POLÍTICA GERAL DE PROTEÇÃO DE DADOS PESSOAIS

ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES

1. OBJETIVO

1.1. O objetivo deste documento é estabelecer diretrizes para o processo de tratamento de dados pessoais, com o intuito de proteger os direitos fundamentais de liberdade e de privacidade dos indivíduos que terão seus dados tratados pela ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES em conformidade com as leis de proteção de dados pessoais aplicáveis, em especial com a Lei 13.709/2018 e suas atualizações – Lei Geral de Proteção de Dados – LGPD.

1.2. A privacidade e a proteção dos dados pessoais é um direito fundamental, assim expresso na Constituição Federal da República Federativa do Brasil.

1.3. A ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES entende que, em seus processos de negócio envolvendo o tratamento de dados pessoais, essas informações circulam por diversos meios de suporte, armazenamento e comunicação. Esses meios estão sujeitos a vulnerabilidades, tanto internas quanto externas, que podem comprometer a segurança dos dados e impactar de forma negativa a privacidade dos titulares.

1.4. Assim, a ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES implementa sua Política Geral de Proteção de Dados Pessoais como parte integrante de seu sistema de gestão corporativo, em conformidade com a legislação brasileira, além de seguir boas práticas e normas reconhecidas internacionalmente.

2. APLICAÇÃO

2.1. Esta política se aplica a qualquer operação de tratamento de dados pessoais realizada pela ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES, independentemente do meio ou do país onde estejam localizados os dados, desde que a operação de tratamento seja realizada em território nacional brasileiro; tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional; os dados pessoais, objeto do tratamento, tenham sido coletados no território nacional.

2.2. Sua abrangência é sobre todos os recursos da ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES, bem como os meios convencionais de tratamento, processamento e armazenamento de informação. Abrange, portanto, todos os processos automatizados ou manuais executados que lidem direta ou indiretamente com dados pessoais.

2.3. Os colaboradores, fornecedores, prestadores de serviço, e demais terceiros que mantém qualquer relação contratual com a ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES, observarão a integridade desta Política e das demais Políticas a estes especialmente destinadas e garantem que processam os dados pessoais:

• exclusivamente em nome e em benefício da ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES;
• apenas em conformidade e para os fins estabelecidos nesta Política e com as instruções da ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES. Caso os colaboradores, fornecedores, prestadores de serviço, e demais terceiros sejam, por força da lei, obrigados a abster-se de cumprir as disposições da presente Política ou outras instruções da ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES, informarão à ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES antes de proceder ao ato, a menos que seja expressamente proibido de assim fazê-lo pela legislação aplicável e em conformidade com as leis de proteção de dados aplicáveis.

3. DOCUMENTOS DE REFERÊNCIA

4. DEFINIÇÕES

• Autoridade Nacional de Proteção de Dados (ANPD): Órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD.
• Banco/Base de Dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico.
• Consentimento: Manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.
• Controlador: a ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES.
• Dados Pessoais: Envolvem as informações relacionadas à pessoa natural identificada ou identificável.
• Dados Pessoais Sensíveis: São os dados pessoais que se referem à origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
• Encarregado: Pessoa física ou jurídica indicada pela ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES, que atua como canal de comunicação entre o controlador e os titulares e a autoridade nacional. Também conhecido como DPO (Data Protection Officer).
• Lei 13.709/18 – Lei Geral de Proteção de Dados Pessoais (“LGPD”): Lei que dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.
• Operador: Pessoa natural ou jurídica, que realiza o tratamento de dados pessoais em nome do Controlador.
• Titular: Pessoa natural a quem se referem os dados pessoais a serem tratados nas bases de dados.
• Tratamento de Dados: Toda operação realizada com dados pessoais, como as que se referem a coleta (captura), produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.
  •  

5. REGULAMENTAÇOES
   • Disposições Gerais

6.1.1. O objetivo da Proteção de Dados na ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES é garantir a gestão sistemática e efetiva de todos os aspectos relacionados à proteção de dados pessoais/privacidade e dos direitos dos seus titulares, provendo suporte as operações críticas do negócio e minimizando riscos identificados e seus eventuais impactos a organização.  As políticas e procedimentos que envolvam clientes, colaboradores, prestadores de serviços, fornecedores e demais terceiros que atuem com tratamento de dados devem mencionar que estes precisam seguir os itens específicos descritos nesta política.

