Política de Privacidade e Proteção de Dados Pessoais

POLÍTICA DE PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS

1. OBJETIVO

Estabelecer diretrizes para a coleta e o tratamento dos dados pessoais de pessoas físicas, que sejam clientes, empregados, administradores, terceirizados, fornecedores, acionistas, parceiros de negócios, outras partes interessadas, e suas respectivas partes relacionadas, no âmbito da Companhia Paranaense de Gás – COMPAGAS.

2. CONCEITOS

Redação dada pela Lei nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais “LGPD”. Caso algum termo seja utilizado nos contratos e não esteja compreendido nesta Política, as Partes deverão adotar a definição estipulada na LGPD e demais legislações pertinentes.

2.1 AGENTES DE TRATAMENTO

O controlador e o operador.

2.2 ANONIMIZAÇÃO

Utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo.

2.3 AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (ANPD)

Órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional.

2.4 BANCO DE DADOS

Conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico.

2.5 CONSENTIMENTO

Manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.

2.6 COOKIES

Arquivo armazenado no computador para auxiliar a navegação em websites. Prática comum para personalizar a experiência do usuário que poderá modificar as configurações do seu navegador para aceitar ou rejeitar cookies.

2.7 CONTROLADOR

Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.

2.8 DADO ANONIMIZADO

Dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.

2.9 DADO PESSOAL

Informação relacionada a pessoa natural identificada ou identificável.

2.10 DADO PESSOAL SENSÍVEL

Dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político; dado referente à saúde ou à vida sexual; dado genético ou biométrico, quando vinculado a uma pessoa natural.

2.11 DOMÍNIO

Nome que serve para localizar e identificar uma organização na Internet. Um domínio pode conter atalhos para seções de acesso direto, chamados subdomínios.

2.12 ENCARREGADO PELO TRATAMENTO DE DADOS PESSOAIS (Data Protection Officer – DPO)

Pessoa física ou jurídica indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados – ANPD.

2.13 ENDEREÇO IP

Número atribuído a todo dispositivo conectado à Internet, conhecido como endereço de Protocolo de Internet – IP.

2.14 OPERADOR

Pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador devendo seguir as diretrizes trazidas pelo controlador e tratar os dados de acordo com as políticas de privacidade correspondente e o ordenamento jurídico vigente.

2.15 PARTES INTERESSADAS (STAKEHOLDERS)

Compreendem todos os entes envolvidos com os negócios e/ou operações da Compagas: acionistas, clientes, fornecedores, público interno, poderes públicos, a comunidade e o meio ambiente.

2.16 TITULAR

Pessoa natural a quem se referem os dados pessoais que são objeto de tratamento.

2.17 TRATAMENTO DE DADOS PESSOAIS

Toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

2.18 WEBSITE

Espaço virtual de uma organização na Internet, também conhecido como site. A maioria dos websites tem uma página como seu ponto inicial, que frequentemente funciona como uma lista do conteúdo do site.

3. PRINCÍPIOS

A presente Política de Privacidade e Proteção de Dados Pessoais está fundamentada nos valores, no Código de Conduta e Integridade da Compagas e nos princípios da Lei nº 13.709/2018 – Lei Geral de Proteção de Dados.

As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:

3.1 FINALIDADE: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades.

3.2 ADEQUAÇÃO: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento.

3.3 NECESSIDADE: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados.

3.4 LIVRE ACESSO: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais.

3.5 QUALIDADE DOS DADOS: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento.

3.6 TRANSPARÊNCIA: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial.

3.7 SEGURANÇA: uso de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

3.8 PREVENÇÃO: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais.

3.9 NÃO DISCRIMINAÇÃO: adoção de medidas para impedir a realização do tratamento para fins discriminatórios ilícitos ou abusivos.

3.10 RESPONSABILIZAÇÃO E PRESTAÇÃO DE CONTAS: demonstração, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

4. PREMISSAS

4.1 Tratar o dado como um patrimônio, protegendo-o de acordo com sua classificação.

4.2 Garantir condições de proteção à integridade, disponibilidade e confidencialidade das informações que estão sob o controle da Compagas em todo o seu ciclo de vida.

4.3 Promover práticas de segurança da informação compatíveis com o uso aceitável das informações e dos ativos que a suportam, de forma a minimizar riscos e criar um ambiente seguro para a realização das atividades da Compagas.

4.4 Respeitar os princípios que norteiam a Lei Geral de Proteção de Dados, Lei nº 13.709/2018.

4.5 Transparência aos titulares sobre as necessidades de tratamento de seus dados pessoais, a forma, a duração e a exatidão das informações.

