Menu
A Política de Conformidade (Compliance) desta Empresa tem entre seus objetivos assegurar que as atividades sejam conduzidas em conformidade com as normas aplicáveis. Nesse sentido, de acordo com o art. 38, caput, da Lei 13.709, de 14 de agosto de 2018, ou Lei Geral de Proteção de Dados Pessoais (LGPD), a qualquer momento, a Autoridade de Proteção de Dados Pessoais (ANPD) pode determinar que elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis.
Surgiu, assim, a necessidade de se confeccionar este documento.
A Empresa realiza diariamente o tratamento1 de dados pessoais que se relacionam a pessoa natural identificada ou identificável (art. 5º, I, LGPD). Existem também os dados pessoais sensíveis, que dizem respeito à origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual, dados genéticos ou biométricos, quando vinculados a uma pessoa natural (art. 5º, II, LGPD).
Considerando os fundamentos2 da proteção de dados pessoais (art. 2º e incisos, LGPD), a boa-fé e os demais princípios3 a serem observados nas atividades de tratamento de dados pessoais (art. 6º e incisos, LGPD), a Empresa dispõe de diferentes sistemas de controles internos, que variam de acordo com a natureza do dado pessoal, para mitigar eventuais riscos de falha na proteção de dados pessoais. Entretanto, apesar do elevado grau de maturidade da gestão de riscos, não se pode garantir a eliminação total dos riscos que, em caso de materialização, causariam impacto à privacidade dos dados pessoais existentes em base interna.
Nesta seção são descritos os processos de tratamento de dados pessoais, digitais ou físicos, que podem gerar riscos às liberdades civis e aos direitos fundamentais, envolvendo a especificação de natureza4, escopo5, contexto6 e finalidade7 do tratamento.
1 “tratamento”: Toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração (art. 5º, X, LGPD).
2 “fundamentos”: Art. 2º A disciplina da proteção de dados pessoais tem como fundamentos: I – o respeito à privacidade; II – a autodeterminação informativa; III – a liberdade de expressão, de informação, de comunicação e de opinião; IV – a inviolabilidade da intimidade, da honra e da imagem; V – o desenvolvimento econômico e tecnológico e a inovação; VI – a livre iniciativa, a livre concorrência e a defesa do consumidor; e VII – os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais.
3 “princípios”: Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios: I – finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades; II – adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento; III – necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados; IV – livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais; V – qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento; VI – transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial; VII – segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão; VIII – prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais; IX – não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos; X – responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.
4 “natureza”: Representa como a Empresa pretende tratar ou trata os dados pessoais.
5 “escopo”: Diz respeito à abrangência do tratamento de dados.
6 “contexto”: Destaca um cenário mais amplo, incluindo fatores internos e externos que podem afetar as expectativas do titular dos dados pessoais ou o impacto sobre o tratamento dos dados.
7 “finalidade”: É a razão ou motivo pelo qual se deseja tratar os dados pessoais, justifica o tratamento e fornece os elementos para informar o titular dos dados.
A Política de Segurança da Informação interna visa evitar que os riscos aos quais estão sujeitos os ativos de informação comprometam as atividades e o cumprimento da missão empresarial.
Os ativos de informação compreendem os meios de armazenamento, transmissão e processamento da informação; os equipamentos necessários a isso; os sistemas utilizados para tal e os locais onde se encontram esses meios.
No que se refere especificamente às informações de caráter pessoal, os sistemas de controle interno implantados variam de acordo com o tipo de suporte (físico ou digital), bem como com a natureza da informação.
São adotadas medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. O acesso às bases de dados é controlado por grupos de rede e acesso limitado a determinados perfis de usuários.
Como medida administrativa adotada é solicitada a assinatura de acordos de responsabilidade para acesso a sistemas por requisição formal ou por e-mail, para guarda de documentos físicos ou digitais.
Existem diversas formas de tratamento dos dados pessoais na Empresa, considerando a definição da LGPD:
Os dados são coletados principalmente por meio de sistemas de informação e por captação de informações de outras empresas, seja por força de regulação, seja por obrigações contratuais. Os dados são recebidos, em geral, via contato telefônico ou email.
Os dados são mantidos das seguintes formas:
– Em banco de dados corporativo, em infraestrutura dedicada, restrita e monitorada por câmeras de segurança;
– Arquivos (p. ex.: planilhas Excel, documentos Word).
Os dados são usados em processos de diversas formas. Pode-se citar a utilização do ERP para tratar entrada de pedidos de compra de fornecedores ou faturamento de venda a clientes.
Os dados podem ser eliminados por meio de ações em sistemas de informação, comandos SQL nos bancos de dados (no caso da base de dados) e exclusão de arquivos. No caso de base de dados, o administrador o realiza mediante solicitação direta de responsáveis por setores internos. Para exclusão de arquivos, é delegado aos colaboradores em seus respectivos a tratativa quando encerrada a finalidade de utilização dos dados para liberação de espaço.
As formas de coleta de dados na empresa são:
O compartilhamento de dados apenas ocorre internamente para funções exclusivamente operacionais essenciais relacionadas à rotina comercial padrão que abrange, resumidamente, processos de compra, logística de distribuição, faturamento e processamento financeiro, estando os colaboradores cientes da importância dos dados envolvidos sendo manipulados em seus respectivos setores operacionais.
As medidas de segurança adotadas têm validade para qualquer tipo de informação, sendo:
Para a transferência de arquivos eletrônicos internamente, devem ser utilizadas:
– Pastas compartilhadas localizadas em servidor de arquivos;
– Meio telefônico
Para a transferência de arquivos eletrônicos de/para destinatários externos, podem ser utilizados:
– Anexos de e-mail, caso não haja necessidade de garantia de entrega. Se a informação for sensível, o anexo deve estar criptografado, com a senha do arquivo sendo transmitida por outro meio, como telefone.
