Política de Privacidade e Proteção de Dados Pessoais

SONEPAR BRASIL

Termos Gerais

A SONEPAR BRASIL, pessoa jurídica de direito privado, inscrita no CNPJ sob o n° 04.528.102/0001-35, e todas as empresas de sua composição: Dimensional, Eletronor e Nortel, entendem como sensível e relevante os registros de dados pessoais deixados pelos titulares com relação aos serviços prestados ou papel de empregador pela organização, servindo a presente Política de Privacidade para regular, de forma simples, transparente e objetiva como os dados serão tratados de acordo com a Lei Geral de Proteção de Dados.

1. Objetivo

A presente Política de Privacidade e Proteção de Dados Pessoais tem como objetivo fornecer orientações sobre como gerenciar as diversas atividades e operações de tratamento de dados pessoais existentes na SONEPAR BRASIL.

Este documento faz parte do programa de Governança e Segurança da Informação SONEPAR BRASIL e atende à Lei Geral de Proteção de Dados (Lei nº 13.709/2018 – “LGPD”) e outras leis setoriais sobre o tema.

A SONEPAR BRASIL reconhece o respeito e a proteção da privacidade dos dados pessoais dos indivíduos como parte de sua responsabilidade social, de tal forma que se compromete a promover a adoção de práticas transparentes, seguras e alinhadas à Lei Geral de Proteção de Dados Pessoais no desenvolvimento de suas atividades.

A presente Política de Privacidade e Proteção de Dados Pessoais estabelece a abordagem a ser adotada pela SONEPAR BRASIL para gerenciar os dados pessoais de titularidade dos seus clientes, sócios, colaboradores e seus dependentes legais, além de terceiras partes interessadas, com o objetivo de assegurar que as operações de tratamento de dados realizadas no desenvolvimento das atividades e processos internos da empresa apresentem níveis adequados de transparência, conformidade e proteção.

Este instrumento objetiva promover uma cultura corporativa alinhada à privacidade e à proteção dos dados pessoais, por meio da conscientização de seus colaboradores. Desse modo, a Política objetiva prevenir desconformidades e possíveis causas de incidentes de segurança relacionados ao tratamento de dados pessoais, bem como minimizar os riscos de sanções regulatórias, perda financeira, abalo reputacional e qualquer outro impacto negativo para a empresa.

Esta Política é parte do Programa de Privacidade de Dados da SONEPAR BRASIL, composto também por outros documentos, diretrizes, normas e procedimentos, conforme Anexo 3.

2. Abrangência

Esta Política se aplica a todas as áreas da SONEPAR BRASIL, incluindo prestadores de serviços que, de qualquer forma, tratem Dados Pessoais em nome ou a pedido desta, e reflete a governança aplicada aos temas de proteção de Dados Pessoais. A observância desta Política é obrigatória e reflete a legislação e regulamentação aplicáveis relacionadas à Lei Geral de Proteção de Dados.

3. Referências

• Lei 13.709/2018 - Lei Geral de Proteção de Dados Pessoais.
• Lei 12.965/2014 - Marco Civil da Internet.

4. Definições

Agente de Tratamento: o controlador e o operador.

Anonimização: Utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo.

ANPD - Autoridade Nacional de Proteção de Dados: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da Lei Geral de Proteção de Dados (LGPD).

Banco de Dados: Conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico.

Consentimento: Manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.

Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de Dados Pessoais. O Controlador é quem determina a finalidade e os meios de execução da atividade.

Dados Pessoais: toda informação relacionada a uma pessoa natural identificada ou identificável.

Dados Pessoais Sensíveis: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

DPIA – Data Protection Impact Assessment (Relatório de Impacto à Proteção de Dados Pessoais ‘RIPD’): documentação que contém a descrição dos processos de tratamento de Dados Pessoais: (i) enquadrados em legítimo interesse; e (ii) que podem gerar riscos às liberdades civis e aos direitos fundamentais, além de conter as medidas, as salvaguardas e os mecanismos de mitigação de risco.

DPO – Data Protection Officer (ou “Encarregado de Dados”): representante da SONEPAR BRASIL indicado para atuar como responsável pelo canal de comunicação entre organização, os Titulares de Dados Pessoais e a ANPD.

GDPR – General Data Protection Regulation: Lei da comunidade europeia que determina como deverão ser tratados os Dados Pessoais de indivíduos localizados nos países da União Europeia e demais alcances previstos na lei; Página | 5 Política de Privacidade e Proteção de Dados Pessoais SONEPAR BRASIL

Inventário de Dados: Documento que reflete o ciclo de vida do dado pessoal nos processos da SONEPAR BRASIL.

LGPD – Lei Geral de Proteção de Dados: Lei brasileira que regula todo o tratamento de Dados Pessoais realizado no território brasileiro ou que tenha por objetivo fornecer bens ou serviços para indivíduos localizados no território nacional ou ainda que os dados objeto do tratamento tenham sido coletados no território brasileiro independentemente de onde estejam localizados os dados.

Marco Civil da Internet: Lei que visa orientar os direitos e deveres dos usuários, provedores de serviços e conteúdos e demais envolvidos com o uso da Internet no Brasil.

Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de Dados Pessoais em nome do Controlador.

Prestador(es) de serviço: São pessoas físicas ou jurídicas que prestam algum tipo de serviço contratado pela SONEPAR BRASIL.

Terceiros: Profissionais contratados para executar determinadas atividades em um período pré-estabelecido.

Titulares: São as pessoas físicas a quem os dados pessoais se referem.

Tratamento de dados pessoais: Toda e qualquer operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

Transferência Internacional de Dados: Transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro.

Uso Compartilhado de Dados: Comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados.

