POLÍTICA DE PRIVACIDADE
- OBJETIVO
A Política de Privacidade e Proteção de Dados Pessoais da Companhia Paranaense de Gás (“Compagas”) visa estabelecer as diretrizes que devem ser seguidas pelos Colaboradores e Terceiros para atendimento à Lei Geral de Proteção de Dados Pessoais (“LGPD”) (“Política”).
2. APLICAÇÃO E ABRANGÊNCIA
A presente Política aplica-se a todos os Colaboradores da Compagas, bem como a Terceiros que, de alguma forma, realizam qualquer operação de Tratamento de Dados Pessoais em nome da Compagas, incluindo parceiros comerciais, fornecedores e outros que possuam acesso a informações, serviços, sistemas e recursos de sua propriedade.
3. DEFINIÇÕES
3.1 Agentes de Tratamento: O Controlador de Dados e o Operador de Dados, que realizam Tratamento de Dados.
3.2 Autoridade Nacional de Proteção de Dados (“ANPD”): Órgão da administração pública indireta responsável por zelar, implementar e fiscalizar o cumprimento da LGPD.
3.3 Controlador de Dados: Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao Tratamento de Dados Pessoais.
3.4 Colaborador(es): toda pessoa que mantém vínculo estatutário ou empregatício com a Compagas. São os integrantes do Conselho de Administração, dos Comitês Estatutários ou não Estatutários e da Diretoria Estatutária ou não Estatutária, bem como todos os empregados em tempo integral e temporário, empregados terceirizados e estagiários.
3.5 Consentimento: Manifestação livre, informada e inequívoca pela qual o Titular concorda com o Tratamento de seus Dados Pessoais para uma finalidade determinada.
3.6 Dado Anonimizado: Dado relativo a Titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu Tratamento.
3.7 Dado Pessoal: Qualquer informação relacionada a uma pessoa natural identificada ou identificável - ou seja, dados que permitem identificar, ainda que indiretamente, a pessoa a qual eles pertencem. Exemplos: nome e sobrenome, foto, endereço de e-mail, número de afiliação da previdência social, dados de salário, registro de conexão etc.
3.8 Dado Pessoal Sensível: Dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político,referente à saúde ou à vida sexual, Dado genético ou biométrico, quando vinculado a uma pessoa
natural.
3.9 Encarregado (“DPO”): Pessoa indicada pelo Controlador de Dados para atuar como canal de comunicação entre o Controlador de Dados, os Titulares e a ANPD.
3.10 Incidente: Violação das medidas de segurança adotadas pela Compagas que resulte em Tratamento inadequado, ilícito ou incorreto de Dados Pessoais.
3.11 Operador de Dados: Pessoa natural ou jurídica, de direito público ou privado, que realiza o Tratamento de Dados Pessoais em nome do Controlador de Dados.
3.12 Relatório de Impacto à Proteção de Dados: Relatório elaborado para comprovar a adequação de empresa, produto ou serviço com a LGPD.
3.13 Terceiro(s): são os clientes, parceiros de negócios, agentes intermediários, procuradores, subcontratados e fornecedores de bens e serviços, diretos ou indiretos, da Compagas.
3.14 Titular do Dado (“Titular”): Pessoa natural a quem se referem os Dados Pessoais que são objeto de Tratamento.
3.15 Tratamento: Todo e qualquer tipo de operação realizada com Dados Pessoais, executada ou não por processos automatizados, como, mas não limitado a, coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.
3.16 Operação de Tratamento de Dados Pessoais (“Operação”): Qualquer processo existente na Compagas que envolva o Tratamento de Dados Pessoais.
