LGPD - Lei Geral de Proteção de Dados Lei 13.709:2018
Abril / 2021 Elaborado por: José Gil Fausto Zipf
A presente Política de Privacidade e Proteção de Dados Pessoais (“Política”) tem como objetivo fornecer orientações sobre como gerenciar as diversas atividades e operações de tratamento de dados pessoais existentes na CIRCUITEC. Este documento faz parte do programa de compliance da CIRCUITEC à Lei Geral de Proteção de Dados (Lei nº 13.709/2018 – “LGPD”) e outras leis setoriais sobre o tema.
A CIRCUITEC, consciente da importância e da necessidade de adequar as suas operações de tratamento de dados pessoais a uma nova e ampla regulação sobre o tema, no caso, a LGPD, aprovada em agosto de 2018, deu início, em fevereiro de 2021, ao seu processo de conformidade à nova Lei.
Nota-se que a LGPD é uma lei transversal, que perpassa diferentes agentes econômicos no Brasil, do setor privado, público e do terceiro setor, e oferece as regras e condições para que os dados pessoais possam ser utilizados nas atividades desses agentes.
Na condução das atividades previstas em seus estatutos, a CIRCUITEC realiza diversas operações de tratamento de dados pessoais buscando o melhor interesse dos titulares dos dados pessoais, e respeitando os seus direitos, podendo ser caracterizada como Controladora de Dados Pessoais ou Operadora de Dados Pessoais, de acordo com as definições da LGPD, reforçando, em todas as posições que ocupar, o seu compromisso com o cumprimento das regras de privacidade e proteção de dados pessoais aplicáveis.
O processo de compliance regulatório, que culminará na adequação do Sistema de Gestão da Qualidade da CIRCUITEC, envolve um trabalho de interpretação da Lei para definição das obrigações legais, diagnóstico dos fatos pertinentes e relevantes para a sua aplicação e levantamento de fluxos e processos que contribuem ou não para que os fatos estejam de acordo com o documento legal.
Esta Política se insere em um conjunto de elementos que integram o EMPLOYEES ETHICS CODE OF CONDUCT - CIRCUITEC cuja coordenação fica a cargo da Diretoria e deve ser lida e interpretada como parte da Política de Governança da organização.
AGENTES DE TRATAMENTO DE DADOS PESSOAIS: O controlador e o operador de dados pessoais. ANONIMIZAÇÃO: Utilização de meios técnicos, razoáveis e disponíveis no momento do tratamento de dados pessoais, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo. O dado anonimizado não é considerado dado pessoal para os fins da LGPD.
AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (“ANPD”): Órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo território nacional. A ANPD foi instituída pela LGPD como órgão da administração pública federal com autonomia técnica, integrante da Presidência da República, definido a sua natureza como transitória e passível de transformação pelo Poder Executivo em entidade da administração pública federal indireta, submetida a regime autárquico especial e vinculada à Presidência da República.
CONTROLADOR DE DADOS PESSOAIS: Pessoa física ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.
DADOS PESSOAIS: Informação relacionada a pessoa natural identificada ou identificável. Também são considerados dados pessoais aqueles utilizados para formação do perfil comportamental de determinada pessoa natural.
DADOS PESSOAIS SENSÍVEIS: Dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico quando vinculado a pessoa natural.
ENCARREGADO PELO TRATAMENTO DE DADOS (ou DATA PROTECTION OFFICER - DPO): Pessoa física ou jurídica indicada pelo Agente de Tratamento para atuar como canal de comunicação entre o Controlador, os titulares de dados e a Autoridade Nacional de Proteção de Dados. Será responsável pela implementação do Programa de Conformidade às leis de proteção de dados pessoais e condução das atividades relacionadas à proteção de dados pessoais, conforme controles previstos no Sistema de Gestão da Qualidade da Organização e demais documentos específicos.
FORNECEDORES: No contexto da CIRCUITEC são considerados fornecedores os outros terceiros contratados e subcontratados, pessoa física ou jurídica, não enquadrados como parceiros comerciais.
