Política de privacidade

Esta seção descreve os princípios que devem ser observados na coleta, no manuseio, no armazenamento, na divulgação e no Tratamento de Dados Pessoais pela Localcred, para atender aos padrões de proteção de dados no âmbito corporativo e estar em conformidade com a legislação e a regulamentação aplicáveis nos países onde tiver operação ou atividade comercial.

A Localcred trata os Dados Pessoais de forma justa, transparente e em conformidade com a legislação e a regulamentação aplicáveis.

A Localcred somente trata Dados Pessoais quando a finalidade do Tratamento se enquadra em uma das hipóteses legais permitidas, abaixo elencadas, sendo certo que os Titulares de Dados devem ser informados sobre a razão e a forma pela qual seus Dados Pessoais estão sendo tratados antes ou durante a coleta:

• Execução de prestação de serviços de terceirização de contato, em todas as formas digitais ou analógicas, para fins de venda, atendimento, negociação e cobrança de valores e recursos provenientes de contratos ou vínculos comerciais que o Titular dos Dados possui com empresas contratantes da Localcred;
• Necessidade para a execução de um contrato do qual o Titular dos Dados é parte;
• Exigência decorrente de lei ou regulamento ao qual a Localcred está sujeita;
• Interesse legítimo pelo Tratamento, hipótese na qual tal interesse legítimo será comunicado previamente;
• Necessidade de prover ao Titular dos Dados o exercício regular de direito em processo judicial, administrativo ou arbitral.

Quando o Tratamento de Dados Pessoais não se enquadrar nas hipóteses acima, a Localcred deve obter o Consentimento dos Titulares dos Dados e assegurar que ele seja obtido de forma específica, livre, inequívoca e informada. A Localcred deve coletar, armazenar e gerenciar todas as respostas de consentimento de maneira organizada e acessível, para que a comprovação do consentimento possa ser fornecida quando necessário.

Da mesma forma, o Titular de Dados deve ter a possibilidade de solicitar a retirada do seu consentimento a qualquer momento, com a mesma facilidade com que o forneceu.

Em algumas circunstâncias, a Localcred também pode ser obrigada a tratar Dados Pessoais Sensíveis, envolvendo, mas não se limitando a:

• Dados relacionados à saúde ou à vida sexual;
• Dados genéticos ou biométricos vinculados a uma pessoa física;
• Dados sobre orientação sexual;
• Dados sobre condenações ou ofensas criminais;
• Dados que evidenciem a origem racial ou étnica, opiniões políticas, crenças religiosas ou filosóficas;
• Dados referentes à convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político.

O Tratamento de Dados Pessoais Sensíveis é proibido, exceto nos casos específicos descritos abaixo, nos quais deverão ser observados padrões de segurança mais robustos do que os empregados aos demais Dados Pessoais:

• Quando for necessário para a execução de serviço (contratado em caráter de prestação adicional, consultoria ou prova de conceito) e para o cumprimento da atuação legal para a qual a Localcred foi designada pelas empresas contratantes;
• Quando for necessário para o cumprimento de obrigação legal ou regulatória;
• Quando for necessário para o exercício regular de direitos como, por exemplo, a defesa ou a proposição de ações judiciais, administrativas ou arbitrais;
• Quando for necessário para o cumprimento de obrigações e o exercício de direitos em matéria de emprego, previdência social e proteção social;
• Para a proteção da vida ou da incolumidade física do Titular, incluindo dados médicos com fins preventivos e ocupacionais;
• Para fins de promoção ou manutenção de igualdade de oportunidades entre pessoas de origem racial ou étnica diferente;
• Quando o Titular dos Dados tiver dado o seu Consentimento explícito, de acordo com a legislação e a regulamentação aplicáveis;
• Quando o Tratamento for relativo a condenações penais e infrações, ou a medidas de proteção relacionadas, sob o controle da autoridade pública ou quando autorizado por legislação que preveja as salvaguardas adequadas para os direitos e liberdades dos Titulares de Dados Pessoais.

