Você está em:
Seja um cooperado1. OBJETIVO
A Uniprime está comprometida e apoia as diretrizes estabelecidas nesta Política, bem como na legislação aplicável, fortalecendo os negócios, as parcerias e as relações com os Titulares de Dados Pessoais.
2. DEFINIÇÕES
Os termos abaixo descritos terão os significados aqui apresentados, sempre que aqui referidos, independentemente de outras definições indicadas em outros documentos, sejam eles da Uniprime e/ou de quaisquer de seus parceiros.
- AgentesdeTratamento: o Controlador e o Operador.
- Anonimização: processo por meio do qual o dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, considerados os meios técnicos razoáveis e disponíveis no momento do tratamento.
- Autoridade Nacional de Proteção de Dados (ANPD): órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional.
- Colaborador: empregado, corpo diretivo, jovens aprendizes, estagiários, auxiliares, prepostos, prestadores de serviços, terceirizados ou qualquer outro indivíduo que venha a ter relacionamento profissional, direta ou indiretamente, com a Uniprime.
- Comunicação de Incidente de Segurança: ato do Controlador que comunica à ANPD e ao Titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos Titulares.
- Consentimento: manifestação livre, informada e inequívoca pela qual o Titular concorda com o Tratamento de seus Dados Pessoais para uma finalidade determinada.
- Controlador: pessoa física ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao Tratamento dos Dados
Pessoais.
- DadoPessoal: toda e qualquer informação relativa a uma pessoa natural identificada ou identificável.
- Dado Pessoal Sensível: Dado Pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico.
- Encarregado pelo Tratamento de Dados Pessoais (Encarregado): pessoa indicada pela Uniprime para atuar como canal de comunicação entre o Uniprime, os Titulares e a ANPD.
- Incidente de Segurança: qualquer evento adverso confirmado, relacionado à violação das propriedades de confidencialidade, integridade, disponibilidade e autenticidade da segurança de Dados Pessoais.
- Infração: descumprimento de obrigação estabelecida na LGPD e na regulamentação expedida pela ANPD.
- Legítima Expectativa: é a expectativa razoável do Titular, que deve ser demonstrada pelo Controlador, de que o Tratamento de Dados Pessoais, para finalidade pretendida, é o esperado em determinada situação concreta.
- Lei Geral de Proteção de Dados Pessoais (LGPD): Lei Federal nº 13.709/2018.
- MedidasdeSegurança: medidas técnicas e/ou administrativas adotadas para proteger os Dados Pessoais de acessos não autorizados e de situações, acidentais ou ilícitas, de destruição, perda, alteração, comunicação ou difusão.
- Operador: pessoa física ou jurídica, de direito público ou privado, que realiza o Tratamento de Dados Pessoais em nome do Controlador.
- Política: refere-se a esta Política de Governança em Privacidade e Proteção de Dados.
- Relatório de Impacto à Proteção de Dados Pessoais (RIPD): documentação do Controlador que contém a descrição dos processos de
Tratamento de Dados Pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco.
- Titular:pessoa natural identificada ou identificável a quem se referem os Dados Pessoais.
- Tratamento:toda operação realizada com Dados Pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.
- Uniprime: refere-se ao Sistema Uniprime como um todo, englobando a Uniprime Central juntamente com suas Cooperativas Filiadas.
- Violação: qualquer atividade que desrespeite as regras estabelecidas nesta Política.
- PRINCÍPIOS NORTEADORES DA PROTEÇÃO DE DADOS PESSOAIS
Todas as atividades de Tratamento de Dados Pessoais realizadas no âmbito da Uniprime devem ser regidas pela boa-fé e estar em conformidade com os seguintes princípios:
- Finalidade:o Tratamento de Dados Pessoais deve atender a propósitos legítimos, específicos, explícitos e informados ao Titular, sendo vedado o tratamento posterior de forma incompatível com essas finalidades.
