Privacidade e Proteção de Dados

1. Escopo

Esta Política de Governança em Privacidade e Proteção de Dados Pessoais (“Política”) compreende os princípios e os padrões de conduta que guiarão a atuação do escritório de advocacia Barcellos Tucunduva Advogados (o ‘’Escritório’’) em relação a todos os dados pessoais que estejam sob seu controle, inclusive os dados pessoais de seus sócios, colaboradores, fornecedores e prestadores de serviço, agentes públicos e quaisquer outras pessoas, independentemente do meio pelo qual tais dados pessoais foram obtidos pelo Escritório. Dados Pessoais são, nos termos da lei aplicável, toda e qualquer informação relacionada a uma pessoa natural identificada, ou que possa ser identificada ou individualizada mediante esforços razoáveis do Escritório.

2. Aplicação

Esta Política aplica-se ao Escritório e todos os seus sócios, associados, consultores, colaboradores e estagiários, bem como prestadores de serviços e trabalhadores terceirizados quando realizarem o tratamento de dados pessoais controlados pelo Escritório.

3. Objetivos

O Escritório preza pelo tratamento ético e seguro de suas informações, sem sacrificar o respeito às leis e aos direitos e liberdades fundamentais dos cidadãos. Tendo isto em mente, esta Política tem como objetivos (i) estabelecer e demonstrar as formas de gerenciamento de dados pessoais pelo Escritório, de acordo com as regras e princípios da proteção de dados, e (ii) definir as diretrizes para suas políticas, normas e procedimentos internos. Como forma de atingir esses objetivos, esta Política também estabelece a criação de um Comitê de Privacidade e delimita as atribuições do Encarregado pelo Tratamento de Dados Pessoais (o “Encarregado”) para implementar e manter as práticas de governança em privacidade e proteção de dados pessoais do Escritório.

4. Princípios

As práticas relacionadas à coleta, utilização, compartilhamento, manutenção, exclusão e, enfim, tratamento de dados pessoais pelo Escritório, observarão os seguintes princípios, que devem ser seguidos por todos os seus colaboradores, sócios, associados, parceiros, fornecedores e prestadores de serviços em suas atividades:

• Finalidade: o tratamento de dados pessoais sempre será realizado para propósitos legítimos, específicos, explícitos e informados ao titular, bem como compatíveis com os interesses corporativos do Escritório de acordo com os objetivos de seus negócios, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades.
• Adequação: o tratamento de dados pessoais sempre será compatível com finalidades informadas ao titular, de acordo com o contexto do tratamento.
  Necessidade: o tratamento de dados pessoais, inclusive sua coleta e sua guarda pelo Escritório, será limitado ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados.
• Livre acesso: o Escritório garantirá aos titulares a consulta facilitada e gratuita sobre a forma e a duração do tratamento de seus respectivos dados pessoais, bem como acesso à integralidade de seus dados pessoais tratados pelo Escritório, salvo nos casos em que seja legítimo recusar-lhes tal acesso.
• Qualidade dos dados: o Escritório garantirá aos titulares que seus dados pessoais estarão exatos, claros e atualizados, bem como que apenas dados pessoais relevantes serão tratados pelo Escritório, de acordo com a necessidade e para o cumprimento das finalidades específicas de seu tratamento.
• Transparência: na medida do possível, o Escritório fornecerá informações claras, precisas e facilmente acessíveis sobre a realização de tratamento de dados pessoais aos respectivos titulares, assim como os respectivos agentes de tratamento.
• Segurança e confidencialidade: o Escritório adotará medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, sempre aplicando os padrões de segurança adequados aos riscos específicos de cada atividade e observando o estado da técnica e melhores práticas de mercado aplicáveis.
• Prevenção e mitigação de danos: serão adotados os melhores esforços pelo Escritório para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais e para mitigá-los ou repará-los caso venham a ocorrer.
• Não discriminação e tratamento ético dos dados pessoais: nunca será feito nenhum tratamento para fins discriminatórios, antiéticos, ilícitos ou abusivos.
• Responsabilização e prestação de contas: o Escritório adotará mecanismos para confirmar e demonstrar a eficácia de seu programa de governança em privacidade e proteção de dados, inclusive no cumprimento da legislação aplicável.

