POLÍTICA DE PRIVACIDADE E PROTEÇÃO DE DADOS VIBRA AGROINDUSTRIAL S.A

1. OBJETIVO

A Política Interna de Privacidade e Proteção de Dados (doravante, “Política”) da Vibra Agroindustrial S.A (doravante “Vibra”) busca estabelecer diretrizes relativas à privacidade e à proteção de dados pessoais, considerando a Lei Geral de Proteção de Dados Pessoais (doravante, “LGPD” ou “Lei 13.709/2018”) e demais legislações correlatas.

2. APLICABILIDADE

A Política Geral de Privacidade aplica-se a todos que, de alguma forma, realizam qualquer tipo de operação de tratamento de dados pessoais em nome da Vibra, sejam colaboradores, consultores externos, parceiros comerciais, entre outros que possuam acesso a informações, serviços, sistemas e recursos de sua propriedade (“Stakeholders”).

3. PRINCÍPIOS NORTEADORES DO TRATAMENTO DE DADOS PESSOAIS

Todo tratamento de dados realizado em nome da Vibra deve ser pautado nos seguintes princípios:

  • Transparência: Tratamento lícito, íntegro e transparente dos dados pessoais.
  • Finalidade e adequação: Coleta e tratamento de dados pessoais apenas para finalidades determinadas e legítimas.
  • Necessidade: Tratamento adequado ao mínimo de dados pessoais necessários para o atendimento de cada finalidade.
  • Qualidade dos dados: Tratamento de dados pessoais corretos e atualizados, utilizando-se de meios de retificação, sempre que possível.
  • Não discriminação: Prevenção contra o tratamento de dados para fins discriminatórios, ilícitos ou abusivos.
  • Segurança e prevenção: Adoção de medidas técnicas e organizacionais voltadas à prevenção do uso não autorizado ou ilícito de seus dados, prevenindo a sua perda, destruição ou danificação acidental.

4. DIRETRIZES

4.1. Tratamento de Dados Pessoais

4.1.1. Todo e qualquer tratamento de dados pessoais na ou em favor da Vibra deverá atender aos princípios norteadores do tratamento de dados pessoais, bem como contar com uma finalidade legítima, específica e amparada em pelo menos
uma das hipóteses legais previstas na LGPD, sendo que nenhum dado pessoal deverá ser tratado para finalidade diversa daquela informada ao seu titular.

4.2. Novas Operações de Tratamento de Dados Pessoais (OTDs)

4.2.1. Todo e qualquer novo processo, atividade ou operação da Vibra que envolva o tratamento de dados pessoais deverá ser reportado por escrito ao Encarregado pelo tratamento de dados pessoais da Vibra, para fins de análise e documentação, bem como, se aplicável, recomendações de ajuste de conformidade.

4.3. Informação do Titular

4.3.1. Devem ser empreendidos esforços para que o titular seja adequadamente informado acerca do tratamento de seus dados pessoais.

4.3.2. Nos casos em que for necessário o compartilhamento de dados pessoais com outras empresas, a Vibra garantirá a disponibilização, quando solicitado pelos titulares, de informações claras e ostensivas acerca deste compartilhamento, incluindo qual a sua finalidade.

4.4. Tratamento de Dados Pessoais em Excesso

4.4.1. É vedado o tratamento de dados pessoais em excesso, devendo:

4.4.1.1. Toda e qualquer operação de tratamento de dados pessoais estar balizada pelo princípio da necessidade e da forma menos invasiva possível ao titular;

4.4.1.2. Ser estabelecido período de guarda para cada operação de tratamento de dados pessoais;

4.4.1.3. Ser criado procedimento técnico específico sobre retenção e expurgo de dados pessoais.

4.5. Privacy by Design e Default

4.5.1. O respeito à privacidade deve se dar “by design” e “by default”, de modo que, desde a sua concepção, todo novo produto ou serviço deverá ser cautelosamente avaliado visando à redução de riscos à proteção de dados pessoais e não se poderá presumir a concessão de qualquer direito pelo titular dos dados pessoais.

