2.png

Versão: 02   Data: 18/09/2020   Autor: Comitê LGPD 

Versão: 02   Data: 18/09/2020   Autor: Comitê LGPD 

POLÍTICA DE PRIVACIDADE DE DADOS PESSOAIS DA MD2 

 

1.INTRODUÇÃO

A informação é um ativo valioso para a MD2 e é essencial para que consigamos cumprir nossa missão de prestação de serviço com excelência. 

 

A Segurança da Informação visa proteger a empresa de um grande número de ameaças para assegurar a continuidade do negócio e preservar os direitos fundamentais de seus titulares. Um programa de Governança de Dados e uma política de segurança dos dados pessoais apresenta à sociedade e principalmente aos nossos colaboradores que lidam com os processos em todas as áreas, a nossa adesão e conformidade total aos princípios, fundamentos e diretivas de proteção digital dos dados sob nossa custódia. 

 

Nossos processos de negócio e seus respectivos tratamento de dados são revisados constantemente para que respeitem por natureza o aspecto da privacidade dos dados (privacy by design). Os riscos que identificamos são calculados e priorizamos suas mitigações com planos de ação formalizados, ações e possíveis incidentes formalizados e tratados, indicadores para monitoramento dos aspectos relativos à proteção e uso dos dados pessoais são estabelecidos e acompanhados. 

 

Geramos relatórios e painéis indicativos para o encarregado e lideranças da MD2 com o objetivo de viabilizar a governança e melhoria constante em todos os aspectos relativos à conformidade LGPD para que um estado diligente esteja estabelecido e mantido. 

 

Esta política é derivada das políticas anteriores da MD2 que abordam os aspectos de segurança da informação baseados nas normas ISO 27000, acrescidas das normativas ABNT em relação a privacidade dos dados e outros aspectos específicos regidos pela lei 13709/2018 (LGPD). 

 

A MD2 entende que a informação corporativa é um bem essencial para nossas atividades e para resguardar a qualidade de nossos serviços. 

 

A MD2 compreende que as manipulações de nossas informações são realizadas por diferentes meios e suporte, armazenamento e comunicação, sendo esses vulneráveis a fatores externos e internos que podem comprometer a segurança das informações corporativas. 

 

A MD2 através de sua direção geral e conselho executivo promove, incentiva e estimula fortemente a manutenção e evolução constante desta política interna de proteção dos dados das pessoas com as quais a organização mantém qualquer tipo de relação comercial, administrativa ou assistencial, garantindo o tratamento de seus dados pessoais para os propósitos estabelecidos entre as partes em conformidade com a lei e nossos princípios morais e éticos. 

 

Dessa forma, estabelecemos nossa política de proteção dos dados pessoais, como parte integrante do nosso sistema de gestão corporativo, alinhado as boas práticas e normas internacionalmente aceitas, com o objetivo de garantir níveis adequados às metas e necessidades da MD2. 

 

2.PROPÓSITO 

2.1 Esta Política tem por propósito estabelecer diretrizes e normas de segurança da informação que permitam aos colaboradores e parceiros de negócios da MD2 adotar padrões de comportamento seguro e adequados em relação a proteção dos dados pessoais e outros dados internos e confidenciais da organização. 

 

2.2 Orientar em relação a adoção de controles e processos para atendimento dos requisitos de segurança da informação e às legislações em relação a proteção dos dados pessoais como a lei 13709/2018 (LGPD). 

 

2.3 Resguardar as informações da MD2, garantindo requisitos básicos de confidencialidade, integridade e disponibilidade. 

 

2.4 Prevenir incidentes com segurança e tratamento de dados como uso inadequado de bases de dados, tratamento de dados sem hipóteses previstas em lei, vazamento de dados e responsabilização legal da empresa, nossos parceiros e colaboradores. 

 

2.5 Minimizar os riscos de autuação pela agência reguladora (ANPD), processos judiciais, perda de confiança do mercado, exposição institucional da empresa por problema de inconformidade e outros impactos negativos que a falta de segurança e de processos adequados a legislação possa acarretar. 

 

2.6 Garantir os direitos dos titulares previstos no Artigo 18 da lei 13709/2018. 

 

3.ESCOPO 

Esta política se aplica a todos os usuários das informações tratadas pela MD2 incluindo qualquer indivíduo ou organização que possui ou possuiu vínculo com a empresa como: funcionários, ex-funcionários, fornecedores, prestadores de serviços, parceiros de negócios, que possuíram ou possuem ou virão a possuir acesso as informações da MD2 e fazem uso, ou fizeram dos recursos computacionais e acessos aos serviços de dados e/ou bases de dados da empresa. 

