Política de Privacidade e Proteção de Dados (PPPD)

Este documento tem o objetivo de informar as diretrizes corporativas de privacidade do PASTINHA, e os seus respectivos procedimentos.

1. Aplicação

As diretrizes estabelecidas neste documento deverão ser seguidas por todos os colaboradores, e parceiros que se utilizarem dos recursos e dos espaços do PASTINHA SOLUCOES E SERVICOS LTDA (doravante “PASTINHA”), e tem abrangência sobre todo e qualquer conteúdo e dados pessoais produzidos, armazenados, processados ou tratados por eles no exercício de sua função em meio digital e/ou físico, e sendo, portanto, consideradas informações que estão sob controle do PASTINHA.

Este documento deverá ser de pública apreciação e as informações nele contidos devem estar à disposição de colaboradores, fornecedores e parceiros. É obrigação do colaborador e do parceiro manter-se atualizado em relação a esta política e aos outros documentos e procedimentos definidos no manual de governança e boas práticas em tratamento de dados pessoais, buscando, sempre que necessário, orientação da direção sempre que não estiver absolutamente seguro quanto ao tratamento de dados que executará.

2. Responsabilidades

2.1. Conceitos: colaboradores e parceiros

• a) Entende-se por colaborador toda e qualquer pessoa física, contratada CLT ou estagiário, permanente ou temporário, que exerça alguma atividade dentro ou fora do PASTINHA, carregando o nome da empresa.
• b) Será considerado parceiro, qualquer pessoa física ou jurídica que exercer suas atividades dentro ou fora da sede do PASTINHA, mas em seu nome. O parceiro sempre terá sua atuação determinada por contrato assinado com o PASTINHA.
• c) Cada colaborador ou parceiro, deve conhecer integralmente este documento e zelar pelo seu cumprimento, devendo na celebração do contrato de trabalho ou de parceria ser dado acesso a uma cópia deste documento para leitura integral e oportunidade de esclarecimento, se responsabilizando por todo dano ou prejuízo sofrido ou causado o PASTINHA e/ou a terceiros, em decorrência do não cumprimento das instruções e normas aqui descritas.

2.2. Do Compromisso da direção

• a) É compromisso constante da direção empenhar todos os esforços a fim de garantir o pleno cumprimento das regras dessa política e sua permanente atualização, liberando recursos, humanos e financeiros, aplicando sanções, entendo ser esta política de proteção de dados pessoais um ativo estratégico para a empresa motivando cada colaborador e parceiro a conhecê-la e cumpri-la;
• b) Demonstrar seu comprometimento para que os colaboradores e parceiros se sintam motivados a cumpri-la;
• c) Nomear e fiscalizar a atuação do Encarregado de Proteção de Dados Pessoais e segurança da informação.

2.3. Dos gestores de pessoas e/ou processos

• a) Ter uma postura exemplar em relação à segurança no tratamento de dados pessoais, sendo modelo para os colaboradores e parceiros sob a sua gestão;
• b) Definir, em conjunto com a equipe de operação os níveis de controle necessários à proteção os dados pessoais tratados e dos recursos de tecnologia da informação sob sua responsabilidade;
• c) Conferir aos colaboradores, em fase de contratação, ou formalização de parceria, a responsabilidade do cumprimento das regras de segurança da informação. Exigindo deles a assinatura do “Termo de consentimento e informação para colaboradores”, que formaliza o dever de seguir as instruções e normas estabelecidas, bem como o compromisso de manter sigilo e confidencialidade através de documento próprio, mesmo quando desligado, sobre todas as informações pessoais de terceiros que obteve no PASTINHA;
• d) Adaptar as normas, procedimentos, processos e sistemas sob sua responsabilidade para atender as regras de segurança da informação e a legislação vigente a respeito do assunto.