O Tratamento de Dados Pessoais deve ser realizado de maneira compatível com a finalidade original para a qual os Dados Pessoais foram coletados, não podendo eles ser coletados com um propósito e utilizados para outro. Quaisquer outras finalidades devem ser compatíveis com a razão original da coleta.

A Localcred somente pode tratar Dados Pessoais na medida em que seja necessário para atingir um propósito específico: este é o princípio da minimização de dados. O compartilhamento de Dados Pessoais com outra área ou outra empresa deve considerar esse princípio e só pode ocorrer quando houver amparo legal adequado.

A Localcred deve adotar medidas razoáveis para assegurar que quaisquer Dados Pessoais em sua posse sejam mantidos precisos e atualizados em relação às finalidades para as quais foram coletados, sendo garantida ao Titular a possibilidade de requerer a exclusão ou a correção de dados imprecisos ou desatualizados.

A Localcred deve ter conhecimento de suas atividades de Tratamento, dos períodos de retenção estabelecidos e dos processos de revisão periódica, não podendo manter os Dados Pessoais por prazo superior ao necessário para atender às finalidades pretendidas.

A Localcred deve assegurar que medidas técnicas e administrativas apropriadas sejam aplicadas aos Dados Pessoais para protegê-los contra o Tratamento não autorizado ou ilegal, bem como contra a perda acidental, a destruição ou danos. O Tratamento de Dados Pessoais também deve garantir a devida confidencialidade. Entre as medidas técnicas mais comuns, podem ser descritas:

• Anonimização: os Dados Pessoais são tornados anônimos de tal forma que não mais se referem a uma pessoa direta ou indiretamente identificável. O anonimato tem de ser irreversível;
• Pseudoanonimização: processo pelo qual os Dados Pessoais não mais se relacionam diretamente com uma pessoa identificável (por exemplo, pelo nome), mas não são anônimos, porque ainda é possível identificar a pessoa com informações adicionais, mantidas separadamente.

A Localcred é responsável por demonstrar o cumprimento desta Política, assegurando a implementação de diversas medidas, que incluem, mas não se limitam a:

• Garantia de que os Titulares dos Dados Pessoais possam exercer os seus direitos, conforme descritos na seção 6.12 deste documento;
• Registro das atividades de Tratamento de Dados Pessoais, com a descrição das finalidades desse Tratamento, dos destinatários do compartilhamento dos Dados Pessoais e dos prazos pelos quais a Localcred deve retê-los;
• Registro de incidentes e de violações de Dados Pessoais;
• Garantia de que os Terceiros que sejam Processadores de Dados Pessoais também estejam agindo de acordo com esta Política e com a legislação e a regulamentação aplicáveis;
• Garantia de que a Localcred, quando requerido, registre junto à autoridade supervisora aplicável um Encarregado de Dados ou DPO;
• Garantia de que a Localcred esteja cumprindo todas as exigências e solicitações de qualquer autoridade de supervisão à qual esteja sujeita.

Cada Parceiro da Localcred é o Controlador dos Dados Pessoais em sua respectiva região ou empresa, sendo necessária a nomeação de um responsável por garantir que os Dados Pessoais estejam sendo tratados de forma correta e de acordo com a legislação e a regulamentação aplicáveis naquela região. Em determinadas circunstâncias, um Parceiro Controlador da Localcred pode atuar como Processador de outro. Nesses casos, o Processador é obrigado a seguir a orientação de quem está atuando como Controlador.

Quando os Dados Pessoais forem tratados em países diferentes daqueles onde foram coletados, a legislação e a regulamentação aplicáveis à transferência internacional de dados de cada país devem ser observadas. A Localcred deve garantir a existência e a atualização de contratos de transferência internacional de Dados Pessoais.