4.6. Tratamento de Dados de Criança e Adolescente

4.6.1. Os dados pessoais de crianças e adolescentes deverão ser tratados com segurança especial, sempre no seu melhor interesse. As operações de tratamento de dados de criança e/ou adolescentes, devem estar enquadrada, em, ao menos, uma das hipóteses
autorizativas previstas no artigo 7º (para dados pessoais em geral) e/ou 11° (na hipótese de envolver dado pessoal sensível) da LGPD, conforme o Enunciado CD/ANPD n.º 1, de 22 de maio de 2023, o qual dispõe que “O tratamento de dados pessoais de crianças e adolescentes poderá ser realizado com base nas hipóteses legais previstas no art. 7º ou no art. 11 da Lei Geral de Proteção de Dados Pessoais (LGPD), desde que observado e prevalecente o seu melhor interesse, a ser avaliado no caso concreto, nos termos do art. 14 da Lei”.

4.7. Dados pessoais sensíveis

4.7.1. Dados pessoais sensíveis incluem dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, referente à saúde ou à vida sexual, genético ou biométrico, quando vinculado a uma pessoa natural.

4.7.2. Para o tratamento de dados pessoais sensíveis é necessário consentimento específico e destacado do titular de dados pessoais, salvo quando:

  • O tratamento se der para fins de cumprimento de obrigação legal ou regulatória (com obrigação de informar a dispensa de consentimento);
  • O tratamento se der em exercício regular de direitos, inclusive em contrato e processo judicial, administrativo ou arbitral;
  • O tratamento se der com a finalidade de proteção da vida ou incolumidade física do titular ou terceiro;
  • O tratamento objetivar a tutela da saúde, em procedimento realizado por profissionais da área da saúde, serviços de saúde ou por autoridade sanitária; ou
  • O tratamento for realizado como garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos.

4.7.3. A comunicação ou o uso compartilhado de dados pessoais sensíveis entre controladores com objetivo de obter vantagem econômica poderá ser objeto de vedação ou de regulamentação por parte da autoridade nacional.

4.7.4. Devem ser adotadas medidas apropriadas de segurança e proteção de acordo com os riscos associados ao tratamento de dados pessoais sensíveis.

4.8. Compartilhamento com terceiros

4.8.1. A Vibra quando atuar como controladora de dados, deve disponibilizar de forma clara e ostensiva aos titulares de dados informações acerca do compartilhamento dos seus dados pessoais com outros agentes de tratamento e qual a finalidade deste compartilhamento.

4.8.2. A Vibra deverá informar aos agentes de tratamento com os quais tenha realizado uso compartilhado de dados, de maneira imediata, eventuais requerimentos de correção,
eliminação, anonimização ou bloqueio dos dados que venha a receber de titulares de dados pessoais, para que estes agentes de tratamento repitam os mesmos procedimentos, exceto nos casos em que esta comunicação seja comprovadamente impossível ou implique esforço desproporcional.

4.8.3. O compartilhamento de dados pessoais com terceiros deve sempre ser respaldado em contrato escrito, incluindo cláusulas que assegurem o cumprimento, pelos terceiros, dos seus deveres de agente de tratamento de dados pessoais, na forma da LGPD, e o apoio no atendimento aos direitos dos titulares de dados pessoais e na gestão de eventuais crises com vazamentos de dados pessoais.

4.9. Critérios para contratação de terceiros, parceiros comerciais e prestadores de serviço

  1. Na contratação de terceiros, parceiros comerciais e prestadores de serviço, deverão ser requeridos documentos e realizadas visitas técnicas, quando necessário, para fins de examinar a maturidade institucional da empresa/pessoa contratada no que atine à proteção de dados pessoais, privilegiando-se a contratação da empresa/pessoa que apresente maior maturidade institucional no que atine à proteção de dados, sem prejuízo do exame dos demais indicadores negociais.
  2. Previamente à pactuação de qualquer contratação com terceiros, A Vibra deverá exigir que todos os stakeholders envolvidos:
    1. Tenham efetuado o mapeamento das suas operações de tratamento de dados, garantindo que nenhum dado pessoal seja tratado à míngua do devido enquadramento em pelo menos uma das hipóteses legais previstas nos artigos 7º ou 11º da LGPD e do respeito aos princípios norteadores do artigo 6º, da LGPD;
    2. Possuam meios aptos a recepcionar e atender, de forma adequada, petições e/ou comunicações dos titulares de dados pessoais;
    3. Adotem as melhores práticas para garantir a segurança dos dados pessoais tratados;
    4. Tenham nomeado um Encarregado pelo tratamento de dados pessoais;
    5. Possuam Plano de Prevenção e Resposta a Incidentes com vazamento de dados.