5. Escopo e exigibilidade

A Política se aplica às operações de tratamento de dados pessoais realizadas pela SONEPAR BRASIL no desenvolvimento de suas atividades e processos internos, independentemente:

• Da finalidade da operação de tratamento de dados pessoais;

• Da qualidade dos titulares a quem se referem os dados pessoais, isto é, se clientes, sócios, colaboradores ou terceiros;

• Da categoria dos dados pessoais objetos de tratamento, inclusive se dados sensíveis;

• Da extensão das operações de tratamento de dados pessoais, se totais ou parciais;

• Da mídia utilizada na operação de tratamento de dados pessoais, se física ou eletrônica;

• Do nível de automatização da operação de tratamento de dados pessoais, se manual ou não;

• E de quaisquer outras características.

6. Destinatários

Esta Política se aplica:

(i) aos colaboradores da SONEPAR BRASIL;

(ii) a todos os terceiros, sejam eles pessoas físicas ou jurídicas que atuam para ou em nome da SONEPAR BRASIL em operações que envolvam tratamento de dados pessoais que sejam realizadas no escopo das atividades conduzidas pela SONEPAR BRASIL;

(iii) aos agentes de tratamento de dados pessoais externos à SONEPAR BRASIL que de qualquer forma se relacionem com a Instituição;

(iv) aos titulares de dados pessoais, cujos dados são tratados pela SONEPAR BRASIL. A adesão ao programa de conformidade da SONEPAR BRASIL às leis de proteção de dados pessoais e aos diplomas normativos dele decorrentes, Programa de Conformidade da LGPD, incluindo a presente Política, é obrigatória a todos os destinatários acima indicados na medida em que se relacionam à SONEPAR BRASIL. Todas as operações que envolvam tratamento de dados pessoais que sejam realizadas no escopo das atividades conduzidas pela SONEPAR BRASIL estão sujeitas a tais normativas.

7. Aplicabilidade

Esta Política estabelece diretrizes e regras para garantir que seus destinatários entendam e cumpram as legislações que versam sobre proteção de dados pessoais em todas as interações com atuais e futuros titulares de dados pessoais, terceiros e agentes de tratamento de dados pessoais externos à SONEPAR BRASIL no âmbito de suas atividades.

Para além dos conceitos definidos pelas normas que versam sobre privacidade e proteção de dados pessoais, as informações abarcadas pela presente Política incluem todos os dados detidos, usados ou transmitidos pela ou em nome da SONEPAR BRASIL, em qualquer tipo de mídia. Isso inclui dados pessoais registrados em papel, mantidos em sistemas de computadores ou dispositivos portáteis/móveis, bem como dados pessoais transmitidos oralmente.

8. Princípios

Todo e qualquer tratamento de dado pessoal no âmbito da SONEPAR BRASIL ou mediante solicitação desta, deverá ser realizado de acordo com as regras e procedimentos estipulados em normas relativas à proteção de dados pessoais e nos seguintes princípios:

• Finalidade: os dados pessoais coletados e processados são utilizados para realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, não sendo utilizados de forma incompatível com tais objetivos;

• Adequação: os dados pessoais são tratados em compatibilidade com as finalidades informadas ao seu titular ou pertinentes ao contrato por ele firmado com a entidade, no contexto do tratamento realizado;

• Necessidade: o tratamento deve se limitar ao mínimo possível de dados pessoais indispensáveis à realização das finalidades objetivadas, observada a sua pertinência e proporcionalidade

• Livre Acesso: é assegurada aos titulares a realização de consulta facilitada e gratuita sobre os seus dados pessoais tratados, bem como sobre a forma e a duração do seu tratamento

• Qualidade dos dados:** os dados pessoais tratados devem ser exatos, claros, relevantes e atualizados, de acordo com a necessidade e para o cumprimento da finalidade do tratamento

• Transparência: é assegurado ao titular de dados pessoais o acesso a informações precisas e facilitadas sobre o tratamento de seus dados pessoais e os respectivos agentes de tratamento

• Segurança: são aplicáveis para tratamento de dados todas as medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão

• Prevenção: são aplicáveis para tratamento de dados pessoais todas as medidas técnicas, operacionais e contratuais adequadas para prevenir eventual ocorrência de danos ou riscos em virtude das atividades de tratamento de dados pessoais

• Não discriminação: é vedada a realização de tratamento de dados pessoais para qualquer forma de discriminação ilícita ou abusiva

• Responsabilização e Prestação de contas: para garantia de proteção de dados pessoais, poderá haver demonstração das medidas e providências preventivas adotadas pela SONEPAR BRASIL.

• Desta forma a SONEPAR BRASIL se compromete a garantir um nível apropriado de proteção da privacidade dos dados pessoais dos indivíduos, considerada a sensibilidade, o volume e a complexidade das operações de tratamento de dados pessoais realizadas pela empresa, além de assegurar a adoção de medidas organizacionais e técnicas apropriadas, respeitada a viabilidade operacional, o estado da tecnologia e a disponibilidade financeira da empresa, resguardada a necessária documentação de tais medidas, que se estendem, inclusive, para dados sensíveis e dados de menores de idade, que são resguardados com todos os mecanismos de proteção dentro da capacidade da SONEPAR BRASIL. Dentre as medidas adotas, incluem-se:

• Elaboração e disponibilidade de Políticas, diretrizes e outros instrumentos de orientação em linguagem clara e com acesso facilitado aos recursos humanos da empresa

• Fomento da conscientização e treinamento contínuo dos recursos humanos da empresa

• Garantia de segurança e qualidade das instalações, equipamentos e demais insumos da empresa

• Disponibilidade de infraestrutura e pessoal qualificado em tecnologia e segurança da informação

• Due dilligence adequado na seleção de fornecedores e parceiros.

9. Bases Legais para o Tratamento de Dados Pessoais

Todas as operações de tratamento de dados pessoais conduzidas pela SONEPAR BRASIL terão uma base legal que legitime a sua realização, com estipulação da finalidade e designação dos responsáveis pelo tratamento.

