Privacidade e Proteção de Dados — documento integral

Programa de Integridade · aviso de privacidade · diretrizes · documento integral

Identificação do documento

• Naturezas cobertasObrigação; Condicional
• ResponsáveisED; RE
• POPs vinculadosPOP-004; POP-007; POP-011; POP-016
• ControlesCTL-006-01; CTL-006-02

Texto de referência do programa — agosto de 2026.

Nesta página

• Identificação do documento
• 1. Objetivo
• 2. Escopo
• 3. Definições
• 4. Responsabilidades
• 5. Regras operacionais
• 6. Vedações
• 7. Fluxo, pontos de controle e exceções
• 8. Registros e evidências
• 9. Indicadores e teste
• 10. Retenção, revisão e fontes

1. Objetivo

Governar o ciclo de vida de dados pessoais com finalidade, necessidade, base legal, transparência, segurança, direitos, contratos, responsabilização e consideração do sigilo profissional.

2. Escopo

• Dados de clientes e partes
• Equipe e candidatos
• Fornecedores
• Visitantes
• Usuários digitais
• Relatos
• Sistemas e arquivos

Nota de aplicabilidade — Papel de controlador ou operador, bases, exceções e obrigações serão definidos por tratamento e relação, não de modo genérico.

3. Definições

• TratamentoOperação realizada com dado pessoal durante seu ciclo de vida.
• ControladorAgente competente para decisões referentes ao tratamento em determinado contexto.
• OperadorAgente que trata dados em nome do controlador e segundo instruções legítimas.
• ROPARegistro estruturado de finalidade, dados, titulares, base, agentes, sistemas, retenção, transferência e controles.
• RIPDRelatório de impacto elaborado quando requerido ou adequado ao risco, com descrição, necessidade, riscos e medidas.

4. Responsabilidades

• Responsáveis: ED; RE — manter regras, orientar e reportar desvios.
• Instância de deliberação: CS — decidir alterações materiais e exceções relevantes.
• Todos os alcançados — cumprir, registrar, proteger informações e relatar dúvida ou violação.

Siglas: CS = Conselho de Sócios; ED = Encarregado de Dados; RE = Responsável Ético-Profissional.

5. Regras operacionais

1. Todo tratamento terá finalidade, papel, base legal, dados necessários, acesso, retenção e destino registrados em nível proporcional.
2. Dados sensíveis, de crianças ou de pessoas vulneráveis receberão análise e salvaguardas reforçadas quando presentes.
3. Avisos serão claros, coerentes com a prática e atualizados antes ou no momento adequado do tratamento.
4. Solicitações serão autenticadas proporcionalmente, pesquisadas nos sistemas relevantes e decididas considerando sigilo e direitos de terceiros.
5. Operadores receberão instruções, requisitos de segurança, subcontratação, incidente, retorno e descarte.
6. Novo tratamento de risco relevante será submetido a privacidade desde a concepção e, quando cabível, avaliação de impacto. condicional
7. Decisão unicamente automatizada que afete interesses será identificada e terá mecanismo de informação e revisão conforme a lei aplicável.

6. Vedações

• Coleta sem finalidade
• Reutilização incompatível sem análise
• Consentimento forçado ou genérico
• Resposta sem autenticação proporcional
• Ocultar incidente
• Acesso amplo por conveniência
• Reter indefinidamente

7. Fluxo, pontos de controle e exceções

Fluxos vinculados: POP-004; POP-007; POP-011; POP-016. A0 pode validar formato, completude e roteamento; decisões com efeito jurídico, profissional, disciplinar, financeiro ou externo seguem a alçada aplicável.

Procedimentos citados: Acessos e certificados (POP-004); Incidente de segurança e dados pessoais (POP-007); Direitos dos titulares (POP-011); Gestão documental e atualização normativa (POP-016).

A0 = nível de alçada em que a plataforma valida apenas forma, completude e prazo, sem efeito jurídico.

• Base legal controvertida
• Legítimo interesse
• Alto risco
• Dado sensível
• Direito em conflito com sigilo ou terceiro
• Decisão automatizada
• Comunicação de incidente

8. Registros e evidências

• Tratamentos de dados (REG-006)
• Operadores e transferências (REG-007)
• Solicitações de titulares (REG-008)
• Incidentes (REG-009)
• FOR-019 a FOR-022
• Avisos
• Contratos
• Pareceres

9. Indicadores e teste

• Tratamentos com ROPA validado
• Solicitações dentro do prazo aplicável
• Itens de privacidade desde a concepção pendentes
• Operadores avaliados
• Bases e avisos revisados
• Incidentes por causa

10. Retenção, revisão e fontes

Retenção: Conforme finalidade e hipóteses legais validadas; término gera eliminação, anonimização, devolução ou retenção justificada.

Revisão: Anual e por novo tratamento, sistema, finalidade, dado, titular, agente ou país.

Fontes oficiais:

• Lei nº 13.709/2018 — LGPDFonte oficial consultada em 2026-08-12.
• Resolução CD/ANPD nº 18/2024Fonte oficial consultada em 2026-08-12.
• Resolução CD/ANPD nº 2/2022Fonte oficial consultada em 2026-08-12.
• Resolução CD/ANPD nº 15/2024Fonte oficial consultada em 2026-08-12.
• Resolução CD/ANPD nº 19/2024, retificadaFonte oficial consultada em 2026-08-12.

← Aviso de Privacidade · Diretrizes · Programa de Integridade