LEI GERAL DE PROTEÇÃO DE DADOS (“LGPD”): Diploma normativo (Lei nº 13.709, de 14 de agosto de 2018) que dispõe sobre o tratamento de dados pessoais em meios digitais ou físicos realizados por pessoa natural ou por pessoa jurídica, de direito público ou privado, tendo como objetivo defender os titulares de dados pessoais e ao mesmo tempo permitir o uso dos dados para finalidades diversas, equilibrando interesses e harmonizando a proteção da pessoa humana com o desenvolvimento tecnológico e econômico.
OPERADOR DE DADOS PESSOAIS: Pessoa física ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do Controlador.
PARCEIROS COMERCIAIS: No contexto da CIRCUITEC, são considerados parceiros comerciais os terceiros contratados, sejam eles pessoa física ou jurídica, que atuam em seu nome: Consultores, Conveniados e Agentes Comerciais (aqueles que indicam atividades em que a CIRCUITEC pode atuar como contratada). Sistema de Gestão da Qualidade CIRCUITEC: Constituído por um conjunto de elementos que, operados de forma integrada e dinâmica, auxiliam a Instituição a atingir seus objetivos estratégicos, bem como a sua missão, visão e valores, orientando o seu desenvolvimento e garantindo com razoável grau de certeza que os riscos que poderiam comprometer a sua sustentabilidade e crescimento serão geridos de forma eficiente e eficaz.
TERCEIRO: É toda pessoa física ou jurídica contratada pela CIRCUITEC para desenvolver ou auxiliar no desenvolvimento de suas atividades, tanto na qualidade de fornecedores de bens ou serviços, como de parceiros comerciais.
TITULAR DE DADOS PESSOAIS (“TITULAR”): Pessoa natural a quem se referem os dados pessoais que são objeto de tratamento.
TRATAMENTO DE DADOS PESSOAIS (“TRATAMENTO”): Toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle da informação, modificação, comunicação, transferência, difusão ou extração.
A presente Política estabelece as diretrizes da CIRCUITEC para resguardo e uso de dados pessoais que venham a ser tratados em suas atividades, tendo como referência a Lei Geral de Proteção de Dados Pessoais, entre outras normas nacionais e internacionais relativas à privacidade e proteção de dados pessoais, com especial atenção à General Data Protection Regulation (GDPR).
Esta Política se aplica (i) aos empregados da CIRCUITEC; (ii) a todos os terceiros, sejam eles pessoas físicas ou jurídicas que atuam para ou em nome da CIRCUITEC em operações que envolvam tratamento de dados pessoais que sejam realizadas no escopo das atividades conduzidas pela CIRCUITEC; (iii) aos agentes de tratamento de dados pessoais externos à CIRCUITEC que de qualquer forma se relacionem com a organização; e (iv) aos titulares de dados pessoais, cujos dados são tratados pela CIRCUITEC.
A adesão ao programa de conformidade da CIRCUITEC às leis de proteção de dados pessoais e aos diplomas normativos dele decorrentes, Programa de Conformidade da LGPD, incluindo a presente Política, é obrigatória a todos os destinatários acima indicados na medida em que se relacionam à CIRCUITEC. Todas as operações que envolvam tratamento de dados pessoais que sejam realizadas no escopo das atividades conduzidas pela CIRCUITEC estão sujeitas a tais normativas.
5. APLICABILIDADE
Esta Política estabelece diretrizes e regras para garantir que seus destinatários entendam e cumpram as legislações que versam sobre proteção de dados pessoais em todas as interações com atuais e futuros titulares de dados pessoais, terceiros e agentes de tratamento de dados pessoais externos à CIRCUITEC, no âmbito de suas atividades.
Para além dos conceitos definidos pelas normas que versam sobre privacidade e proteção de dados pessoais, as informações abarcadas pela presente Política incluem todos os dados detidos, usados ou transmitidos pela ou em nome da CIRCUITEC, em qualquer tipo de mídia. Isso inclui dados pessoais registrados em papel, mantidos em sistemas de computador ou dispositivos portáteis, bem como dados pessoais transmitidos oralmente.
6. OBJETIVOS
São objetivos da Política de Privacidade e Proteção de Dados Pessoais CIRCUITEC:
A presente Política deve ser lida em conjunto com as obrigações previstas nos documentos abaixo relacionados, que versam sobre informações em geral, e a complementam quando aplicável:
i. Contratos de trabalho dos empregados da CIRCUITEC e outros documentos comparáveis, que dispõem sobre obrigações de confidencialidade em relação às informações mantidas pela Instituição;
ii. Contratos com terceiros; iii. Políticas e normas de procedimentos de segurança da informação, bem como termos e condições de uso, que tratem sobre confidencialidade, integridade e disponibilidade das informações da CIRCUITEC;
iv. Todas as normas internas a respeito da proteção de dados pessoais que vierem a ser elaboradas e atualizadas, de tempos em tempos.
