política de privacidade

Etapas de tratamento de dados na 4CO

Cuidados em todas as fases do projeto

Ao executar qualquer etapa do projeto, os colaboradores e parceiros da 4CO devem sempre ter em mente os princípios da Lei Geral de Proteção de Dados. A coleta e o tratamento de dados devem ser limitados a sua finalidade, de modo que dados que não possuem ligação com o objeto e a finalidade do projeto não devem ser coletados.

O Anexo III – Manual de Boas Práticas no Tratamento de Dados deve ser utilizado como base para todo o tratamento dos dados, desde o início do projeto até a exclusão definitiva dos dados, a fim de se evitar armazenamento e envio de dados por meios inadequados ou vulneráveis, especialmente quando se tratar de dados pessoais coletados e tratados pela 4CO. Em todas as etapas o líder do projeto deve anotar as alterações relevantes no Registro de Operações com Dados para a adequada fiscalização e controle por parte do Encarregado.

Registro de Operações de Tratamento de Dados Pessoais

As atividades de tratamento de dados serão documentadas nos registros de operação de tratamento de dados pessoais. Os registros contêm informações das categorias e tipos de dados pessoais tratados, as finalidades do tratamento e outras informações relativas a terceiros envolvidos nas atividades de tratamento.

Os registros devem ser revisados e atualizados regularmente, de forma que a informação contida neles esteja sempre atualizada. A organização desses registros deve se dar da seguinte forma:

1. Registro de Operações com Dados. Todo líder de projeto deve organizar seu Registro de Operações, com todos os detalhes a respeito dos dados que o projeto utilizará, como o tipo de dados, onde serão armazenados, a data de início e de encerramento do tratamento, o tipo de tratamento e eventualmente a confirmação da exclusão dos dados. O Registro de Operações deve ser disponibilizado ao Encarregado para fiscalização e controle toda vez que for alterado.
2. Registros de Atividades de Tratamento de Dados. O Encarregado deverá reunir em um mesmo local ou documento todos os Registros de Operações com Dados, além dos detalhes de tratamento de dados dos colaboradores da 4CO. Esse “Registros de Atividades de Tratamento de Dados” será o principal instrumento de controle do Encarregado de tudo relacionado a dados pessoais sob responsabilidade da 4CO.

O Encarregado será responsável por manter os Registros de Atividades de Tratamento de Dados atualizados. Apenas o Encarregado e a diretoria da 4CO terão permissão para editar os registros.

As lideranças de setor deverão sempre cooperar com o Encarregado para aperfeiçoar os registros, e devem sempre informá-lo caso haja uma mudança nos processos de seu setor, a fim de que os Registros possam ser atualizados. Deverão também informar o Encarregado sobre a contratação de novos fornecedores e sistemas que envolvam o tratamento de dados pessoais, para que possam ser feitas devidas avaliações de risco.

Etapa 1: Início do projeto

Neste momento, após as reuniões iniciais de alinhamento, a 4CO recebe informações compartilhadas pelo cliente que poderão envolver dados pessoais de seus colaboradores, como documentos de identificação, remuneração, dados de contato, histórico profissional, entre outras informações, inclusive dados sensíveis.

Ao iniciar o tratamento da documentação inicial, deve-se sempre filtrar os dados que não são necessários para execução do projeto. Do mesmo modo, o envio do questionário para pesquisa quantitativa deverá utilizar os dados de contato fornecidos pelo cliente.

Para iniciar a execução do projeto o líder deverá definir o escopo do tratamento de dados do projeto, como estes dados serão armazenados, o tipo de tratamento e demais condutas definidas no Registro de Operações com Dados. Este documento servirá como guia para orientar a equipe acerca do adequado tratamento de dados considerando a especificidade do projeto. 

O Registro de Operações com Dados e todas as suas alterações deve ser disponibilizado ao Encarregado, por se tratar do principal instrumento de fiscalização e controle do tratamento de dados do projeto.