 

3.1 COMPLIANCE LEI 13.709/2018 

 

Este documento estabelece a Política de Segurança da Informação e adesão à Lei 13709/2018 da MD2. 

 

A Política de Governança de Dados que inclui a Política de Segurança possui como objetivo definir regras e procedimentos para garantir que os objetivos de proteção dos dados da organização sejam atendidos, assim como os princípios fundamentais da lei 13.709/2018. 

 

É importante que as informações assim como a cultura do cenário de tratamento de dados impostos pela LGPD sejam divulgadas e compreendidas por todos os colaboradores da empresa, sejam elas da alta administração, gerentes, funcionários, terceirizados ou estagiários e que todos estejam conscientes da importância de se entender e adotar esta Política. 

 

A Política estabelece regras para que independente do processo, do usuário, da infraestrutura ou sistema, todos os envolvidos na organização tenham um padrão de utilização dos diversos recursos que envolve a Segurança da Informação e Proteção dos Dados Pessoais da empresa - assim, o cuidado com a proteção dos dados sejam uma cultura e hábitos disseminados (privacy by default) e os processos de negócios sejam revisados e/ou criados com o objetivo e conceito de Proteção dos Dados Pessoais desde a sua concepção (privacy by design). 

 

Os controles de Governança, de um modo geral, e a Política, em particular, foram definidos para garantir um nível de segurança coerente com o negócio da MD2. 

 

4. DIRETRIZES 

O Objetivo da segurança da informação e proteção dos dados pessoais tratados pela MD2 é garantir a gestão efetiva de todos os aspectos relacionados à segurança e governança do uso dos dados, provendo suporte as operações críticas de negócio e minimizando os riscos identificados em cada departamento e/ou processo de negócio ou tratamento de dados respectivo e seus impactos à organização. 

 

4.1 A Presidência, Diretoria Executiva, e o comitê de proteção dos dados pessoais, ou Comitê LGPD estão comprometidos com uma gestão efetiva de proteção dos dados pessoais na MD2 e adotam medidas cabíveis para garantir que esta política seja adequadamente comunicada, entendida e seguida em todos os níveis da organização. Serão realizadas revisões periódicas com o objetivo de se manter esta política realista, aplicável sem comprometer o negócio MD2, garantindo seu propósito primário. 

 

4.2 A MD2 declara como política de proteção de dados pessoais: 

 

4.2.1 Elaborar, implantar e seguir por completo as políticas, normas e procedimentos de proteção dos dados pessoais, garantindo os requisitos básicos de confidencialidade, integridade e disponibilidade da informação da MD2, atingidos através de adoção de controle contra ameaças provenientes de fontes internas e externas. 

 

4.3.2 Disponibilizar Políticas, normas e procedimentos de proteção dos dados pessoais a todas as partes interessadas e autorizadas tais como: Colaboradores, prestadores de serviços, parceiros e onde for aplicável em fornecedores e clientes. 

 

4.3.3 Garantir a educação e conscientização sobre as práticas de proteção dos dados pessoais adotadas pela MD2 a todas as partes interessadas e autorizadas tais como: Colaboradores, prestadores de serviços, parceiro. 

 

4.3.4 Atender integralmente a lei 13709/2018 e aos requisitos de segurança da informação aplicáveis por outras legislações pertinentes e cláusulas específicas contratuais com parceiro de negócios. 

 

4.3.5 Tratar integralmente os incidentes de uso dos dados e ou segurança da informação garantindo que eles sejam devidamente registrados, classificados, investigados, tratados e quando necessário comunicado as partes interessadas (ANPD/TITULARES/DIRETORIAS). 

 

4.3.6 Garantir a continuidade do negócio adotando a melhoria contínua e planos de ação com objetivos de segurança das informações e uso legal dos dados. 

 

4.3.7 Melhorar continuamente a gestão da segurança da informação, qualidade dos dados, governança dos enquadramentos dos registros de dados baseados nas hipóteses legais previstas na LGPD. 

 

5. PAPÉIS E RESPONSABILIDADES 

5.1 COMITÊ LGPD/SEGURANÇA DA INFORMAÇÃO 

 

5.1.1 Institui-se o COMITÊ LGPD/SEGURANÇA DA INFORMAÇÃO que é composto pela participação de representantes sêniores das diretorias de tecnologia da informação, jurídico, RH, marketing, comunicação, liderado pelo Encarregado (DPO) nomeado no item 7.1 – Nomeação DPO. 