2.4. Do Responsável pela tecnologia da informação

• a) Configurar os equipamentos, ferramentas e sistemas PASTINHA para atender os controles necessários para cumprir os requerimentos de segurança estabelecidos por este manual, e pelos procedimentos de segurança da informação complementares a ele;
• b) Implementar as ferramentas e melhores práticas que garantam a segurança da informação e proteção de dados pessoais;
• c) Gerar e manter as trilhas para auditoria com nível de detalhe suficiente para rastrear possíveis falhas e fraudes e demais incidentes no tratamento de dados pessoais;
• d) Proteger, administrar e testar as cópias de segurança dos sistemas e dados sob o controle do PASTINHA e de seus diretores, colaboradores e parceiros;
• e) Manter o Encarregado pela Proteção no tratamento dados pessoais informado sobre incidentes de segurança;
• f) Realizar auditorias técnicas e análise de riscos periodicamente;
• g) Responsabilizar-se pelo uso, manuseio e guarda dos certificados digitais.

2.5. Do Encarregado pelo Tratamento de Dados Pessoais

• a) Se reportar sempre a diretoria quanto às questões ligadas ao tratamento de dados pessoais;
• b) Propor as metodologias e os processos específicos para o do tratamento de dados pessoais, propondo medidas de segurança para ameaças e vulnerabilidades identificadas;
• c) Propor e apoiar iniciativas que visem à segurança dos ativos de informação;
• d) Revisar e publicar as versões do manual e os procedimentos de tratamento de dados pessoais ao menos anualmente;
• e) Trabalhar na conscientização dos colaboradores e parceiros quanto a relevância da proteção dos dados pessoais para o negócio da empresa, mediante campanhas, treinamentos, palestras etc.;
• f) Zelar pela atualização dos documentos ligados ao tratamento de dados pessoais e a execução adequada dos procedimentos de segurança a fim de evitar incidentes graves;
• g) Utilizar-se, quando necessário, de especialistas, internos ou externos, para o apoiar em assuntos que exijam conhecimento técnico específico.

3. Princípios gerais de privacidade

O PASTINHA, em observância às boas práticas de governança de dados pessoais e gestão de tecnologia da informação, bem como às normas internacionais padronizadas para sistemas de gestão de segurança da informação, adota diretrizes e recomendações que devem ser observadas por todos durante a execução de suas funções, sendo a direção apoiadora dos princípios de segurança estabelecidos neste documento.

3.1. Diretrizes de segurança da informação

• a) A Segurança da Informação deve ser preocupação de todos, de tal forma que reflita em hábitos, posturas, responsabilidades e cuidados constantes nos momentos de uso, solicitação e aprovação de recursos de tecnologia;
• b) Cada colaborador ou parceiro deve ser capaz de identificar a classificação atribuída a uma informação (por exemplo: pública, interna, confidencial ou restrita) e, a partir desta classificação, conhecer e obedecer às restrições de acesso e de divulgação associadas, especialmente no que tange a dados pessoais sensíveis;
• c) Nos casos de obtenção de dados pessoais, o responsável da área onde a informação será utilizada deve, se necessário, providenciar junto ao fornecedor da informação (seja o próprio titular dos dados ou o Cliente Controlador) a documentação formal que legitima o tratamento de dados antes de seu uso;
• d) Toda e qualquer informação gerada, adquirida, utilizada ou armazenada no PASTINHA deve ser utilizada com responsabilidade, de modo ético e seguro e deve ser protegida.

3.1.1. Finalidades e Bases Legais para o Tratamento de Dados

Em conformidade com o princípio da transparência e para fins de clareza na relação com nossos clientes (Controladores), o PASTINHA detalha abaixo as finalidades para as quais trata dados pessoais na qualidade de Operadora, bem como as respectivas bases legais que fundamentam tais operações, nos termos da Lei Geral de Proteção de Dados (LGPD):

O PASTINHA reforça que, na execução de seus serviços para clientes, atua como Operadora de dados pessoais, tratando os dados estritamente para as finalidades delegadas pelo Controlador, em conformidade com o contrato de prestação de serviços e a legislação vigente.