Etapa 2: Pesquisa e análise quantitativa

A pesquisa e análise quantitativa demanda cuidados adicionais, vez que a coleta dos dados envolve plataformas de terceiros que hospedam formulários de pesquisa a serem preenchidos. As informações compartilhadas por colaboradores do cliente, por exemplo, são a base para a realização da análise quantitativa.

É fundamental que o formulário contenha aviso de tratamento de dados, com descrição da finalidade do tratamento e a possibilidade de compartilhamento com terceiros para atingir a finalidade pretendida, bem como a possibilidade de revogação do consentimento. 

Cabe ao líder do projeto determinar quais perguntas irão compor o questionário, para que o tratamento de dados seja alinhado de acordo com a finalidade estabelecida no escopo do projeto. 

Após a extração do relatório da plataforma de pesquisa, os dados devem ser armazenados nos servidores, e, após, geralmente são enviados para parceiros que irão refinar o relatório extraído, por meio de seleção e formatação das planilhas para análise da 4CO. Por essa razão, há necessidade do respeito às boas práticas, vez que os dados serão tratados por um terceiro alheio à 4CO.

O compartilhamento de dados somente poderá ocorrer com terceiros que tenham relação contratual com a 4CO com disposições acerca do tratamento de dados e os limites da responsabilidade pelo tratamento de dados. Assim o compartilhamento dos dados com terceiros deverá ser feito pelos canais apropriados para evitar incidentes de segurança.

Etapa 3: Pesquisa e análise qualitativa

A pesquisa qualitativa, por sua vez, envolve entrevistas com colaboradores do cliente, as quais podem ser realizadas de maneira presencial ou virtual. Essas entrevistas utilizam geralmente um roteiro de perguntas que resulta em coleta de dados pessoais, inclusive dados sensíveis, como etnia, religião, saúde etc, além de relatos sigilosos a respeito de experiências profissionais, de modo que o tratamento destes dados deve ser tratado com muito cuidado. 

Neste ponto os colaboradores da 4CO deverão sempre se ater ao questionário, evitando a coleta de dados que não estejam dentro da finalidade do projeto.

Ao coletar e tratar esses dados, será necessário o cuidado para que arquivos físicos sejam, sempre que possível, transformados em arquivos digitais e armazenados nos diretórios da 4CO, evitando o armazenamento nos dispositivos pessoais do entrevistador.

O armazenamento deverá observar todas as preocupações relativas à guarda e classificação dos dados coletados, especialmente quanto a anonimização dos dados sempre que possível.

Etapa 4: Análise dos dados coletados

Após a coleta, refinamento e armazenamento de todos os dados coletados, seja pela pesquisa quantitativa ou qualitativa, a 4CO passará à análise desses dados e à elaboração de diagnóstico para apresentação ao cliente. Sempre que possível, os dados a serem integrados aos relatórios e pareceres para apresentação ao cliente devem ser anonimizados, sem exposição desnecessária ou individualizada.

Caso o projeto tenha etapas de implementação pós-diagnóstico em que haja tratamento de dados pessoais, todos os cuidados utilizados anteriormente devem ser mantidos. Ações realizadas junto ao cliente como reuniões com colaboradores ou treinamento de líderes devem ser realizadas observando os procedimentos de tratamento de dados e evitando a exposição desnecessária ou individualizada.

Etapa 5: Encerramento de tratamento de dados

O encerramento do tratamento de dados geralmente ocorre quando a finalidade da coleta dos dados foi alcançada ou quando os dados não são mais necessários para essa finalidade. O tratamento também pode ser encerrado pela revogação do consentimento do titular dos dados, pelo fim contratual do período de tratamento ou por determinação da Autoridade Nacional de Proteção de Dados.