7. PRINCÍPIOS DE PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS
A CIRCUITEC cumprirá com os seguintes princípios de proteção de dados pessoais quando do tratamento de dados pessoais:
8. BASES LEGAIS PARA O TRATAMENTO DE DADOS PESSOAIS
Todas as operações de tratamento de dados pessoais no âmbito das atividades conduzidas pela CIRCUITEC terão uma base legal que legitime a sua realização, com estipulação da finalidade e designação dos responsáveis pelo tratamento.
A CIRCUITEC assume como compromisso institucional a avaliação periódica das finalidades de suas operações de tratamento, considerando o contexto em que estas operações se inserem, os riscos e benefícios que podem ser gerados ao titular de dados pessoais, e o legítimo interesse da Instituição.
A realização de operações de tratamento de dados pessoais pela CIRCUITEC poderá ser realizada:
I. Mediante o fornecimento de consentimento pelo titular de dados pessoais;
II. Para o cumprimento de obrigação legal ou regulatória;
III. Para a realização de estudos por órgão de pesquisa;
IV. Quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular de dados pessoais;
V. Para o exercício regular de direitos em processo judicial, administrativo ou arbitral;
VI. Para a proteção da vida ou da incolumidade física do titular de dados pessoais ou de terceiros;
VII. Para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
VIII. Quando necessário para atender aos interesses legítimos da CIRCUITEC ou de terceiros;
IX. Para a proteção do crédito.
A CIRCUITEC realizará registros de suas operações de tratamento a partir de categorias de tratamento, cada uma delas descritas a partir de sua(s) finalidade(s), servindo de auxílio e suporte para a sua avaliação periódica sobre conformidade com o quadro regulatório da proteção de dados pessoais.
Os registros das operações de tratamento de dados pessoais poderão ser consultados pelo titular dos dados pessoais, bem como por autoridades públicas competentes para o acesso e retenção dos dados em seu nome, resguardados os direitos do titular de dados pessoais.
9. BASES LEGAIS PARA O TRATAMENTO DE DADOS PESSOAIS SENSÍVEIS
A CIRCUITEC reconhece que o tratamento de dados pessoais sensíveis representa riscos mais altos ao titular de dados pessoais e por esta razão a Instituição assume o compromisso de resguardo e cuidados especiais frente ao tratamento de dados pessoais sensíveis.
Este compromisso incorpora os dados pessoais sensíveis enumerados no art. 5º, inciso II da LGPD, bem como os dados financeiros que, para os fins desta Política e do Programa de Conformidade da LGPD da CIRCUITEC, terão o mesmo status que os dados pessoais sensíveis.
Os dados pessoais de crianças e adolescentes serão tratados com o mesmo nível de cuidado exigido e oferecido aos dados pessoais sensíveis, mas também estarão sujeitos às disposições próprias estabelecidas no Capítulo II, Seção III, da LGPD, e outras normas específicas aplicáveis.
A operações de tratamento de dados pessoais sensíveis pela CIRCUITEC somente poderão ser realizada:
(i) Quando o titular de dados pessoais ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas;
(ii) Sem fornecimento de consentimento do titular de dados pessoais, nos casos em que o tratamento for indispensável para:
a. O cumprimento de obrigação legal ou regulatória pela CIRCUITEC;
b. A realização de estudos quando a CIRCUITEC estiver na posição de Órgão de Pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais sensíveis;
c. O exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral;
d. Proteção da vida ou da incolumidade física do titular de dados pessoais ou de terceiros;
e. Tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou
f. Garantia da prevenção à fraude e à segurança do titular de dados pessoais, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos.
10. DIREITOS DOS TITULARES DE DADOS PESSOAIS
A CIRCUITEC, no contexto das suas atividades de tratamento de dados pessoais, reforça o seu compromisso de respeito aos direitos dos titulares de dados pessoais, quais sejam:
A CIRCUITEC reitera o seu compromisso com os direitos dos titulares de dados pessoais à transparência e à informação adequada, destacando o fornecimento de:
(i) Informação das entidades públicas e privadas com as quais a CIRCUITEC realizou uso compartilhado de dados;
(ii) Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.
