Objetivo:
Estabelecer diretrizes e práticas obrigatórias para garantir a privacidade dos titulares de dados e a segurança das informações tratadas pela empresa BINÁRIA, em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD) e demais normas aplicáveis.
A presente política fundamenta-se nos seguintes princípios:
Esta política aplica-se a todos os processos, ferramentas, canais de atendimento e colaboradores (fixos ou parceiros) que tratem dados pessoais.
O não cumprimento desta política poderá resultar em advertência, suspensão de acesso a sistemas e, em casos graves, desligamento contratual ou responsabilização legal, conforme a natureza da infração.
Esta política deverá ser revisada a cada 12 meses ou sempre que houver mudanças relevantes nos processos de tratamento de dados, tecnologia empregada ou exigência legal.
Próxima revisão prevista: Março de 2025
Responsável pela política: ALMIR BEZERRA LEITE
E, por estarem de pleno acordo, firmam o presente instrumento .
Caruaru– PE, de de 2024.
ALMIR BEZERRA LEITE
Titular e Encarregado de Dados
[Nome do(a) Colaborador(a)]
CPF:
Responsável: ALMIR BEZERRA LEITE
PROPÓSITO :
A Política de Backup e Restauração de Dados Digitais objetiva instituir diretrizes, responsabilidades e competências que visam à segurança, proteção e disponibilidade dos dados digitais custodiados pela(s) empresa de servidor de hospedagem do site, empresa servidora do sistema de gestão, e formalmente definidos como de necessária salvaguarda nessa empresa, para se manter a continuidade do negócio.
No sentido de assegurar sua missão é fundamental estabelecer mecanismos que permitam a guarda dos dados e sua eventual restauração em casos de indisponibilidades ou perdas por erro humano, ataques, catástrofes naturais ou outras ameaças. O presente documento apresenta a Política de Backup e Restauração de Dados Digitais, onde se estabelece o modo e a periodicidade de cópia dos dados armazenados pelos sistemas computacionais.
Escopo
A quem se aplica:
Colaboradores ou Terceiros Responsáveis pelo BKP:
Esta política se aplica a todos os dados no âmbito dessa empresa incluindo dados fora armazenados em um serviço de nuvem Pública ou Privada. “Dados críticos”, neste contexto, incluem e-mail, arquivos pessoais e compartilhados, bancos de dados e conteúdo da web específicos e sistemas operacionais. A definição de dados críticos e o escopo desta política de backup serão revisados anualmente pelo CONTROLADOR.
Os serviços de TI críticos devem ser formalmente elencados pelo CONTROLADOR.
Termos e Definições
BACKUP OU CÓPIA DE SEGURANÇA – Conjunto de procedimentos que permitem salvaguardar os dados de um sistema computacional, garantindo guarda, proteção e recuperação. Tem a fidelidade ao original assegurada. Esse termo também é utilizado para identificar a mídia em que a cópia é realizada;
CUSTODIANTE DA INFORMAÇÃO – Qualquer indivíduo ou estrutura de órgão ou entidade da Administração Pública Federal, direta e indireta, que tenha responsabilidade formal de proteger a informação e aplicar os níveis de controles de segurança em conformidade com as exigências de Segurança da Informação comunicadas pelo proprietário da informação;
ELIMINAÇÃO – Exclusão de dado ou conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado; MÍDIA – Mecanismos em que dados podem ser armazenados. Além da forma e da tecnologia utilizada para a comunicação – inclui discos ópticos, magnéticos, rígidos, CDs, fitas e papel, entre outros. Um recurso multimídia combina sons, imagens e vídeos;
INFRAESTRUTURA CRÍTICA – instalações, serviços, bens e sistemas, virtuais ou físicos, que se forem incapacitados, destruídos ou tiverem desempenho extremamente degradado, provocarão sério impacto social, econômico, político, internacional ou à segurança;
Recovery Point Objective (RPO): ponto no tempo em que os dados dos serviços de TI devem ser recuperados após uma situação de parada ou perda, correspondendo ao prazo máximo em que se admite perder dados no caso de um incidente;
Recovery Time Objective (RTO): tempo estimado para restaurar os dados e tornar os serviços de TI novamente operacionais, correspondendo ao prazo máximo em que se admite manter os serviços de TI inoperantes até a restauração de seus dados, após um incidente;
REFERENCIA LEGAL E BOAS PRÁTICAS:
DECLARAÇÕES DA POLÍTICA
POLÍTICA DE BACKUP E RESTAURAÇÃO DE DADOS DIGITAIS
Empresa: BINÁRIA
Versão: 1.0
Data de emissão: 11/02/2024
Esta Política tem como objetivo estabelecer diretrizes para o backup (cópia de segurança) e a restauração dos dados digitais tratados pela empresa BINÁRIA, com o intuito de preservar a integridade, disponibilidade e continuidade das informações, especialmente aquelas relacionadas a clientes, e transações realizadas por meio da loja virtual e do sistema de gestão.
Esta política se aplica a todos os dados digitais gerados, coletados, armazenados ou tratados nos ambientes e plataformas utilizadas pela empresa, incluindo:
4.1. Frequência dos backups
4.2. Local de armazenamento
4.3. Dados incluídos no backup
5.1. Procedimento de restauração
5.2. Tempo de resposta
O cumprimento desta política é essencial para garantir a continuidade das atividades da empresa, bem como a proteção dos dados pessoais e sensíveis tratados nos atendimentos e transações. Eventuais dúvidas ou sugestões de melhoria devem ser direcionadas à Encarregado de Dados.
E, por estarem de pleno acordo, firmam o presente instrumento .
Caruaru– PE, de de 2024.
ALMIR BEZERRA LEITE
Titular e Encarregado de Dados
[Nome do(a) Colaborador(a)]
CPF:
ROTINA DE TESTE DE INTEGRIDADE DE BACKUP
Empresa: BINÁRIA
Responsável: ALMIR BEZERRA LEITE
Versão: 1.0
Data de emissão: 27/02/2024
Esta rotina tem como finalidade assegurar que os backups realizados dos sistemas, bancos de dados, arquivos administrativos e demais informações críticas da BINÁRIA estejam íntegros, acessíveis e aptos para restauração em caso de falha operacional, incidente de segurança, perda acidental de dados ou indisponibilidade dos serviços.
O procedimento de teste de integridade é parte essencial da Política de Backup e Restauração de Dados Digitais da empresa, garantindo que os arquivos copiados realmente possam ser utilizados em situações de contingência.
Esta rotina aplica-se aos seguintes ambientes e ativos digitais da BINÁRIA:
Os testes de integridade deverão ocorrer obedecendo os seguintes critérios:
4.1 Verificação da Existência do Backup
Inicialmente deverá ser validado se os arquivos de backup foram efetivamente gerados conforme cronograma definido na política interna.
Devem ser conferidos:
4.2 Verificação de Integridade dos Arquivos
Os arquivos de backup deverão ser abertos ou montados em ambiente controlado para verificar:
Quando aplicável, poderão ser utilizados checksum, hash SHA256, logs de verificação do software de backup e validação automatizada do banco de dados.
4.3 Teste de Restauração Parcial
Mensalmente deverá ser realizada restauração parcial de amostra dos dados, incluindo:
A restauração deverá ocorrer preferencialmente em ambiente separado do ambiente de produção.