A SONEPAR BRASIL assume como compromisso a avaliação periódica das finalidades de suas operações de tratamento, considerando o contexto em que estas operações se inserem, os riscos e benefícios que podem ser gerados ao titular de dados pessoais e o legítimo interesse da organização.

A realização de operações de tratamento de dados pessoais pela SONEPAR BRASIL poderá ser realizada:

• Mediante o fornecimento do consentimento pelo titular de dados pessoais

• Para o cumprimento de obrigação legal ou regulatória

• Para a realização de estudos por órgão de pesquisa

• Quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular de dados pessoais

• Para o exercício regular de direitos em processo judicial, administrativo ou arbitral

• Para a proteção da vida ou da incolumidade física do titular de dados pessoais ou de terceiros

• Para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária

• Quando necessário para atender aos interesses legítimos da SONEPAR BRASIL ou de terceiros

• Para a proteção do crédito

10. Diretrizes

10.1 Lei Geral de Proteção de Dados Pessoais na SONEPAR BRASIL

Em consonância com a LGPD, é prioridade da SONEPAR BRASIL proteger, preservar e respeitar a privacidade e os direitos dos titulares de dados pessoais.

Adotamos prática e condutas éticas, visando a manutenção e evolução do grau de conformidade dos processos relativos à proteção de dados pessoais para atender às necessidades dos clientes, colaboradores e os terceiros. As informações sobre o tipo de dado pessoal, coleta, terceiros ou órgãos os quais os dados são compartilhados, finalidade do tratamento, encontra-se no Inventário de Dados da SONEPAR BRASIL.

A depender da atividade de tratamento realizada a SONEPAR BRASIL poderá se enquadrar como Controladora ou Operadora de Dados Pessoais:

• Como Controladora, a SONEPAR BRASIL adota medidas técnicas de segurança e privacidade para preservar a disponibilidade, a integridade e a confidencialidade dos dados pessoais que coleta e trata.

• Como Operadora, a SONEPAR BRASIL cumpre todas as diretrizes contratuais definidas pelos Controladores (seus terceiros), a fim de realizar o tratamento de dados pessoais por meio de boas práticas de segurança.

10.2 Coleta e Utilização dos Dados Pessoais

Enquanto Controlador, a SONEPAR BRASIL coleta os Dados Pessoais da seguinte maneira:

• Dados informados pelo próprio titular ou, responsável legal do mesmo.

Os dados pessoais podem ser tratados para as seguintes finalidades, não se limitando ao rol abaixo:

• Prestação de serviços

• Cumprimento de direitos e obrigações relacionados ao seu quadro de empregados

• Defesa de direitos dos titulares

• Relatórios administrativos e gerenciais

• Pagamentos de méritos e promoções

• Pagamento de comissões

• Atendimento ao cliente

• Venda de produtos

• Realização de ações de bem-estar (aplicável somente aos colaboradores)

• Realização de tratamento de reclamações (aplicável somente aos clientes)

• Alteração cadastral

• Cadastramento em sistema computacional para emissão da Nota Fiscal (aplicável somente aos clientes)

• Investigação de denúncias

• Comprovação de desempenho e aumento de limite de crédito, bem como comprovação de pagamentos ao financeiro e cadastro de fornecedor. Todo o tratamento de dados da SONEPAR BRASIL foi mapeado e registrado, possuindo todo inventário de dados conforme determina o Artigo 37 da Lei Geral de Proteção de Dados Pessoais (LGPD). Enquanto Operador, a SONEPAR BRASIL utiliza os dados pessoais conforme a determinação do Controlador (terceiros), resguardando os princípios e diretrizes da LGPD para a realização do tratamento nas seguintes situações:

• Proteção da vida ou da incolumidade física do titular ou de terceiros

• Tutela da saúde, exclusivamente, em procedimentos realizados por profissionais de saúde, serviços de saúde ou autoridade sanitária

• Quando necessário, para atender aos interesses legítimos do Controlador ou de terceiros, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção de dados pessoais

• Sistemas de cadastros de terceiros, na SONEPAR BRASIL

• Inspeção de ambiente e E.P.I’s

• Para fins Jurídicos nos casos em que o cliente alegue que não recebeu a mercadoria, se ele não pagou, para comprovar a entrega da mercadoria (aplicável somente aos clientes)

• Registro, liberação e controle de acessos

• Comprovante de pagamento de salários e recolhimentos de INSS e FGTS

• Análise de crédito, em caso de novos clientes

• Comprovante de ASO e certificados de treinamentos normativos necessários.

10.3 Compartilhamento dos Dados Pessoais

A SONEPAR BRASIL poderá compartilhar os dados pessoais com terceiros que ofereçam um nível de segurança em privacidade e proteção de dados compatível com os requisitos desta Política e sem prejuízo de outras que se fizerem necessárias, atendidas as seguintes condições:

• O compartilhamento é necessário para atender à finalidade que ensejou a operação de tratamento de dados pessoais

• O compartilhamento abrange somente dados relevantes, necessários e não excessivos, considerada a finalidade que ensejou à operação de tratamento de dados pessoais

• O compartilhamento é devidamente informado ao titular dos dados pessoais

• O compartilhamento realiza-se por meio de mecanismos que asseguram a confidencialidade e a proteção dos dados pessoais

• O compartilhamento realiza-se no âmbito de uma relação contratual que possui um Acordo de Tratamento de Dados Pessoais pré-estabelecido

• O compartilhamento não resulta em riscos desmedidos às liberdades civis e aos direitos fundamentais dos titulares, exceto quando aprovado após a realização de um Relatório de Impacto à Proteção de Dados Pessoais.

