2. ABRANGÊNCIA

As regras e diretrizes dispostas nesta política visam o correto tratamento de dados pessoais pela CDL POA.

4.4 Bases Legais de Tratamento

4.4.1 Tratamento de Dados Pessoais

A CDL POA, ao tratar dado pessoal, o faz mediante uma das bases legais, lembrando que a LGPD prevê como hipóteses:

I – mediante o fornecimento de consentimento pelo titular;

II – para o cumprimento de obrigação legal ou regulatória pelo controlador;

III – pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres;

IV – para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;

V – quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;

VI – para o exercício regular de direitos em processo judicial, administrativo ou arbitral;

VII – para a proteção da vida ou da incolumidade física do titular ou de terceiro;

VIII – para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;

IX – quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou

X – para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente.

4.4.2 Tratamento de Dados Pessoais Sensíveis

A CDL POA, em algumas de suas atividades, coleta biometria de titulares exclusivamente para: identificação do titular.

4.4.2.1 Hipóteses de Tratamento do Dado Sensível

A CDL POA, ao tratar dado sensível, o faz mediante uma das hipóteses legais, lembrando que a LGPD prevê como hipóteses:

I – quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas;

II – sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para:

a) cumprimento de obrigação legal ou regulatória pelo controlador;

b) tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos;

c) realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais sensíveis;

d)exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral; e) proteção da vida ou da incolumidade física do titular ou de terceiro;

f) tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;

g) garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos e exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.

4.5 Do uso compartilhado de Dados Pessoais

A CDL POA compartilha dados na execução do Serviço Central de Proteção ao Crédito embasado nas hipóteses legais de tratamento previstas na LGPD.

4.6 Da Duração do Tratamento

A duração do tratamento dos dados pessoais, inclusive os sensíveis, observa os prazos fixados por lei e/ou cláusulas contratuais específicas, bem como considera a finalidade pela qual foram coletados, em conformidade com a legislação aplicável (nacional).

Após o término do prazo de tratamento, os dados são eliminados ou anonimizados, ressalvada a hipótese para cumprimento de dever legal.

4.7 Direitos do Titular

Os titulares de dados podem, a qualquer momento, solicitarem as seguintes informações sobre seus dados pessoais:

a) confirmação da existência de tratamento;

b) acesso aos dados;

c) correção de dados incompletos, inexatos ou desatualizados;

d) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;

e) portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial;

f) eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no art.16 da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais);

strong>g)informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;

h) informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;

i) revogação do consentimento.

Caso queira tomar conhecimento sobre os direitos dos titulares de dados, para que possa ter o esclarecimento sobre dúvidas relacionadas ao tema, contate o Encarregado/DPO através do canal mencionado nessa Política.

4.8 Encarregado/DPO

O Encarregado pelo tratamento de dados pessoais ou Data Protection Officer (DPO) é a pessoa indicada para atuar como canal de comunicação entre o controlador, os titulares dos dados pessoais, zelando para que o acesso a ele seja facilitado, de forma gratuita, clara e pública nos meios de comunicação do agente de tratamento, e a Autoridade Nacional de Proteção de Dados (ANPD). No caso da CDL POA é representado por Virgínia Neves de Menezes, onde atende as demandas pelo e-mail encarregadodedados@cdlpoa.com.br.

As atividades do encarregado consistem em:

• Receber reclamações e comunicações dos titulares bem identificados, prestar esclarecimentos e adotar providências;
• Receber comunicações da ANPD e adotar providências;
• Orientar os colaboradores e os contratados da CDL POA a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;
• Coordenar a elaboração do relatório de impacto à proteção de dados pessoais, documento que poderá ser exigido pela ANPD nos casos que envolverem, por exemplo, utilização de legítimo interesse como base legal;
• Assegurar o cumprimento das políticas de privacidade e proteção de dados pelos colaboradores da CDL POA;

O Encarregado trabalha em conjunto com as demais áreas da CDL POA, para o correto monitoramento das atividades relacionadas à privacidade.

4.9 Privacidade desde a Concepção

O conceito de Privacidade desde a Concepção significa que na CDLPOA a privacidade e a proteção de dados são consideradas desde a concepção e durante todo o ciclo de vida do projeto, sistema, serviço ou processo.

• Proativo, e não reativo; preventivo, e não corretivo;
• Privacidade é o padrão dos sistemas de TI ou práticas de negócio;
• Privacidade incorporada ao projeto (Design);
• Funcionalidade Total;
• Segurança e proteção de ponta a ponta;
• Visibilidade e transparência;
• Respeito pela privacidade do titular.

A CDL POA adota medidas adequadas para garantir que, por padrão, apenas serão são processados os dados pessoais necessários para cumprimento da(s) finalidade(s) específica(s) definida(s).

4.10 Comitê de Privacidade

Com o objetivo de tratar todas as questões relacionadas ao cumprimento dessa política, a CDL POA tem em sua estrutura o Comitê de Privacidade que é formado pelo seguinte grupo: Virgínia Neves de Menezes (Gestora Jurídica, de Compliance e DPO), Celso Pelliccioli (Gestor de Tecnologia e Informação) e Maico Renner (Superintendente).

4.11 Auditoria Interna

Os controles relacionados à privacidade de proteção de dados serão monitorados anualmente pela equipe de auditoria interna da CDL POA.

• A abordagem de riscos e controles se guiará a partir de uma matriz de riscos;
• As adequações das áreas frente ao determinado pela lei serão incluídas como planos de ação no ICG;
• Os processos verificados estarão previstos no cronograma da auditoria interna onde serão realizados testes específicos sobre os riscos e controles anualmente.