5. Dados pessoais controlados pelo Escritório

O Escritório possui e realiza o tratamento de diversos tipos de dados pessoais, quais sejam:

• Dados de seus sócios, necessários para a tomada e registro de decisões de gestão e administração do Escritório, bem como alteração de seu contrato social e documentos normativos.
• Dados de seus colaboradores, sócios, associados e prestadores de serviços relacionados ao cumprimento de seus contratos de trabalho, prestação de serviços e consultoria especializada, respectivo pagamento e direção dos trabalhos realizados.
• Dados de fornecedores de bens e serviços, também relacionados aos contratos firmados com o Escritório.
• Dados de clientes contratantes dos serviços de advocacia do Escritório.
• Dados de usuários do website do Escritório, coletados para propósitos específicos na forma descrita nos avisos e políticas de privacidade.
• Dados de usuários do LinkedIn que são conectados ou entram em contato com o Escritório, diretamente pela plataforma.
• Dados de terceiros participantes de webinars, eventos e palestras, conforme necessário para sua realização e outras finalidades delas decorrentes.

6. Diretrizes para o tratamento de dados pessoais

Todo e qualquer dado pessoal coletado, recebido, obtido ou gerado pelo Escritório deve estar atrelado a uma ou mais finalidades, que deverão ser validadas, registradas e, da melhor forma possível, comunicadas aos respectivos titulares. Nenhum dado pessoal será coletado, recebido, obtido ou gerado pelo Escritório se não for necessário para uma finalidade certa e determinada. Todo dado pessoal terá seu ciclo de vida controlado e registrado desde o momento em que o Escritório passar a ter controle do dado pessoal até o momento de seu descarte definitivo.

As atividades de tratamento de dados pessoais pelo Escritório devem sempre estar embasadas em uma autorização legal para tanto, e registradas em documentos ou sistemas específicos para controle dos riscos do tratamento, medidas de mitigação desses riscos e circulação interna e externa dos dados pessoais.

Somente as pessoas que tenham estrita necessidade de acesso a determinadas categorias de dados pessoais terão acesso a eles, levando-se em conta o papel que desempenharem com relação ao tratamento dos dados pessoais e reduzindo-se a informação acessada ao mínimo necessário por meio de medidas técnicas e organizacionais adequadas.

Documentos físicos e digitais contendo dados pessoais serão armazenados enquanto suas finalidades de tratamento subsistirem. Dados pessoais em quaisquer suportes serão eliminados de forma segura e irrecuperável imediatamente após o esgotamento de todas as suas finalidades lícitas e legítimas, quando for atingido o prazo de salvaguarda para cumprimento de obrigações legais ou exercício de direitos, ou no caso de solicitação do respectivo titular que obrigue o Escritório à exclusão desses dados pessoais.

Todo e qualquer tratamento de dado pessoal em que o Escritório identificar dano provável aos direitos e liberdades fundamentais dos titulares serão objeto de avaliação de impacto à proteção de dados pessoais em que sejam avaliados os riscos e possíveis medidas para sua mitigação, prevenção ou eliminação.

O Comitê de Privacidade, sob coordenação do Encarregado pelo Tratamento de Dados Pessoais, trabalhará no desenvolvimento de normas e boas práticas para garantir o tratamento adequado dos dados pessoais nos termos acima, as quais serão levadas à avaliação das instâncias corporativas competentes para sua adoção.

7. Compartilhamento de dados pessoais com terceiros

Dados pessoais somente serão compartilhados, transferidos ou divulgados pelo Escritório a terceiros conforme seja estritamente necessário para o cumprimento de finalidades legítimas, específicas, expressas e registradas pelo Escritório e mediante o uso de contratos ou outros instrumentos que prevejam a vinculação do terceiro ao cumprimento desta Política e das leis e regulamentos de proteção de dados pessoais aplicáveis, bem como mecanismos que permitam a fiscalização e auditoria desse cumprimento pelo Escritório. Adicionalmente, o Escritório adotará procedimentos para certificar-se de que apenas compartilhará dados pessoais com terceiros que adotem medidas técnicas e administrativas suficientes para garantir a adequada segurança e proteção de dados pessoais dos dados pessoais de acordo com os riscos a que estejam expostos, a salvaguarda dos direitos e liberdades fundamentais dos respectivos titulares, bem como a responsabilização do terceiro perante o Escritório pelas ações e omissões desse terceiro.