Em caso de compartilhamento, o mesmo deve atender as seguintes finalidades:

• Atender as obrigações legais vigentes e defesa de direitos fundamentais dos titulares

• Atender as obrigações contratuais com os colaboradores, como pagamento de salários e proventos, além da realização de exames médicos

• Atender aos benefícios fornecidos para os colaboradores.

10.4 Operadores

A SONEPAR BRASIL poderá delegar o tratamento dos dados pessoais a operadores, hipótese na qual a operação de tratamento será realizada em nome e conforme as instruções previamente estabelecidas pela empresa, e sem prejuízo de outras que se fizerem necessárias, atendidas as seguintes condições:

• O operador é escolhido com base no nível de proteção que assegura à privacidade e aos dados pessoais dos titulares, bem como em sua capacidade para atender as disposições estabelecidas nesta Política;

• O relacionamento com o operador é formalizado por meio de um Acordo de Tratamento de Dados Pessoais ou instrumento congênere;

• As instruções para o tratamento dos dados pessoais são documentadas de forma contínua e capaz de garantir o atendimento ao princípio da responsabilização

10.5 Proteção dos Dados Pessoais

A SONEPAR BRASIL detém de medidas rígidas para garantir a integridade e segurança dos dados pessoais dos titulares adotando um controle de acesso restrito a estes dados, desta forma, somente pessoas autorizadas conseguem acessá-los. A autorização de acesso é concedida para que as áreas responsáveis possam atender às necessidades de suas atividades e para possíveis tratativas de suporte.

Com a finalidade de garantir a segurança dos dados pessoais, são adotadas as melhores práticas de segurança da informação disponíveis e atualizadas, incluindo todos os tipos de medidas administrativas, técnicas e físicas de cunho preventivo em relação à segurança e privacidade durante a execução de suas atividades envolvendo dados pessoais, desde o treinamento e conscientização dos colaboradores até o uso de tecnologias avançadas.

10.6 Retenção dos Dados Pessoais

A SONEPAR BRASIL reterá os dados pessoais tratados pelo período em que for necessário de acordo com as finalidades pré-determinadas no momento da coleta. Após o término do tratamento, em alguns casos, pode ser necessário manter o armazenamento de dados pessoais por um determinado período, para atender alguma obrigação legal ou ações judiciais.

Os dados pessoais que são necessários para o atendimento do Marco Civil da Internet, Legislação Trabalhista, Tributária e outras regulamentações legais, são armazenados em ambiente seguro, determinado e controlado.

Findo o prazo e a necessidade legal de armazenamento os dados são eliminados com uso de métodos de descarte seguro.

As informações sobre o prazo de retenção, forma de descarte e justificativa do armazenamento dos dados pessoais encontram-se detalhados na Política de Retenção da SONEPAR BRASIL.

10.7 Direitos do Titular

O titular dos dados pessoais possui direitos e garantias em relação a estes dados, a SONEPAR BRASIL disponibiliza-se de mecanismos mencionados abaixo e relatados no Anexo 1 desta Política para que o titular tenha clareza e transparência no exercício de seus direitos. Sempre que necessário, o titular pode entrar em contato solicitando informações a respeito de seus dados e direitos.

Para atender a esta demanda, a SONEPAR BRASIL direciona o contato pelo e-mail “dpo@sonepar.com.br”, através do qual o titular pode entrar em contato para exercer os seguintes direitos:

• Confirmação da existência de tratamento: A SONEPAR BRASIL trata os dados pessoais de acordo com a finalidade relatada no momento da coleta, mantendo esses dados armazenados em ambientes de forma segura e controlada. O titular pode solicitar a confirmação do tratamento de seus dados pessoais quando julgar necessário a SONEPAR BRASIL;

• Acesso aos Dados: A qualquer momento, o titular pode solicitar a SONEPAR BRASIL que informe quais dados pessoais de sua titularidade estão sendo tratados;

• **Correção de Dados Pessoais incompletos, inexatos ou desatualizados: Caso o titular de dados em poder da SONEPAR BRASIL verifique que possui informações incompletas, inexatas ou desatualizadas, poderá entrar em contato solicitando a correção ou o complemento de seus dados pessoais faltantes ou inexatos através do e-mail acima destacado;

• Anonimização, bloqueio ou eliminação de Dados Pessoais desnecessários, excessivos ou tratados em desconformidade com a LGPD: O titular de dados em poder da SONEPAR BRASIL poderá solicitar anonimização, bloqueio ou eliminação nos casos em que a SONEPAR BRASIL esteja tratando quando desprovido de base legal justificadora para este tratamento. No entanto, caso a SONEPAR BRASIL possua justificativa legal ou regulatória para manutenção do poder desses dados pessoais, eles serão retidos pelo prazo necessário para o exercício da obrigação legal/regulatória ou para o direito de defesa em processo judicial, administrativo ou arbitral, em curso ou contemporâneo, ou ainda, em determinadas situações no legítimo interesse da SONEPAR BRASIL (como, por exemplo, para evitar infrações e fraudes de diferentes espécies);

• Portabilidade dos Dados Pessoais a outro fornecedor de serviço ou produto, mediante requisição expressa pelo Titular: O titular dos dados poderá solicitar a SONEPAR BRASIL a portabilidade dos seus dados pessoais a outro prestador de serviços ou produto. A solicitação do titular procurará ser atendida no menor prazo possível;

• Obtenção de informações sobre as entidades públicas ou privadas com as quais a SONEPAR BRASIL compartilha os Dados Pessoais do Titular: O titular pode entrar em contato com a SONEPAR BRASIL por meio do canal de atendimento aos direitos do titular de dados pessoais para informar-se sobre com quem houve o compartilhamento de seus dados, através do e-mail acima referenciado;