Deste modo, a depender do serviço, o fim do tratamento de dados pela 4CO ocorrerá quando os dados não forem mais necessários para o andamento do projeto ou quando ocorrer a finalização definitiva da prestação dos serviços ao cliente. A decisão de encerramento do tratamento deve ser tomada pelo líder do projeto conjuntamente com o Encarregado.

Armazenamento e exclusão

Quando determinado o encerramento do tratamento de dados, a 4CO procederá com a exclusão de todos os dados pessoais utilizados para a execução do projeto que estejam em sua posse, o que inclui pastas, diretórios, servidores, e-mails, apps de mensagem, bem como arquivos em computadores e em dispositivos móveis, entre outros. É responsabilidade do líder orientar todos os colaboradores do projeto pela exclusão de todos os dados.

A exclusão dos dados somente não ocorrerá por determinação contratual, por hipótese de retenção nos termos do Anexo II ou por necessidade de transferência do banco de dados ao cliente previamente à exclusão.

Após a exclusão de todos os dados tratados, deve ser enviada notificação ao cliente acerca da exclusão de todos os dados tratados. Por fim o envio da notificação deverá ser anotado no Registro de Operações com dados com o devido arquivamento do comprovante de envio da notificação.

Procedimentos para Resposta

De acordo com a matriz acima definida, o Encarregado, em conjunto com a área de Segurança da Informação e as lideranças de setores, deverá coordenar as seguintes ações do Plano de Resposta a Incidente, simultaneamente ou, quando não for possível, em rápida sucessão:

Baixa Gravidade

1. Priorizar a resolução do incidente. Assim que notificado sobre a suspeita de incidente de segurança, o Encarregado deve trabalhar prioritariamente para sua resolução.
2. Realizar a Triagem de Risco. Após tomar conhecimento da extensão do incidente, o Encarregado deve classificar o ocorrido de acordo com sua gravidade (baixa, média ou alta), com base nas instruções deste Anexo I. A classificação de risco deve ser informada assim que possível à direção da 4CO e à área jurídica.
3. Minimizar os efeitos causados como Controlador ou Operador. No primeiro momento, a prioridade é promover o fim da vulnerabilidade de dados e mitigar os danos aos titulares e à 4CO. Isso pode significar medidas técnicas, como retirar conteúdo do ar ou bloquear acesso a servidores, ou comunicativas, como notificar partes envolvidas. A natureza do serviço prestado pela 4CO, neste caso, será determinante:

   > se a 4CO for Controladora dos dados, deve seguir à risca seu Plano de Resposta;

   > se for Operadora, deve se comunicar com o Controlador (cliente) e seguir seus ditames na resolução do incidente, em consonância com a Política de Privacidade e com o Plano de Resposta.

4. Acionar a área de Segurança da Informação. Se necessário, o Encarregado deve contatar imediatamente os responsáveis pela Segurança da Informação.
5. Comunicar e organizar áreas envolvidas. O Encarregado, apoiado pelas lideranças dos setores, deve comunicar as áreas atingidas a respeito do incidente e da implementação imediata do PRI. As equipes devem ser orientadas a priorizar a solução do incidente e a obedecer a hierarquia de comando para solucionar a crise.
6. Documentar o incidente. Sempre que possível, todas as etapas do PRI devem ser devidamente documentadas, por meio de relatórios, documentos, mensagens, prints, enfim, por todas as formas legalmente possíveis, com riqueza de detalhes.
7. Comunicar o ocorrido à área jurídica. Caso ainda não tenha sido contatada, a área jurídica deve ser chamada para auxiliar na análise de risco e avaliação das consequências jurídicas do incidente.
8. Notificação formal à ANPD e/ou aos Titulares dos Dados. A notificação da Autoridade Nacional de Proteção de Dados e dos titulares dos dados pessoais a respeito do incidente pode ser uma obrigação legal a ser cumprida pela 4CO a depender do caso. A decisão a respeito de qualquer notificação neste sentido é do Encarregado, após consulta à área jurídica.
9. Análise do incidente e medidas de prevenção. Após a resolução do incidente, o Encarregado deve promover uma análise conjunta com todas as áreas pertinentes para analisar o incidente e antecipar, prevenir e melhor identificar incidentes semelhantes no futuro. De preferência, essas reuniões e conclusões devem ser transcritas em ata, que deverá ser apresentada à direção da 4CO e transformada em medidas concretas pelo Encarregado.