4.4 Teste de Restauração Completa
Semestralmente deverá ser executado teste de restauração completa do sistema de gestão, simulando cenário de perda total do ambiente operacional.
O teste deverá validar:
Todos os testes executados deverão ser documentados em relatório interno contendo:
Os registros deverão ser armazenados em ambiente seguro por prazo mínimo de 5 anos.
Caso sejam identificadas falhas de integridade ou impossibilidade de restauração, deverão ser adotadas imediatamente as seguintes medidas:
Incidentes críticos deverão ser comunicados à direção da BINÁRIA imediatamente.
Compete ao responsável técnico indicado pela BINÁRIA:
Compete à direção da empresa:
O teste de integridade de backup é considerado atividade obrigatória dentro do programa de segurança da informação e governança de dados da BINÁRIA, sendo indispensável para conformidade com a LGPD e para continuidade operacional da empresa.
O não cumprimento desta rotina poderá comprometer a recuperação de informações críticas e sujeitar os responsáveis às medidas administrativas cabíveis.
Caruaru – PE, de de 2024.
ALMIR BEZERRA LEITE
Responsável pela Segurança da Informação
Assinatura:
Responsável Técnico / Colaborador
Nome:
Assinatura:
CPF:
RELATÓRIO DE TESTE DE RESTAURAÇÃO DE BACKUP
Empresa: BINÁRIA
Data do teste: 28/02/2024
O presente relatório tem por finalidade registrar a realização do primeiro teste de restauração de backup executado pela empresa BINÁRIA, como parte das práticas de segurança da informação, continuidade operacional e validação das rotinas de backup adotadas pela empresa.
Durante o procedimento, foram realizadas verificações de integridade do arquivo de backup, acesso ao ambiente de armazenamento e simulação de restauração parcial dos dados do sistema de gestão empresarial, visando confirmar a disponibilidade e recuperação das informações críticas armazenadas.
Registros do teste realizado:
Observações adicionais:
Durante o procedimento não foram identificadas falhas relevantes, erros de autenticação, problemas de acesso ao arquivo ou inconsistências no ambiente restaurado. O tempo de resposta permaneceu dentro do esperado para o porte da operação da empresa.
O presente relatório permanecerá arquivado junto à documentação de segurança da informação e governança de dados da BINÁRIA para fins de controle interno e conformidade com a LGPD.
Caruaru – PE, 28 de fevereiro de 2024.
ALMIR BEZERRA LEITE
Responsável pela Segurança da Informação
BINÁRIA
Responsável: ALMIR BEZERRA LEITE
Data de revisão : 20/02/2025
Objetivo
Esta política tem como objetivo estabelecer diretrizes para a impressão de documentos contendo dados pessoais na empresa, assegurando a conformidade com a Lei Geral de Proteção de Dados (LGPD) e protegendo a privacidade dos indivíduos.
POLÍTICA DE IMPRESSÃO E CONFORMIDADE COM A LGPD
Empresa: BINÁRIA
Versão: 1.0
Data de emissão: 01/02/2024
Estabelecer diretrizes para o uso seguro de impressões de documentos que contenham dados pessoais, especialmente dados sensíveis, garantindo que todas as impressões físicas estejam em conformidade com os princípios da Lei Geral de Proteção de Dados Pessoais (LGPD), assegurando confidencialidade, minimização e segurança da informação.
Esta política se aplica a todos os documentos impressos contendo informações pessoais ou sensíveis de clientes, colaboradores, fornecedores ou registros de atendimentos. A política cobre:
As práticas de impressão devem seguir os seguintes princípios da LGPD:
4.1. Autorização
4.2. Ambiente de impressão
4.3. Proteção do material impresso
4.4. Transporte de documentos
4.5. Descarte seguro
Estão sujeitos a maior controle de impressão os documentos que contêm:
O descumprimento desta política poderá comprometer a conformidade da empresa com a LGPD e expor os titulares a riscos indevidos. Todas as pessoas envolvidas nas atividades da empresa devem atuar com responsabilidade e zelo quanto ao uso de documentos impressos.
E, por estarem de pleno acordo, firmam o presente instrumento .
Caruaru– PE, de de 2024.
ALMIR BEZERRA LEITE
Titular e Encarregado de Dados
[Nome do(a) Colaborador(a)]
CPF:
(Dados Pessoais, Sensíveis e Informações Comerciais)
Empresa: BINÁRIA
Versão: 1.0
Data de emissão: 11/02/2024
Pelo presente instrumento particular, as partes abaixo identificadas:
EMPREGADORA / CONTRATANTE:
ALMIR BEZERRA LEITE, inscrita no CPF nº , com sede digital em Caruaru– PE, doravante denominada simplesmente EMPRESA;
COLABORADOR(A) / PARCEIRO(A):
Nome:
CPF:
Função:
Celebram o presente Acordo de Confidencialidade, que será regido pelas cláusulas e condições a seguir:
CLÁUSULA 1 – OBJETO
O presente acordo tem por objeto garantir a confidencialidade e o sigilo absoluto de todas as informações pessoais, comerciais e sensíveis às quais o(a) Colaborador(a) tiver acesso durante o desempenho de suas funções, especialmente:
CLÁUSULA 2 – OBRIGAÇÕES DO(A) COLABORADOR(A)
O(A) Colaborador(a) compromete-se a:
CLÁUSULA 3 – PRAZO DE VIGÊNCIA
Este acordo entra em vigor na data de sua assinatura e terá validade por tempo indeterminado, permanecendo em vigor mesmo após o término da relação profissional entre as partes.
CLÁUSULA 4 – PENALIDADES E RESPONSABILIDADES
O descumprimento das obrigações previstas neste acordo poderá gerar:
CLÁUSULA 5 – DISPOSIÇÕES GERAIS
E, por estarem de pleno acordo, firmam o presente instrumento .
Caruaru– PE, de de 2024.
ALMIR BEZERRA LEITE
Titular e Encarregado de Dados
Nome do(a) Colaborador(a)
CPF:
Esta política tem como finalidade garantir que todos os dispositivos, sistemas operacionais, aplicativos e softwares utilizados pela empresa BINÁRIA estejam devidamente atualizados, com patches de segurança aplicados em tempo hábil, reduzindo vulnerabilidades que possam comprometer a integridade, confidencialidade ou disponibilidade dos dados pessoais e sensíveis tratados, em conformidade com a LGPD.
Aplica-se a todos os dispositivos, programas e plataformas utilizados pela empresa, incluindo:
4.1. DO titular/ Encarregado de Dados (ALMIR BEZERRA LEITE):
4.2. Dos Colaboradores:
5.1. Atualizações automáticas
5.2. Verificações manuais
5.3. Aplicação de patches críticos
O cumprimento desta política é obrigatório por todos os colaboradores que tenham acesso a dados ou sistemas da empresa. O uso de softwares ou dispositivos desatualizados representa risco direto à segurança da informação e poderá acarretar responsabilização conforme os termos do Acordo de Confidencialidade, das políticas internas da empresa e da LGPD.
E, por estarem de pleno acordo, firmam o presente instrumento .
Caruaru– PE, de de 2024.
ALMIR BEZERRA LEITE
Titular e Encarregado de Dados
[Nome do(a) Colaborador(a)]
CPF:
Esta política estabelece as diretrizes e responsabilidades para a proteção, integridade, confidencialidade e disponibilidade dos dados pessoais e sensíveis tratados pela empresa BINÁRIA, garantindo a conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD) e promovendo um ambiente seguro para a gestão das informações dos clientes.