 

5.1.2 As responsabilidades do COMITÊ LGPD/SEGURANÇA DA INFORMAÇÃO: 

  • Analisar, revisar e propor a aprovação de políticas e normas relacionadas a proteção dos dados pessoais; 

  • Garantir a disponibilidade de recursos necessários para uma gestão efetiva do programa de proteção dos dados pessoais; 

  • Garantir que as atividades de governança e segurança dos dados estejam em conformidade com esta política; 

  • Promover a divulgação da Política de proteção dos dados pessoais e disseminar a cultura de proteção dos dados, uso legal, conceito de privacidade de dados desde a concepção e por padrão na MD2. 

 

5.2 ENCARREGADO e GERENTE DA SEGURANÇA DA INFORMAÇÃO 

 

5.2.1 AS RESPONSABILIDADES: 

  • Conduzir a gestão e operação da governança dos dados, revisões contínuas nos processos de negócio com base nesta política e com base nas definições do COMITÊ LGPD/SEGURANÇA DA INFORMAÇÃO; 

  • Apoiar o COMITÊ LGPD/SEGURANÇA DA INFORMAÇÃO em suas deliberações; 

  • Identificar, avaliar e comunicar as ameaças e a proteção dos dados pessoais e implantar as medidas corretivas para reduzir os riscos inerentes; 

  • Tomar as ações cabíveis para se fazer cumprir os termos desta política; 

  • Realizar a gestão e comunicação dos incidentes de uso inadequado e segurança. 

 

5.3 GESTORES DE ÁREAS 

 

5.3.1 RESPONSABILIDADES 

  • Gerenciar os processos de negócios e tratamentos de dados formalizados e informações geradas sob suas responsabilidades durante todo o seu ciclo de vida, incluindo a criação, manuseio e seus descartes, dentro da linha de enquadramento legal dos registros de dados nos sistemas, seus controles de uso até o momento da sua exclusão ou anonimização no caso de fim de finalidades de uso ou falta de enquadramento legal para tratamento; 

  • Identificar, classificar e rotular as informações geradas ou sob responsabilidade da área ajustando a classificação e rotulagem quando necessário. Todos os processos relevantes de negócio que tratam dados pessoais devem ser formalizados, assim como seus respectivos tratamentos de dados/finalidades e hipóteses legais que subsidiam os respectivos tratamentos; 

  • Revisar os processos de negócio/tratamento de dados e identificação dos ativos e suas classificações periodicamente ou sempre que houver mudanças de sistemas ou bases relevantes de dados e/ou diretivas do COMITÊ LGPD; 

  • Autorizar e revisar os acessos a informação e sistemas de informação sob sua responsabilidade; 

  • Solicitar a concessão ou revogação de acessos a informações e sistemas de acordo com os procedimentos adotados pela MD2. 

 

5.4 USUARIOS DA INFORMAÇÃO 

 

5.4.1 RESPONSABILIDADES 

  • Ler, compreender e executar integralmente os termos da política de proteção dos dados pessoais assim como as normas e procedimentos adicionais publicadas; 

  • Enviar dúvidas ou solicitações de esclarecimentos sobre a política de proteção dos dados pessoais ao COMITÊ LGPD quando necessário de forma documentada; 

  • Comunicar ao COMITÊ LGPD e gerar notificação no sistema de incidentes sob qualquer evento que possa violar esta política e suas normas publicadas; 

  • Assinar o termo de uso dos sistemas de informação da MD2 e conhecimento desta política, formalizando a ciência e o aceite integral de seus termos e conteúdo e assumindo as responsabilidades pelo seu cumprimento; 

  • Responder sob a inobservância desta política suas normas e procedimentos inerentes conforme as sanções e punições previstas. 

 

6. SANÇÕES E PUNIÇÕES 

6.1 As violações, mesmo que por omissão, ou tentativa frustrada desta política, suas normas e procedimentos publicados podem acarretar em penalidades que incluem advertência verbais, notificações formais, suspensão não remunerada, cancelamento de contrato (no caso de parceiros de negócio ou prestadores de serviços), e demissão por justa causa do funcionário da empresa. 

 

6.2 A Aplicação de sanções e punições poderá ser realizada de acordo com a definição do COMITÊ LGPD, onde a gravidade do incidente ou ameaça e/ou dano causado será avaliado, além da recorrência e as hipóteses previstas nos contratos e/ou no artigo 482 da CLT, pode o COMITÊ LGPD, no uso disciplinar que lhe é atribuído em conjunto com o departamento de RH e/ou jurídico aplicar a pena cabível. 

 

6.3 Para violações que estejam relacionadas a atividades criminosas ou que possam acarretar dano a MD2 ou aos titulares das informações, o infrator será responsabilizado pelos prejuízos cabendo a aplicação de medidas judiciais. 

