Política LGPD — Proteção de Dados

1. Objetivo

Esta política institui o Programa de Proteção de Dados Pessoais da EBAEM — Empresa Brasileira de Assessoria Executiva e Multidisciplinar Ltda, inscrita no CNPJ sob nº 55.054.849/0001-30, com sede no SRTVN Quadra 702, Lote P, Edifício Rádio Center, Salas SS18 a SS28, Asa Norte, Brasília/DF, CEP 70719-900, definindo princípios, papéis, processos e controles para que todo tratamento de dados pessoais — próprio ou realizado em nome de clientes — cumpra a Lei nº 13.709/2018 (LGPD) e as melhores práticas internacionais (ISO/IEC 27701).

2. Abrangência

Aplica-se a todos os sócios, colaboradores, estagiários, prestadores e parceiros da EBAEM, em todas as unidades, sistemas e projetos, abrangendo dados em meio físico e digital, durante todo o ciclo de vida (coleta, uso, armazenamento, compartilhamento e eliminação).

3. Princípios que praticamos

• Finalidade, adequação e necessidade — só coletamos o que serve a propósito legítimo, específico e informado;
• Transparência e livre acesso — o titular sabe o que tratamos e pode verificar;
• Segurança e prevenção — controles proporcionais ao risco, desde a concepção (privacy by design);
• Não discriminação — dados jamais são usados para fins discriminatórios ilícitos ou abusivos;
• Responsabilização — evidenciamos, em registros auditáveis, o cumprimento de tudo isso.

4. Papéis e responsabilidades

5. Registro das operações (RoPA)

Mantemos inventário atualizado das operações de tratamento — finalidades, bases legais, categorias de dados e de titulares, compartilhamentos, prazos e medidas de segurança — na nossa própria plataforma de Gestão LGPD, com revisão mínima anual.

6. Avaliação de impacto (RIPD)

Tratamentos com potencial de alto risco (dados sensíveis, larga escala, novas tecnologias, monitoramento) passam por Relatório de Impacto à Proteção de Dados antes de iniciar, com medidas de mitigação aprovadas pelo DPO.

7. Atendimento a titulares

Solicitações recebidas pelo Portal do Titular ou por lgpd@ebaem.com.br são registradas, validadas quanto à identidade, respondidas em até 15 dias e arquivadas com trilha completa. Nenhuma solicitação legítima é ignorada ou penalizada.

8. Gestão de incidentes

Todo evento com risco a dados pessoais deve ser reportado imediatamente a lgpd@ebaem.com.br e suporte@ebaem.com.br. O plano de resposta prevê: contenção, avaliação de risco aos titulares, comunicação à ANPD e aos afetados quando houver risco relevante (em prazo compatível com a regulamentação), registro da causa raiz e ações corretivas.

9. Terceiros e contratos

Fornecedores que tratam dados por nós passam por avaliação prévia de privacidade e assinam cláusulas de proteção de dados. Quando atuamos como operadores para clientes, seguimos estritamente as instruções documentadas do controlador e as garantias contratadas.

10. Cultura e treinamento

Todo colaborador conclui treinamento de privacidade na admissão e reciclagens periódicas. Conscientização contínua faz parte do calendário institucional — privacidade é hábito, não evento.

11. Consequências do descumprimento

Violações a esta política sujeitam o infrator a medidas disciplinares (advertência, suspensão, desligamento) e contratuais (rescisão, responsabilização), sem prejuízo das sanções legais.

12. Fluxos operacionais do programa

flowchart TD
  A["Detecção ou suspeita de incidente"] --> B["Comunicação imediata
lgpd@ebaem.com.br e suporte@ebaem.com.br"]
  B --> C["Contenção e preservação
de evidências"]
  C --> D["Avaliação de risco
aos titulares afetados"]
  D --> E{"Risco relevante
aos titulares?"}
  E -- "Sim" --> F["Comunicação à ANPD e aos titulares
no prazo do regulamento (3 dias úteis)"]
  E -- "Não" --> G["Registro interno fundamentado"]
  F --> H["Plano de correção com responsáveis"]
  G --> H
  H --> I["Lições aprendidas
e melhoria dos controles"]

flowchart TD
  A["Novo tratamento proposto"] --> B{"Potencial alto risco?
dados sensíveis, larga escala,
novas tecnologias"}
  B -- "Sim" --> C["Elaborar RIPD"]
  C --> D["Definir medidas de mitigação"]
  D --> E["Parecer do Encarregado (DPO)"]
  E --> F{"Risco residual aceitável?"}
  F -- "Sim" --> G["Aprovado com controles
e monitoramento"]
  F -- "Não" --> H["Redesenho da solução
ou não implantação"]
  B -- "Não" --> G

13. Legislação de base e referências

• Lei nº 13.709/2018 (LGPD) · Fundamento do programa: princípios, bases legais, direitos e sanções — texto oficial
• Resolução CD/ANPD nº 15/2024 · Regulamento de Comunicação de Incidente de Segurança — prazos e conteúdo — texto oficial
• Resolução CD/ANPD nº 2/2022 · Aplicação da LGPD para agentes de pequeno porte — texto oficial
• Resolução CD/ANPD nº 19/2024 · Regulamento de transferências internacionais de dados — texto oficial
• Lei nº 12.965/2014 (Marco Civil) · Guarda de registros e deveres de provedores — texto oficial
• ISO/IEC 27701 · Extensão de privacidade do SGSI — estrutura do nosso programa
• ISO/IEC 27001 e 27002 · Gestão e controles de segurança da informação
• ISO/IEC 29134 · Diretrizes para avaliação de impacto à privacidade (referência do RIPD)

14. Vigência e revisão

Esta política vigora a partir da publicação e é revisada anualmente ou quando mudanças normativas, tecnológicas ou organizacionais o exigirem.