4. PREMISSAS
No exercício do seu objeto social, a Companhia, diretamente ou por meio de seus Colaboradores ou Terceiros, realiza operações de Tratamento de Dados Pessoais. Nesse sentido, a Companhia está comprometida a garantir a proteção adequada dos Dados Pessoais de seus Colaboradores, clientes e parceiros de negócios em qualquer forma de Tratamento, em respeito à LGPD, conforme as diretrizes:
4.1 Zelar pela proteção à privacidade dos Dados Pessoais coletados dos clientes, dos Colaboradores, dos ex-Colaboradores e Terceiros, em função do desempenho de suas atividades;
4.2 Adotar diretrizes que assegurem o cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção da privacidade de Dados Pessoais;
4.3 Salvaguardar o compromisso institucional com o princípio fundamental da privacidade, constante na Constituição da República Federativa do Brasil; e
4.4 Fomentar a busca constante pelo emprego de esforços visando às melhores práticas em termos de proteção de Dados Pessoais, para fins de promover e alcançar o cumprimento das legislações aplicáveis a esta matéria.
5.
OPERACIONALIZAÇÃO
5.1 Todas as Operações realizadas pela Compagas ou em favor desta deverão observar as seguintes diretrizes:
5.1.1 Contar com uma finalidade legítima, específica e amparada em pelo menos uma das hipóteses legais autorizativas previstas nos artigos 7º (quando se tratar de Dado Pessoal comum) ou 11º (quando se tratar de Dado Pessoal Sensível) da LGPD;
5.1.2 Empregar esforços para que o Titular seja adequadamente informado acerca do Tratamento de seus Dados Pessoais;
5.1.3 Coletar e tratar Dados de forma imparcial e não discriminatória, de acordo com finalidades legítimas, específicas e explicitamente definidas. Logo, os Dados Pessoais não poderão ser submetidos a processamentos adicionais incompatíveis com os fins legítimos para os quais foram coletados, tampouco ser tratados para finalidade diversa daquela informada ao seu Titular;
5.1.4 Estar balizada pelo princípio da necessidade e ocorrer da forma menos invasiva possível ao Titular – ou seja, os Dados Pessoais devem ser adequados, relevantes e não excessivos para os fins aos quais são coletados/processados;
5.1.5 Empregar os melhores esforços para que os Dados Pessoais tratados sejam mantidos com precisão e qualidade necessária para atender a base legal da sua utilização e, conforme o caso, atualizados;
5.1.6 Manter os Dados Pessoais apenas pelo tempo necessário para atender às finalidades para as quais são processados, excluindo-os ou anonimizando-os, exceto se seguir existindo obrigação legal ou regulatória de guarda, ou, ainda, dever de transferência a Terceiros;
5.1.7 Possuir controles de acesso e rastreamento específicos, objetivando proteger os Dados Pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, ou qualquer forma de Tratamento inadequado ou ilícito;
5.1.8 Observar todos os padrões de segurança necessários para a preservação de sua confidencialidade e integridade, incluindo níveis adequados de proteção nas instalações físicas das empresas e unidades;
5.1.9 Utilizar conexão e ferramentas seguras se transmitir Dados Pessoais por meio de sistemas eletrônicos; e
5.1.10 Ser devidamente registradas, devendo tal registro ser revisado periodicamente, para fins de assegurar sua atualização.
5.2 Todo e qualquer novo processo, atividade ou operação da Compagas que envolva o Tratamento de Dados Pessoais deverá ser reportado por escrito ao Encarregado, o qual poderá formular recomendações de ajuste de conformidade.
5.3 Os processos, atividades ou operações já mapeadas serão revisados periodicamente a fim de determinar sua adequação à legislação e a esta Política e identificar possíveis vulnerabilidades técnicas, visando à adoção de metidas para gerenciar os riscos associados.
5.4 A Compagas buscará constantemente a adoção das melhores práticas em tecnologia e segurança da informação, visando a garantir a segurança do Dado Pessoal e a prevenção contra acesso não autorizado, manipulação acidental ou intencional, perda e destruição, conforme diretrizes estabelecidas nesta Política.
5.5 O respeito à privacidade deve se dar “by design” e “by default”, de modo que, desde a sua concepção, todo novo produto ou serviço deverá ser cautelosamente avaliado visando à redução de riscos à proteção de Dados Pessoais e a garantir que o Tratamento de Dados esteja em conformidade com a LGPD, não se podendo presumir a concessão de qualquer direito ou consentimento pelo Titular dos Dados Pessoais.