O compartilhamento, transferência e divulgação de dados pessoais às autoridades públicas e entidades governamentais será limitado ao necessário para o cumprimento de obrigações legais e regulatórias, para o cumprimento de ordens judiciais e requisições das autoridades competentes, e à defesa ou exercício de direitos do Escritório ou de terceiros. Nessas condições, a legalidade e legitimidade da ordem ou obrigação, a competência do requisitante, a extensão do dever e as respectivas consequências sempre serão avaliadas antes de se facultar acesso dos dados às autoridades ou órgãos públicos em questão.

8. Segurança de informação

O Escritório sempre adotará medidas técnicas e organizacionais de segurança de informação compatíveis com o nível de risco avaliado e com o estado da técnica para garantir a confidencialidade, a integridade, a disponibilidade e a resiliência de seus sistemas informáticos, bancos de dados, arquivos físicos e outros repositórios de informações, de modo a evitar acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão de dados pessoais. Os riscos avaliados e as medidas e protocolos adotados serão registrados em políticas e outros documentos normativos de aplicação obrigatória ao Escritório e pessoas relevantes deste, devendo ser revisados e atualizados com frequência razoável e na ocorrência de eventos relevantes.

O Escritório também manterá um plano de resposta a incidentes de segurança que garanta a rápida avaliação, interrupção, remediação e, quando necessário, mitigação e reparação dos danos eventualmente causados pelos incidentes. Registros de incidentes de segurança serão mantidos, identificando as categorias e titulares de dados pessoais eventualmente afetados, para possibilitar a comunicação imediata desses incidentes às autoridades competentes e aos respectivos titulares na forma da lei, comprometendo-se o Escritório a auxiliá-los de boa-fé na mitigação ou reparação dos danos efetivamente sofridos.

9. Direitos dos titulares de dados pessoais

O Escritório compromete-se a adotar medidas efetivas para a garantia dos direitos dos titulares de dados pessoais controlados pelo Escritório, conforme especificados pela Lei Geral de Proteção de Dados Pessoais – LGPD, e demais leis e regulamentos brasileiros aplicáveis à proteção de dados pessoais.

O Escritório garante o cumprimento de todos os direitos dos titulares de dados pessoais controlados por esse, listando, em especial, os seguintes direitos previstos na LGPD com relação ao tratamento de seus dados pessoais:

• o acesso facilitado a informações claras acerca do tratamento de dados pessoais pelo Escritório, inclusive sobre as finalidades específicas do tratamento, forma e duração do tratamento, identificação e informações de contato do Escritório e eventuais outros controladores, informações acerca do uso compartilhado de dados pelo Escritório e a respectiva finalidade de seu compartilhamento.
• a confirmação de existência e informações sobre o tratamento de seus dados pessoais pelo Escritório.
• o acesso aos dados pessoais de sua titularidade controlados pelo Escritório. • a correção de eventuais dados pessoais incompletos, inexatos ou desatualizados.
• o bloqueio, a eliminação ou a anonimização de dados pessoais que sejam detidos pelo Escritório sem necessidade, excessivos para as finalidades declinadas pelo Escritório ou tratados em desconformidade com a legislação e com esta Política.
• portabilidade dos seus dados pessoais a outras entidades, em formato interoperável, mediante requisição expressa e conforme os regulamentos oficiais sobre o assunto.
• informação das entidades públicas e privadas com as quais houve uso compartilhado de seus dados.
• informação sobre a possibilidade de não fornecer seu consentimento e sobre as consequências da negativa, nos casos em que seus dados forem coletados e tratados mediante consentimento.
• a revogação do seu consentimento para coleta e tratamento de dados nestes mesmos casos.
• a eliminação, quando requerida, dos dados pessoais coletados mediante seu consentimento, na forma da legislação aplicável.
• a possibilidade de revisão de decisões automatizadas que o Escritório venha a adotar em processos que possam atingir os direitos e interesses dos titulares de dados.

O Escritório manterá normas, controles, processos e avisos que garantam a apresentação das devidas informações aos respectivos titulares de modo a garantir a transparência de suas práticas de tratamento de dados pessoais, nos termos da legislação vigente. No entanto, por se tratar de um escritório de advocacia sujeito a obrigações legais e éticas de sigilo, é possível que determinadas informações sejam omitidas de respostas a pedidos de acesso aos dados pessoais dos titulares, conforme seja necessário para cumprirmos com tais obrigações.