Média Gravidade

1. Adotar todas as medidas previstas no PRI de baixa gravidade. O Plano de Resposta para incidentes de média gravidade deve seguir todas as etapas descritas no PRI de baixa gravidade, na ordem descrita.
2. Realizar treinamento imediato interno com colaboradores. Assim que possível, reunir as áreas afetadas para conscientizar os colaboradores sobre o incidente e as medidas preventivas urgentes para evitar novos problemas.
3. Acionar área jurídica imediatamente. No caso de incidente de média gravidade, o suporte jurídico se torna ainda mais prioritário, devendo ser acionada o quanto antes.

Alta Gravidade

1. Adotar todas as medidas previstas no PRI de baixa e média gravidade. O Plano de Resposta para incidentes de alta gravidade deve seguir todas as etapas descritas no PRI de baixa e média gravidade, na ordem descrita.
2. Reunião emergencial entre Encarregado, sócios, líderes e área jurídica. No caso de o volume de dados pessoais afetado ser superior a 10% da base de dados controlada pela 4CO, o Encarregado deve, assim que possível, convocar reunião com os demais sócios, líderes de setores e área jurídica para gerenciamento de crise, com definição de prioridades imediatas.
3. Comunicar e aplicar medidas emergenciais a todos os colaboradores. Após a reunião emergencial, comunicar a todos os colaboradores da 4CO as medidas urgentes de gerenciamento de crise e prevenção, bem como garantir a aplicação destas. Recomenda-se, novamente, registrar e documentar hora a hora todas as medidas de resolução tomadas pela empresa, especialmente durante incidente de alta gravidade.

Comunicação do Incidente

Em cumprimento à legislação brasileira, incidentes considerados relevantes são comunicados à Autoridade Nacional de Proteção de Dados (ANPD), preferencialmente dentro de 72 horas. A avaliação sobre quais incidentes são materialmente relevantes será feita pelo Encarregado, em conjunto com a diretoria da 4CO e com a área jurídica.

Caso um incidente seja identificado como relevante e a sua comunicação à ANPD seja determinada, o Encarregado deve organizar, junto a área jurídica, a documentação aplicável à comunicação, contendo: 

1. a descrição da natureza e da categoria dos dados pessoais afetados (ex. dados sensíveis, dados de criança, dados cadastrais etc.);
2. as informações sobre os titulares dos dados pessoais envolvidos, a relação dos titulares dos dados pessoais afetados com a 4CO, o número de titulares afetados e o país de residência dos titulares dos dados pessoais afetados;
3. a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados pessoais, observados os segredos comercial e industrial;
4. os riscos relacionados ao incidente;
5. os motivos da demora, no caso de a comunicação não ter sido feita de forma imediata;
6. as medidas que foram e as que serão adotadas para reverter ou mitigar os efeitos do incidente.

Caso seja decidido a comunicação sobre o incidente aos titulares dos dados pessoais afetados, será desenvolvida comunicação, priorizando (i) os fatos ocorridos; (ii) as medidas tomadas pela 4CO para minimizar o impacto dos efeitos; (iii) as eventuais medidas que possam ser tomadas pelos próprios titulares dos dados pessoais afetados para mitigar riscos; e (iv) os canais de contato para sanar dúvidas. 

Em caso de dúvidas, comentários e/ou sugestões deste PRI, entre em contato com o Encarregado da 4CO, que está à disposição nos seguintes endereços de contato:

BRUNO CARRAMENHA  |   SÓCIO-DIRETOR  |  (11) 975-478-006  |  BRUNO@4CO.COM.BR