4.6 O tratamento dos dados deve atender à finalidade legítima.

4.7 Limitação do tratamento de dados ao mínimo necessário para realização das atividades e processos da Companhia.

4.8 Impossibilidade de realização do tratamento dos dados para fins discriminatórios ilícitos ou abusivos.

5. DIRETRIZES

No atendimento ao que é requerido pela legislação e pelos compromissos assumidos nesta Política, a Compagas seguirá, em seus processos, as seguintes diretrizes:

5.1 Identificar e monitorar os negócios, processos, áreas e pessoas críticas, bem como parceiros de negócios, de forma a detectar e avaliar os riscos de vazamento de informações, elaborando planos de ação para mitigação destes riscos.

5.2 Tratar os dados pessoais em conformidade com as boas práticas de governança corporativa e com a LGPD, assegurando níveis de proteção de dados dos stakeholders a cujos dados a Compagas tenha acesso em virtude de seus processos de negócios, a fim de evitar incidentes de segurança de informação.

5.3 Implementar e monitorar o atendimento às medidas de segurança físicas e lógicas e aos requisitos de tratamento dos dados pessoais no processo de gestão das informações pessoais.

5.4 Adotar a privacidade e proteção de dados desde a concepção de produtos ou dos serviços (Privacy by Design by Default) até a sua execução pela Compagas, garantindo a sua conformidade com a LGPD.

5.4.1 Adequar os processos internos e criar procedimentos para a coleta e tratamento de dados pessoais de pessoas físicas para que sejam realizados de forma suficiente para o atendimento de sua finalidade, de acordo com a fundamentação legal, mantendo os dados permanentemente atualizados e classificados.

5.4.2 Configurar os sistemas e alterar os processos da Companhia com parâmetros adequados, de acordo com esta Política, para a proteção de dados pessoais como padrão no tratamento de dados pessoais e dados pessoais sensíveis.

5.4.3 Aplicar as medidas técnicas e organizativas adequadas para assegurar um nível de segurança compatível ao risco, levando em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do Tratamento, bem como os riscos, de probabilidade e gravidade variável, para garantia dos direitos e liberdades de Titulares.

5.4.4 Durante a concepção, execução e manutenção das operações de tratamento de dados pessoais, adotar medidas técnicas apropriadas para assegurar os direitos e garantias fundamentais dos titulares no tratamento de dados pessoais, bem como, estabelecer salvaguardas aplicáveis para o controle da área de negócio, da Encarregada e pelo próprio titular quanto à adequação aos princípios da proteção de dados pessoais.

5.5 Estabelecer e manter atualizadas regras, mecanismos e procedimentos internos e adequar os processos e ferramentas utilizadas para o tratamento de dados pessoais, visando garantir os direitos dos titulares dos dados previstos na LGPD, principalmente em relação à proteção de dados pessoais sensíveis, ressalvando os direitos da Companhia.

5.6 Utilizar medidas técnicas e administrativas de segurança dos dados pessoais de acordo com os melhores padrões de mercado, de acordo com os riscos identificados, os custos de implementação e o estado da arte aplicável para determinada medida.

5.7 Assegurar que o Operador e quaisquer subcontratados mantenham níveis de segurança para proteção de dados pessoais recomendados pelo Controlador.

5.8 Utilizar mecanismos no sistema de controle interno para que a área de tecnologia de informação da Compagas monitore, rastreie e identifique situações atípicas e consideradas suspeitas de vazamento de dados pessoais.

5.9 Assegurar que os contratos, convênios e demais documentos contratuais que envolvam tratamento de dados pessoais contenham cláusulas relativas à responsabilidade do prestador de serviço, possibilidade de auditorias nos processos e serviços, bem como penalidades em caso de descumprimento à LGPD ou à presente Política.

5.9.1 Garantir que o Armazenamento dos dados pessoais dos titulares se dê somente pelo prazo necessário para atingir as finalidades apresentadas ao titular, e que, após o término de sua vigência, sejam mantidos somente os Dados Pessoais necessários para cumprimento das obrigações legais ou exercício regular de direitos pelo Controlador.

5.10 Empenhar esforços razoáveis para assegurar que o Operador cumpra com as obrigações contratuais, realizando análise de conformidade com a LGPD.

5.11 Manter registro das operações de tratamento realizadas, apontando finalidade, tempo de processamento, prazo, segurança, sigilo e privacidade, consentimento dado, ou hipóteses de exclusão de consentimento.

5.12 Disponibilizar e divulgar interna e externamente esta Política e outras informações e orientações necessárias para o esclarecimento sobre a proteção de dados pessoais, observando-se as especificidades das necessidades de comunicação das partes interessadas.

5.12.1 Desenvolver programa de conscientização de empregados, terceiros e fornecedores para disseminação das diretrizes estabelecidas para o tratamento de dados pessoais.