Esta política se aplica a todos os dados coletados, armazenados, acessados ou processados no contexto das atividades da empresa, abrangendo:
A BINÁRIA realiza diversas operações de tratamento de dados pessoais em razão de suas atividades comerciais, técnicas, administrativas e operacionais, envolvendo clientes pessoa jurídica, clientes pessoa física, representantes empresariais, colaboradores de empresas atendidas e usuários dos canais digitais da organização. O presente mapeamento de dados tem como objetivo identificar de forma ampla os fluxos de coleta, armazenamento, utilização, compartilhamento e proteção das informações tratadas pela empresa, em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD).
A empresa realiza cadastro de clientes empresariais para comercialização de sistemas, relógios de ponto, manutenção de equipamentos, suporte técnico e demais serviços de tecnologia. Nesse processo são coletadas informações institucionais e também dados pessoais vinculados aos responsáveis legais e usuários operacionais das empresas contratantes.
Entre os dados coletados em cadastros de empresas estão:
Além das informações empresariais, a BINÁRIA também realiza cadastro de pessoas físicas que compram produtos diretamente na loja virtual ou contratam serviços avulsos.
Os dados pessoais coletados nesses casos incluem:
A empresa também coleta informações por meio do site institucional e loja virtual. Durante a navegação, podem ser coletadas informações técnicas automaticamente, incluindo:
Quando usuários entram em contato por formulários eletrônicos, são coletados:
A BINÁRIA também trata dados pessoais provenientes do WhatsApp e outros aplicativos de comunicação utilizados no relacionamento com clientes e suporte técnico. As informações recebidas podem incluir:
Durante a abertura de chamados técnicos por empresas clientes, a BINÁRIA coleta e registra dados relacionados aos funcionários autorizados pelas empresas contratantes, incluindo:
Em atividades de manutenção de computadores, notebooks, servidores, redes e sistemas corporativos, a BINÁRIA pode acessar direta ou indiretamente dados sigilosos armazenados nos equipamentos dos clientes. Embora tais informações não sejam coletadas para uso próprio da empresa, o acesso técnico caracteriza operação de tratamento de dados nos termos da LGPD.
Entre os dados eventualmente acessados durante manutenção técnica podem estar:
A BINÁRIA também comercializa e presta suporte relacionado a relógios de ponto e controle de jornada. Nessas operações podem ser tratados:
Todos os dados tratados possuem finalidade legítima vinculada à execução de contratos, prestação de suporte técnico, emissão de notas fiscais, relacionamento comercial, cumprimento de obrigações legais, segurança da informação, prevenção a fraudes, gestão administrativa e continuidade operacional dos serviços.
O acesso às informações é restrito conforme a função desempenhada por cada colaborador, utilizando controles de autenticação, senhas individuais, backups, monitoramento de acessos, políticas de segurança da informação e acordos de confidencialidade.
A BINÁRIA reconhece que parte significativa das informações tratadas possui caráter confidencial, estratégico ou sensível, especialmente durante operações de suporte técnico e manutenção em ambientes empresariais de terceiros. Por esse motivo, mantém compromisso permanente com a proteção dos dados pessoais e empresariais acessados em suas atividades, adotando medidas técnicas e administrativas compatíveis com os riscos envolvidos e com os princípios estabelecidos pela LGPD.
O presente mapeamento poderá ser atualizado periodicamente sempre que houver alteração nos sistemas utilizados, inclusão de novos serviços, mudança operacional ou adequação normativa relacionada à proteção de dados pessoais.
A segurança de dados será garantida com base nos seguintes princípios:
5.1. DO titular/ Encarregado de Dados (ALMIR BEZERRA LEITE):
5.2. Dos Colaboradores (funcionários ou prestadores de serviço):
6.1. Controle de Acesso
6.2. Segurança dos Dispositivos
6.3. Ambientes de Armazenamento
5.4. Transmissão de Dados
6.5. Descarte de Dados
O descumprimento desta política por parte de colaboradores poderá acarretar advertência, desligamento, responsabilização cível e/ou penal, conforme a gravidade da infração e a legislação vigente.
A Política de Segurança de Dados é parte integrante do compromisso da empresa BINÁRIA com a ética, o respeito aos seus clientes e a conformidade legal. Todos os envolvidos devem agir com responsabilidade, zelo e sigilo no tratamento de dados pessoais.
E, por estarem de pleno acordo, firmam o presente instrumento .
Caruaru– PE, de de 2024.
ALMIR BEZERRA LEITE
Titular e Encarregado de Dados
[Nome do(a) Colaborador(a)]
CPF:
Empresa: BINÁRIA
Versão: 1.0
Data de emissão: 11/02/2024
Esta política tem por finalidade estabelecer normas e boas práticas para o uso de dispositivos móveis (como celulares, tablets e notebooks) no ambiente de trabalho da empresa BINÁRIA, visando garantir a segurança das informações, a proteção de dados pessoais e sensíveis dos clientes, e a conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD).
Aplica-se a todos os colaboradores, prestadores de serviços ou parceiros que utilizem dispositivos móveis próprios ou da empresa para executar atividades relacionadas às operações da ALMIR BEZERRA LEITE, incluindo:
O uso de dispositivos móveis deve obedecer aos seguintes princípios:
4.1. Requisitos obrigatórios para os dispositivos
4.2. Acesso a dados da empresa
4.3. Armazenamento e manuseio de dados
4.4. Conduta e sigilo
4.5. Em caso de perda, furto ou quebra
Ao assinar esta política, o colaborador se compromete a:
O descumprimento desta política poderá resultar em:
Esta política entra em vigor na data de sua assinatura e permanecerá válida enquanto o colaborador estiver vinculado às atividades da empresa.
A mesma será revisada anualmente ou sempre que necessário, conforme atualização tecnológica ou legal.
DECLARAÇÃO DE CIÊNCIA E COMPROMISSO
Eu, abaixo assinado(a), declaro ter lido, compreendido e me comprometo a cumprir integralmente esta Política de Uso de Dispositivos Móveis no Ambiente da Empresa BINÁRIA.
ALMIR BEZERRA LEITE
Titular e Encarregado de Dados
Nome do(a) Colaborador(a)
CPF:
Objetivo:
Estabelecer regras para controle de acesso físico e lógico aos sistemas, dispositivos e documentos que contêm dados pessoais ou sensíveis sob responsabilidade da empresa BINÁRIA, garantindo que apenas pessoas autorizadas acessem tais informações conforme suas atribuições funcionais.
Abrangência:
Esta política aplica-se a todos os recursos tecnológicos utilizados na rotina de trabalho, incluindo sistema de gestão, loja virtual, contas de e-mail, WhatsApp Business, dispositivos pessoais utilizados para atendimento (notebooks e celulares), planilhas e documentos armazenados em nuvem ou localmente.
Diretrizes Gerais:
Monitoramento e Auditoria:
Sanções e Responsabilidades:
Responsável pelo cumprimento:
E, por estarem de pleno acordo, firmam o presente instrumento .
Caruaru– PE, de de 2024.
ALMIR BEZERRA LEITE
Titular e Encarregado de Dados
[Nome do(a) Colaborador(a)]
CPF:
Objetivo:
Estabelecer critérios para a classificação das informações tratadas pela empresa BINÁRIA, bem como definir os níveis de proteção e procedimentos adequados para cada tipo de dado, com foco na preservação da confidencialidade, integridade e disponibilidade das informações.