3.2. Recomendações sobre atividades permitidas

• a) Executar tratamento de dados pessoais, desde que respeite às leis e regulamentações, em especial àquelas que se referem à Lei Geral de Proteção de Dados Pessoais, aos crimes informáticos e a pornografia envolvendo crianças, presando pela decência, ética e honra à imagem de pessoas ou empresas, a vida privada e a intimidade;
• b) Fazer cópia de documentos e ou programas de computador a fim de salvaguardá-los, respeitando a legislação que rege a salvaguarda de dados, informações, documentos e materiais sigilosos.

3.3. Recomendações Específicas

Assim como nas recomendações gerais, essas recomendações específicas são fundamentadas nas boas práticas de governança e gestão de tratamento de dados pessoais e demais tecnologias ligadas à informação e as normas internacionais padronizadas para sistemas de gestão de segurança da informação, pois são endossadas pela direção da empresa como balizas para a execução de suas funções.

3.4. Recomendações para utilização do e-mail

• a) É vedado o acesso às caixas postais de terceiros sem autorização expressa;
• b) É vedado o envio de informações de uso restrito, confidencial, de dados pessoais sensíveis ou não para organizações, ou pessoas não autorizadas;
• c) É vedado o envio de material obsceno, não ético, ilegal, mensagem do tipo corrente e de entretenimento, relacionadas com convicção política, raça ou nacionalidade, religião, orientação sexual, ou qualquer outro assunto que possa difamar a qualquer pessoa;
• d) É vedada a participação em listas de discussão, utilizando o correio eletrônico corporativo, exceto para assuntos relacionados às atividades da empresa;
• e) O uso do correio eletrônico deve sempre ser baseado no bom senso e de acordo com os preceitos legais.

3.5. Recomendação sobre o ambiente de trabalho

• a) Nenhum dado pessoal, ou informação confidencial deve ser deixada sobre a mesa, à vista, seja em papel ou em um dispositivo eletrônicos, ou outro meio;
• b) Ao deixar sua estação de trabalho o computador deve ser bloqueado, evitando a exposição dos dados na tela;
• c) Ao imprimir esse tipo de informação na impressora coletiva, a cópia deve ser recolhida imediatamente, evitando a exposição do dado.

3.6. Recomendações sobre os dados pessoais tratados e outros ativos

a. Quanto ao manuseio

Todos dados pessoais tratados e outros ativos devem ser protegidos, cuidados e gerenciados adequadamente com o objetivo de garantir a sua disponibilidade, integridade e confidencialidade, independentemente do meio de armazenamento, processamento ou transmissão que esteja sendo utilizado.

Toda informação deve ser protegida para que não seja alterada, acessada e destruída indevidamente. Todos os colaboradores e parceiros do PASTINHA que manuseiam dados pessoais sensíveis ou não de outros colaboradores ou clientes devem ser treinados de acordo com os procedimentos de segurança da informação, presentes nesse documento, e instruções complementares de sua área de atuação.

Todos os colaboradores ou parceiros que desejam acessar informações que não sejam pertinentes ao seu acesso e/ou função desempenhada na empresa, devem solicitar via e-mail à direção, detalhando a justificativa para o acesso a essas informações.

b. Quanto ao monitoramento

Todo o uso das informações geradas, armazenadas ou veiculadas no PASTINHA pode ser monitorado e registrado. Dado isto, os usuários dos ativos de tecnologia da informação da empresa não devem ter qualquer expectativa de privacidade com relação à utilização que fizerem dos respectivos ativos, utilização esta que pode ser monitorada a qualquer momento sem aviso prévio.

c. Quanto ao descarte

As informações e dados pessoais, quando perderem sua utilidade ou valor, devem ser eliminadas de maneira adequada. Os documentos impressos que contenham dados pessoais devem ser fragmentados impossibilitando a sua leitura.

Os discos e/ou outras mídias de armazenamento digital de dados devem ser entregues a direção para serem examinados antes do descarte, para assegurar que todos os dados sensíveis e softwares licenciados tenham sido removidos ou sobrescritos com segurança.

Os dispositivos que contêm dados pessoais de terceiros, informações de uso restrito e confidenciais devem ser fisicamente destruídos ou as informações devem ser destruídas, excluídas ou substituídas usando técnicas para tornar as informações originais não recuperáveis em vez de usar a função excluir ou formatar padrão.

