Best solutions to protect companies and people.

Política LGPD – Corretoras Anhumas e Abaré

1. INTRODUÇÃO

O Grupo Anhumas, constituído pelas empresas Anhumas e Abaré preocupa-se com o bem-estar e a segurança dos seus colaboradores, clientes e parceiros. Pensando nisso, foi desenvolvido com verdadeiro primor o presente trabalho de adequação das atividades habituais das corretoras de seguros Anhumas e Abaré à norma geral de proteção de dados, não somente para a proteção dos direitos dos titulares dos dados manuseados, como também para garantir solidez e longevidade a suas operações em um mercado cada vez mais competitivo e exigente. Este é um compromisso por nós assumido ao decidir implantar as diretrizes.

Os principais fundamentos elencados pela Lei Geral de Proteção de Dados (“LGPD”) são os adotados nesta política de privacidade: (i) o respeito à privacidade, (ii) a autodeterminação informativa, (iii) a liberdade de expressão, de informação, de comunicação e de opinião, (iv) a inviolabilidade da intimidade, da honra e da imagem, (v) o desenvolvimento econômico e tecnológico e a inovação.

Portanto, através da presente Política, ratifica-se o compromisso das empresas com o cumprimento das diretrizes apontadas pela LGPD, tanto nos procedimentos quanto à coleta, tratamento e compartilhamento de dados, quanto no comportamento dos colaboradores, parceiros, terceirizados, dirigentes e acionistas.

2. TERMOS TÉCNICOS

Para compreender melhor a política de privacidade que ora se apresenta, necessário se faz que todos possam conhecer os termos utilizados pela lei e entender os seus significados. A não familiarização com esses conceitos dificulta enormemente o processo de implementação da adequação à LGPD.

São eles:

1. dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

2. dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

3. dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;

4. banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico;

5. titular: pessoa física a quem se referem os dados pessoais que são objeto de tratamento;

6. controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

7. operador: pessoa física ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

8. encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);

9. agentes de tratamento: o controlador e o operador;

10. tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

11. anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;

12. consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;

13. bloqueio: suspensão temporária de qualquer operação de tratamento, mediante guarda do dado pessoal ou do banco de dados;

14. eliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado;

15. transferência internacional de dados: transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro;

16. uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados;

17. relatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco;

18. órgão de pesquisa: órgão ou entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico; e

19. ANPD ou autoridade nacional: a Agência Nacional de Processamento de Dados, ou “ANPD”, é o órgão regulamentador e fiscalizador criado por lei para zelar, implementar e fiscalizar o cumprimento da LGPD no Brasil.

3. BOAS PRÁTICAS

Fator importante para a realização das boas práticas é a conscientização dos recursos humanos quanto à necessidade de se restringir o acesso aos dados pessoais apenas às unidades de tratamento essenciais para a boa realização do seu trabalho. Sendo assim, cada unidade deverá se questionar qual a finalidade, adequação e necessidade de se obter ou de se preservar aquele dado e ainda onde preservá-lo, sob pena de sofrer penalidades prescritas em lei em caso de vazamento.

Portanto, para preservar a incolumidade da Anhumas e da Abaré no âmbito das sanções administrativas e judiciais, no que se refere à privacidade e à proteção dos dados, serão observados por todos os seguintes princípios, além da boa-fé:

1. finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;

2. adequação: compatibilidade do tratamento com as finalidades que foram informadas ao titular, de acordo com o contexto do tratamento;

3. necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;

4. livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;

5. qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;

6. transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento;

7. segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

8. prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

9. não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;

10. responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

4. BASES LEGAIS

De acordo com a LGPD, o tratamento de dados somente poderá ser realizado em hipóteses nela discriminadas. Essas hipóteses são chamadas de bases legais e é preciso ficar atento para estes requisitos, que são eles:

1. mediante o fornecimento de consentimento pelo titular;

2. para o cumprimento de obrigação legal ou regulatória pelo controlador (ex. controle de ponto e envio de dados ao E-social);

3. pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições do Capítulo IV da LGPD;

4. para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;

5. quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;

6. para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);

7. para a proteção da vida ou da incolumidade física do titular ou de terceiro;

8. para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;

9. quando necessário para atender aos interesses legítimos da Anhumas e da Abaré, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou

10. para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente.

11. Prevenção à Fraude e para prover Segurança, nos cadastros em sistemas eletrônicos, como catracas biométricas para controle de acesso à Anhumas e/ou Abaré.