• Informação sobre a possibilidade do Titular não fornecer o consentimento para o tratamento de Dados Pessoais, bem como de ser informado sobre as consequências em caso de negativa: Caso o titular não queira fornecer seu consentimento para o tratamento específico que a SONEPAR BRASIL necessite realizar, será esclarecido ao mesmo se é possível prestar os serviços de seu interesse sem o tratamento de seus dados pessoais, informando ainda as consequências do seu não consentimento;

• Revogação do consentimento: quando o tratamento dos dados pessoais se basear no consentimento do titular, este poderá revogar o seu consentimento e solicitar a eliminação de seus dados pessoais a qualquer momento. A revogação do consentimento poderá implicar na impossibilidade do titular utilizar os serviços prestados pela SONEPAR BRASIL. A interrupção do tratamento dos dados pessoais não será efetivada quando estes dados forem: (i) anonimizados; ou (ii) necessários à SONEPAR BRASIL e/ou à terceiros envolvidos na prestação de serviços para fins de defesa judicial, arbitral ou administrativa, bem como para cumprimento de obrigações legais e/ou regulatórias.

10.8 Quais dados são tratados

Levando em consideração a necessidade do tratamento de dados assegurados pela Lei Geral de Proteção de Dados pela SONEPAR BRASIL listamos abaixo as principais espécies de dados pessoais coletados e tratados:

• Nome completo

• Número de Registro Geral (RG)

• Atestado de Saúde Ocupacional (Dado sensível)

• Ficha de Registro

• Carteira de Trabalho e Previdência Social (CTPS)

• Número de Reservista

• Título de Eleitor

• Carteira Nacional de Habilitação (CNH)

• Número de Programa de Integração Social (PIS)

• Registro de Antecedentes Criminais (Dado sensível)

• Carteira de Vacinação (Dado sensível)

• Comprovante de Vacinação de COVI D-19 (Dado sensível)

• Certificado de Formação Escolar

• Histórico Escolar

• Foto 3x4

• Data de nascimento

• Sexo

• Nacionalidade

• Número de inscrição no Cadastro de Pessoas Físicas (CPF)

• Endereço de e-mail

• Endereço residencial

• Número de telefone

• Pontuação de Score no SERASA

• Currículo

• Número de Registro da Ordem dos Advogados do Brasil (OAB)

• Número de Registro do Conselho Regional de Contabilidade (CRC)

• Assinatura Pessoal – Física e Digital

• Dados biométricos (dado sensível)

• Número de Registro do Cartão do SUS

• Certidão de Nascimento

• Certidão de Casamento

• Número de Registro do e-Social

• Dados bancários

• Redes sociais

• Informações sobre pessoas com deficiências

• Gênero (dado sensível)

• Orientação Sexual (dado sensível)

• Cópia de matrícula escolar

• Dados médicos (dado sensível)

Dentre os dados relacionados na listagem acima podem conter dados de menores, que, devido esta característica será considerado dado pessoal sensível.

A listagem acima não é taxativa e poderão haver dados pessoais tratados que não estejam incluídos aqui. Como atendimento à LGPD, é elaborado o inventário de dados tratados que relaciona todos os dados tratados vinculados aos seus procedimentos internos, desta forma este material elenca todos os dados pessoais ou não, operados pela SONEPAR BRASIL.

10.9 Deveres para uso o adequado de dados pessoais

Os deveres de cuidado, atenção e uso adequado de dados pessoais se estendem a todos os destinatários desta Política no desenvolvimento de seus trabalhos e atividades relacionadas a SONEPAR BRASIL, comprometendo-se a auxiliar a empresa a cumprir suas obrigações na implementação de sua estratégia de privacidade e proteção de dados pessoais e de dados sensíveis.

10.9.1 Deveres específicos dos titulares de dados pessoais:

Incumbe aos titulares de dados pessoais comunicar à SONEPAR BRASIL sobre quaisquer modificações em seus dados pessoais em sua relação com a empresa (e.g. mudança de endereço).

10.9.2 Deveres específicos dos colaboradores da SONEPAR BRASIL:

O compartilhamento de dados pessoais de titulares entre as Unidades SONEPAR BRASIL é permitido, desde que respeitada a sua finalidade e base legal, observado o princípio da necessidade, ficando o tratamento de dados pessoais sempre adstrito ao desenvolvimento de atividades autorizadas pela empresa.

10.9.3 Deveres dos empregados da SONEPAR BRASIL, agentes de tratamento de dados pessoais e terceiros:

(i) Não disponibilizar nem garantir acesso aos dados pessoais mantidos pela SONEPAR BRASIL para quaisquer pessoas não autorizadas ou incompetentes de acordo com as normas da empresa;

(ii) Cumprir as normas, recomendações, orientações de segurança da informação e prevenção de incidentes de segurança da informação (e.g. Política de Segurança da Informação, Plano de Resposta a Incidentes de Segurança da Informação, orientações de gestão de senhas, dentre outras).

10.9.4 Deveres de todos os destinatários desta política:

Todos os destinatários desta Política têm o dever de contatar o DPO quando da suspeita ou da ocorrência efetiva das seguintes ações: (i) Operação de tratamento de dados pessoais realizada sem base legal que a justifique;

(ii) Tratamento de dados pessoais sem a autorização por parte da SONEPAR BRASIL no escopo das atividades que desenvolvem;

(iii) Operação de tratamento de dados pessoais que seja realizada em desconformidade com a Política de Segurança da Informação da SONEPAR BRASIL;

(iv) Eliminação ou destruição não autorizada pela SONEPAR BRASIL de dados pessoais de plataformas digitais ou acervos físicos em todas as instalações da Instituição ou por ela utilizadas;

(v) Qualquer outra violação desta Política ou de qualquer um dos princípios de proteção de dados apresentados ou não neste instrumento.

10.10 Transferência Internacional

Quanto aos dados pessoais que são compartilhados internacionalmente, a SONEPAR BRASIL atende a todos os requisitos legais vigentes nos países envolvidos e adota medidas de segurança cibernéticas e de proteção de dados, assegurando a integridade, transparência e confidencialidade dos dados pessoais.