11. DEVERES PARA USO O ADEQUADO DE DADOS PESSOAIS
Os deveres de cuidado, atenção e uso adequado de dados pessoais se estendem a todos os destinatários desta Política no desenvolvimento de seus trabalhos e atividades na CIRCUITEC, comprometendo-se a auxiliar a organização a cumprir suas obrigações na implementação de sua estratégia de privacidade e proteção de dados pessoais.
Incumbe aos titulares de dados pessoais comunicar à CIRCUITEC sobre quaisquer modificações em seus dados pessoais na sua relação com a Instituição (e.g. mudança de endereço), notificando, preferencialmente, na seguinte ordem:
(i) Por e-mail endereçado ao responsável da Unidade CIRCUITEC com o qual o titular se relaciona;
(ii) Por e-mail endereçado diretamente ao CIRCUITEC DPO, quando nomeado; e
(iii) Por meio físico (e.g. carta) endereçado diretamente ao CIRCUITEC DPO, quando nomeado.
O compartilhamento de dados pessoais de titulares de dados pessoais entre as Unidades CIRCUITEC é permitido, desde que respeitada a sua finalidade e base legal, observado o princípio da necessidade, ficando o tratamento de dados pessoais sempre adstrito ao desenvolvimento de atividades autorizadas pela organização.
(i) Não disponibilizar nem garantir acesso aos dados pessoais mantidos pela CIRCUITEC para quaisquer pessoas não autorizadas ou competentes de acordo com as normas da organização.
(ii) Obter a autorização necessária para o tratamento de dados e ter os documentos necessários que demonstrem a designação de sua competência para a realização da operação de tratamento de dados lícita, nos termos do arcabouço normativo da CIRCUITEC que será elaborado.
(iii) Cumprir as normas, recomendações, orientações de segurança da informação e prevenção de incidentes de segurança da informação publicadas pela Instituição (e.g. Política de Segurança da Informação, Plano de Resposta a Incidentes de Segurança da Informação, orientações de gestão de senhas, dentre outras).
Todos os destinatários desta Política têm o dever de contatar o Encarregado pelo Tratamento de Dados (CIRCUITEC DPO) da CIRCUITEC, quando da suspeita ou da ocorrência efetiva das seguintes ações:
(i) Operação de tratamento de dados pessoais realizada sem base legal que a justifique;
(ii) Tratamento de dados pessoais sem a autorização por parte da CIRCUITEC no escopo das atividades que desenvolve;
(iii) Operação de tratamento de dados pessoais que seja realizada em desconformidade com a Política de Segurança da Informação da CIRCUITEC;
(iv) Eliminação ou destruição não autorizada pela CIRCUITEC de dados pessoais de plataformas digitais ou acervos físicos em todas as instalações da Instituição ou por ela utilizadas;
(v) Qualquer outra violação desta Política ou de qualquer um dos princípios de proteção de dados dispostos no item 7 acima.
12. RELAÇÃO COM OS TERCEIROS
A LGPD estabelece que a responsabilidade no caso de danos patrimoniais, morais, individuais ou coletivos derivados de violações à legislação de proteção de dados pessoais é solidária, i.e., todos os agentes da cadeia envolvendo o tratamento de dados pessoais podem ser responsabilizados pelos eventuais danos causados.
Nesse sentido, a possibilidade de a CIRCUITEC ser responsabilizada pelas ações de terceiros implica na necessidade de empregar os melhores esforços para verificar, avaliar e garantir que tais terceiros cumpram com as legislações de proteção de dados aplicáveis.
13. PROGRAMA DE CONFORMIDADE ÀS LEIS DE PROTEÇÃO DE DADOS PESSOAIS
O Programa de Conformidade da LGPD visa a garantir o compromisso da CIRCUITEC em zelar pelo tratamento adequado de dados pessoais para fins legítimos que possam ser objeto de suas atividades e reforça o seu compromisso com boas práticas de privacidade e proteção de dados com as seguintes ações:
O Encarregado pelo Tratamento de Dados Pessoais da CIRCUITEC - também referido como Data Protection Officer (CIRCUITEC DPO) – auxiliado pela sua equipe técnica, terá as seguintes responsabilidades:
14. SEGURANÇA DA INFORMAÇÃO
As normas de segurança da informação e prevenção contra incidentes de dados pessoais estão contidas na Política de Segurança da Informação da CIRCUITEC e nas normativas internas e documentos correlatos ao tema.