Todos os documentos que contenham dados pessoais, independente da forma de armazenamento, precisam ser deletados ou destruídos depois de atingirem sua finalidade e tempo de retenção previsto para cada um, mantendo um cuidado extra com documentos ou bancos de dados que contenham dados pessoais sensíveis.

As mídias de armazenamento devem ser descartadas de forma adequada, conforme os requisitos e melhores práticas de segurança da informação.

Para toda e qualquer informação ou dado pessoal sensível somente é considerado o descarte de forma segura e irreversível, eliminando todo o conteúdo de mídias e recursos tecnológicos.

Toda informação produzida ou recebida pelos colaboradores e parceiros do PASTINHA em razão de sua atividade contratada, pertencem à empresa, assim o processo de descarte se aplica a todos os custodiantes de informações.

3.7. Notificação de coleta de dados pessoais

• a) O PASTINHA deve fornecer informações adequadas aos titulares dos dados quando a dado pessoal é recolhido, por exemplo na entrada de novos colaboradores;
• b) O aviso fornecerá informações completas, conforme seja razoável nas circunstâncias, para informar um indivíduo sobre como suas informações pessoais serão usadas para que o uso da empresa seja dentro das finalidades informadas pelo titular, necessário à execução dos processos do negócio.

3.8. Processo de gestão de consentimento

• a) O consentimento, quando for necessário, de acordo com o procedimento adotado, deve ser obtido dos titulares dos dados no momento do recolhimento de informações pessoais, antes de suas informações pessoais serem utilizadas e/ou transferidas para, ou de, seus sistemas de processamento de informações. Além disso, será obtido de forma explícita para a coleta, uso e divulgação de informações pessoais confidenciais, a menos que uma lei ou regulamento especificamente exija ou permita de outra forma;
• b) O tratamento de dados pessoais de crianças deverá ser realizado com o consentimento específico, dado por pelo menos um dos pais ou pelo responsável legal;
• c) A coleta de informações pessoais de crianças sem o consentimento de um dos pais ou do responsável legal somente poderá ocorrer quando a coleta for necessária para contatar os pais ou o responsável legal, utilizados uma única vez e sem o armazenamento, ou para sua proteção e em nenhum caso poderão ser repassados para terceiros sem o consentimento dos pais ou responsável legal.

3.9. Limitação de uso, divulgação e retenção de dados

• a) Os dados pessoais não devem ser usados ou divulgados para fins diferentes daqueles para os quais foram coletadas, exceto com o consentimento do indivíduo ou conforme exigido por lei;
• b) A retenção de dados pessoais será apenas durante o tempo necessário para cumprir os fins comerciais e legais identificados;
• c) Após o término dos objetivos legítimos identificados ou da retirada do consentimento, o PASTINHA deve apagar ou anonimizar com segurança as informações pessoais dos titulares de dados. Os dados são anonimizados para impedir a identificação exclusiva de um indivíduo e por isso, não serão considerados dados pessoais, salvo quando o processo de anonimização puder ser revertido, com esforços razoáveis.

3.9.1. Compartilhamento de Dados com Clientes Controladores

Os dados pessoais tratados pelo PASTINHA, na qualidade de Operadora, poderão ser compartilhados com as empresas Clientes (Controladoras) para as quais os serviços são prestados.

Este compartilhamento é indispensável para a execução do contrato de prestação de serviços e para permitir que o Cliente Controlador realize a validação de conformidade (compliance) de seus fornecedores e prestadores de serviço, bem como para a gestão de segurança e acesso às suas instalações.

A transferência de dados neste contexto é realizada para atender a uma obrigação contratual e aos legítimos interesses do Controlador, estando em plena conformidade com a LGPD. O PASTINHA não compartilhará dados com terceiros para finalidades distintas das que foram contratadas.