5.6 O acesso aos Dados Pessoais coletados será restrito aos colaboradores autorizados e que necessitam realizar o Tratamento de Dados para o desempenho de suas funções dentro da empresa. Os Colaboradores e Terceiros que realizam atividades de processamento de Dados Pessoais devem estar cientes de suas próprias responsabilidades em relação à segurança dos Dados e assumir essas responsabilidades.
5.7 A Compagas promoverá métodos consistentes e eficazes para gerenciar incidentes de segurança de dados, incluindo relatórios sobre eventos e áreas que exponham os Dados Pessoais a vulnerabilidades. Além disso, devem ser realizadas avaliações periódicas sobre possíveis vulnerabilidades técnicas, visando à adoção de medidas para gerenciar os riscos associados.
5.8 Nos casos em que for necessário o compartilhamento de Dados Pessoais com outras empresas, a Compagas garantirá a disponibilização, quando solicitado pelos Titulares, de informações claras e ostensivas acerca deste compartilhamento, incluindo qual a sua finalidade.
5.9 A Compagas poderá compartilhar Dados Pessoais dentro do grupo econômico (e/ou para Operadores atuando em seu nome), conforme necessário para o atingimento das finalidades do Tratamento de Dados informadas aos Titulares. Esse compartilhamento será sempre respaldado por pelo menos uma das bases legais previstas nos artigos 7º ou 11º da LGPD.
5.10 Sempre que se fizer necessária a utilização das informações coletadas pela Companhia para outros fins que não os definidos nesta Política ou aquele expressamente autorizado pelo Titular dos Dados, a Companhia informará diretamente ao Titular dos Dados sobre esta nova finalidade e, quando necessário, coletará uma nova autorização.
5.11 Os Dados Pessoais coletados pela Compagas podem ser armazenados e tratados em qualquer país onde seus prestadores de serviço estejam localizados. A Compagas adotará medidas adequadas para assegurar que as transferências internacionais de Dados Pessoais sejam realizadas em conformidade com a legislação aplicável, de forma a garantir um nível adequado de proteção à privacidade. O Tratamento de Dados Pessoais fora do território brasileiro seguirá os termos do Regulamento Geral sobre a Proteção de Dados nº 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (“GDPR”) sem prejuízo de legislação suplementar aplicável.
5.12 Os Dados Pessoais de crianças e adolescentes deverão ser tratados com segurança especial, sempre no seu melhor interesse, devendo contar com uma finalidade legítima, específica e amparada em pelo menos uma das hipóteses legais autorizativas previstas nos artigos 7º (quando se tratar de Dado Pessoal comum) ou 11º (quando se tratar de Dado Pessoal Sensível) da LGPD.
5.13 CONTRATAÇÕES DE TERCEIROS
5.13.1 Na contratação com Terceiros, parceiros comerciais e/ou prestadores de serviço que realizem Operações, deverão ser requeridos documentos e realizadas visitas técnicas, quando necessário, para fins de examinar a maturidade institucional da empresa/pessoa contratada no que atine à proteção de Dados Pessoais;
5.13.2 Previamente à contratação, a Compagas deverá exigir que os Terceiros que atuem como Operadores:
5.13.2.1 Tenham efetuado o mapeamento de todas as suas operações de Tratamento de Dados, garantindo que nenhum Dado Pessoal seja tratado sem o devido enquadramento em pelo menos uma das hipóteses legais previstas nos artigos 7º ou 11º da LGPD;
5.13.2.2 Possuam meios aptos a recepcionar e atender, de forma adequada, petições e/ou comunicações dos Titulares de Dados Pessoais;
5.13.2.3 Adotem as melhores práticas para garantir a segurança dos Dados Pessoais tratados;
5.13.2.4 Tenham nomeado um Encarregado do Tratamento de Dados Pessoais;
5.13.2.5 Possuam Plano de Prevenção e Resposta a Incidentes com vazamento de Dados; e
5.13.2.6 Responsabilizem-se por sanções administrativas ou responsabilizações cíveis resultantes de Incidente que ocorra por sua culpa ou de descumprimento da legislação de proteção de Dados ou desta Política.