Para a prestação de serviços que implique no compartilhamento internacional dos dados pessoais a SONEPAR BRASIL estabelecerá cláusulas contratuais específicas detalhando qual a finalidade de realizar esta transferência.

Da mesma forma, a eventual transferência internacional dos dados pessoais dos colaboradores está prevista no contrato de trabalho de cada colaborador.

Portanto, nas hipóteses em que a SONEPAR BRASIL é autorizada a tratar dados pessoais independentemente do consentimento do titular de dados a SONEPAR BRASIL poderá transferir dados pessoais para outros países desde que, alternativamente:

(i) O país seja classificado como tendo um nível adequado de proteção de dados atribuído pela ANPD ou, a transferência seja autorizada pela ANPD;

(ii) Enquanto não houver lista de países de nível adequado divulgada pela ANPD, o país seja classificado pela Comissão Europeia, por meio de uma decisão de Adequação, como país de nível adequado aos critérios da GDPR;

(iii) O agente de tratamento de dados pessoais internacional ofereça à SONEPAR BRASIL pelo menos uma das salvaguardas abaixo: a. Códigos de Conduta regularmente emitidos ou binding corporate rules aprovados pela Comissão Europeia;

b. Cláusulas Contratuais Padrão emitidas pela ANPD ou pela Comissão Europeia;

c. Selos e/ou Certificados de conformidade ou adequação à proteção de dados pessoais concedidos por entidades reconhecidas pela ANPD ou pela Comissão Europeia, ou;

(iv) Obtenha consentimento explícito e destacado dos titulares de dados pessoais para realização de operações de transferência internacional de dados pessoais, com informação prévia sobre o caráter internacional da operação e destacando que o país não tem nível adequado de proteção de dados reconhecido, ou que não há salvaguardas da conformidade do agente de tratamento, conforme o caso. Nas hipóteses em que a SONEPAR BRASIL é autorizada a tratar dados pessoais com base no consentimento a SONEPAR BRASIL poderá transferir dados pessoais para outros países desde que obtenha consentimento explícito e destacado dos titulares de dados pessoais para realização de operações de transferência internacional de dados pessoais, com informação prévia sobre o caráter internacional da operação. Caso o país não tenha nível adequado de proteção de dados reconhecido ou não haja salvaguardas da conformidade do agente de tratamento, tais informações deverão ser prestadas ao titular de dados pessoais previamente, a fim de que este consinta com os riscos da operação.

10.11 Sistema de Informação

Em relação a segurança do sistema de informação, a SONEPAR BRASIL adota medidas técnicas adequadas no trato com os dados pessoais, segurança contra acessos não autorizados, perda, destruição, compartilhamento não autorizado, entre outras hipóteses e medidas.

10.12 Canal de Comunicação

Questionamentos relacionados à Política de Privacidade da SONEPAR BRASIL, atendimento de solicitações dos titulares, ou quaisquer outras dúvidas relacionadas ao tema de segurança e proteção de dados pessoais, devem ser enviadas no canal disponível no e-mail dpo@sonepar.com.br, canal oficial de contato com a DPO SONEPAR BRASIL.

Os dados da DPO SONEPAR BRASIL encontram-se publicados nos sites do grupo.

10.13 Comitê de Privacidade

O Comitê de Privacidade visa garantir que a organização esteja em conformidade com a legislação (LGPD), compreendendo a finalidade dos dados pessoais no seu modelo de negócio, protegendo-os de modo estratégico e garantindo sua adequada utilização. Na SONEPAR BRASIL o comitê é composto pelo Encarregado (DPO), representantes de diferentes áreas que tratam dados pessoais, Departamentos de Jurídico & Compliance, Recursos Humanos e Tecnologia da Informação. As informações sobre o Comitê, papéis e responsabilidades,

10.14 Relatório de Impacto à Proteção de Dados Pessoais

A SONEPAR BRASIL assegura a elaboração do Relatório de Impacto à Proteção de Dados Pessoais (DPIA) quando identificada a existência de riscos às liberdades civis e aos direitos fundamentais dos titulares dos dados pessoais, o que pode se verificar, por exemplo:

• Quando da introdução de novos sistemas, tecnologias ou processos de negócios;

• Quando da realização de novas ou de alterações significativas em operações de tratamento de dados pessoais existentes, ou;

• Quando da contratação de novos fornecedores ou da celebração de novas parcerias. Nesse sentido a SONEPAR BRASIL garante que o DPIA será devidamente documentado para fins de atendimento ao princípio da responsabilização, observados os papéis e responsabilidades dos integrantes da equipe de privacidade.

10.15 Gestão de Riscos e Incidentes

Em caso de incidentes envolvendo dados pessoais, a SONEPAR BRASIL se compromete a tomar todas as medidas necessárias para contatar o titular e a Autoridade Nacional de Proteção de Dados em prazo razoável, informando a natureza dos dados pessoais afetados, as medidas técnicas e de segurança utilizadas para a proteção dos dados, os riscos relacionados ao incidente e as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.

Além disso, a SONEPAR BRASIL prestará toda a colaboração necessária a qualquer investigação que venha a ser realizada sobre o assunto.

10.16 Monitoramento e Atualização

Reitera-se que a SONEPAR BRASIL reconhece o seu compromisso em zelar pelo tratamento adequado de dados pessoais para fins legítimos que possam ser objeto de suas atividades e reforça o seu compromisso com boas práticas de privacidade e proteção de dados, comprometendo-se a manter seus processos atualizados com as normas e recomendações emitidas pela ANPD ou outras autoridades competentes.

