Política de Privacidade de Dados Cooper BrasVias

(Conforme as disposições da Lei Geral de Proteção de Dados – LGPD – Lei nº 13.709/2018)

1. Objetivo

Estabelecer diretrizes, responsabilidades e procedimentos para o tratamento seguro e adequado de dados pessoais pela Cooper BrasVias, em conformidade com a Lei Geral de Proteção de Dados Pessoais — LGPD, com as normas da Agência Nacional de Proteção de Dados — ANPD e com as obrigações contratuais assumidas perante clientes, parceiros, cooperados e demais controladores.

2. Abrangência

Este escopo aplica-se:

  • à Diretoria;

  • aos colaboradores;

  • aos cooperados;

  • aos prestadores de serviços;

  • aos fornecedores;

  • aos parceiros;

  • aos usuários dos sistemas;

  • a qualquer pessoa que tenha acesso a dados pessoais tratados pela cooperativa.

Aplica-se aos dados armazenados em sistemas, planilhas, documentos físicos, e-mails, portais, aplicativos, bancos de dados e demais meios utilizados pela cooperativa.

3. Governança e responsabilidades

3.1 Alta Gestão

Compete à Diretoria:

  • apoiar o cumprimento da LGPD;

  • aprovar políticas e procedimentos;

  • disponibilizar recursos para proteção de dados;

  • acompanhar riscos e incidentes;

  • promover a cultura de privacidade na organização.

3.2 Encarregada pelo Tratamento de Dados Pessoais — DPO

A cooperativa nomeia como responsável:

Maria Fernanda da Silva
Cargo: Encarregada pelo Tratamento de Dados Pessoais — DPO
E-mail: dpo@cooperbrasvias.org.br
Telefone: (11) 2361-6652

São responsabilidades do DPO:

  • receber solicitações dos titulares;

  • prestar esclarecimentos;

  • orientar colaboradores e cooperados;

  • acompanhar o cumprimento da LGPD;

  • intermediar comunicações com controladores e com a ANPD;

  • acompanhar incidentes de segurança;

  • manter registros das providências adotadas;

  • promover treinamentos e ações de conscientização.

3.3 Áreas internas

Cada área deve:

  • tratar apenas os dados necessários;

  • manter os dados corretos e atualizados;

  • respeitar os níveis de acesso;

  • comunicar irregularidades ao DPO;

  • colaborar no atendimento aos titulares;

  • cumprir os prazos estabelecidos.

4. Identificação dos agentes de tratamento

Antes do início de cada atividade, a cooperativa deverá identificar sua posição como:

  • Controladora: quando decidir as finalidades e os elementos essenciais do tratamento;

  • Operadora: quando tratar dados conforme instruções de outra organização;

  • Controladora conjunta: quando as decisões forem tomadas em conjunto com outra organização;

  • Suboperadora: quando for contratada por um operador para executar parte do tratamento.

A classificação deverá considerar as atividades efetivamente realizadas e constar nos contratos aplicáveis.

5. Mapeamento das atividades de tratamento

A cooperativa manterá um registro das operações de tratamento contendo, no mínimo:

  • categoria dos titulares;

  • dados pessoais tratados;

  • origem dos dados;

  • finalidade;

  • fundamento legal;

  • sistemas e documentos utilizados;

  • pessoas e áreas com acesso;

  • compartilhamentos realizados;

  • controlador responsável;

  • operadores e suboperadores;

  • prazo de retenção;

  • forma de eliminação;

  • medidas de segurança;

  • eventual transferência internacional.

O mapeamento deverá ser revisado semestralmente ou sempre que houver alteração relevante em sistemas, contratos, serviços ou obrigações legais.

6. Princípios aplicáveis

Todo tratamento de dados deverá observar:

  • finalidade;

  • adequação;

  • necessidade;

  • livre acesso;

  • qualidade dos dados;

  • transparência;

  • segurança;

  • prevenção;

  • não discriminação;

  • responsabilização e prestação de contas.

Não deverão ser coletados dados excessivos ou incompatíveis com a finalidade informada.

7. Tratamento de dados pessoais sensíveis

Dados sobre origem racial ou étnica, religião, opinião política, filiação sindical, saúde, vida sexual, dados genéticos ou biométricos somente poderão ser tratados quando estritamente necessários e mediante fundamento legal adequado.

O acesso deverá ser limitado a pessoas autorizadas, com controles reforçados de segurança e confidencialidade.

8. Política de Privacidade e transparência

A cooperativa deverá manter Política de Privacidade disponível aos titulares, apresentando:

  • quais dados são coletados;

  • para quais finalidades;

  • fundamentos legais;

  • compartilhamentos;

  • prazo de retenção;

  • direitos dos titulares;

  • canais de atendimento;

  • identificação e contato do DPO;

  • informações sobre segurança;

  • hipóteses de atualização da política.

9. Gestão de riscos de privacidade

Os riscos deverão ser avaliados considerando:

  • natureza e volume dos dados;

  • quantidade de titulares;

  • existência de dados sensíveis;

  • pessoas com acesso;

  • sistemas utilizados;

  • compartilhamentos;

  • impactos de vazamento, perda ou alteração;

  • consequências para os direitos dos titulares.