Abrangência:
Aplica-se a todos os dados coletados, processados, armazenados ou compartilhados no âmbito das atividades comerciais, e administrativas da empresa, em meio físico ou digital.
Categorias de Informação:
Diretrizes para Tratamento:
Responsabilidades:
Sanções e Medidas Disciplinadoras:
Responsável pelo cumprimento:
E, por estarem de pleno acordo, firmam o presente instrumento .
Caruaru– PE, de de 2024.
ALMIR BEZERRA LEITE
Titular e Encarregado de Dados
[Nome do(a) Colaborador(a)]
CPF:
Objetivo:
Promover o conhecimento e a cultura de segurança da informação entre todos os envolvidos nas atividades da empresa BINÁRIA, assegurando o correto tratamento dos dados pessoais e sensíveis.
Abrangência:
Aplica-se a qualquer colaborador fixo ou temporário que tenha acesso a sistemas, documentos ou dados pessoais de clientes.
Diretrizes:
Responsável pelo cumprimento: Almir Bezerra Leite
E, por estarem de pleno acordo, firmam o presente instrumento .
Caruaru– PE, de de 2024.
ALMIR BEZERRA LEITE
Titular e Encarregado de Dados
[Nome do(a) Colaborador(a)]
CPF:
Objetivo:
Determinar os prazos adequados para retenção de dados pessoais, bem como os métodos seguros de descarte quando atingido o prazo ou finalizada a finalidade de tratamento.
Abrangência:
Aplica-se a todos os dados físicos e digitais sob posse da empresa.
Diretrizes:
Responsável pelo cumprimento:
E, por estarem de pleno acordo, firmam o presente instrumento .
Caruaru– PE, de de 2024.
ALMIR BEZERRA LEITE
Titular e Encarregado de Dados
[Nome do(a) Colaborador(a)]
CPF:
Objetivo:
Estabelecer procedimentos para identificação, registro, resposta e prevenção de incidentes que comprometam a segurança dos dados.
Abrangência:
Abrange qualquer incidente que envolva acesso não autorizado, perda, vazamento ou alteração indevida de dados.
Etapas de Resposta:
Responsável pelo cumprimento:
E, por estarem de pleno acordo, firmam o presente instrumento .
Caruaru– PE, de de 2024.
ALMIR BEZERRA LEITE
Titular e Encarregado de Dados
[Nome do(a) Colaborador(a)]
CPF:
Objetivo:
Definir o uso apropriado dos recursos tecnológicos e prevenir riscos à segurança da informação.
Diretrizes:
Responsável pelo cumprimento:
E, por estarem de pleno acordo, firmam o presente instrumento .
Caruaru– PE, de de 2024.
ALMIR BEZERRA LEITE
Titular e Encarregado de Dados
[Nome do(a) Colaborador(a)]
CPF:
Objetivo:
Garantir que dados pessoais sensíveis sejam tratados com nível máximo de cuidado, conforme os princípios da LGPD.
Diretrizes:
Responsável pelo cumprimento: Almir Leite
E, por estarem de pleno acordo, firmam o presente instrumento .
Caruaru– PE, de de 2024.
ALMIR BEZERRA LEITE
Titular e Encarregado de Dados
[Nome do(a) Colaborador(a)]
CPF:
Objetivo:
Regular o uso de aplicativos de comunicação para evitar o vazamento de dados pessoais.
Diretrizes:
Responsável pelo cumprimento: Almir Bezerra Leite
E, por estarem de pleno acordo, firmam o presente instrumento .
Caruaru– PE, de de 2024.
ALMIR BEZERRA LEITE
Titular e Encarregado de Dados
[Nome do(a) Colaborador(a)]
CPF:
Objetivo:
Garantir a transparência quanto ao uso de dados pessoais no ambiente virtual da empresa.
Diretrizes:
Responsável pelo cumprimento: ALMIR BEZERRA LEITE
Objetivo:
Manter a segurança e continuidade das operações em caso de incidentes críticos como perda de dispositivos, falhas técnicas ou ataques cibernéticos.
Diretrizes:
Responsável pelo cumprimento:
E, por estarem de pleno acordo, firmam o presente instrumento .
Caruaru– PE, de de 2024.
ALMIR BEZERRA LEITE
Titular e Encarregado de Dados
Estabelecer diretrizes para o uso adequado e responsável das redes sociais por colaboradores, parceiros e prestadores de serviço da BINÁRIA, protegendo a reputação da marca, a confidencialidade das informações e a conformidade com as normas internas e legislações aplicáveis, como a LGPD.
Esta política se aplica a:
3.1 Contas Institucionais
3.2 Perfis Pessoais
3.3 Atendimento e Contato com Clientes
O descumprimento desta política poderá resultar em:
Declaro que li, compreendi e estou de acordo com a Política de Boas Práticas no Uso de Redes Sociais da empresa BINÁRIA.
[Local], de de 20
COLABORADOR(A)
Assinatura:
Nome:
Cargo:
PROGRAMA DE PRIVACIDADE E
SEGURANÇA DA INFORMAÇÃO
(PPSI)
Versão 1
Caruaru, fevereiro de 2024
Este documento tem como referência fundamental A LEI 13709 e o Guia do Framework de Privacidade e Segurança da Informação baseado em diversas publicações e documentos técnicos já existentes que são utilizados amplamente por profissionais da área de privacidade e segurança da informação. Ele está disponibilizado aqui pela empresa Binária Sistemas, para que você o consulte sempre que necessário, e também para demonstrar nossa preocupação em seguir todas as suas orientações.
Este Guia será atualizado frequentemente, de acordo com as novas diretrizes determinadas pelas autoridades em privacidade e segurança da informação ou segundo eventuais alterações que ocorram nos normativos vigentes relacionados a privacidade e segurança da informação e outras referências utilizadas neste documento.
Agradecemos ao apoio do SEBRAE para que esse projeto pudesse ser colocado em prática.
Na administração privada, a governança em privacidade deve incluir as estratégias, habilidades, pessoas, processos e ferramentas que os órgãos e entidades precisam prover para conquistar a confiança dos servidores, clientes e fornecedores, e dos cidadãos e, ao mesmo tempo, cumprir com exigências apresentadas nos normativos de privacidade. Um Programa de Governança em Privacidade (PGP) captura e consolida os requisitos de privacidade com o intuito de ditar e influenciar como os dados pessoais são manuseados no seu ciclo de vida como um todo.
O Controle 21 do Guia do Framework de Privacidade e Segurança da Informação, estabelece que:
Controle 21: Governança – A governança em privacidade estabelece uma metodologia abrangente que influenciará permanentemente os processos de tomada de decisão com base em riscos de impacto à privacidade e melhorias contínuas na maturidade.
O gerenciamento de segurança e risco, bem como seus respectivos responsáveis, encontram, cada vez mais, requisitos complexos e restritivos a serem cumpridos para se ter, assim, uma efetiva governança em privacidade e manuseio de dados pessoais ao longo de seu ciclo de vida. Uma implementação ampla e inclusiva de um Programa de Governança em Privacidade é necessária para gerenciar riscos, em ascensão, nas mais variadas áreas.