A CIRCUITEC reforça o compromisso consubstanciado em sua Política de Segurança da Informação em empregar medidas técnicas e organizacionais adequadas no trato com dados pessoais, e envidar esforços para proteção dos dados pessoais dos titulares de dados pessoais contra acessos não autorizados, perda, destruição, compartilhamento não autorizado, entre outras hipóteses.
15. TRANSFERÊNCIA INTERNACIONAL DE DADOS PESSOAIS
Nas hipóteses em que a CIRCUITEC é autorizada a tratar dados pessoais independentemente do consentimento do titular de dados, a CIRCUITEC poderá transferir dados pessoais para outros países desde que, alternativamente:
(i) O país seja classificado como tendo um nível adequado de proteção de dados atribuído pela ANPD ou a transferência seja autorizada pela ANPD;
(ii) Enquanto não houver lista de países de nível adequado divulgada pela ANPD, o país seja classificado pela Comissão Europeia, por meio de uma decisão de Adequação, como país de nível adequado aos critérios da GDPR
(iii) O agente de tratamento de dados pessoais internacional ofereça à CIRCUITEC pelo menos uma das salvaguardas abaixo:
a. Códigos de Conduta regularmente emitidos ou binding corporate rules aprovados pela Comissão Europeia;
b. Cláusulas Contratuais Padrão emitidas pela ANPD ou pela Comissão Europeia;
c. Selos e Certificados de conformidade ou adequação à proteção de dados pessoais concedidos por entidades reconhecidas pela ANPD ou pela Comissão Europeia.
(iv) Obtenha consentimento explícito e destacado dos titulares de dados pessoais para realização de operações de transferência internacional de dados pessoais, com informação prévia sobre o caráter internacional da operação e destacando que o país não tem nível adequado de proteção de dados reconhecido ou que não há salvaguardas da conformidade do agente de tratamento, conforme o caso.
Nas hipóteses em que a CIRCUITEC é autorizada a tratar dados pessoais com base no consentimento, a CIRCUITEC poderá transferir dados pessoais para outros países desde que obtenha consentimento explícito e destacado dos titulares de dados pessoais para realização de operações de transferência internacional de dados pessoais, com informação prévia sobre o caráter internacional da operação.
Caso o país não tenha nível adequado de proteção de dados reconhecido ou não haja salvaguardas da conformidade do agente de tratamento, tais informações deveriam ser prestadas ao titular de dados pessoais previamente, a fim de que consinta com os riscos da operação.
16. TREINAMENTO
Os destinatários desta Política se comprometem a participar dos treinamentos, workshops, encontros e capacitações propostos pelo CIRCUITEC DPO para a ampliação da cultura de proteção de dados pessoais na Instituição.
Os empregados da CIRCUITEC cujas funções exigem o tratamento regular a dados pessoais, ou os responsáveis pela implementação desta Política se comprometem a participar de treinamentos adicionais para ajudá-los a entender seus deveres e como cumpri-los.
17. MONITORAMENTO
Reitera-se que a CIRCUITEC reconhece o seu compromisso em zelar pelo tratamento adequado de dados pessoais para fins legítimos que possam ser objeto de suas atividades e reforça o seu compromisso com boas práticas de privacidade e proteção de dados, comprometendo-se a se manter seu Programa de Conformidade da LGPD atualizado com as normas e recomendações emitidas pela ANPD ou outras autoridades competentes.
A CIRCUITEC assume o compromisso de revisitar a presente Política periodicamente e, a seu critério, promover modificações que atualizem suas disposições de modo a reforçar o compromisso permanente da Instituição com a privacidade e a proteção de dados pessoais, sendo comunicadas todas as alterações realizadas oportunamente pelos canais oficiais da Instituição.
| ELABORAÇÃO | ELABORAÇÃO APROVAÇÃO |
| Nome: | Nome: |
| Posição: | Posição: |
| Versão: |