4.9.3. Caso o terceiro não atenda a qualquer das exigências acima e, mesmo assim, sua contratação for considerada necessária ou estratégica, a desconformidade momentânea deverá ser documentada no contrato respectivo, estabelecendo-se prazo determinado
para a sua correção e exonerando-se a Vibra de quaisquer responsabilidades, nesse tocante.

4.10. Decisões automatizadas

4.10.1. Exceto em circunstâncias muito limitadas, a Vibra não deverá avaliar os titulares de dados unicamente por meio de decisões automatizadas.

4.10.2. Nos casos de utilização de decisões automatizadas, a Vibra deverá prover meios para os titulares de dados pessoais solicitarem a sua eventual revisão e informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados, observados os segredos comercial e industrial.

4.11.Tecnologia e Segurança da Informação

4.11.1. A Vibra deverá constantemente buscar a adoção das melhores práticas em tecnologia e segurança da informação, visando a garantir a segurança e a prevenção do dado pessoal, incluindo medidas de segurança técnicas e organizacionais para proteger os dados pessoais contra acesso não autorizado, manipulação acidental ou intencional, perda e destruição.

4.12. Gestão de Acesso

4.12.1. O acesso aos dados pessoais coletados será restrito aos colaboradores autorizados e que necessitarem realizar o tratamento desses dados para o desempenho de suas funções na instituição. Os colaboradores que utilizarem as informações coletadas de forma indevida ou inadequada, em descumprimento à Política de Privacidade, estarão sujeitos às consequências de um processo disciplinar.

4.13. Coleta e Armazenamento de Dados Pessoais

4.13.1. O armazenamento das informações coletadas de usuários, sejam elas fornecidas pelo próprio usuário ou automaticamente obtidas pelos sistemas eletrônicos da Vibra, deve observar todos os padrões de segurança necessários para a preservação da confidencialidade e integridade dos dados pessoais, especialmente no que se refere a dados pessoais sensíveis ou dados de crianças ou adolescentes.

4.14. Transmissão de dados pessoais

4.14.1. Todos os dados pessoais que são transmitidos através de sistemas eletrônicos deverão obedecer a uma conexão segura utilizando ferramentas adequadas. Os dados referentes às senhas e assinaturas eletrônicas dos usuários deverão ser armazenados na base de dados da Vibra e criptografados por algoritmos que garantam um nível alto de segurança.

4.15. Direito de Acesso

4.15.1. Sujeito às exceções legais, qualquer cliente, funcionário, parceiro ou prestador de serviço poderá obter, mediante solicitação, informações sobre seus próprios dados pessoais. Ainda, é assegurado o direito de revogar o consentimento previamente fornecido para tratamento de dados, respeitadas as exceções previstas em lei.

4.16. Tratamento de Dados de Colaboradores e outros

4.16.1. Os dados pessoais de colaboradores, parceiros e prestadores de serviços só serão utilizados para dar suporte às operações da instituição e administrar programas de remuneração, benefícios, recursos humanos ou, ainda, quando for necessário para cumprimento de obrigações legais ou regulatórias. Excepcionalmente, será necessária a obtenção de consentimento dos referidos titulares para tratamento de dados cuja finalidade seja diferente daquelas descritas nesta política.