A SONEPAR BRASIL assume o compromisso de revisitar a presente Política periodicamente e, a seu critério, promover modificações que atualizem suas disposições de modo a reforçar o compromisso permanente da organização com a privacidade e a proteção de dados pessoais

11. Gestão de Consequências

Em caso de descumprimento desta Política serão adotadas medidas de gestão de consequências trabalhistas, cíveis, criminais e administrativas eventualmente aplicáveis aos responsáveis pelas ilicitudes, incluindo a possibilidade de demissão por justa causa e rescisão contratual por justo motivo nos casos de Terceiros.

12. Atualizações

Esta política poderá sofrer atualizações e ajustes a qualquer momento, de modo a refletir fidedignamente as práticas relacionadas à privacidade e proteção de dados pessoais da SONEPAR BRASIL. Caso a atualização seja substancial, a SONEPAR BRASIL utilizará os meios disponíveis para comunicá-la.

Anexo 1 – Atendimento aos Direitos dos Titulares

Em cumprimento à regulamentação aplicável no que diz respeito ao tratamento de dados pessoais, a SONEPAR BRASIL respeita e garante ao titular a possibilidade de apresentação de solicitações baseadas nos seguintes direitos:

(i) Confirmação da existência de tratamento

O titular pode buscar junto à SONEPAR BRASIL a confirmação da existência de tratamento de seus dados pessoais. A LGPD prevê que a confirmação poderá ser fornecida por meio eletrônico, seguro e idôneo (e-mail, por exemplo) ou em forma impressa, cabendo ao requerente decidir o formato desejado.

(ii) Acesso aos dados

O titular pode solicitar a relação dos dados pessoais tratados pela organização. Nesse caso, a SONEPAR BRASIL deve fornecer uma cópia com os dados tratados e a finalidade do tratamento. Antes de revelar as informações solicitadas, a organização deve tomar algumas precauções como:

● Verificar se os dados recolhidos são, de fato, referentes ao titular solicitante e não pertencentes a outra pessoa;

● Remover ou anonimizar dados pertencentes a terceiros;

● Não revelar dados protegidos por segredo da atividade, e;

● Não revelar informações relativas a assuntos jurídicos internos da instituição.

(iii) Correção de dados incompletos, inexatos ou desatualizados

O titular pode requisitar a correção de dados pessoais que estejam incompletos, inexatos ou desatualizados. Durante o período de investigação da solicitação do titular é extremamente recomendável que o tratamento dos dados pessoais sob análise seja suspenso caso sua continuidade possa trazer danos ao titular. Em casos de retificação de dados pessoais que tenham sido compartilhados com terceiros, sejam eles da esfera pública ou privada, será necessário que a organização notifique os referidos terceiros acerca da correção, para que esses repliquem a alteração promovida nos respectivos bancos de dados. Para tanto é recomendável que os contratos com terceiros sejam aditados para incluir esta obrigação de atualização/retificação dos dados compartilhados.

(iv) Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade

O titular pode requisitar a exclusão, bloqueio ou anonimização de seus dados pessoais à SONEPAR BRASIL, salvo se houver um motivo legítimo para a sua manutenção, como eventual obrigação legal de retenção de dados.

Tal requerimento depende de certas circunstâncias:

● Os dados pessoais devem se mostrar desnecessários e/ou excessivos ao cumprimento das finalidades estipuladas para o tratamento, e;

● Quando há o tratamento de dados pessoais de forma indevida (isto é, sem o amparo de uma base legal e legítima).

Caso o requerimento seja válido, dentro das circunstâncias apresentadas a SONEPAR BRASIL deverá adotar os procedimentos técnicos cabíveis para garantir que os dados pessoais sejam completamente eliminados, anonimizados ou bloqueados em todos os sistemas ativos.

(v) Portabilidade de seus dados a outro fornecedor de serviço ou produto, mediante requisição expressa pelo Usuário/Titular

Tal requerimento confere ao titular o direito de seus dados pessoais fornecidos à SONEPAR BRASIL serem compartilhados com terceiros, em formato estruturado, de modo que este possa se aproveitar destas informações para prestação de seus serviços e/ou fornecimento de seus produtos. A portabilidade de dados só pode ser requerida para operações de tratamento que tenham como base legal o consentimento ou execução de contrato.

Apesar da legislação não definir a forma de envio dos dados, o mercado tem usado comumente alguns critérios para que haja qualidade na portabilidade dos dados como:

● Os dados devem ser enviados de forma estruturada;

● Os dados devem ser enviados em linguagem comum e amplamente utilizada, e;

● Os dados devem poder ser lidos por meio de um computador ou qualquer outra máquina padrão do mercado.

(vi) Obtenção de informações sobre as entidades públicas ou privadas com as quais a SONEPAR BRASIL compartilhou seus dados

Disponibilizar ao titular informações precisas, claras e compreensíveis acerca das entidades públicas e privadas com as quais o controlador realizou o uso compartilhado de seus dados e com qual finalidade foi tratado é direito do titular.

(vii) Informação sobre a possibilidade de não fornecer o seu consentimento, bem como de ser informado sobre as consequências, em caso de negativa

Caso o titular não queira fornecer seu consentimento para o tratamento específico que a SONEPAR BRASIL necessite realizar, será esclarecido ao mesmo se é possível prestar os serviços de seu interesse sem o tratamento de seus dados pessoais, informando ainda as consequências de seu não consentimento;

(viii) Revogação do consentimento

O titular tem o direito de revogar o seu consentimento e requisitar a eliminação total de seus dados pessoais a qualquer momento, salvo nas situações em que a própria legislação vedar. A revogação do consentimento poderá implicar na impossibilidade do titular utilizar os serviços prestados pela a SONEPAR BRASIL.

Para exercer os direitos mencionados acima a SONEPAR BRASIL detém um canal de comunicação com o usuário/titular através do e-mail dpo@sonepar.com.br, canal oficial de contato com a DPO SONEPAR BRASIL Stefanie Vasconcelos. Esse canal considera o atendimento para:

● Sanar quaisquer dúvidas sobre esta Política de Privacidade;

● Realizar apontamentos sobre possível violação das leis de proteção de dados, e/ou;

● Atender solicitações relacionadas aos seus direitos.