5.13.3 Os contratos firmados com Terceiros que atuem como Operadores devem conter cláusulas de proteção de Dados Pessoais de acordo com as diretrizes desta Política. Adicionalmente, o não atendimento de qualquer das exigências acima poderá ser objeto de documentação no eventual contrato a ser firmado, a fim de que a Compagas seja exonerada de eventual responsabilização cível, criminal ou administrativa que recaia sobre o Terceiro.
5.14 DIREITOS DOS TITULARES
5.14.1 Sujeito às exceções legais, qualquer Titular de Dados poderá obter, mediante solicitação, informações sobre o Tratamento dos seus Dados realizado pela Compagas. A Compagas adotará Procedimento específico para atendimento e resposta a Titulares de maneira célere e eficaz.
5.14.2 São direitos dos Titulares sujeitos ao Tratamento de seus Dados Pessoais, dentre outros:
5.14.2.1 Confirmação da existência de Tratamento dos seus Dados; acesso aos seus Dados;
5.14.2.2 Correção de Dados incompletos, inexatos ou desatualizados;
5.14.2.3 Anonimização, bloqueio ou eliminação de Dados desnecessários, excessivos ou tratados em desconformidade com o disposto com a lei;
5.14.2.4 Portabilidade dos Dados a outro fornecedor de serviço ou produto, mediante requisição expressa;
5.14.2.5 Revogação do consentimento e eliminação dos Dados Pessoais tratados com o seu consentimento, quando aplicável; e
5.14.2.6 Obtenção de informações sobre o uso compartilhado de seus Dados e sobre a possibilidade de não fornecer consentimento, bem como sobre as consequências da negativa.
5.15 ENCARREGADO DE DADOS
5.15.1 A Compagas manterá Encarregado nomeado por documento escrito, datado e assinado, no qual constem as formas de atuação e as atividades a serem desempenhadas, que deverá ser apresentado à ANPD, quando solicitado.
5.15.2 Nas ausências, impedimentos e vacâncias do encarregado, a função será exercida por substituto formalmente designado.
5.15.3 O nome e os meios de contato do Encarregado serão informados nas páginas oficiais da Compagas na Internet, em local de destaque e fácil acesso.
5.15.4 Compete ao Encarregado:
5.15.4.1 Garantir que a Política de Privacidade de Dados seja comunicada a todos os colaboradores e parceiros de negócio da Compagas;
5.15.4.2 Receber requerimentos, reclamações e comunicações em geral dos Titulares de Dados Pessoais, coordenando o seu endereçamento;
5.15.4.3 Fiscalizar e tomar decisões relacionadas às atividades de Tratamento de Dados Pessoais que possam envolver risco ou dano ao Titular, ou mesmo à Compagas;
5.15.4.4 Ser ponto de contato com as autoridades fiscalizatórias;
5.15.4.5 Prestar assistência e orientação na elaboração, definição e implementação, conforme o caso, de:
5.15.4.5.1 registro e comunicação de Incidentes de segurança;
5.15.4.5.2 registro das operações de Tratamento de Dados Pessoais;
5.15.4.5.3 relatórios de impacto à proteção de Dados;
5.15.4.5.4 mecanismos internos de supervisão e mitigação de riscos relativos ao Tratamento de Dados Pessoais;
5.15.4.5.5 medidas de segurança, técnicas e administrativas, aptas a proteger os Dados Pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de Tratamento inadequado ou ilícito;
5.15.4.5.6 processos e políticas internas;
5.15.4.5.7 instrumentos contratuais que disciplinem questões relacionadas ao Tratamento de Dados Pessoais;
5.15.4.5.8 transferências internacionais de Dados;
5.15.4.5.9 regras de boas práticas e de governança;
5.15.4.5.10 produtos e serviços que adotem padrões de design compatíveis com os princípios previstos na LGPD;
5.15.4.5.11 outras atividades e tomada de decisões estratégicas referentes ao Tratamento de Dados Pessoais.