- Adequação: o Tratamento de Dados Pessoais deve ser compatível com as finalidades informadas ao Titular, de acordo com o contexto do Tratamento.
- Necessidade: o Tratamento de Dados Pessoais deverá ser limitado ao mínimo necessário para o cumprimento das finalidades pretendidas e expostas ao Titular, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades de Tratamento dos Dados Pessoais.
- Livre acesso: aos Titulares deverá ser garantida a consulta facilitada e gratuita sobre a forma e a duração do Tratamento, bem como sobre a integralidade de seus Dados Pessoais.
- Qualidade dos dados: aos Titulares deverá ser garantida a exatidão, a clareza, a relevância e a atualização dos Dados Pessoais, de acordo com a necessidade para cumprimento da finalidade de seu Tratamento.
- Transparência: as informações sobre o Tratamento e atuação do Controlador e/ou Operador devem ser apresentadas ao Titular de forma clara, precisa e facilmente acessível, respeitados os segredos comercial e industrial.
- Segurança: deverão ser adotadas medidas técnicas e organizacionais aptas a proteger os Dados Pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.
- Prevenção: adoção de medidas técnicas e organizacionais a fim de prevenir a ocorrência de danos em virtude do Tratamento de Dados Pessoais.
- Não discriminação: as atividades de Tratamento de Dados Pessoais jamais poderão objetivar fins discriminatórios, ilícitos ou abusivos.
- Responsabilização e Prestação de Contas: demonstração, pelo Agente de Tratamento, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de Dados Pessoais, e, inclusive, da eficácia dessas medidas.
- BASES LEGAIS PARA TRATAMENTO DE DADOS PESSOAIS E DE DADOS PESSOAIS SENSÍVEIS
O Tratamento de Dados Pessoais, de acordo com a legislação vigente, somente pode ser realizado nas seguintes hipóteses:
- Mediante o fornecimento do Consentimento pelo Titular;
- Para o cumprimento de obrigação legal ou regulatória pelo Uniprime;
- Quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o Titular, a pedido deste;
- Para o exercício regular de direitos em processo judicial, administrativo ou arbitral;
- Para a proteção da vida ou da incolumidade física do Titular ou de terceiro;
- Quando necessário para atender aos interesses legítimos da Uniprime ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do Titular que exijam a proteção dos Dados Pessoais; ou
- Para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente.
O Tratamento de Dados Pessoais Sensíveis somente poderá ocorrer quando o Titular ou o seu responsável legal consentir, de forma específica e destacada, para finalidades específicas, ou, sem o fornecimento do Consentimento do Titular, nas hipóteses em que for indispensável para:
- Cumprimento de obrigação legal ou regulatória pela Uniprime;
- Exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral;
- Proteção da vida ou da incolumidade física do Titular ou de terceiro;
- Garantia de prevenção à fraude e à segurança do Titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos mencionados no art. 9º da LGPD e exceto no caso de prevalecerem direitos e liberdades fundamentais do Titular que exijam a proteção dos Dados Pessoais.
- TRATAMENTO DE DADOS PESSOAIS
A Uniprime deverá informar os Titulares com relação a:
- Finalidade específica do Tratamento;
- Forma e duração do Tratamento, observados os segredos comercial e
industrial;
- Identificação e informações de contato da Uniprime;
- Informações acerca do uso compartilhado dos Dados Pessoais pela Uniprime, enquanto Controladora, e a finalidade desta atividade de Tratamento;
- Responsabilidades dos Agentes que realizarão o Tratamento;
- Informação sobre a transferência de Dados Pessoais para fora do Brasil; e
- Direitos do Titular.
- Coleta
A coleta do Dado Pessoal é o processo de obter informações do Titular e pode ser (i) ativo, em que o indivíduo está ciente que a coleta de informações é realizada e adota uma ação positiva para permiti-la; ou (ii) passivo, em que a coleta ocorrer sem exigir qualquer ação do Titular.
