash do anterior e um número de sequência; qualquer alteração rompe a cadeia
- Assinatura digital ECDSA P-256 de cada evento, com chave pública embutida para verificar offline, fora da plataforma
- Selo de tempo RFC 3161 com TSA configurável por organização: você pode usar uma TSA credenciada
- Suporte a armazenamento imutável WORM (S3 Object Lock, modo Compliance) e retenções legais
Pronta para a autoridade
- Exportações legais verificáveis: manifesto, hashes, selo de tempo e cadeia de custódia em um pacote
- Salas de auditoria com achados e linha do tempo, fechadas pela assinatura do auditor e imutáveis depois
- Relatórios executivos em PDF com prova de integridade e selo de tempo
- Simulação de auditoria antes que chegue a real
A assinatura ECDSA atesta a integridade técnica dos registros; não substitui a assinatura eletrônica regulada pela Lei 19.799.
Construída como um CISO a construiria.
Controles próprios da plataforma, descritos tal como estão implementados.
Isolamento por cliente
Isolamento aplicado no motor de dados, não no código da aplicação. Nenhum dado de uma organização é acessível a partir de outra —por design, não por configuração.
Acesso com negação por padrão
RBAC deny-by-default: uma permissão ausente é um acesso negado. Segregação de funções em aprovações, auditoria, risco e incidentes.
Autenticação forte
MFA TOTP com códigos de backup, exigível por política da sua organização. Alertas de novo dispositivo e bloqueio diante de tentativas malsucedidas.
Identidade corporativa
SSO com SAML ou OIDC e provisionamento de usuários com SCIM 2.0. Sessões curtas com renovação rotativa.
Segredos criptografados
Segredos de MFA, SSO, e-mail e conectores criptografados com AES-256-GCM no banco de dados.
Cadeia de suprimentos e operação
CI de segurança com análise estática, de segredos e de dependências, SBOM e imagem de contêiner assinada. Operação na AWS com TLS 1.3.
Criptografia reforçada
Endurecimento criptográfico já em produção.
- Reautenticação com duplo fator para operações administrativas sensíveis.
- Códigos de duplo fator de uso único: um código já utilizado não é aceito novamente.
- Chaves criptográficas separadas por finalidade (sessões, segredos da plataforma e duplo fator), com suporte a rotação.
- Tokens de sessão com algoritmo fixado e identificador de chave.
- Inventário criptográfico e regras automáticas na integração contínua que bloqueiam usos inseguros de criptografia.
- Segurança de credenciais em nível bancário: proteção de senhas e códigos de recuperação em conformidade com OWASP ASVS Level 2 e NIST SP 800-63B.
A plataforma foi construída sobre estes padrões. Nós cumprimos de verdade.
O modelo que se adapta à sua organização.
Da nuvem compartilhada ao seu próprio datacenter. Os três modelos executam a mesma plataforma e o mesmo conjunto de controles.
SaaS multitenant
Nuvem gerenciada pela Alerce. Onboarding imediato, atualizações automáticas. Isolamento na camada de dados — nenhuma organização vê os dados de outra.
Para a maioria das organizações.
Single tenant dedicado
Instância exclusiva na AWS, gerenciada pela Alerce. Sem vizinhos, sem infraestrutura compartilhada. Para organizações com requisitos de isolamento rigoroso (bancos, saúde, governo).
Cotação sob medida.
On-premise / nuvem própria
Instalação na sua infraestrutura ou na sua conta de nuvem. Controle total sobre os dados e o ambiente. Para entidades com soberania de dados ou restrições regulatórias de residência.
Cotação sob medida.
Os três modelos incluem o mesmo motor GRC, os mesmos controles e a mesma cadeia de custódia. Só muda quem gerencia a infraestrutura.
Conecta-se ao que a sua equipe já usa.
SSO SAML / OIDC
Login único com o seu provedor de identidade.
SCIM 2.0
Provisionamento de usuários a partir do seu diretório corporativo.
Jira
Conector para levar ações de conformidade ao seu fluxo de trabalho.
GitHub
Conector com os seus repositórios como fonte de evidência técnica.
Datadog
Conector com o seu monitoramento de infraestrutura.
n8n
Automações com callbacks autenticados por HMAC.
Webhooks assinados
Eventos de saída assinados com carimbo de data e hora, com registro de entregas.
Exportação SIEM
Registro de auditoria exportável nos formatos OCSF e CEF.
Simples de governar, rigorosa por dentro.
Ative os seus marcos
Você escolhe os marcos do seu setor e os internacionais que lhe são exigidos. Os crosswalks mostram onde eles se sobrepõem.
Avalie e feche lacunas
Avaliações com revisão e aprovação, tarefas por cadência e um responsável designado para cada ação.
Demonstre
SoA em PDF, relatórios ao conselho e exportações de evidência verificáveis para a autoridade ou o auditor.
O que as plataformas globais não oferecem.
Fala a sua lei
15 marcos chilenos por setor e catálogos das leis 21.719 e 21.663 com citação conferida com a BCN — não um modelo traduzido de fora.
Evidência que se verifica por fora
Cadeia de custódia encadeada e assinada, verificável offline, com selo de tempo da TSA que a sua organização escolher.
Feita por quem defende
Experiência em cibersegurança operacional — SOC, forense, resposta a incidentes — dentro de cada controle.
A comparação que o seu comitê vai pedir.
| Capacidade | AlerceGRC | Plataformas globais (Vanta / Drata) | Consultorias tradicionais |
|---|---|---|---|
| Leis 21.719 e 21.663 com citação legal conferida (BCN) | Nativo | Não verificável | Varia |
| Catálogo setorial chileno (CMF, MINSAL, educação, governo…) | 15 marcos | Não verificável | Varia |
| Interface em espanhol, inglês e português | ES · EN · PT | Varia | Varia |
| Cadeia de custódia assinada, verificável offline, com selo RFC 3161 | Sim | Não verificável | Varia |
As células de terceiros não foram verificadas pela AlerceGRC; confirme-as com cada fornecedor.
O que está ativo na plataforma hoje.
- +25 marcos e +567 controles, com marcos chilenos por setor
- Crosswalks com navegador visual
- Relógio ANCI ao vivo e relatório de incidente
- Aprovação com segregação de funções e exportação CSV
- SoA gerada automaticamente em PDF
- ERM com apetite, KRI e controles mitigadores
- Salas de auditoria com fechamento por assinatura
- Privacidade: violações de dados, PIA/DPIA e painel
- Relógios GRC: tarefas de controle e ciclos de certificação
- CMDB e central de notificações
- Console SSO / SCIM
- Alertas de segurança da conta: novo dispositivo e bloqueio
- Criptografia reforçada: reautenticação com duplo fator e chaves separadas por finalidade
Seu setor, já modelado.
Marcos chilenos por vertical, ativados sobre a mesma plataforma. E, se a sua normativa não estiver aqui, nós a construímos sob medida.
A AlerceGRC ajuda a gerenciar e evidenciar a conformidade; não substitui a assessoria jurídica nem garante a conformidade. Os catálogos são marcos de referência e não substituem o texto legal oficial. As marcas de normas indicam marcos suportados, não certificações.
Agende uma demo com a nossa equipe.
Mostramos os seus marcos, o seu risco e como é uma evidência pronta para auditoria. Sem enrolação.
Escreva para nós em [email protected] · +56 9 3882 1702
Agendar uma demo →