5. DEPENDENTES

Para o tratamento de dados de crianças (até 12 anos incompletos) e adolescentes (entre 12 e 18 anos incompletos), os cuidados devem ser ainda maiores e, para tanto, será realizado com observância ao seu melhor interesse, ou seja, com a finalidade de beneficiá-las, ainda que de forma indireta. Além disso, via de regra, necessitará da coleta prévia do consentimento específico e destacado de ao menos um dos pais ou do responsável legal para o tratamento de dados de crianças.

6. TRANSPARÊNCIA

A transparência é um dos princípios para garantir o sigilo e a proteção dos dados e significa garantir aos titulares informações claras, precisas e facilmente acessíveis sobre como, quais e por quais agentes os seus dados são tratados.

Nesse sentido, para garantir a efetividade deste princípio, a Anhumas e a Abaré fornecerão aos titulares, quando solicitado, minimamente as seguintes informações:

1. dados pessoais: quais são os dados envolvidos nas atividades de tratamento e como são coletados;

2. finalidade: quais os objetivos que cada atividade de tratamento pretende atender;

3. forma de tratamento: como os dados pessoais estão sendo tratados;

4. prazo: por quanto tempo os dados pessoais serão tratados;

5. destinação: o que ocorre com os dados pessoais após o término desse prazo, isto é, se são armazenados (e para qual finalidade) ou se são excluídos/destruídos;

   6. compartilhamento: indicação sobre o compartilhamento dos dados com terceiros, listando suas categorias, e para qual finalidade os dados são compartilhados;

   7. direitos dos titulares: Indicação de como o titular pode exercer cada um dos seus direitos; e

   8. Encarregado: Identificação e informações de contato da Encarregada pelo Tratamento de Dados Pessoais da Anhumas e da Abaré.

   7. COLETA DE DADOS

   A coleta de dados da Anhumas e da Abaré se dará nos seguintes casos:

    

   1. Na prestação dos serviços: Quando um cliente contata a Anhumas ou a Abaré para a prestação de serviços de corretagem de seguros, gestão de sinistros, consultoria e programa de benefícios, dentre outros, os seus dados pessoais serão utilizados para as finalidades para as quais fomos contatados. No entanto, por dever legal e, seguindo os princípios que norteiam a presente política, não será coletado qualquer dado que exceda à finalidade da prestação do serviço;

   2. No contato através do site: Ao contatar a Anhumas ou a Abaré através do site, a pessoa interessada compartilhará o seu nome e o seu e-mail com as corretoras. No entanto, as informações poderão ser descartadas, tão logo se conclua a finalidade da comunicação.

   3. Na cotação dos serviços: Ao cotar um serviço, seja com a Anhumas, seja com a Abaré, independentemente do meio utilizado, as corretoras colhem dados pessoais dos seus possíveis clientes. No entanto, em caso da não concretização da contratação, os dados pessoais eventualmente coletados serão descartados quando a corretora der como concluída a negociação.

   4. Na candidatura a vagas profissionais: Na ocasião do processo seletivo, o candidato compartilhará suas informações pessoais, constantes do seu currículo. Neste caso, tanto a Anhumas quanto a Abaré comprometem-se a descartar os dados considerados desnecessários, sejam eles físicos ou virtuais de sua base de dados, assim que se decidir pela não contratação do profissional para o seu quadro.

    

   A coleta dos dados pessoais poderá se dar das seguintes formas:

    

   1. Por telefone: caso o primeiro contato seja por telefone, a Anhumas e a Abaré se preservam o direito de coletar as informações pessoais por este meio e registrar em banco de dados específico, destinado à elaboração de proposta de prestação de serviço.

   2. Por e-mail: neste caso, as informações pessoais serão armazenadas nos servidores de e-mail e no sistema da Anhumas e/ou da Abaré.

   3. Pessoalmente: quando da visita dos consultores na empresa contratante ou intencionada em contratar, ou ainda nos casos em que o interessado se dirige à sede da Anhumas ou da Abaré, os dados poderão ser colhidos diretamente em sistema, devidamente protegido contra invasões, ou mesmo em papel. A depender da situação futura, ou seja, da contratação ou não, os dados serão armazenados para os fins da execução do contrato ou descartados.

       

      8. COMPARTILHAMENTO DE DADOS PESSOAIS

      O compartilhamento de dados pessoais com terceiros somente ocorrerá com fundamento em uma base legal que o autorize e para finalidades previamente informadas aos titulares nele envolvidos, observados os parâmetros mínimos dispostos nesta política.