5.13 Disponibilizar canais de comunicação, considerando as especificidades das necessidades de comunicação das partes interessadas, para que ocorrências de vazamento de dados pessoais sejam denunciadas de forma completa, adequada e tempestiva.

5.14 Elaborar planos de resposta para a gestão de incidentes relacionados à privacidade de titulares de dados (vazamento de dados pessoais), controle, registro e reporte dos incidentes à ANPD e aos titulares envolvidos, adequando os processos e ferramentas utilizados para o tratamento de dados pessoais.

6. TRATAMENTO DE DADOS PESSOAIS

Dados pessoais de acionistas, clientes, administradores, empregados, representantes legais de clientes PJ, representantes legais de fornecedores e visitantes às instalações da Compagas são coletados durante o relacionamento com o titular para atingir e cumprir com as obrigações contratuais, atividades de gestão dos negócios, bem como para o cumprimento de obrigações legais ou regulatórias. Em decorrência desta relação poderão ser coletados dados pessoais adicionais do titular, sempre atendendo aos princípios previstos na legislação de proteção de dados.

O tratamento de dados pessoais ocorre de formas diversas na Compagas, sendo adotada a divisão por categorias de titulares para melhor elucidar quanto às formas do tratamento dos dados pessoais em nossos processos.

6.1 CATEGORIAS DE DADOS PESSOAIS TRATADOS

CLIENTES
CATEGORIAS	FINALIDADES
Identificação; Contato; Informações Financeiras; Código de identificação.	Prestação dos serviços; Cobrança; Processos Judiciais; Comunicação e Marketing. Compartilhamento com órgãos públicos para investigações ou políticas públicas. Compartilhamento com Órgãos de Proteção ao Crédito. Compartilhamento com terceirizados a serviço da Compagas.
EMPREGADOS
CATEGORIAS	FINALIDADES
Identificação; Contato; Informações Financeiras; Informações Profissionais e de Escolaridade; Informações de Saúde, Filiação Sindical; Dados biométricos; Informações de dependentes, Imagem.	Execução de Contrato de Trabalho; Cumprimento de Obrigações Trabalhistas, previdenciárias e de segurança do trabalho; Controle de frequência; Controle de acesso; Segurança Patrimonial; Análise de performance; Concessão de benefícios; Realização de treinamentos; Investigações e auditorias; Processos Judiciais. Compartilhamento com órgãos públicos para investigações ou políticas públicas. Compartilhamento com terceirizados a serviço da Compagas.
ESTAGIÁRIOS E MENORES APRENDIZES
CATEGORIAS	FINALIDADES
Identificação; Contato; Informações Financeiras; Informações de Escolaridade; Informações de Saúde, Imagem.	Execução de Contrato de Estágio, Controle de frequência; Controle de acesso à Sede e aos equipamentos; Segurança Patrimonial; Análise de performance; Realização de treinamentos; Investigações e auditorias. Compartilhamento com terceirizados a serviço da Compagas.
PRESTADORES DE SERVIÇOS
CATEGORIAS	FINALIDADES
Identificação; Dados biométricos; Imagem.	Execução do Serviço; Controle de acesso; Segurança Patrimonial; Investigações e auditorias.
REPRESENTANTES LEGAIS DE FORNECEDORES
CATEGORIAS	FINALIDADES
Identificação; Contato.	Conflito de Interesses; Gestão de Contratos.
REPRESENTANTES LEGAIS DE CLIENTE PJ
CATEGORIAS	FINALIDADES
Identificação; Contato; Código de identificação.	Prestação dos serviços; Contrato; Cobrança; Processos Judiciais; Comunicação e Marketing.
VISITANTES
CATEGORIAS	FINALIDADES
Identificação; Imagem.	Controle de Acesso; Segurança Patrimonial.

6.2 FINALIDADE

6.2.1 Somente serão utilizados os dados pessoais dos titulares para os fins para os quais foram coletados, a menos que seja necessário, de forma razoável, a utilização por outro motivo e este motivo seja compatível com a finalidade original. Se for preciso utilizar informações pessoais para finalidades não relacionadas será sempre de acordo com as disposições da LGPD, por meio de base legal que permita o tratamento.

6.3 COMPARTILHAMENTO DE DADOS

6.3.1 Em alguns casos a Compagas poderá realizar o compartilhamento de dados pessoais dos quais é controladora quando exigido por lei, necessário para administrar sua relação contratual e/ou de trabalho ou quando tiver uma finalidade legítima em fazê-lo.

6.3.2 Tais dados poderão ser compartilhados com terceiros, incluindo provedores de serviços e terceirizados, que irão tratar os dados de acordo com as finalidades para as quais foram coletados.

