1 – Objetivo

A Política de Segurança da Informação e Privacidade é uma declaração formal da empresa Sixmart que estabelece o seu compromisso com a segurança das informações, a proteção e o correto tratamento de dados pessoais, que são utilizados em seus processos operacionais e gerenciais durante todo o ciclo de vida.

Este documento orienta e estabelece as diretrizes a serem observadas por todos os envolvidos direta ou indiretamente nas atividades da organização, visando a garantia da confidencialidade, integridade, disponibilidade e autenticidade das informações, bem como o respeito aos direitos dos titulares de dados pessoais quanto ao tratamento desses dados. Desta forma as diretrizes aqui apresentadas orientam sobre as atitudes adequadas a serem adotadas para o manuseio, tratamento, controle e proteção de dados pessoais, informações, documentos e conhecimentos coletados, produzidos, armazenados e transmitidos nas atividades da organização contra ameaças e vulnerabilidades relacionadas à segurança da informação e à privacidade.

2 – Escopo e Abrangência

A Política de Segurança da Informação e Privacidade é composta por normas, diretrizes, procedimentos e responsabilidades, e deve ser seguida por todos os dirigentes, colaboradores e terceiros que estejam de alguma forma realizando atividades que possam gerar algum risco a garantia da confidencialidade, integridade, disponibilidade e autenticidade das informações da organização, bem como a proteção de dados pessoais, estejam essas atividades ocorrendo interna ou externamente ao ambiente físico da organização.

3 – Princípios

A organização atua em conformidade com as diretrizes estabelecidas nesta Política de Segurança da Informação e Privacidade, observando os princípios da legalidade, da impessoalidade, da moralidade, da publicidade, da eficiência, da finalidade, do interesse público, da transparência e da motivação dos atos administrativos. Desta forma, o uso indevido, negligente ou imprudente dos recursos e serviços concedidos aos seus colaboradores e terceiros será objeto de análise de dados e evidências para obtenção de provas a serem utilizadas em processos investigatórios, bem como para adoção das medidas legais cabíveis.

– Princípios da Segurança da Informação: Com o objetivo de garantir a segurança da informação, a organização busca atender aos seguintes princípios:

• Confidencialidade: garantia do acesso reservado ao ativo de informação somente por pessoas autorizadas;
• Integridade: garantia de que a informação seja mantida em seu estado original, visando protegê-la, na guarda ou transmissão, contra alterações indevidas, intencionais ou acidentais;
• Disponibilidade: garantia de que os usuários possam ter acesso a informações e aos ativos correspondentes no momento oportuno;
• Princípios da Privacidade: Com o objetivo de garantir a privacidade dos titulares dos dados pessoais, a organização busca atender aos seguintes princípios conforme art. 6° da LGPD:
• Finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
• Adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
• Necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
• Livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
• Qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
• Transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
• Segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
• Prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
• Não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;
• Responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

4 – Bases legais para o tratamento de dados pessoais:

 
Visando a conformidade legal a organização realiza atividade de tratamento de dados pessoais somente nas seguintes hipóteses, conforme art. 7° da LGPD:

• Mediante o fornecimento de consentimento pelo titular;
• Cumprimento de obrigação legal ou regulatória pelo controlador;
• Pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres;
• Para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;
• Quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;
• Para o exercício regular de direitos em processo judicial, administrativo ou arbitral;
• Para a proteção da vida ou da incolumidade física do titular ou de terceiros;
• Tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
• Para atender aos interesses legítimos do controlador ou de terceiros, exceto no caso de prevalecer em direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais;
• Para a proteção do crédito

5 – Dados pessoais que podemos coletar, armazenar através de coleta dos assinantes do software e a sua utilização.

As informações referentes a pessoas físicas somente devem ser coletadas na medida da necessidade para a prestação de serviços, e em todas as hipóteses cabíveis para o tratamento dos dados deverá ser obtido em conformidade com a Lei Geral de Proteção de Dados.

No limite estabelecido pela legislação aplicável, às categorias e tipos de dados pessoais coletados pela Sixmart, podem incluir, observados os princípios norteadores elencados no item anterior: 

• Suas informações de contato, tais como como nome, nome da empresa, endereço de e-mail, endereço telefônico ou postal, mas sem se limitar àquelas utilizadas para nos comunicarmos com você;
• Cópia da CNH (Carteira Nacional de Habilitação

Os dados pessoais também podem ser obtidos diretamente pela Sixmart por meio de interações e por meio de seus produtos e serviços, sendo que os dados pessoais coletados online também podem ser combinados com os dados pessoais fornecidos por meio de canais offline, como, por exemplo, durante uma reunião, entrevistas de trabalho, eventos realizados e ainda, de forma automática, relacionadas ao uso de nossos sites e resposta aos nossos e-mails por meio do uso de várias tecnologias.

Os dados poderão ser usados para a identificação e autenticação do usuário quando do acesso aos serviços da Sixmart, no processamento de informações pessoais a fim de cumprir com as obrigações contratuais firmadas respectivamente com colaboradores, terceiros, parceiros e clientes, sempre visando garantir a segurança dos dados pessoais.

6 – Responsabilidade compartilhada.

A responsabilidade pelo correto tratamento dos dados pessoais dentro da empresa é compartilhada entre todos aqueles que atuam como operadores, sendo fundamental a cooperação de todos para que a empresa esteja sempre em conformidade com a lei, oferecendo segurança a todos os dados pessoais sob seu controle.