      Nós podemos compartilhar suas informações pessoais internamente (divisões das empresas e subsidiárias) para lhe atender, bem como podemos compartilhá-las com parceiros de negócios e seguradoras, por exemplo, tanto no Brasil como no exterior, a depender da sua necessidade e do escopo do serviço. Esses parceiros de negócios e seguradoras operam como controladores separados e são responsáveis pelo cumprimento da Lei Geral de Proteção de Dados.

      Além disso, é pré-requisito para o compartilhamento de dados que o terceiro seja capaz de garantir sua própria conformidade com os padrões de privacidade e proteção estabelecidos pela LGPD, assim como que o compartilhamento em si esteja embasado em contrato ou aditivo contratual que, mediante avaliação do Encarregado, determine que este terceiro deverá:

      1. agir apenas de acordo com as instruções da Anhumas e/ou da Abaré, no caso de prestadores de serviços contratados pela Anhumas e/ou Abaré;

      2. assegurar a confidencialidade e segurança dos dados pessoais;

      3. implementar, proativamente, medidas que contribuam com a conformidade do Compartilhamento à LGPD, sempre que conveniente à privacidade e à proteção dos dados dos titulares nele envolvidos;

      4. respeitar o período de retenção de dados pessoais definido pela Anhumas e/ou Abaré, no caso de prestadores de serviços contratados pela Anhumas e/ou Abaré;

      5. notificar a Anhumas e/ou Abaré sobre qualquer violação da integridade, disponibilidade ou confidencialidade dos dados pessoais objetos de Compartilhamento, tão logo tome consciência do ocorrido;

      6. auxiliar a Anhumas e/ou Abaré no cumprimento de qualquer exigência da Autoridade Nacional de Proteção de Dados (“ANPD”);

      7. autorizar que a Anhumas e/ou Abaré conduza auditorias em seus sistemas e/ou procedimentos internos relacionados à privacidade e à proteção de

       

      dados pessoais, contanto que comunicadas por escrito e com antecedência não inferior à 01 (um) dia útil; e

      8. fornecer à Anhumas e/ou Abaré todas as informações necessárias para demonstrar a conformidade com as disposições da LGPD.

      9. INCIDENTES DE VIOLAÇÃO DE DADOS PESSOAIS

      Na situação em que se visualize a potencial quebra da confidencialidade, integridade e/ou disponibilidade de um dado pessoal, tal como o acesso, aquisição, uso, compartilhamento, eliminação ou qualquer outra forma de tratamento de dados pessoais, proposital ou acidental, não autorizada ou ilícita, assim como qualquer violação às políticas, procedimento ou práticas internas das empresas Anhumas e Abaré aplicáveis à privacidade e à proteção de dados pessoais, deverá ser acionado o Plano de Resposta a Incidentes, conforme Anexo I.

       

      Qualquer que seja a natureza do incidente de violação que envolva dados pessoais, o Encarregado de dados, bem como o Comitê de Privacidade serão envolvidos e coordenarão as atividades de resposta.

      10. NOTIFICAÇÃO

      A comunicação da ocorrência de um incidente de violação de dados pessoais aos seus titulares e à Autoridade Nacional de Proteção de Dados será feita pelo Encarregado de dados, obrigatoriamente, nos casos em que o impacto das informações envolvidas possa gerar risco ou dano relevante aos titulares dos dados.

      Portanto, toda e qualquer notificação ou documentação recebida por qualquer meio pela Anhumas ou pela Abaré, envolvendo informações de dados pessoais ou sensíveis, deverá ser direcionada imediatamente à Encarregada.

      A notificação será enviada tão logo se tenham informações confiáveis sobre o incidente, e conterá, no mínimo, o seguinte conteúdo:

      1. a descrição da natureza dos dados pessoais afetados;

      2. as informações sobre os titulares envolvidos;

      3. a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados;

      4. os riscos relacionados ao incidente;

      5. os motivos da demora, no caso de a comunicação não ter sido imediata;

       

      6. a intenção de promover a conciliação com os titulares, quando pertinente; e

      7. as medidas que foram ou que serão adotadas pela Anhumas e/ou pela Abaré para reverter ou mitigar os impactos.

      11. ESCLARECIMENTOS OU REPORTES

      Em caso dúvidas relacionadas à privacidade ou à proteção de dados, ou para situações em que tenha sido identificada ou haja suspeita de violação às políticas, procedimento e práticas acima listados, por favor entre em contato com o nosso Encarregado, por meio do seguinte endereço eletrônico:

      Esclarecimentos ou reportes: encarregada.lgpd@anhumas.com.br

      Anexo 4 – Plano de Resposta a Incidentes