7. TRANSFERÊNCIA INTERNACIONAL

A Compagas respeita integralmente a proteção dos dados pessoais, somente realizando a transferência internacional de dados pessoais quando permitido por lei, sempre em concordância com os requisitos previstos no artigo 33 da LGPD, para o cumprimento de suas obrigações legais ou regulatórias ou para execução de contrato.

8. DIREITOS DOS TITULARES

8.1 O titular de dados possui direitos relativos à privacidade e à proteção dos seus dados, e a Compagas, além de se preocupar com a segurança desses dados, também se preocupa que o titular tenha acesso e conhecimento de todos os seus direitos.

8.2 Para exercer algum dos direitos estipulados na legislação, é necessário realizar um requerimento expresso à Compagas por meio do e-mail privacidade@compagas.com.br.

8.3 São direitos do titular de dados (1) Confirmação da existência de tratamento; (2) Acesso aos dados; (3) Correção dos dados; (4) Anonimização, boqueio ou eliminação; (5) Eliminação dos dados tratados com o consentimento; (6) Informação acerca do compartilhamento; (7) Informação sobre a possibilidade de não fornecer o consentimento e sobre as consequências da negativa; (8) Revogação do consentimento; (9) Revisão de decisões automatizadas; (10) Portabilidade de dados.

9. RETENÇÃO E DESCARTE DOS DADOS

9.1 Os dados pessoais são tratados pela Compagas nos termos da legislação aplicável, sendo retidos somente nas hipóteses legais e apenas pelo período em que forem necessários para o alcance de finalidades lícitas, específicas e informadas.

9.2 A eliminação/anonimização dos dados pessoais ocorre após encerrada a finalidade e a necessidade legal para o seu armazenamento.

10. RESPOSTA A INCIDENTES DE PRIVACIDADE

10.1 Na eventualidade da ocorrência de incidentes de dados pessoais, nos termos da lei, todos os procedimentos internos adequados e pessoas chave da Companhia serão acionados para garantir que sejam tomadas as medidas necessárias para mitigar os riscos.

10.2 Consideram-se incidentes de proteção de dados os casos de: (1) Acessos não autorizados; (2) Vazamento de dados; (3) Situações acidentais ou ilícitas de destruição, perda, alteração ou comunicação indevida de dados pessoais; (4) Qualquer forma de tratamento de dados inadequada ou ilícita.

10.3 Frente a suspeita ou confirmação da ocorrência de uma das situações descritas acima, o empregado, terceiro ou prestador de serviço, deverá comunicar imediatamente à Encarregada de Proteção de Dados que por sua vez, irá realizar as ações para a devida gestão do ocorrido, conforme estabelecido em normas internas.

11. RESPONSABILIDADES

11.1 CONSELHO DE ADMIISTRAÇÃO

• Aprovar a Política de Privacidade e Proteção de Dados Pessoais, assim como suas revisões;

• Acompanhar a Execução do Programa de Governança em Privacidade.

11.2 DIRETORIA EXECUTIVA

• Zelar pelo cumprimento das disposições desta Política;

• Apoiar e disseminar o Programa de Governança em Privacidade junto aos colaboradores;

• Avaliar e monitorar a eficácia do Programa de Governança em Privacidade.

11.3 GERÊNCIA DE GOVERNANÇA, RISCO E COMPLIANCE

• Estruturar, revisar e divulgar a Política de Privacidade e Proteção de Dados Pessoais e o Programa de Governança em Privacidade;

• Estabelecer constante comunicação e estruturar treinamentos aos colaboradores e prestadores de serviços de forma a disseminar a cultura de privacidade e proteção de dados;

• Definir e avaliar de forma independente o cumprimento das diretrizes estabelecidas nesta Política e no Programa e esclarecer dúvidas relativas aos seus conteúdos e suas aplicações;

• Reportar periodicamente à Alta Administração a aderência e aplicabilidade do Programa de Governança em Privacidade;

• Por meio da Coordenação de Proteção de Dados: receber os requerimentos dos titulares de dados pessoais, realizar a interface com a ANPD, coordenar os trabalhos relativos à privacidade e proteção de dados pessoais.

12. REFERÊNCIAS

Código de Conduta e Integridade da Compagas;

Lei Nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD);

Política de Segurança da Informação;

Política de Cookies;

Política de Compliance e Integridade.

13. SUBSTITUIÇÃO DE VERSÃO

Esta versão substitui a Revisão 00, aprovada na 200ª Reunião do Conselho de Administração, de 03/08/2021.

14. APROVAÇÃO E VIGÊNCIA

Esta Política foi aprovada na 258ª Reunião do Conselho de Administração, de 25/06/2024, com vigência a partir desta data.

15. ANEXOS

Não se aplica.