Os riscos identificados deverão ser registrados, classificados e acompanhados pela Diretoria e pelo DPO, com definição de medidas corretivas, responsáveis e prazos.

10. Medidas técnicas e organizacionais

A cooperativa deverá adotar, conforme a natureza de suas atividades:

  • controle de acesso por usuário e senha;

  • perfis de acesso por função;

  • senhas fortes;

  • autenticação adicional, quando disponível;

  • registro de acessos e alterações;

  • cópias de segurança;

  • atualização de sistemas;

  • proteção contra códigos maliciosos;

  • bloqueio de usuários desligados;

  • criptografia durante a transmissão de dados;

  • restrição ao compartilhamento de documentos;

  • armazenamento em ambientes autorizados;

  • proteção de documentos físicos;

  • revisão periódica de permissões;

  • anonimização ou pseudonimização, quando aplicável;

  • gestão de vulnerabilidades;

  • testes de segurança proporcionais ao risco.

11. Treinamento e conscientização

Serão promovidos treinamentos periódicos para colaboradores, cooperados, gestores e demais pessoas com acesso a dados pessoais.

Os treinamentos abordarão:

  • princípios da LGPD;

  • responsabilidades dos agentes;

  • ética e confidencialidade;

  • uso seguro dos sistemas;

  • prevenção de vazamentos;

  • reconhecimento de fraudes;

  • atendimento aos titulares;

  • comunicação de incidentes;

  • descarte seguro de documentos;

  • consequências do uso indevido dos dados.

As ações poderão ocorrer por reuniões presenciais, reuniões on-line, comunicados internos e divulgações no Portal do Cooperado.

Deverão ser mantidos registros de presença, materiais apresentados, datas, instrutores e públicos participantes.

12. Contratos de tratamento de dados

Os contratos com clientes, parceiros, operadores e fornecedores deverão estabelecer:

  • qualificação das partes;

  • papel de cada agente de tratamento;

  • objeto e finalidade do tratamento;

  • categorias de dados;

  • titulares envolvidos;

  • duração do tratamento;

  • instruções do controlador;

  • dever de confidencialidade;

  • medidas de segurança;

  • comunicação de incidentes;

  • atendimento aos titulares;

  • auditorias e fornecimento de evidências;

  • contratação de suboperadores;

  • retenção, devolução ou eliminação dos dados;

  • responsabilidade por descumprimentos;

  • encerramento do tratamento.

13. Contratação de suboperadores

Quando a cooperativa atuar como operadora, nenhum suboperador deverá ser contratado para tratar dados relacionados ao contrato sem autorização prévia do controlador, quando exigida.

A contratação deverá ser registrada e incluir obrigações de proteção de dados equivalentes às assumidas pela cooperativa.

14. Atendimento aos direitos dos titulares

As solicitações poderão ser recebidas pelo e-mail do DPO, Portal do Cooperado, formulário eletrônico ou atendimento presencial.

O processo deverá incluir:

  1. recebimento da solicitação;

  2. registro e geração de protocolo;

  3. confirmação da identidade;

  4. classificação do direito solicitado;

  5. encaminhamento à área responsável;

  6. localização dos dados;

  7. análise jurídica e operacional;

  8. execução da providência;

  9. resposta ao titular;

  10. arquivamento das evidências.

Poderão ser solicitados:

  • confirmação do tratamento;

  • acesso aos dados;

  • correção;

  • anonimização;

  • bloqueio;

  • eliminação;

  • informação sobre compartilhamentos;

  • revogação do consentimento;

  • oposição;

  • portabilidade;

  • revisão de decisão automatizada, quando aplicável.

A resposta deverá ser clara, segura e gratuita. Quando o pedido não puder ser atendido, deverá ser apresentada justificativa.

15. Qualidade e atualização dos dados

No momento do cadastro, deverão ser conferidos documentos, campos obrigatórios e possíveis duplicidades.

Os dados deverão ser atualizados:

  • por solicitação do titular;

  • na renovação de cadastro ou contrato;

  • quando houver alteração de telefone, e-mail, endereço ou dados bancários;

  • quando forem identificadas divergências;

  • durante revisões periódicas.

As alterações deverão registrar, sempre que possível:

  • responsável;

  • data;

  • informação anterior;

  • informação atualizada;

  • motivo da alteração.

Quando a cooperativa atuar como operadora, qualquer imprecisão relevante deverá ser comunicada formalmente ao controlador.

16. Retenção, anonimização e eliminação

Os dados serão mantidos apenas pelo período necessário para:

  • execução dos contratos;

  • cumprimento de obrigação legal ou regulatória;

  • exercício de direitos;

  • atendimento de finalidades legítimas e documentadas;

  • cumprimento das instruções do controlador.

Encerrada a necessidade, os dados deverão ser:

  • eliminados de forma segura;

  • anonimizados;

  • devolvidos ao controlador;

  • mantidos de forma restrita quando houver obrigação legal.