3.10. Avaliação e gerenciamento de riscos

a. Riscos internos de segurança da informação

• 1. Os riscos de segurança da informação devem ser identificados por meio de um processo estabelecido para análise de vulnerabilidades, ameaças e impactos sobre os processos nos aspectos de segurança da informação (confidencialidade, integridade e disponibilidade);
• 2. Todos os riscos no que tange ao tratamento de dados do PASTINHA devem ser reportados para o Encarregado de tratamento de dados pessoais, para que eles sejam analisados, avaliados e tratados de acordo com os critérios e diretrizes estabelecidas com a metodologia de riscos cibernéticos escolhida pela direção.

b. Parceiros

• 3. A contratação de serviços de terceiros, que processem, armazenem, operem, comuniquem ou transmitam informações da empresa e/ou seus parceiros e clientes, deve ser submetida aos critérios de segurança da informação, confidencialidade e privacidade estabelecidos nas cláusulas padrão previstas nas minutas contratuais;
• 4. Compete ao responsável da área demandante do serviço, acompanhar o andamento e cumprimentos das cláusulas contratuais de segurança da informação, confidencialidade e privacidade, envolvendo os membros do comitê de segurança da informação em caso de descumprimento dessas cláusulas.

c. Gestão de incidentes

• 5. Todos os usuários (colaboradores e parceiros) devem relatar os eventos que possam comprometer a confidencialidade, disponibilidade e integridade das informações, logo que tenham conhecimento, utilizando o e-mail do Encarregado (DPO): contato@securitylgpd.com;
• 6. O PASTINHA, através do encarregado da proteção de dados pessoais, deverá manter atualizado seu manual de prevenção e minimização de incidentes;
• 7. Nenhum usuário deverá tomar ação própria sobre os eventos de segurança da Informação sem o conhecimento do Encarregado da proteção e dados pessoais.

4. Atendimento aos Direitos dos Titulares de Dados Pessoais

Em conformidade com a Lei nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais (LGPD), o PASTINHA disponibiliza canal específico para que titulares de dados possam exercer seus direitos relacionados ao tratamento de seus dados pessoais.

O PASTINHA mantém em seu site institucional um formulário exclusivo para este fim, acessível pelo endereço eletrônico: app.protegon.com.br.

Por meio deste canal, o titular poderá exercer, de forma gratuita e facilitada, os seguintes direitos:

• Confirmação da existência de tratamento de dados pessoais;
• Acesso aos dados tratados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• Portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa;
• Eliminação dos dados pessoais tratados com consentimento, salvo exceções legais;
• Informação sobre o compartilhamento dos dados com entidades públicas e privadas;
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• Revogação do consentimento.

Todas as solicitações recebidas por este canal serão analisadas e respondidas pelo Encarregado pelo Tratamento de Dados Pessoais (DPO), no prazo legal de até 10 (dez) dias, salvo prorrogação justificada nos termos da legislação vigente.

Cabe ao titular fornecer informações suficientes para sua correta identificação e a verificação da legitimidade da solicitação. O PASTINHA poderá, para segurança das informações e proteção contra fraudes, solicitar documentos adicionais ou medidas de autenticação.

Este procedimento reflete o compromisso do PASTINHA com a transparência, o respeito à privacidade e à proteção dos dados pessoais dos titulares com os quais mantém relacionamento.

5. Penalidades

Em caso de infrações relacionadas ao descumprimento dos princípios, diretrizes e recomendações descritos nesse documento, o comitê de segurança de informação poderá levar ao conhecimento da equipe administrativa ou até da alta direção se assim julgar necessário a fim de que tomem as medidas urgentes e necessárias.

6. Política de Atualização deste Manual

Este manual deve ser consultado continuamente e deve ser revisto pelos setores responsáveis ao menos 01 (uma) vez ao ano a fim de se fazer atualização e treinamentos com todos os colaboradores.

Documento assinado eletronicamente por

• Márcio Rosa Goicocheia — CEO do PASTINHA
• Walison Guinzani — Gestor
• Lécio Silva Machado — Encarregado pelo Tratamento de Dados Pessoais (DPO)

Assinado com Assinatura Eletrônica (Lei 14.063/2020 | Regulamento 910/2014/EC).