6.1.2. A base de dados da ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES é de sua propriedade e responsabilidade, sendo que seu uso, acesso e compartilhamento, quando necessários, serão realizados dentro dos limites e propósitos de seus negócios, podendo, neste sentido, serem disponibilizados para consulta e cedidos a fornecedores, prestadores de serviços e autoridades, desde que obedecido ao disposto na presente Política Geral de Proteção de Dados.

• 1.3. ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES se reserva ao direito de mudar o conteúdo deste documento no momento que julgar necessário, garantindo a divulgação das alterações quando estas ocorrerem.

6.1.4. Todos os envolvidos nos processos de tratamento de dados, devem considerar que o descrito nesta Política deverá abranger desde a fase de concepção do produto/serviço até sua total execução.

6.1.5. Todo desenvolvimento de sistemas, produtos e serviços que envolva o tratamento de dados pessoais deverá ser efetuado com base nas orientações descritas nesta Política desde a fase de concepção até sua total execução.

6.1.6. O responsável por um conjunto de dados ou base de dados deverá comunicar ao Encarregado qualquer novo tratamento de dados pessoais que for efetuado na ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES.

6.1.7. A área de Segurança da Informação deverá, sempre que necessário, ser acionada pelo responsável pelo produto e/ou serviço para avaliar os processos de segurança no desenvolvimento ou atualização de bases de dados.

• Disposições referentes ao tratamento dos dados pessoais
  • Princípios para Tratamento de Dados

6.2.1.1. Sempre que exista o tratamento de dados (dados novos ou que já constem em alguma base de dados) o colaborador, fornecedor e prestador de serviço da ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES avaliarão e seguirão os seguintes princípios:

• Finalidade: deixar evidente e de forma bastante clara o motivo pelo qual os dados serão utilizados, informando isso detalhadamente ao titular.
• Adequação: compatibilidade do tratamento com as finalidades informadas ao titular, ou consentidas por este, evidenciando que o tratamento se adequa à finalidade;
• Necessidade: limitar o tratamento ao mínimo necessário para a realização de suas finalidades, ou seja, utilizar o mínimo de dados possível para se atingir a finalidade desejada do tratamento do dado;
• Livre acesso e Transparência: existir processo para acesso fácil e gratuito ao titular do dado para que este possa consultar seus dados na ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES, garantindo o acesso a informações claras, precisas e ao processo do tratamento dos dados;
• Qualidade dos dados: existir processo que garanta a exatidão, clareza, relevância e atualização desses dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
• Segurança e Prevenção: definir e adotar as medidas técnicas e administrativas para proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão e para prevenir a ocorrência de danos em virtude do tratamento do dado;
• Não discriminação: atentar para que a finalidade nunca seja utilizada para fins discriminatórios ou abusivos;
• Responsabilização e prestação de contas: elaborar relatório, sempre que solicitado, que permita demonstrar a adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das regulamentações desta política e, inclusive, da eficácia dessas medidas.

6.2.1.2. Todo tratamento de dados realizado na ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES está fundamentado nestes princípios e cumpre o disposto nesta Política.

• Requisitos para se tratar dados pessoais

6.2.2.1. Para os casos de tratamento de dados pessoais, o colaborador, fornecedor e prestador de serviço da ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES devem se atentar para que todo e qualquer tratamento de dados pessoais cumpra uma das condições abaixo:

1. Mediante o recebimento de consentimento livre, informado e inequívoco do titular, ou seja:

• O titular deverá ter liberdade para consentir com o tratamento dos seus dados;
• A solicitação do consentimento deverá ser informada de forma clara, detalhada e destacada das demais informações;
• Não poderá existir dúvida sobre o consentimento, e sua formalização deverá ser evidenciada e armazenada;
• Não poderá existir solicitação de consentimento genérica para o tratamento de dados pessoais;
• Específico se houver compartilhamento de dados com outras empresas, com anuência da ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES

6.2.2.1.1. Se em algum momento a finalidade ou a forma do tratamento de dados for alterada é necessário novo consentimento do titular.