A Sixmart poderá divulgar dados pessoais com parceiros de negócios e provedores de serviços para apoiar nossas operações. Tais parceiros de negócios e provedores de serviços são obrigados por contrato a manter as informações recebidas em nome da Sixmart confidenciais e seguras e não usá-las para qualquer propósito diferente daquele para o qual foram fornecidos a eles.

O compartilhamento de dados pessoais com pessoas ou entidades externas à Sixmart deve ser restrito ao mínimo necessário para a execução dos contratos e prestações de serviços nos quais os titulares estão envolvidos, ou para o cumprimento de qualquer obrigação legal. Mesmo quando o tratamento envolver diretamente a prestação de serviços, será atribuída a base legal adequada para este tratamento e compartilhamento.

A Sixmart, pode ainda, divulgar dados pessoais conforme exigido por Lei ou processo legal, e que sejam imprescindíveis para o cumprimento de determinações legais, judiciais e administrativas e/ou para o exercício do direito de defesa em processos judiciais e administrativos, os quais serão mantidas, a despeito da exclusão dos demais dados. 

Nos termos dos art. 42 e seguintes da Lei Geral de Proteção de Dados (Lei 13.709 de 14 de agosto de 2018), a operador de dados pessoais que descumprir as diretrizes lícitas de proteção de dados do controlador – no caso a Sixmart – responderá solidariamente, estando assim sujeito à responsabilidade civil, administrativa e criminal sobre o tratamento inadequado dos dados.

É vedado o compartilhamento externo de dados pessoais de clientes ou membros da empresa – por qualquer meio, telefônico, digital ou por escrito – sem autorização destes, sendo dada a ciência devida ao titular sempre que os dados forem compartilhados em um novo contexto.

7 – Tratamento dos dados pessoais na Sixmart.

O tratamento dos dados pessoais na Sixmart deve seguir os princípios definidos nesta política, devendo ser estritamente voltado às finalidades às quais a coleta dos dados se destina, respeitando os princípios desta política e os critérios de compartilhamento e de segurança das informações e a legislação pertinente.

Os dados pessoais devem ser tratados apenas por pessoas que precisem lidar com eles. Assim, reduzem-se os riscos de falhas humanas propiciando um vazamento ou uso inadequado da informação. A melhor forma de garantir isso é dividindo os dados por setores, e por responsabilidades específicas dentro de cada setor. Assim se saberá em cada situação quem são os operadores dos dados, e os riscos de um incidente na segurança da informação diminui consideravelmente.

Para garantir este tratamento setorizado dos dados, o acesso de cada empregado ou prestador de serviço da Sixmart ao banco de dados da empresa é individual e protegido por senha própria e intransferível. Assim, somente as pessoas autorizadas a manipular dados pessoais identificáveis de funcionários e contratados, por exemplo, poderão acessá-los.

O mero acesso e/ou a utilização indevida de quaisquer dados pessoais armazenados nos resíduos tecnológicos processados pela empresa são terminantemente proibidos, sob pena de demissão por justa causa (ou rescisão do contrato de prestação de serviços) sem prejuízo da responsabilização cível e criminal cabível em âmbito judiciário.

8 – Período em que os dados serão armazenados.

Os dados pessoais coletados pela Sixmart serão utilizados e armazenados durante o tempo necessário para a prestação do serviço ou para que as finalidades elencadas na presente Política de Privacidade sejam atingidas, considerando os direitos dos titulares dos dados e dos controladores. Assim, os dados serão mantidos enquanto a relação contratual entre o titular e a Sixmart perdurar e, findo o período de armazenamento dos dados pessoais, estes serão excluídos de nossas bases de dados ou anonimizados, ressalvadas as hipóteses legalmente previstas no artigo 16 LGPD, a saber:

I – cumprimento de obrigação legal ou regulatória pelo controlador;

II – estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;

III – transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos nesta Lei; ou

IV – uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.

Assim, quando atingida a finalidade do tratamento dos dados pessoais, e eles não mais precisarem ser armazenados para satisfazer quaisquer exigências legais, estes deverão, ressalvadas as hipóteses do parágrafo anterior, ser devidamente eliminados física e digitalmente, com a comunicação desta eliminação ao titular nos casos em que ela se dê de maneira diversa àquela prevista no termo de consentimento aplicável.

Portanto, a Sixmart firma o compromisso com a segurança e privacidade dos dados pessoais coletados, mediante o emprego de medidas e soluções técnicas de proteção aptas a garantir a confidencialidade, integridade e inviolabilidade dos dados, contando ainda, com medidas de segurança apropriadas aos riscos e com controle de acesso às informações armazenadas.

9 – Das medidas de segurança e dos critérios de armazenagem dos dados.

Para mantermos suas informações pessoais seguras, usamos ferramentas físicas, eletrônicas e gerenciais orientadas para a proteção da sua privacidade. Aplicamos essas ferramentas levando em consideração a natureza dos dados pessoais coletados, o contexto e a finalidade do tratamento e os riscos que eventuais violações gerariam para os direitos e liberdades do titular dos dados coletados e tratados.

A Sixmart se compromete a adotar as melhores posturas para evitar incidentes de segurança baseando-se nas boas práticas previstas na ISO 27001/27002 e Lei 13.709/2018.

Eventuais cópias de dados pessoais somente devem ser feitas em caso de necessidade para cumprimento da finalidade proposta ao tratamento, e todas as cópias feitas devem ser registradas, que deve ser guardada digitalmente com os mesmos critérios de segurança.