5. PAPÉIS E RESPONSABILIDADES – DATA PROTECTION OFFICER (DPO/ENCARREGADO)

5.1. A Vibra deverá informar em sua página oficial na Internet o nome e os meios de contato do seu Encarregado pelo tratamento de dados pessoais, ao qual caberá:

5.1.1. Receber requerimentos, reclamações e comunicações em geral dos titulares de dados pessoais, coordenando o seu endereçamento;

5.1.2. Ser ponto de contato com as autoridades fiscalizatórias;

5.1.3. Coordenar a elaboração e atualização de Relatórios de Impacto à Proteção de Dados (RIPD) para averiguar o risco no uso de dados pessoais e a conformidade regulatória da instituição, especialmente no desenvolvimento de novos produtos, serviços e práticas;

5.1.4. Realizar auditorias internas e proativamente estabelecer estratégias de compliance e prevenção de riscos envolvendo dados pessoais;

5.1.5. Orientar e organizar treinamentos aos colaboradores da instituição a respeito das melhores práticas de proteção de dados pessoais;

5.1.6. Coordenar as medidas de resposta a incidentes com vazamento ou furto de dados pessoais, incluindo o reporte às autoridades ou aos titulares respectivos.

5.1.7. Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares, priorizando o monitoramento e a adequação das instituições às exigências e à conformidade legal.

5.1.8. Acompanhar o processo de desenvolvimento de novos produtos e serviços, a fim de que seja assegurado o modelo Privacy by Design – “PbD” em todos os níveis de concepção de inovações na instituição.

6. TRANSFERÊNCIA INTERNACIONAL DE DADOS PESSOAIS

6.1. Excepcionalmente, os dados pessoais tratados poderão ser enviados para localidade fora do Brasil. Quando isso acontecer, a transferência deve observar uma das bases legais estabelecidas no art. 33 da Lei Geral de Proteção de Dados, com a certificação que os destinatários de suas informações possuam um nível adequado de proteção dos dados.

7. DIREITOS DOS TITULARES DE DADOS

7.1. A Vibra deverá assegurar o atendimento aos direitos dos titulares de dados pessoais tratados pela instituição, incluindo:

  • Confirmação da existência de tratamento dos seus dados;
  • Acesso aos seus dados;
  • Correção de dados incompletos, inexatos ou desatualizados;
  • Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto na LGPD;
  • Portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa;
  • Revogação do consentimento e eliminação dos dados pessoais tratados com o seu consentimento, quando aplicável;
  • Obtenção de informações sobre o uso compartilhado de seus dados e sobre a possibilidade de não fornecer consentimento, bem como sobre as consequências da negativa.

8. REFERÊNCIAS LEGAIS E NORMATIVAS

  • LGPD: Lei 13.709/18 – Lei Geral de Proteção de Dados e sua regulamentação
  • Marco Civil da Internet (Lei 12.965, de 23 de abril de 2014)

9. MONITORAMENTO E CONTROLE

9.1. Para assegurar o efetivo cumprimento da Política Geral de Privacidade, a Vibra se reserva o direito de monitorar, inspecionar ou auditar a informação que esteja armazenada nos computadores, de sua propriedade, ou trafegue pela rede da Instituição. Esse exame pode acontecer com ou sem o consentimento, presença ou conhecimento dos usuários envolvidos.

10. ENCARREGADO PELO TRATAMENTO DE DADOS PESSOAIS (DPO)

Para assuntos relacionados ao tratamento de dados pessoais e ao exercício dos direitos previstos na legislação aplicável, o titular poderá entrar em contato com o Encarregado pelo Tratamento de Dados Pessoais da Vibra Agroindustrial S.A., pelo e-mail: dpo@vibra.com.br ou por meio do site https://canalconfidencial.com.br/lgpdvibrafoods/.

A Encarregada de Dados Pessoais da Vibra é a Maria Cecília Michetti Nonato.

11. DISPOSIÇÕES FINAIS

11.1. A presente Política deve ser revisada a cada 12 meses. A decisão de revisão pode ser tomada com base em critérios próprios ou a partir de um dos seguintes acontecimentos:

  • Incidentes de vazamento de dados considerados significativos;
  • Novas vulnerabilidades identificadas na Instituição;
  • Mudanças na estrutura técnica ou organizacional da Instituição;
  • Relatórios de Impacto de Risco.

A Política Geral de Privacidade e Proteção de Dados é um documento controlado. O controle de versões deve ser cuidadosamente observado.