10. Comunicação

O Escritório manterá controles e processos que garantam a pronta resposta aos direitos dos titulares e requisições das autoridades competentes com relação a proteção de dados pessoais, disponibilizando os seguintes canais de contato direto com o Encarregado pelo Tratamento de Dados Pessoais para que os titulares possam exercer seus direitos, fazer reclamações e solicitações, bem como enviar sugestões.

11. Encarregado pelo tratamento de dados pessoais

Os sócios indicarão um advogado associado com conhecimento teórico e prático sobre proteção de dados pessoais como Encarregado pelo Tratamento de Dados Pessoais do Escritório.

São as atribuições e responsabilidades do Encarregado, sempre atuando com independência, imparcialidade, decoro e boa-fé:

• Convocar e participar de reuniões do Comitê de Privacidade.
• Levar temas à discussão do Comitê de Privacidade, como necessidade de avaliação, implantação ou revisão de novas normas, processos e políticas.
• Levar conclusões, solicitações e resultados da atuação do Comitê de Privacidade às instâncias de decisão competentes do Escritório).
• Receber e dar encaminhamento interno a comunicações, requisições e intimações da ANPD – Autoridade Nacional de Proteção de Dados.
• Apresentar resposta do Escritório a comunicações, requisições e intimações da ANPD (após aprovação das instâncias de decisão competentes).
• Comunicar incidentes de segurança à ANPD em nome do Escritório (após aprovação das instâncias de decisão competentes).
• Atuar como canal de comunicação entre a ANPD e o Escritório em procedimentos administrativos.
• Receber e dar encaminhamento interno a solicitações e reclamações de titulares de dados pessoais. • Apresentar resposta do escritório a solicitações e reclamações de titulares de dados pessoais (após aprovação das instâncias de decisão competentes).
• Esclarecer dúvidas de titulares de dados pessoais quanto às práticas do Escritório com relação a seus dados pessoais.
• Comunicar incidentes de segurança aos titulares de dados pessoais em nome do Escritório (após aprovação das instâncias de decisão competentes).
• Orientar os colaboradores, contratados e terceirizados do Escritório com relação às políticas e práticas em vigor do Escritório relativas à privacidade e proteção de dados pessoais.
• Participar como consultor na revisão e no estabelecimento de processos do Escritório que possam trazer risco relevante à privacidade ou à proteção de dados pessoais de quaisquer pessoas (e.g. vazamentos, desvio de finalidade e tratamento ilícito de dados pessoais).
• Aconselhar as instâncias de decisão do Escritório com relação a comunicações, requisições e intimações da ANPD, solicitações e reclamações de titulares e incidentes de segurança, bem como em outras decisões que possam ter impacto à privacidade ou à proteção de dados pessoais de quaisquer pessoas.
• Controlar periodicidade e coordenar as revisões de registros de operação de tratamento.
• Controlar a periodicidade e coordenar as revisões de políticas e normas internas relativas à privacidade, proteção de dados pessoais e segurança de informação.
• Coordenar projetos de implantação de soluções para inadequações à legislação e regulamentos de proteção de dados pessoais.
• Acompanhar ou coordenar o acompanhamento da evolução das leis, regulamentos e boas práticas de privacidade, proteção de dados pessoais e segurança de informação.
• Participar na elaboração e revisão de cláusulas, minutas e documentos relacionados com o compartilhamento e transferência de dados pessoais.
• Participar na seleção ou elaboração de critérios de seleção de prestadores de serviços com potencial de risco relevante à privacidade e proteção de dados pessoais.
• Participar da elaboração e revisão de políticas e avisos de privacidade do Escritório para colaboradores, consumidores, usuários de sites etc.
• Auditar processos e práticas relativas à privacidade, proteção de dados pessoais e segurança de informação e levar suas conclusões às instâncias de decisão.
• Auditar prestadores de serviços com potencial de risco relevante à privacidade e proteção de dados pessoais.
• Realizar ou dirigir a realização de avaliações de interesse legítimo (“LIA”), avaliações de impacto à privacidade (“PIA”), e outras avaliações de riscos relacionados à proteção de dados pessoais, discutir seus resultados com os líderes dos projetos afetados e, se necessário, levar suas conclusões às instâncias de decisão.
• Realizar ou dirigir a realização de relatórios de impacto à proteção de dados pessoais (“RIPD” / “DPIA”) e obter aprovação das instâncias de decisão competentes para seu encaminhamento à ANPD.
• Ser informado de todas as novas atividades e processos do Escritório que tenham potencial de risco relevante à privacidade e proteção de dados pessoais.
• Recomendar a realização de LIAs, PIAs, RIPDs e outras avaliações de riscos à privacidade e proteção de dados pessoais para processos ou atividades do Escritório que, em sua percepção inicial, tenham possibilidade de resultar em danos.
• Constituir e participar em grupos de trabalho relacionados a melhorias na gestão de privacidade e mitigação de riscos à privacidade e proteção de dados pessoais.
• Solicitar e ter acesso a informações relevantes às suas atribuições, independentemente de sua classificação de confidencialidade.
• Participar do estabelecimento e revisão de processos e diretrizes de minimização de dados pessoais, eliminação de dados pessoais, “privacy by design” (i.e. garantir a proteção de dados pessoais desde a concepção de um projeto/atividade) e “privacy by default” (i.e. garantir o maior nível de privacidade possível quando houver alternativas ou escolhas).