A Localcred está comprometida com os direitos dos Titulares de Dados Pessoais, os quais incluem:

• A informação, no momento em que os Dados Pessoais são fornecidos, sobre como eles serão tratados;
• A informação sobre o Tratamento de seus Dados Pessoais e o acesso aos Dados Pessoais que a Localcred detenha sobre eles;
• A correção de seus Dados Pessoais, se estiverem imprecisos, incorretos ou incompletos;
• A exclusão, o bloqueio ou a anonimização de seus Dados Pessoais em determinadas circunstâncias (“direito de ser esquecido”). Isso pode incluir, mas não se limita a, circunstâncias em que não é mais necessário que a Localcred retenha seus Dados Pessoais para os propósitos para os quais foram coletados;
• A restrição do Tratamento de seus Dados Pessoais em determinadas circunstâncias;
• Opor-se ao Tratamento, se ele for baseado em legítimo interesse;
• Retirar o Consentimento a qualquer momento, se o Tratamento dos Dados Pessoais se basear no Consentimento do indivíduo para um propósito específico;
• A portabilidade dos Dados Pessoais a outro fornecedor de serviço ou produto, mediante requisição expressa, em determinadas circunstâncias;
• A revisão das decisões tomadas unicamente com base em Tratamento automatizado de Dados Pessoais;
• A apresentação de queixa à Localcred ou à Autoridade de Proteção de Dados aplicável, se o Titular dos Dados Pessoais tiver motivos para supor que qualquer um de seus direitos de proteção de Dados Pessoais foi violado.

Os prestadores de serviços terceirizados, quarteirizados ou subsequentes que tratem Dados Pessoais sob as instruções, ou com dados fornecidos inicialmente pela Localcred ou por Parceiros, estão sujeitos às obrigações impostas aos Processadores de acordo com a legislação e a regulamentação de proteção de Dados Pessoais aplicáveis.

A Localcred ou o Parceiro deve assegurar que o contrato de prestação de serviço contemple cláusulas de privacidade que exijam do Processador de Dados terceirizado a implementação de medidas de segurança e de controles técnicos e administrativos apropriados para garantir a confidencialidade e a segurança dos processos que envolvam Dados Pessoais, e que especifiquem que o Processador está autorizado a tratar Dados Pessoais apenas quando formalmente solicitado pela Localcred. O Processador é, então, responsável pelo devido tratamento e pela utilização apenas para a atuação contratada e em sua respectiva região, sendo necessária a nomeação de um responsável interno (DPO), que servirá de contato para esses fins e garantirá que os Dados Pessoais estejam sendo tratados de forma correta e de acordo com a legislação e a regulamentação aplicáveis. Nos casos em que o prestador de serviços estiver localizado fora do país em que o Dado Pessoal foi coletado, as cláusulas contratuais devem ser incluídas no contrato de proteção de Dados Pessoais como anexo, para garantir que as salvaguardas exigidas pela legislação e pela regulamentação aplicáveis sejam implementadas.

Todos os incidentes e potenciais violações de dados devem ser reportados ao Líder de Privacidade Corporativo ou ao DPO. Todos os Integrantes devem estar cientes de sua responsabilidade pessoal de encaminhar e escalonar possíveis problemas, bem como de denunciar violações ou suspeitas de violações de Dados Pessoais assim que as identificarem. No momento em que um incidente ou violação real for descoberto, é essencial que seja informado e formalizado de forma tempestiva.

Violações de dados incluem, mas não se limitam a, qualquer perda, exclusão, roubo ou acesso não autorizado a Dados Pessoais controlados ou tratados pela Localcred.

A Localcred deve garantir a existência de revisões periódicas, a fim de confirmar que as iniciativas de privacidade, seu sistema, medidas, processos, precauções e demais atividades, incluindo o gerenciamento da proteção de Dados Pessoais, são efetivamente implementados e mantidos e estão em conformidade com a legislação e a regulamentação aplicáveis.

Adicionalmente, conforme previsto na Diretriz de Auditoria Interna, o tema deve ser avaliado com a devida periodicidade e de acordo com os riscos existentes. Caso os riscos sejam relevantes, a Auditoria Interna deverá incluir revisão independente específica no plano anual de auditoria interna.