Aumentar a confiança de todas as partes interessadas necessita que os gestores do gerenciamento de segurança e risco ampliem tanto a frequência quanto a amplitude da comunicação, para assim assegurar que o uso dos dados pessoais seja granular, com finalidades específicas e com riscos mapeados e sob controle.
O que é
A Lei 13.709, de 14 de agosto de 2018 – Lei Geral de Proteção de Dados Pessoais (LGPD), em sua Seção II, Das Boas Práticas e da Governança, informa, no Art. 5 sobre a definições de conceitos fundamentais que serão abordados:
Art. 5º Para os fins desta Lei, considera-se:
I – dado pessoal: informação relacionada a pessoa natural identificada ou identificável;
II – dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
III – dado anonimizado: dado relativo a titular que não possa ser identificado,
IV – banco de dados: conjunto estruturado de dados pessoais
V – titular: pessoa a quem se referem os dados pessoais que são objeto de tratamento;
VI – controlador: Pessoa física ou jurídica que faz uso dos dados pessoais, a quem competem as decisões referentes ao tratamento de dados pessoais. (art. 5º, VI, LGPD). É o controlador quem define quais dados são coletados, para qual finalidade são utilizados e que tipo de dados são tratados, por exemplo.
VII – operador: pessoa física ou jurídica que é contratada para realizar o tratamento de dados pessoais para um controlador. (art. 5º, VII, LGPD).
O operador não toma decisões sobre o tratamento de dados pessoais. Ele apenas trata os dados de acordo com as instruções do controlador.
A título de exemplo, um canal de venda online de livros possui um serviço de pagamento via cartão de crédito. O canal de vendas, nesse caso, é o controlador dos dados, enquanto o serviço de pagamento é o operador, ou seja, trata os dados pessoais por determinação do canal de vendas para a cobrança dos produtos.
É importante frisar que empregados, administradores, sócios, servidores e outras pessoas naturais que integram e atuam em nome da pessoa jurídica não devem ser considerados operadores, tendo em vista que o operador será sempre uma pessoa distinta do controlador, isto é, que não age como profissional subordinado a este.
VIII – encarregado:
O encarregado é a pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD. (art. 5º, VIII, LGPD).
Em algumas situações, como é o caso de alguns agentes de tratamento de pequeno porte (ex.: microempresas, empresas de pequeno porte, startups, entidades sem fins lucrativos, etc) que preenchem requisitos trazidos pela Resolução CD/ANPD nº 02/2022, determinados controladores podem estar dispensados de ter um encarregado pelo tratamento de dados pessoais.
Para as demais hipóteses a nomeação do encarregado é obrigatória, assim como a divulgação de um canal de contato com esse profissional, como telefone ou e-mail.
O encarregado pelo tratamento de dados pessoais tem as seguintes atribuições:
O Encarregado deve atuar internamente, monitorando o cumprimento das normas de proteção de dados, promovendo treinamentos periódicos e participando do desenvolvimento de novas iniciativas de organização, para que estas incorporem, desde a sua concepção, medidas para assegurar o cumprimento à LGPD (Privacy by design).
IX – agentes de tratamento: o controlador e o operador;
X – tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;
XI – anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;
XII – consentimento: manifestação pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;
XIII – bloqueio: suspensão temporária de qualquer operação de tratamento
XIV – eliminação: exclusão de dados
XV – transferência internacional de dados: transferência de dados pessoais para país estrangeiro
XVI – uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais
XVII – relatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco;
XVIII – órgão de pesquisa: órgão ou entidade que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico; e
XIX – autoridade nacional: órgão da empresa responsável por zelar, implementar e fiscalizar o cumprimento desta Lei em todo o território nacional
A Lei 13.709, de 14 de agosto de 2018 – Lei Geral de Proteção de Dados Pessoais (LGPD), em sua Seção II, Das Boas Práticas e da Governança, informa, no Art. 50 § 2º sobre as características mínimas de um Programa de Governança em Privacidade – PGP, conforme apresentado na Figura 1:
Figura 1. Características Mínimas de um Programa de Governança em Privacidade na LGPD
Diante das características de um Programa de Governança em Privacidade – PGP apresentadas pela LGPD é necessário também destacar seus principais atores:
Gateway
Contabilidade
Os dados do Encarregado estarão públicos e acessíveis no sítio eletrônico da empresa.
Figura 2. Atores na LGPD
Vale ressaltar que, ao contrário de um projeto, que tem início, meio e fim, esse programa estabelece uma metodologia abrangente que influenciará permanentemente os processos de tomada de decisão com base em riscos e melhorias contínuas na maturidade.
A Lei 13.709, de 14 de agosto de 2018 – Lei Geral de Proteção de Dados Pessoais (LGPD), em seu Capítulo III, que busca garantir os direitos fundamentais de liberdade, intimidade e privacidade do titular, traz uma série de direitos específicos. São eles:
A LGPD prevê uma série de direitos ao titular de dados pessoais em relação ao tratamento dos seus dados. Esses direitos incluem:
Estar em conformidade com leis e regulamentos de privacidade e proteção de dados pessoais, apoiando objetivos e metas mais amplos da organização.
Oferecer o máximo grau de privacidade, garantindo que os dados pessoais sejam protegidos automaticamente em qualquer sistema de TI ou prática de negócios, sem que seja necessária qualquer ação por parte do titular dos dados, pois ela já estará embutida no sistema, por padrão.
Os Indicadores de Performance (Key Performance Indicator – KPI) incluem a análise regular dos principais indicadores de desempenho para verificar lacunas no PGP-BINARIA SISTEMAS, assim como o status de outras iniciativas de privacidade.
Líderes responsáveis por cada frente de atuação do projeto (interação com o cliente, operações de TI, segurança, jurídico, operadores, entre outros)
O programa foi estruturado nas seguintes etapas, conforme Figura 3, e serão
descritas e detalhadas no próximo capítulo:
Figura 3. Etapas do Programa de Governança em Privacidade – PGP
Iniciação e Planejamento
A etapa de Iniciação e Planejamento busca compreender quais são as primeiras informações e os dados importantes que devem ser conhecidos. Com isso em mente, essa etapa é constituída pelos marcos apresentados na Figura 4, que serão detalhados a seguir.
Figura 4. Marcos da Etapa de Iniciação e Planejamento
Recomenda-se que o início seja dado pela nomeação do encarregado com ampla divulgação de tal ato para os colaboradores internos e demais interessados de acordo com os procedimentos de comunicação do órgão. O encarregado conduzirá a instituição no que diz respeito ao Programa de Governança em Privacidade, em conjunto com o Comitê de Governança Digital, instituído conforme o Art. 2º do Decreto nº 10.332, de 28 de abril de 2020
. De acordo com o referido decreto, o encarregado é um dos membros do Comitê de Governança Digital do respectivo órgão, que tem como objetivo deliberar sobre os assuntos relativos à implementação das ações de governo digital e ao uso de recursos de tecnologia da informação e comunicação.
O início também deve incluir a criação de uma estrutura organizacional para compor o conhecimento de dados pessoais em toda a entidade ou órgão, além de supervisionar as três etapas de ações executadas na criação e manutenção do Programa de Governança em Privacidade.
A indicação do encarregado deve acontecer no início do PGP. Conforme o Art. 5º inciso VIII da LGPD, o encarregado é a pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD.