A coleta deve atender aos princípios apresentados no item 3 desta Política, em especial o princípio da necessidade, ou seja, deve ser limitada ao mínimo de dados necessários para atendimento da finalidade pretendida, de modo proporcional e não excessivo.
- Uso
O uso dos Dados Pessoais deve ser realizado dentro dos limites das finalidades legitimadas na coleta, de acordo com a base legal definida e com as regras dispostas nas normas da Uniprime, em especial o Procedimento para Manuseio de Dados Pessoais.
Caso haja necessidade de realizar o Tratamento do Dado Pessoal para finalidade diversa da informada no momento da coleta (uso secundário ou reaproveitamento dos Dados Pessoais coletados) é necessário verificar:
- Qualquer ligação entre a finalidade para qual os Dados Pessoais foram coletados e a finalidade do novo Tratamento;
- O contexto em que os Dados Pessoais foram tratados e a relação entre o Titular e a Uniprime;
- Se o Dado Pessoal coletado está sendo compartilhado com outros Agentes de Tratamento;
- As consequências do novo Tratamento para o Titular de Dados Pessoais; e
- A existência de medidas de proteção adequadas, a exemplo de criptografia ou pseudonimização.
As informações dispostas no item acima devem ser encaminhadas ao Encarregado para que seja definido se o novo Tratamento já está, ou não, legitimado. Caso não esteja, o Encarregado deverá propor as estratégias de como este Tratamento pode ser legitimado antes de ser realizado.
- Privacidade desde a Concepção
A Uniprime deve incorporar proativamente a privacidade e a proteção dos Dados Pessoais em práticas de negócios, infraestrutura, produtos, serviços, processos ou qualquer outra iniciativa que envolva o Tratamento de Dados Pessoais, de modo a antecipar e prevenir situações que possam afetar a privacidade do Titular em observâncias às iniciativas de privacy by design e privacy by default.
A Uniprime deve aplicar estratégias aptas a proporcionar padrões de privacidade éticos e transparentes, visando garantir a conformidade com a legislação e uma experiência coerente ao Titular em relação ao Tratamento dos seu Dados Pessoais.
- Contratos
Os gestores de áreas deverão assegurar que em todas as contratações cuja execução do objeto ensejará Tratamento de Dados Pessoais sejam respaldadas pela formalização de instrumento contratual que disponha de cláusulas com as obrigações e responsabilidades dos Agentes de Tratamento, em observância à legislação aplicável.
- Direitos dos Titulares
A Uniprime deve recepcionar e avaliar as solicitações dos Titulares para exercício dos seus direitos com relação aos seus Dados Pessoais, a exemplo da confirmação do Tratamento, do acesso aos Dados Pessoais, da correção de Dados Pessoais, da revogação do Consentimento, portabilidade, anonimização, bloqueio e eliminação de Dados Pessoais.
As tratativas e providências com relação às solicitações dos Titulares deverão ser realizadas pelo Encarregado, com o apoio das áreas de negócio da Uniprime.
- Consentimento
Se a finalidade do Tratamento de Dados Pessoais for justificada pela base legal do Consentimento, a obtenção do Consentimento deve ocorrer por meio de manifestação livre, informada e inequívoca do Titular, e em observância às regras dispostas no Procedimento para Uso e Gestão do Consentimento como base legal autorizadora para o Tratamento de Dados Pessoais.
Não é permitido o Tratamento de Dados Pessoais mediante vício do Consentimento.
- Legítimo Interesse
O Tratamento de Dados Pessoais que tiver fundamento no legítimo interesse deverá ser analisado pela Uniprime para fins de identificação da Legítima Expectativa, a qual deverá seguir as regras dispostas no Procedimento de Relatório de Impacto à Proteção de Dados Pessoais.