1. Para o cumprimento de obrigação legal ou regulatória;
2. Para o exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral;
3. Quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;
4. Quando necessário para atender aos interesses legítimos da ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.
5. Para a proteção da vida ou da incolumidade física do titular ou de terceiros.

6.2.2.1.2. A condição acima atendida deverá estar fundamentada e seguir os princípios descritos no item 6.2.1. já que o processo de tratamento poderá ser ponto de auditoria interna ou auditoria externa.

• Requisitos para se tratar dados pessoais sensíveis

6.2.3.1. O tratamento de dados pessoais sensíveis somente ocorre nas seguintes hipóteses:

6. Mediante consentimento do titular, nos termos expostos no item 6.2.2.1., “A”;
7. Para o cumprimento de obrigação legal ou regulatória;
8. Tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos;
9. Exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral;
10. Proteção da vida ou da incolumidade física do titular ou de terceiros;
11. Garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos e exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais para dados.

6.2.3.2. A condição acima atendida deverá estar fundamentada e seguir os princípios descritos no item 6.2.1, pois o processo de tratamento poderá ser ponto de auditoria interna ou auditoria externa.

• 2.4 – Solicitação do Titular

Para todos os dados existentes em qualquer base de dados, há processos/aplicações que permitem disponibilizar ao titular do dado o acesso e a solicitar qualquer esclarecimento, correção e, inclusive, exclusão, a respeito de seus dados existentes nas bases de dados da ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES.

• 2.5 – Exclusão de Dados

A exclusão de dados do Titular (a qual pode ser solicitada por ele conforme item 6.2.4) é sempre ser analisada, já que podem ocorrer casos em que existe alguma legislação específica vigente que impede a exclusão ou ainda que o dado pessoal seja imprescindível para o funcionamento do produto/serviço realizado pela ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES.

• 2.6 – Transferência Internacional de Dados

A transferência internacional dos dados pessoais é exceção à regra e somente é admitida quando cumprida uma das seguintes hipóteses:

• Quando a transferência é realizada para países ou organismos internacionais que proporcionem grau de proteção de dados adequado ao previsto na LGPD[1];
• Quando o controlador oferece e comprova garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos na LGPD, na forma de:

1. a) cláusulas contratuais específicas para determinada transferência;
2. b) cláusulas-padrão contratuais;
3. c) normas corporativas globais;
4. d) selos, certificados e códigos de conduta regularmente emitidos.

• Quando a transferência é necessária para a proteção da vida ou da incolumidade física do titular ou de terceiros.

• Quando a ANPD autoriza a transferência.

• Quando o titular fornece o seu consentimento específico e em destaque para a transferência, com informação prévia sobre o caráter internacional da operação, distinguindo claramente esta de outras finalidades; ou

• Quando necessário para atender as seguintes hipóteses:
  • para o cumprimento de obrigação legal ou regulatória;
  • quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;
  • para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem).

• 2.7 – Políticas de Privacidade de Produtos e Procedimentos

6.2.7.1. Qualquer processo que envolva tratamento de dados existentes nos bancos de dados da ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES deve constar em alguma Política de Privacidade ou Procedimentos Internos.

6.2.7.2. As Políticas de Privacidade possuem minimamente as seguintes informações:

• Quais serão os dados pessoais coletados e quais as suas finalidades;
• Como serão processados os dados sensíveis;
• Como as informações serão utilizadas;
• Como é o sistema de segurança para proteção dos dados;
• Quanto tempo os dados serão mantidos em seu banco de dados;
• Se existirá compartilhamento dessas informações com terceiros, identificando esses terceiros;
• Quem é o Encarregado;
• Quem tem acesso e quais processos utilizam-se dos dados coletados;
• Como é coletado o consentimento do titular, se necessário;
• Como o titular poderá acessar aos seus dados pessoais para atualizá-los, corrigi-los ou removê-los;
• Se existe armazenamento de cookies e como esses são utilizados;
• Como é processada a transferência internacional de dados.
  •  
  • 2.8 – Concepção de Produtos/Serviços

6.2.8.1. As medidas de Segurança e Controles anteriormente descritas são observadas pelo responsável pelo Tratamento de dados pessoais e por todos os envolvidos (passando pelos sistemas de tecnologia informação, por práticas negociais responsáveis e design físico e infraestrutura de rede) desde a fase de concepção de um produto ou serviço até a sua total execução (Privacy by Design- PbD).