5.15.4.6 Realizar auditorias internas e proativamente estabelecer estratégias de compliance e prevenção de riscos envolvendo Dados Pessoais;
5.15.4.7 Orientar e organizar treinamentos aos colaboradores da empresa a respeito das melhores práticas de proteção de Dados Pessoais;
5.15.4.8 Tomar todas as medidas de comunicação junto à ANPD e/ou outros órgãos competentes e ainda junto ao Titular (se o caso) acerca de incidente de segurança que possa acarretar risco ou dano relevante ao Titular de Dados;
5.15.4.9 Executar as demais atribuições determinadas pelo Controlador de Dados ou estabelecidas em normas complementares, priorizando o monitoramento e a adequação da empresa às exigências e à conformidade legal;
5.15.4.10 Acompanhar o processo de desenvolvimento de novos produtos e serviços, a fim de que seja assegurado o modelo de Privacidade ”by design” e “by default” em todos os níveis de concepção de inovações na empresa; e
5.15.4.11 Informar à área de Compliance qualquer situação que possa configurar conflito de interesse, responsabilizando-se pela veracidade das informações prestadas.
6. REPORTE E DÚVIDAS
6.1 Constitui responsabilidade de todos os Colaboradores e Terceiros garantir o cumprimento desta Política. Indícios de descumprimento ou dúvidas acerca do cumprimento desta Política e do Código de Conduta, poderão ser reportados ao gestor imediato do Colaborador, à área de Pessoas e Cultura, à Auditoria Interna Corporativa1, ao Compliance ou por meio de um dos canais de comunicação disponíveis (0800 725 0039 ou www.canaldeetica.com.br/cosan), para apuração conforme Política de Gestão de Denúncias da Commit.
6.2 A Compagas não tolera qualquer retaliação contra qualquer pessoa, interna ou externa, que comunique de boa-fé uma violação ou suspeita de violação a esta Política ou ao seu Código de Conduta, sendo garantida a confidencialidade acerca da identidade de qualquer pessoa que comunicar eventual violação. A prática de retaliação é sujeita a medidas disciplinares que podem resultar, inclusive, no desligamento do Colaborador da Compagas ou encerramento de um contrato, conforme o caso.
7. PENALIDADES
7.1 Colaboradores eventualmente infratores à presente Política e seus procedimentos ou da legislação aplicável estarão sujeitos às sanções disciplinares previstas no Código de Conduta e na Política de Medidas Disciplinares da Compagas, sem prejuízo da adoção de medidas administrativas, civis e penais cabíveis.
7.2 Terceiros eventualmente infratores estarão sujeitos às sanções comerciais contratuais cabíveis, incluindo a imediata rescisão contratual, com aplicação das penalidades decorrentes da rescisão, sem prejuízo de ação indenizatória e outras providências legais cabíveis.
8. REFERÊNCIAS
- Código de Conduta da Compagas;
- Estatuto Social da Compagas;
- Lei Geral de Proteção de Dados Pessoais - Lei 13.709/18 (“LGPD”)
- Política de Gestão de Denúncias da Commit;
- Política de Medidas Disciplinares da Compagas; e
- Regulamento Geral sobre a Proteção de Dados nº 2016/679 (“GDPR”).
9. DISPOSIÇÕES GERAIS
9.1 Compete exclusivamente ao Conselho de Administração da Compagas aprovar qualquer alteração à presente Política, que acontecerá quando do advento de mudanças de processo e/ou alteração de tecnologia (sistemas aplicativos), mudanças de diretrizes ou legislação vigente ou ainda por determinação do Conselho de Administração.
9.2 Esta Política será arquivada durante o prazo de sua vigência, sendo descartada somente no caso de suas versões subsequente estarem em uso (divulgadas) por no mínimo 05 (cinco) anos.
9.3 A presente Política revoga todas as disposições em contrário.
9.4 Conforme disposto no Estatuto Social da Compagas, a presente Política foi aprovada pelo Conselho de Administração.
10. SUBSTITUIÇÃO DE VERSÃO
Esta versão substitui a Revisão 01, aprovada na 258ª Reunião do Conselho de Administração, de 25/06/2024.
11. APROVAÇÃO E VIGÊNCIA
Esta Política foi aprovada na 268ª Reunião do Conselho de Administração, de 26/11/2024, com vigência a partir desta data.
12. ANEXO
Não se aplica.