Entre as competências de um encarregado apresentadas na LGPD, pode-se citar:
Figura 5. Competências do encarregado na LGPD3
Segundo a ANPD em seu Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado, a LGPD não distingue se o encarregado deve ser pessoa física ou jurídica, e se deve ser um funcionário da organização ou um agente externo. Menciona ainda que, considerando as boas práticas internacionais, o encarregado poderá ser tanto um funcionário da instituição quanto um agente externo, de natureza física ou jurídica, e sugere que sua indicação seja realizada por um ato formal, como um ato administrativo ou um contrato de prestação de serviços.
Além das competências elencadas pela LGPD, é importante que sejam considerados requisitos de experiência, conhecimentos e formação para o desempenho da função de encarregado. Assim, com base em inspiração resultante de pesquisa realizada em publicações associadas à General Data Protection Regulation recomenda-se que também sejam considerados para designação do encarregado os requisitos listados na Figura 6.
Figura 6. Requisitos para designação do encarregado
Considerando as boas práticas, é importante que a empresa assegure ao encarregados recursos adequados para realização de suas atividades, que podem incluir:
É válido destacar que o apoio da alta administração é essencial para o sucesso do trabalho executado pelo encarregado, incluindo seu envolvimento nas decisões relacionadas a tratamento de dados pessoais na instituição.
Diante da nítida importância do encarregado para a implementação da LGPD e,
consequentemente, para o PGP, a seguir é apresentada uma proposta de tópicos a serem abordados, analisados e tratados pelo encarregado. É recomendado que o trabalho a ser executado pelo encarregado também seja dividido em etapas e os seguintes passos são sugeridos:
Encarregado – Etapa de Iniciação e Planejamento
– Alinhamento de expectativas entre o encarregado e a alta direção do órgão;
– Apresentação, para as secretarias do órgão (secretários, diretores e coordenadores), do papel exercido pelo encarregado como relevante e influenciador;
– Como o encarregado pode servir e agregar valor ao órgão, dado o disposto na LGPD;
– Confirmar e garantir aos servidores do órgão que, enquanto representante interno da ANPD, seu papel deve ser uma assistência de grande valor e não um obstáculo;
– Priorização e foco em melhorias, tendo consciência da estrutura, dos requisitos de dados pessoais, bem como da maturidade de compliance do órgão;
– Lançamento e implementação de mecanismos para geração de relatórios internos de atividades de processamento de dados pessoais, sejam tais atividades novas, majoritárias ou com alterações;
– Conclusão de um inventário de dados pessoais, destacado no início desta seção, com a lista dos principais serviços que utilizam dados pessoais do órgão.
– Alcance de credibilidade e valor entre os dirigentes do órgão;
– Apresentação de minuta de política de privacidade aos dirigentes do órgão,
com o comprometimento de revisar, conforme os apontamentos de melhorias
sugeridos;
– Projeção ou refinamento de uma nova estratégia de privacidade: um
mapeamento do atual cenário e fornecimento de uma visão geral do
orçamento necessário para, no mínimo, os próximos 12 meses, bem como a
associação e o relacionamento aos pontos de atenção listados;
– Neste início sugere-se concentrar em poucos assuntos, balanceando entre as
áreas de maior risco e as mais simples do órgão, quanto a privacidade dos
dados. Por exemplo, alternar entre o projeto com maior risco, no que envolve
dados pessoais, e uma campanha de sensibilização para os servidores.
Ao longo da etapa de Iniciação e Planejamento é importante ainda alinhar as
expectativas com a alta administração, priorizando as ações mais urgentes, sem esquecer de mencionar os projetos e as estruturas da organização envolvidas. É importante destacar que o alinhamento com a Alta administração e a priorização de ações urgentes guiam o estabelecimento da cultura de proteção de dados na instituição.
Outro ponto a se analisar é a maturidade da organização, observando fatores como a rastreabilidade de dados – estruturando-os e descrevendo as informações tratadas em cada sistema -, a comunicação com o cidadão e a transparência (elaborando, por exemplo, a política de privacidade e termos de uso de serviços, bem como a comunicação sobre o uso de cookies).
Na etapa de Iniciação e Planejamento, medidas de segurança também devem ser analisadas e adotadas, revisando e propondo aprimoramento das diretrizes e cultura internas.
Nesse cenário, uma das ferramentas que podem auxiliar na construção do PGP como um todo é o Guia de Boas Práticas da LGPD. Com o objetivo de fornecer orientações de boas práticas aos órgãos e entidades da Empresa Federal direta, autárquica e fundacional para as operações de tratamento de dados pessoais, conforme previsto no art. 50 da LGPD, o Comitê Central de Governança de Dados (CCGD) instituído pelo Decreto 10.046, de 9 de outubro de 2019, publicou o Guia para propor caminhos que levem à sustentabilidade das ações de proteção aos dados pessoais para um país que hoje se projeta como uma potência na transformação digital de governo.
Recomenda-se ainda, como suporte para a estrutura do PGP, assim como para a realização das atividades do encarregado provenientes de sua atuação como canal de comunicação entre o controlador, os titulares dos dados e a ANPD o estabelecimento de uma estrutura organizacional para governança e gestão da proteção de dados pessoais, de acordo com o porte da instituição.
Para obter um mapeamento dos dados pessoais utilizados pelo órgão, recomenda-se a realização de um inventário de dados, especialmente dos dados pessoais.
O inventário consiste em uma excelente forma de fazer um balanço do que o órgão e entidade faz com os dados pessoais, identificando quais dados pessoais são tratados, onde estão e que operações são realizadas com eles.
Atualizado regularmente, o inventário permitirá atender tanto o requisito de manter um registro das operações de tratamento de dados pessoais, quanto o de auxiliar no controle do atendimento aos princípios, ambos estabelecidos pela LGPD.
O levantamento dos serviços que tratam dados pessoais no Inventário de Dados viabiliza a realização de um cruzamento com os contratos que os suportam. Esse mapeamento dos contratos relativos ao tratamento de dados pessoais contribui para possíveis e necessárias adequações contratuais, tanto nos contratos existentes, quanto nos futuros.
Incluir claúsulas que especifiquem:
Um PGP deve ser projetado para proteger os direitos do cidadão em relação à privacidade da informação e deve ser desenvolvido e implementado seguindo as leis jurisdicionais relevantes.
Assim, na etapa de construção de um programa de governança em privacidade, deve-se considerar os pontos de atenção listados na Figura 7.
Figura 7. Considerações da Etapa de Construção e Execução
Logo, os marcos a serem alcançados na etapa de Construção e Execução, apresentados na Figura 8, serão descritos e detalhados.
Figura 8. Marcos da Etapa de Construção e Execução
Na construção de um PGP devem ser especificadas políticas e práticas para proteger a privacidade do cidadão, garantindo que todos os usos dos dados pessoais são conhecidos e adequados de acordo com as leis, bem como sua proteção contra mau uso ou revelação inadvertida ou deliberada. Além disso, deve ser prevista a comunicação dessas políticas e procedimentos operacionais relacionados à proteção de dados pessoais às partes interessadas internas e externas.
Tal comunicação deve ser feita de acordo com os diversos canais de comunicação da instituição.
Além das políticas e práticas, papéis específicos dos colaboradores envolvidos na coleta, retenção, processamento, compartilhamento e eliminação de dados pessoais devem ser colocados em prática, assim como a educação dos colaboradores em relação a políticas e práticas de proteção de privacidade e dos cidadãos em relação aos seus direitos quanto à privacidade da informação.