Mídias removíveis (pendrive, CD, DVD ou HD externo) podem ser utilizadas para a transferência de arquivos corporativos mediante justificativa e com a anuência da chefia imediata, em especial em caso de impossibilidade de uso dos meios tecnológicos descritos acima. Nesse caso, é obrigatória a aplicação de criptografia para proteção da informação sempre que viável tecnologicamente. Não são considerados meios adequados para a transferência de arquivos eletrônicos: pastas compartilhadas em estações de trabalho (desktops e notebooks), e-mail particular e serviços de terceiros na Internet (ex.: Dropbox, Google Drive e Onedrive).
É de responsabilidade de cada setor assegurar o uso correto e eficiente da área de armazenamento reservada a ela, verificando periodicamente se:
– Apenas arquivos necessários aos processos de trabalho da unidade estão armazenados;
– Não existem arquivos que infrinjam direitos autorais ou que apresentem outros riscos jurídicos, como músicas, filmes e livros que não tenham sido adquiridos pela empresa.
Possui característica essencialmente linear, onde os dados pertinentes coletados se limitam a funções de cadastro para cumprimento de rotina padrão comercial de produto acabado, que se estendem do processo de compra, venda, processamento financeiro e contábil.
A Empresa possui processos complexos referentes à execução de procedimentos cirúrgicos que envolvem volume físico (papel) considerável. Estes documentos são necessários ao seu funcionamento e cumprimento de sua missão. No entanto, esses documentos envolvendo dados pessoais sensíveis são transitórios e destruídos após digitalização e armazenamento em servidor interno apenas pelo prazo legal obrigatório. Todas as operações relativas a documentos físicos que carregam estes dados pessoais, são executadas exclusivamente internamente às instalações da Empresa.
O escopo representa a abrangência do tratamento de dados. As seções seguintes mostram detalhes sobre a extensão do escopo para os dados digitais. Com relação aos dados contidos em documentos físicos, conforme visto anteriormente, recebem o mesmo tratamento dos digitais, pois, como dito anteriormente, são digitalizados assim que processados.
De uma forma resumida, para Pessoas Físicas ou Pessoas Jurídicas, para clientes, fornecedores e colaboradores, contemplam as seguintes informações cadastrais obrigatórias e exclusivamente para tratamentos contratuais obrigatórios: número do CPF/CNPJ, número da IE; número da identidade, número e série da CTPS, nome completo/razão social; data de nascimento; endereço completo; telefone; código e descrição da natureza da ocupação principal; código e descrição da ocupação principal; data de inscrição; informações salariais e bancárias.
Esses dados são armazenados em um banco de dados central e operacionalizados via ERP, em instalações próprias.
Em sua área de atuação, a base de dados possui aproximadamente 10100 registros, sendo recebidos diariamente, de 2 a 8 novos registros.
Sensível ao comportamento de mercado (comércio).
Os dados são retidos por toda a extensão do prazo contratual, até encerramento de obrigações financeiras e contábeis ou até o vencimento de prazos legais obrigatórios pertinentes à área de atuação desta Empresa.
Qualquer pessoa física ou jurídica, cliente, fornecedor ou colaborador/funcionário, pode ser afetada pelo tratamento de dados nesta Empresa.
Esta Empresa trata os dados pessoais de acordo com os propósitos legítimos e específicos de modo compatível com a sua finalidade, cujo caráter é de interesse de todas as partes, e objetiva executar as competências legais ou cumprir as atribuições legais de sua área de atuação.
Apenas informações relacionadas à identificação como paciente, sendo o nome completo, são tratados por esta Empresa.
A finalidade do tratamento dos dados pela Empresa relaciona-se ao estrito cumprimento de obrigação legal ou regulatória.
O tratamento de dados é limitado ao mínimo necessário para a realização das finalidades informadas ao titular. Quando necessário, tem abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados. O tratamento é feito apenas quando é indispensável e com propósito de cumprimento de obrigações legais e contratuais. Com o objetivo de assegurar que o operador realize o tratamento de dados pessoais conforme a LGPD e respeite os critérios estabelecidos pela empresa, todo colaborador é informado sobre esta obrigatoriedade e os parâmetros regulatórios.
Pelas características básicas cadastrais demandadas pela área de atuação da Empresa, não são tratados dados pessoais sensíveis fora das obrigatoriedades legais pertinentes ao contexto comercial.
Dentre os tipos de risco operacional e profundidade dos dados, não é considerado gerador de impacto sobre o titular de dados pessoais. Mesmo assim, devem ser categorizadas para melhor identificação.
Em caráter referencial, possíveis falhas devem ser categorizadas, a seguir:
Apresentam-se a seguir exemplos iniciais não exaustivos de riscos identificados e mensurados, de acordo com a metodologia de gerenciamento de riscos operacionais à proteção de dados pessoais:
Foram demonstrados, em linhas gerais, como os dados pessoais são coletados, tratados, usados, compartilhados, bem como as medidas adotadas para o tratamento dos riscos que possam afetar as liberdades civis e os direitos fundamentais dos titulares desses dados. Além disso, foram apresentadas informações que denotam o estágio atual de conformidade desta Empresa à LGPD. Este Relatório será revisto e atualizado anualmente ou sempre que for implementada qualquer tipo de mudança que afete o tratamento dos dados pessoais. Há a preocupação de avaliar continuamente os riscos de tratamento de dados pessoais que surgem em consequência do dinamismo das transformações nos cenários tecnológico, normativo e político.
Não realizamos operações comerciais online nem emitimos cobrança bancária pelo site.