O Encarregado pelo Tratamento de Dados Pessoais reporta-se diretamente ao sócio responsável pelas decisões executivas relativas a privacidade, proteção de dados e segurança da informação do escritório.

Os sócios e a administração do Escritório comprometem-se a garantir a independência do Encarregado na realização de suas funções e o acesso direto às instâncias de decisão para que possam ser tomadas as decisões gerenciais e executivas necessárias com relação a questões que impactem a privacidade e a proteção de dados pessoais sob controle do Escritório. Também serão garantidos ao Encarregado o acesso a todas as informações sobre novas atividades e processos do Escritório que tenham potencial de risco relevante à privacidade e proteção de dados pessoais e demais informações relevantes às suas atribuições, independentemente de sua classificação de confidencialidade, desde que observadas as políticas e normas de trabalho aplicáveis para garantir seu sigilo e segurança.

12. Comitê de privacidade

O Escritório e filiais manterá um Comitê de Privacidade permanente, composto por qualquer quantidade de pessoas entre sócios, associados e colaboradores, além do Encarregado pelo Tratamento de Dados Pessoais, com competência para analisar as questões relativas à privacidade e proteção de dados trazidas pelo Encarregado ou por outras pessoas do Escritório, bem como discutir e participar da elaboração de normas, políticas, relatórios e documentos, entre outros assuntos correspondentes ao tema de privacidade e proteção de dados pessoais.

13. Responsabilidade

Cada, sócio, associado, consultor, estagiário, colaborador e prestador de serviços do Escritório é responsável pelos próprios atos com relação às atividades de tratamento de dados pessoais, pelo cumprimento desta Política e demais normas aplicáveis, bem como por possibilitar a boa realização dos trabalhos do Encarregado pelo Tratamento de Dados Pessoais e do Comitê de Privacidade.

Os gestores respondem pela supervisão do tratamento de dados pessoais pelos colaboradores e terceiros sob sua responsabilidade de acordo com suas atribuições. O Encarregado e o Comitê de Privacidade prestarão contas de suas atribuições específicas diretamente ao sócio responsável pela Privacidade e Proteção de Dados. O Encarregado e os membros do Comitê de Privacidade responderão apenas pela sua atuação com dolo, má-fé ou negligência em suas atribuições, sendo resguardados contra responsabilidade pessoal pelos atos e decisões do Escritório.

O Sócio responsável pela privacidade e proteção de dados será responsável por coordenar, junto às instâncias de decisão do Escritório como o conselho e a administração, toda discussão e aprovação de documentos, relatórios e recomendações produzidos pelo Encarregado e pelo Comitê de Privacidade.

14. Indicação do Encarregado pelo Tratamento de Dados Pessoais

O Escritório indica o advogado associado abaixo como Encarregado pelo Tratamento de Dados Pessoais do Escritório:

Luiz Fernando Plastino Andrade (CIPP/E, CIPM)
Avenida Presidente Juscelino Kubitschek, 1726, 4° andar
São Paulo – SP, CEP 04543-000
E-mail: privacidade@btlaw.com.br
Telefone: +55 (11) 3069-9080

Sócio Responsável: Dr. Karin Klempp Franco (CIPP/E)