Informações como a finalidade do órgão ou entidade e a base legal para tratamento de dados, obtidas no inventário dos dados pessoais, realizado na etapa de Iniciação e Planejamento, são úteis na construção das operações de tratamento. Tais informações auxiliam na determinação dos detalhes do ciclo de vida dos dados pessoais, por exemplo a finalidade do tratamento, como, onde e por quanto tempo é o armazenamento, entre outros.
A promoção de uma cultura de segurança e proteção de dados deve ser tratada na etapa de construção de um PGP com o intuito de comunicar os objetivos, metas e indicadores utilizados, além de divulgar o papel da Empresa como custodiante dos dados e sua responsabilidade ao tratar os dados pessoais dos cidadãos. As informações do PGP devem ser disponibilizadas de forma clara e eficiente, além de estarem facilmente acessíveis. Capacitação e treinamento devem ser oferecidos para que uma cultura de Privacidade desde a Concepção (privacy by design) seja instituída. O conceito de Privacidade desde a Concepção significa que a privacidade e a proteção de dados devem ser consideradas desde a concepção e durante todo o ciclo de vida do projeto, sistema, serviço, produto ou processo. Conforme o Guia de Boas Práticas da LGPD, tal privacidade pode ser alcançada por meio da aplicação dos 7 Princípios Fundamentais (Cavoukian, 2009), listados a seguir:
concepção exige que as instituições respeitem os direitos dos titulares dos dados pessoais. Isso é alcançado por meio de medidas como padrões fortes de privacidade, avisos apropriados e interfaces amigáveis que empoderem o titular dos dados. Os melhores resultados da privacidade desde a concepção, geralmente, são aqueles projetados de acordo com os interesses e necessidades dos titulares dos dados pessoais, que têm o maior interesse em gerenciar seus próprios dados.
É ainda na etapa de Construção e Execução do PGP que o Relatório de Impacto à Proteção de Dados Pessoais – RIPD deve ser elaborado. O RIPD representa um instrumento importante de verificação e demonstração da conformidade do tratamento de dados pessoais realizado pela instituição e serve tanto para a análise quanto para a documentação do tratamento dos dados pessoais. O RIPD visa descrever os processos de tratamento de
dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco.
O Guia de Boas Práticas da LGPD, em sua seção 2.5 apresenta orientações no sentido de auxiliar os órgãos e entidades a elaborar um RIPD.
Ainda na etapa de Construção e Execução do PGP, tem-se o desenvolvimento e/ou a atualização das diretrizes internas de proteção de dados pessoais. Deve ser verificado se não há tratamento excessivo de dados, se os controles de segurança são suficientes para os dados tratados, se é necessário a retenção de determinados dados tratados e se é necessário revisar contratos. Desse modo, torna-se fundamental o desenvolvimento de uma política de segurança da informação da instituição, conforme a Instrução Normativa n. 1 de 27 de maio de 20208, do Gabinete de Segurança Institucional da Presidência da República (GSI/PR), bem como de uma política de privacidade de dados. A LGPD, em seu art. 6º, apresenta características da política de privacidade, que deve estabelecer, entre outros:
As medidas de segurança para a proteção dos dados pessoais devem ser implementadas na etapa de Construção do programa de governança em privacidade.
Segurança desde a Concepção (security by design) e a importância de se tomar medidas preventivas precisam ser consideradas, bem como a gestão dos riscos, a gestão de incidentes e a violação dos dados.
Por fim, mas não menos importante, os direitos dos titulares precisam ser gerenciados. Devem ser destacadas e elucidadas questões como a diferença entre o titular e o custodiante do dado pessoal, do ponto de vista da Empresa, bem como as obrigações quanto ao fornecimento de informações aos titulares com relação ao tratamento dos dados pessoais, termo de uso e política de privacidade.
Para adaptar os contratos, convênios e outros instrumentos que impliquem no tratamento de dados pessoais, mapeados pelo Inventário realizado na etapa de Iniciação e Planejamento, é importante rever os documentos vigentes e os dados já coletados. No âmbito dos contratos administrativos, pode ser necessário que a Empresa revisite as cláusulas contratuais econômicas firmadas, mesmo após concluído o certame. Pode ser preciso incluir novas cláusulas, conforme os princípios da LGPD, apresentados em seu art. 6º. Como um dos princípios listados é a transparência, torna-se essencial que o
contrato apresente informações claras e objetivas, abordando, se pertinente:
▪ Delimitações claras e objetivas das responsabilidades do controlador e
operador;
▪ A forma que é realizada a coleta e o tratamento de dados;
▪ A existência da possibilidade de o titular acessar os seus dados coletados;
▪ A forma que é realizada a correção, bloqueio ou eliminação de dados mediante solicitação do titular;
▪ A existência da possibilidade de revogação do consentimento dado pelo
titular;
▪ O detalhamento de quem tem acesso aos dados, o responsável por seu uso e tratamento, a forma de armazenamento e as particularidades de possíveis auditorias;
▪ As medidas de proteção e segurança dos dados coletados e armazenados pela contratada.
Conforme o Guia de elaboração de Termo de Uso e Política de Privacidade, publicado pela SGD, Termo de Uso é um documento que fornece uma descrição detalhada do serviço, das condições e das regras aplicáveis a ele. Isto posto, a Política de Privacidade faz parte do Termo de Uso e consiste na prestação de informações ao titular sobre o tratamento dos dados pessoais e a privacidade fornecida.
O Termo de Uso ou Contrato de Termo de Uso é uma espécie de contrato de adesão cujas cláusulas são estabelecidas de forma unilateral pelo fornecedor do serviço sem que o usuário possa discutir ou modificar substancialmente seu conteúdo. Esse contrato é celebrado entre o prestador e o usuário do serviço e estabelece os direitos e obrigações de cada uma das partes.
A Política de Privacidade origina-se da responsabilidade de os agentes de tratamento de dados serem transparentes com o titular de dados pessoais e informarem como as atividades de tratamento desses dados atendem os princípios dispostos no artigo 6º da LGPD. Portanto, este documento constitui, ao mesmo tempo, um dever do controlador e um direito do titular.
O Termo de Uso e Política de Privacidade devem ser constantemente atualizados a fim de refletir, de modo claro e preciso, as regras aplicáveis ao serviço e as finalidades de coleta, uso, armazenamento, tratamento e proteção dos dados pessoais dos titulares, que geralmente serão utilizados pelo órgão e entidade no exercício de suas competências legais ou execução de políticas públicas, devidamente previstas em lei, regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres.
Recomenda-se que o encarregado, na etapa de Construção/Execução, realize as atividades apresentadas no quadro a seguir.
Encarregado – Etapa de Construção e Execução
– Implementação do plano de ação elaborado e detalhado na etapa de Planejamento;
– Demonstração, para os dirigentes do órgão, do progresso e dos rresultados obtidos com as atividades envolvendo o inventário dos dados e a divulgação e conscientização da LGPD junto aos servidores.
– Se necessário, redefinição de prioridades, baseando-se nos resultados alcançados e no retorno dos dirigentes e secretarias do órgão.
– Estabelecimento e manutenção de documentação relacionada à LGPD e
aos dados pessoais tratados no órgão, com informações sobre: atividades em andamento e planejadas; responsáveis pelos serviços e sistemas que utilizam dados pessoais; e incidentes e vazamento de dados pessoais.