6.2.8.2. Os princípios básicos do conceito de Privacy by Design são:

• Ser proativo e não reativo, prevenindo para não remediar, adotando postura preventiva de modo a evitar incidentes de violação de dados pessoais;
• Privacidade como configuração padrão, fazendo com que a configuração padrão de determinado sistema sempre preserve a privacidade dos dados tratados;
• Privacidade incorporada ao projeto, onde a privacidade deverá estar incorporada à arquitetura de sistemas e modelos de negócio;
• Funcionalidade total, onde deverão ser acomodados todos os interesses envolvidos na concepção do produto/serviço, evitando falsas dicotomias que levam à mitigação de direitos dos titulares e ao mesmo tempo mantendo a funcionalidade do produto/serviço;
• Segurança de ponta a ponta, considerando a proteção durante todo o ciclo de vida da informação. Assim, a segurança dos dados pessoais deve ser garantida desde a coleta do dado até sua destruição ou compartilhamento com um terceiro.
• Visibilidade e transparência, assegurando a todos os envolvidos que os sistemas e negócio são operacionalizados de acordo com as premissas e objetivos informados (finalidade);
• Respeito pela privacidade do usuário, exigindo que os operadores dos serviços (arquitetura, operacionalidade do sistema e prática de negócio) respeitem os interesses dos titulares, mantendo altos padrões de privacidade.

• 2.9 Segurança dos dados

Todas as ações que envolvem o tratamento de dados pessoais (efetuados de forma manual ou automatizadas) possuem controles de acesso e rastreamento específicos, conforme os processos/ferramentas utilizados pela área de Segurança da Informação, as quais permitem o controle total referente aos procedimentos executados na respectiva ação, visando proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração ou qualquer forma de tratamento inadequado ou ilícito.

6.3. Direitos dos titulares em relação aos seus dados pessoais em posse da ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES.

O titular tem direito a obter da ATIVO SERVIÇOS EMPRESARIAIS SOCIEDADE SIMPLES, em relação aos dados por esta tratados, a qualquer momento e mediante requisição de:

• confirmação da existência de tratamento;
• acesso aos dados;
  • Ao cliente deve ser dado acesso aos seus dados de forma facilitada; as informações sobre o tratamento devem ser disponibilizadas de forma clara, adequada e ostensiva acerca da: I) finalidade específica do tratamento; II) forma e duração do tratamento; III) identificação e informações de contato do controlador; IV) informações acerca do uso compartilhado de dados pelo controlador e a finalidade; V) responsabilidade dos agentes que realizarão o tratamento, e; VII) direitos do titular.

• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto na Lei nº 13.709/2018;
• portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial;
• eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no art. 16 da Lei nº 13.709/2018;
• informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;
• informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• revogação do consentimento, nos termos do § 5º do art. 8º da Lei nº 13.709/2018.

6.3.1. Processo de requisição de exercício dos direitos

Para que o cliente exerça os direitos elencados no ponto 6.3.1, deverá enviar um e-mail para rafaela.peixoto@gminuano.com.br .

6.3.2. Caso a solicitação do cliente se limite à confirmação e/ou acesso aos dados pessoais, a resposta deverá ser disponibilizada de forma clara, adequada e ostensiva em até 15 (quinze) dias. Caso a solicitação não se limite à confirmação e/ou acesso aos dados pessoais, o cliente será informado de que, a depender da complexidade, é possível que a resposta seja disponibilizada em prazo superior a 15 (quinze) dias.

6. Histórico de revisão
   •  
   • 1. Esta tabela apresenta o histórico de revisão desta Política:

7.2. Esta Política deve ser revisada anualmente, ou quando mudanças materiais nos regulamentos, leis ou necessidades comerciais assim exigirem.