A eliminação deverá abranger sistemas, documentos, planilhas, dispositivos e cópias acessíveis, observadas as limitações técnicas de backups.

17. Suspensão, restrição ou oposição ao tratamento

Ao receber determinação do controlador para suspender, bloquear, restringir ou interromper um tratamento, o DPO deverá:

  1. registrar a solicitação;

  2. identificar os sistemas e dados envolvidos;

  3. comunicar as áreas responsáveis;

  4. limitar imediatamente os acessos, quando necessário;

  5. executar a providência;

  6. confirmar a conclusão ao controlador;

  7. manter evidências da ação.

18. Portabilidade e fornecimento de dados

Quando solicitado pelo titular ou pelo controlador, os dados deverão ser disponibilizados em formato eletrônico estruturado, de uso comum e acessível, como planilha ou arquivo compatível, desde que a medida seja tecnicamente possível e legalmente permitida.

Antes do envio, deverão ser verificados:

  • identidade do solicitante;

  • legitimidade do pedido;

  • dados que podem ser fornecidos;

  • presença de informações de terceiros;

  • canal seguro de transmissão;

  • registro da entrega.

19. Gestão de incidentes de segurança

Todo colaborador, cooperado ou prestador deverá comunicar imediatamente situações como:

  • envio de dados à pessoa errada;

  • perda de documentos ou equipamentos;

  • acesso não autorizado;

  • vazamento de senha;

  • invasão de sistema;

  • exclusão indevida;

  • alteração não autorizada;

  • compartilhamento irregular;

  • indisponibilidade relevante.

O procedimento deverá compreender:

  1. identificação;

  2. registro do incidente;

  3. contenção;

  4. preservação de evidências;

  5. análise dos dados e titulares afetados;

  6. avaliação dos riscos e impactos;

  7. comunicação ao controlador;

  8. análise da necessidade de comunicação à ANPD e aos titulares;

  9. correção da vulnerabilidade;

  10. elaboração de relatório;

  11. acompanhamento das medidas preventivas.

Nenhuma pessoa deverá comunicar incidentes externamente sem autorização da Diretoria, do Jurídico ou do DPO.

20. Transferência internacional

A cooperativa deverá identificar se sistemas, plataformas, serviços de armazenamento ou fornecedores mantêm dados fora do Brasil.

Quando houver transferência internacional, deverão ser avaliados:

  • país de destino;

  • empresa destinatária;

  • finalidade;

  • fundamento jurídico;

  • medidas de segurança;

  • mecanismo contratual aplicável;

  • informações fornecidas aos titulares.

A inexistência de matriz ou filial no exterior não elimina a possibilidade de transferência internacional por meio de fornecedores de tecnologia.

21. Segurança de documentos físicos

Documentos físicos com dados pessoais deverão:

  • permanecer em armários ou locais controlados;

  • ser acessados apenas por pessoas autorizadas;

  • não permanecer expostos em mesas ou áreas comuns;

  • ser transportados de forma segura;

  • ser descartados por fragmentação ou método que impeça a recuperação;

  • possuir controle de retirada, quando necessário.

22. Comunicação e cultura de privacidade

O Programa de Proteção de Dados deverá ser divulgado periodicamente por:

  • Portal do Cooperado;

  • sistema interno;

  • comunicados;

  • reuniões presenciais;

  • reuniões on-line;

  • treinamentos;

  • orientações das lideranças.

A Diretoria deverá reforçar a obrigatoriedade de cumprimento das regras e incentivar o relato de riscos ou irregularidades.

23. Registros e evidências

Para comprovar a implementação do programa, deverão ser mantidos:

  • ato de nomeação do DPO;

  • Política de Privacidade;

  • Política de Segurança da Informação;

  • inventário de dados;

  • registro das operações de tratamento;

  • matriz de riscos;

  • contratos e cláusulas de proteção de dados;

  • registros de treinamentos;

  • listas de presença;

  • solicitações de titulares;

  • registros de atualizações cadastrais;

  • registros de incidentes;

  • comunicações aos controladores;

  • autorizações de suboperadores;

  • registros de descarte;

  • revisões de acesso;

  • relatórios de auditoria;

  • planos de ação e evidências de conclusão.

24. Revisão do programa

O escopo deverá ser revisado semestralmente pela área responsável e pelo DPO, considerando:

  • aprendizados anteriores;

  • observações das áreas internas;

  • manifestações de colaboradores e cooperados;

  • incidentes registrados;

  • alterações em contratos e sistemas;

  • novos serviços;

  • atualizações legais e regulatórias.

25. Aprovação

Este escopo entra em vigor após aprovação da Diretoria e deverá ser divulgado a todos os colaboradores, cooperados e prestadores envolvidos no tratamento de dados pessoais.

Responsável pela aprovação: Arnaldo Forner da Silva

Encarregada pelo Tratamento de Dados Pessoais — DPO:
Maria Fernanda da Silva

Esta Política de Privacidade está vigente de 19/01/2024 a 19/01/2028.

CONHEÇA A NOSSA DPO

© 2024. Todos os direitos reservados.

Política de Privacidade de Dados