- Relatório de Impacto à Proteção de Dados Pessoais
A elaboração do Relatório de Impacto à Proteção de Dados Pessoais será exigível especialmente nas seguintes hipóteses:
- Houver o Tratamento de Dados Pessoais Sensíveis;
- Houver o Tratamento de alto risco, passível de gerar impactos aos Titulares e definido de acordo com os normativos publicados pela ANPD;
- O Tratamento de Dados Pessoais estiver amparado na base legal do legítimo interesse.
- Decisões Automatizadas
As decisões da Uniprime realizadas com base em Tratamento automatizado de Dados Pessoais deverão ser acompanhadas pelo registro interno das informações, claras e adequadas, sobre os critérios utilizados para este Tratamento.
O Titular tem direito a solicitar a revisão de decisões tomadas unicamente com base em Tratamento automatizado de Dados Pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade.
- Manutenção dos Dados Pessoais
Os Dados Pessoais deverão ser eliminados pela Uniprime após o término do respectivo Tratamento, sendo autorizada a conservação dos dados para as seguintes finalidades:
- Cumprimento de obrigação legal ou regulatória pela Uniprime;
- Estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização dos Dados Pessoais;
- Transferência a terceiro, desde que respeitados os requisitos de Tratamento de Dados Pessoais dispostos na LGPD; ou
- Uso exclusivo da Uniprime, vedado o seu acesso por terceiros e desde que os Dados Pessoais sejam submetidos à Anonimização.
- Armazenamento
O armazenamento dos Dados Pessoais pode ser realizado em ambiente físico ou eletrônico e deverá observar as regras de armazenamento previstas pela Uniprime.
Os meios físicos e digitais de armazenamento dos Dados Pessoais devem assegurar a segurança e a qualidade dos respectivos dados, os quais deverão ser mantidos exatos e atualizados, de acordo com a necessidade para cumprimento da finalidade de Tratamento.
No caso de armazenamento que enseje a transferência internacional de Dados Pessoais, o gestor responsável deverá informar o Encarregado para que este avalie as adequações do Tratamento às leis as quais a Uniprime estará submetida.
- Compartilhamento
O compartilhamento de Dados Pessoais ou de documentos e de arquivos contendo Dados Pessoais somente poderá ser realizado para Agente de Tratamento autorizado e desde que observadas as medidas de segurança indicadas pela área de Tecnologia da Informação.
Somente os Dados Pessoais estritamente necessários para a finalidade deverão ser compartilhados pela Uniprime, devendo a operação de compartilhamento ser indicada no registro das operações de Tratamento de Dados Pessoais.
- Eliminação
Após cumprida a finalidade de Tratamento e findo o prazo de manutenção os Dados Pessoais devem ser eliminados de modo seguro e permanente, independentemente se em meios físicos ou eletrônicos, observadas as diretrizes de descarte seguro estabelecidas pela Uniprime.
- Segurança da Informação
A Uniprime deve adotar medidas de segurança, técnicas e administrativas, aptas a proteger os Dados Pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de Tratamento inadequado ou ilícito.
As diretrizes de segurança estabelecidas pela Uniprime devem ser observadas em todo o ciclo de vida do Dado Pessoal.
- Incidente de Segurança com Dados Pessoais
Todos os Colaboradores têm o dever de notificar a Uniprime imediatamente por meio do contato do Encarregado, sem demora injustificada, acerca de qualquer
Incidente de Segurança com Dados Pessoais, confirmado ou sob suspeita, além de cooperar para a investigação e mitigação dos efeitos do incidente, observadas as diretrizes previstas no Procedimento de Resposta a Incidentes de Violação de Dados Pessoais.
- PROGRAMA DE GOVERNANÇA EM PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS
Para que o programa de governança em privacidade e proteção de dados pessoais da Uniprime seja efetivo e produza resultados positivos, é importante que os Colaboradores sigam as regras dispostas nesta Política e nas demais políticas e procedimentos que compõem o programa.
Esta Política entra em vigor na data de sua publicação.