Para fins de proteção legal, todo histórico de solicitação do titular deve ser armazenado, incluindo:

● Cópias das correspondências trocadas entre a organização e o requerente e entre outras partes envolvidas;

● Registros das decisões tomadas e respectivos racionais, e;

● Cópias das informações efetivamente enviadas para o titular dos dados pessoais.

Anexo 2 – Comitê de Privacidade de Dados Pessoais

1. Objetivo

O Comitê de Privacidade é responsável por definir as práticas e estratégias necessárias com objetivo de manter as operações da SONEPAR BRASIL em conformidade com as legislações de proteção de dados aplicáveis. Sendo assim, esse Comitê é responsável pelas seguintes atividades:

● Analisar processos judiciais relacionados à Proteção de Dados

● Responder às notificações da ANPD

● Atender as solicitações dos Titulares de Dados

● Realizar e acompanhar as ações discutidas e alinhadas pelo Comitê de Privacidade

● Adequar e garantir que os processos e sistemas atendam as normas da LGPD

● Mediar as relações entre os titulares dos dados, a SONEPAR BRASIL e a ANPD, e

● Disseminar os princípios direcionadores para toda organização que realiza o processamento de dados pessoais.

2. Comitê SONEPAR BRASIL

A SONEPAR BRASIL dispõe de uma equipe de privacidade responsável por conduzir e fiscalizar a estrutura de conformidade com a LGPD na empresa, composta pelos:

(i) Encarregado de Dados (DPO)

(ii) Especialistas em Proteção de Dados, e

(iii) Facilitadores de Privacidade.

2.1.Papéis e Responsabilidades

2.1.1 Encarregado de Dados (DPO)

● Receber comunicações da ANPD e adotar providências;

● Realizar avaliações e auditorias regulares para garantir a conformidade com a LGPD;

● Orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;

● Lidar com vazamentos de dados e outros incidentes, comunicando à Autoridade de Dados, intermediando possíveis multas e/ou advertências;

● Responder, caso necessário, e informar aos titulares sobre como seus dados estão sendo usados e quais medidas de proteção estão sendo implementadas pela organização;

● Garantir a atualização do Inventário de Dados, da Política de Privacidade de Dados Pessoais e dos documentos relacionados a esta Política;

● Orientar os responsáveis da área de processos para atualizar o Inventário de Dados e adequar os processos sempre que necessário;

● Apontar riscos e não conformidades, aos respectivos responsáveis, presentes nos processos, e;

● Discutir e levantar ações para aprimorar a governança de dados pessoais da SONEPAR BRASIL

Representante:

2.1.2 Especialistas em Proteção de Dados

Atuam diretamente com o DPO auxiliando na tomada de decisão e visão sistêmica da empresa.

São responsáveis por:

● Acompanhar indicadores e planos de ação do Programa de Privacidade;

● Discutir sobre novas atividades de tratamento de dados pessoais;

● Nivelar o conhecimento sobre privacidade com os stakeholders;

● Promover a proteção legal e regulatória ligada a proteção e privacidade de dados, e;

● Disseminar a adoção de meios, medidas técnicas (tecnologia e segurança) e administrativas pautadas na proteção de dados pessoais dos titulares.

Representantes:

2.1.3 Facilitadores de Privacidade

São representantes do Comitê, que visam estabelecer a nova cultura e atender o usuário. São responsáveis por:

● Adequar e garantir que os processos que envolvam dados pessoais cumpram aos princípios da LGPD;

● Orientar os funcionários e os contratados a respeito das práticas a serem tomadas em relação à proteção dos dados pessoais, e;

● Em caso de irregularidades, devem adequar os processos identificados.

Representantes:

3.0 Departamento Jurídico

● Prestar assessoria jurídica para fins de atendimento aos aspectos jurídicos da LGPD

● Revisar o registro de tratamentos de dados pessoais

● Indicar as necessidades de adequação da base legal

● Validar a documentação jurídica da empresa, como, por exemplo, o termo de consentimento, validade e abrangência, e

● Garantir que os contratos vigentes de colaboradores e prestadores de serviço tenham cláusulas que assegurem os princípios da LGPD.

3.1 Tecnologia da Informação (TI)

● Garantir a segurança nos sistemas e barrar possíveis vazamento de dados.

3.2 Demais Colaboradores

● Observar fielmente a Política e os demais instrumentos da estrutura de conformidade da empresa ao desenvolver suas atividades

● Auxiliar, quando requisitados e no âmbito das respectivas atribuições, o time de privacidade

● Encaminhar quaisquer dúvidas e/ou pedidos de consulta sobre a presente Política,

demais instrumentos da estrutura normativa de conformidade da empresa ou questões relativas à proteção da privacidade e dos dados pessoais à área de Privacidade

● Participar de treinamentos, workshops, encontros e capacitações propostas pelo Comitê para ampliação da cultura de proteção de dados pessoais na SONEPAR BRASIL

● Comunicar à área de Privacidade sobre qualquer evento que viole a Política, os demais instrumentos da estrutura de conformidade da empresa ou resulte ou possa vir a resultar em um incidente de segurança envolvendo dados pessoais, e

● Responder pela inobservância da Política e demais instrumentos que compõem a estrutura de conformidade da empresa, conforme definido no item sanções e punições.

4.0 Canais de contato do Comitê de Privacidade

A SONEPAR BRASIL disponibiliza os seguintes canais de contato com o DPO (Encarregada de Proteção de Dados) Stefanie Vasconcelos e Comitê de Privacidade:

“dpo@sonepar.com.br” e “privacidade@sonepar.com.br”

Atualização: Setembro/2023.