 

7. DECLARAÇÃO DE COMPROMETIMENTO DA DIRETORIA 

A Diretoria da MD2 declara-se comprometida em um programa de Governança que envolve a Segurança e Proteção dos Dados Pessoais de seus clientes e qualquer pessoa ou entidade acerca de seus negócios garantindo a Confidencialidade, Integridade e Disponibilidade deles, conforme legislação brasileira boas práticas de governança de dados. 

 

Nos comprometemos com os fundamentos e princípios de uso dos dados pessoais regidos pela lei 13.709/2018 para uso dos dados de forma consentida pelo seu titular ou enquadramento em nosso direito ou dever de tratamento através das 10 hipóteses previstas em lei. Nos comprometemos com conscientização de todo nosso time de colaboradores, diretorias e executivos e processos adequados para uso legal dos dados. 

7.1 DECLARAÇÃO JURÍDICA E DIVULGAÇÃO GERAL DA POLÍTICA: 

Referência: Política Empresarial de Privacidade 

 

A MD2 se preocupa com a privacidade dos dados das pessoas que nos confiam seus dados pessoais para propósitos de negócio como clientes, empresas em prospecção, nossos colaboradores e parceiros de negócios. 

 

Construímos nossa política de proteção dos dados pessoais e mecanismos de proteção deles, assim como revisão dos processos de negócio para garantir o uso legal dos dados e novos processos para atender aos direitos dos titulares. 

 

Tratamos somente os dados necessários para nossa rotina de negócios, não realizamos abordagem de pessoas de forma massiva ou direta, obtemos apenas os dados mínimos para atender alguma requisição de nossos clientes, ou público geral e parceiros sobre nossos produtos e serviços. Os dados de nossos colaboradores são armazenados e utilizados para execução de seu contrato com a empresa sejam em relações empregado x empregador ou contratado contratante. 

 

Elegemos nosso encarregado o Sr. Italo de Souza Lucena, e-mail: italo.lucena@md2net.com.br e telefone: 83 988505022 que está à disposição da autoridade nacional ou dos titulares para atender a seus direitos previstos na lei. 

  

7.2 NOSSO PAPEL DE CONTROLADOR DE DADOS PESSOAIS 

A MD2 assume o papel de Controlador de dados pessoais e para isso estabelece mecanismos de proteção a esses dados e os serviços para prover aos titulares das informações que tratamos para exercerem seus direitos de confirmação do tratamento, acesso, possibilidade de atualização, portabilidade dentre outros. 

 

A MD2 no papel de Controlador trata dados pessoais de clientes, possíveis clientes em prospecção, colaboradores, prestadores de serviços e fornecedores. Para tal realizamos os enquadramentos devidos nas hipóteses previstas em Lei, revisando e formalizando nossos processos de tratamentos de dados, formalizando cada etapa crítica onde os dados são coletados, armazenados, compartilhados, processados e assim, calculando riscos e planejando mecanismos de mitigação dos mesmos para evitar isso inadequado e vazamento de dados a luz de mecanismos tecnológicos de segurança digital, políticas e procedimentos e processos revisados e desenhados com os aspectos privacidade por natureza.(privacy by design). 

 

7.3 PARTES INTERESSADAS (ABNT NBR ISO/IEC:2019) 

 

Governo, sócios, clientes, colaboradores, prestadores de serviços pessoa física, parceiros de negócios, empresas prestadoras de serviços (contabilidade, R&S), e fornecedores. 

 

7.4 PRINCIPAIS MECANISMOS - PROTEÇÃO DOS DADOS PESSOAIS 

 

A Base de nosso programa de conformidade à LGPD é estabelecida a partir dessa Política, onde buscamos abordar todos os procedimentos acerca do tema Segurança da Informação e uso legal dos dados pessoais que transacionam com a empresa. Para isso estabelecemos alguns mecanismos chaves que estabelece um arcabouço estruturado para um Sistema de Gestão da Privacidade e da Informação (3.2 ABNT NBR ISO/IEC 27701:2019) - SGPI, que considera a proteção de privacidade como potencial afetada pelo tratamento dos dados pessoais. 

 

Essa Política apresentará o conjunto de processos que estabelecem os mecanismos para Segurança dos Dados em nossa custódia, considerando processos, pessoas, infraestrutura e tecnologia para uso dos, seguindo os princípios, fundamentos e hipóteses legais previstas em lei e a observação de todos os artigos que regem a LGPD e finalmente os mecanismos de gestão da melhoria continua que visa a observação dessa própria política geral (este documento, nesta revisão e versão) e todos os demais processos de Segurança e uso legal dos dados, em um verdadeiro ciclo de monitoramento e melhoramentos possíveis, ou, que possam ser exigidos por normativas, diretivas e portarias legais a partir das comunicações e/ou novas exigências da ANPD (Agência Nacional de Proteção dos Dados Pessoais).