– Definição de mecanismos de reportes internos, assegurando transparência e rapidez na troca de informação, além de reafirmar o papel como facilitador, suporte e nunca um obstáculo.
Acompanhar a conformidade à LGPD é uma atividade contínua e necessária para os órgãos e entidades manterem PGP a longo prazo. Assim sendo, esta última etapa do PGP aborda aspectos, detalhados nas próximas seções, que incluem, em grande parte, coleta e análise de informações, bem como elaboração de relatórios e apresentações de resultados.
A Figura 9 apresenta os marcos da Etapa de Monitoramento, que serão apresentados a
seguir.
Figura 9. Marcos da Etapa Monitoramento
Os Indicadores de Performance (Key Performance Indicator – KPI) incluem a análise regular dos principais indicadores de desempenho para verificar lacunas no programa de governança em privacidade assim como o status de outras iniciativas de privacidade.
Recomenda-se o uso dos seguintes indicadores:
termo de uso elaborado / quantidade de serviços do órgão * 100;
elaborado / quantidade de serviços do órgão * 100;
realizados / quantidade de treinamentos previstos * 100;
para um determinado serviço: quantidade de controles de segurança e
privacidade implementados para um determinado serviço / quantidade total de
controles de segurança e privacidade identificados para o serviço * 100.
Conscientização e Treinamento
Políticas e Procedimentos
Segurança da Informação
Governança de Dados
Relacionamento com Terceiros
Avaliação e Melhoria Contínua
É importante incluir nesta etapa do PGP um processo de Gestão de Incidentes, que conte com um planejamento de resposta a incidentes adequado à LGPD e que registre os incidentes de segurança da informação e de privacidade ocorridos, armazenando informações como:
É válido também implementar e manter controles e procedimentos específicos para detecção, tratamento, coleta/preservação de evidências e resposta a incidentes de segurança da informação e privacidade, de forma a reduzir o nível de risco ao qual a Solução de TIC e/ou o órgão contratante estão expostos, considerando os critérios de aceitabilidade de riscos definidos pelo órgão contratante.
É recomendado ainda que a Gestão de Incidentes possua um Plano de Comunicação orientando a forma que os incidentes de segurança, que acarretem risco ou dano, sejam informados aos órgãos fiscalizatórios e à imprensa.
O reporte de resultados também é indicado na etapa de monitoramento para demonstrar o valor do PGP à alta administração. Mostrar a evolução das ações e resultados obtidos, bem como o papel da privacidade para o cidadão reforçam e fortalecem a cultura de privacidade dos dados.
O encarregado, dado seu papel de articulação, exerce função fundamental nessa etapa, conforme apontado no quadro a seguir:
Encarregado – Etapa de Monitoramento
– Gerenciamento do estabelecimento de métricas para auxiliar no acompanhamento das ações do programa de governança em privacidade;
– Divulgação dos resultados entre as diversas áreas do órgão – estabelecimento de uma estrutura de divulgação de resultados para a alta direção dos órgãos e entidades.
A incorporação de todos os passos apresentados nas 3 etapas, listados na Figura 10, em um PGP ajudará a garantir que o programa abordará os regulamentos de privacidade de dados e ajudará a criar a confiança do cidadão titular dos dados por meio da demonstração do cuidado com seus dados pessoais e sua privacidade.
Figura 10. Passos das Etapas do Programa de Governança em Privacidade
Esse guia serviu de base para a implantação completa de LGPD na empresa Binária Sistemas, comprovando seu compromisso em atender plenamente a legislação vigente.
Esta política estabelece diretrizes, responsabilidades e limites para o acesso técnico realizado pela BINÁRIA em equipamentos, sistemas, servidores, bancos de dados e ambientes tecnológicos pertencentes aos seus clientes, visando assegurar a confidencialidade, integridade, disponibilidade e proteção das informações acessadas durante atividades de suporte, manutenção, implantação, monitoramento ou diagnóstico técnico.
A política busca proteger tanto a BINÁRIA quanto seus clientes contra riscos relacionados a vazamentos de informações, acessos indevidos, uso inadequado de dados e incidentes de segurança da informação.
Esta política aplica-se a:
Abrange ainda:
O acesso técnico somente poderá ocorrer mediante solicitação, autorização contratual, chamado técnico formalizado ou necessidade operacional devidamente registrada.
Todo acesso deverá limitar-se estritamente às atividades necessárias para execução do serviço solicitado.
É proibido:
Os acessos remotos deverão ocorrer preferencialmente mediante:
Sempre que possível, o cliente deverá acompanhar o atendimento remoto.
Credenciais fornecidas pelos clientes deverão:
Durante procedimentos técnicos, os profissionais da BINÁRIA poderão acessar:
A BINÁRIA reconhece tais informações como confidenciais e protegidas pela LGPD.
Os profissionais envolvidos deverão:
Qualquer suspeita de:
deverá ser imediatamente comunicada à direção da BINÁRIA e ao cliente afetado.
O descumprimento desta política poderá resultar em:
Caruaru – PE, ____ de _______________ de 2024.
ALMIR BEZERRA LEITE
Responsável pela Segurança da Informação
Colaborador(a)
Nome: _________________________________
CPF: __________________________________
Garantir que todas as atividades de suporte remoto e manutenção técnica realizadas pela BINÁRIA ocorram de forma segura, controlada e compatível com os princípios da segurança da informação e da LGPD.
Todo suporte remoto deverá:
As conexões remotas deverão ocorrer preferencialmente mediante:
É proibido durante atendimentos remotos:
Os técnicos deverão atuar sob princípio de acesso mínimo necessário.
As informações visualizadas durante suporte deverão ser consideradas confidenciais independentemente de contrato específico.
Os atendimentos deverão possuir:
A BINÁRIA compromete-se a:
Estabelecer controles específicos para proteção de dados pessoais e biométricos tratados em sistemas de relógio de ponto comercializados, implantados ou mantidos pela BINÁRIA.
Os sistemas podem envolver:
Os dados biométricos são considerados dados sensíveis pela LGPD.
Seu tratamento deverá observar:
Os sistemas deverão possuir:
A BINÁRIA atuará como operadora de dados quando prestar suporte técnico aos sistemas dos clientes.
O cliente controlador permanece responsável pelas definições legais relacionadas ao tratamento dos dados dos funcionários.
Estabelecer procedimentos seguros para recebimento, manutenção, transporte, armazenamento e devolução de equipamentos de informática pertencentes aos clientes da BINÁRIA.
Todo equipamento recebido deverá possuir:
Durante manutenções, os equipamentos poderão conter:
Os técnicos deverão evitar acessos desnecessários aos arquivos.
Equipamentos em manutenção deverão permanecer:
Garantir o descarte seguro de equipamentos e mídias eletrônicas contendo dados pessoais, empresariais ou sensíveis acessados pela BINÁRIA durante suas operações técnicas.
Antes do descarte deverão ser realizados:
Equipamentos contendo dados deverão permanecer:
A BINÁRIA deverá:
O descarte inadequado de mídias eletrônicas pode gerar vazamento de informações protegidas pela LGPD e prejuízos aos clientes, sendo obrigatória a adoção integral desta política por todos os profissionais envolvidos
Se precisar contatar nosso encarregado, favor enviar email para: encarregado@binaria.com.br
