POLÍTICA DE PRIVACIDADE EXTERNA
JUSTIFICATIVA
Guiada por seus valores éticos, pela transparência e pelo compromisso com a privacidade, a Buffon estabeleceu esta Política de Privacidade Externa. Este documento descreve como são tratados e quais medidas de segurança são adotadas para proteger os dados pessoais e sensíveis nas atividades da empresa, inclusive orientando colaboradores e o público geral sobre o uso e as finalidades dessas informações.
Este documento integra o programa de governança e adequação da empresa à Lei Geral de Proteção de Dados (LGPD – Lei nº 13.709/2018).
• Usuário / Titular de Dados: Pessoa natural que tem seus dados pessoais e/ou dados pessoais sensíveis tratados pela Buffon, sendo funcionários, clientes ou terceiros.
1. OBJETIVO
Para o desenvolvimento de suas atividades, a Buffon realiza a coleta e o tratamento de dados pessoais e dados pessoais sensíveis de terceiros. O processo de adequação envolve os colaboradores, clientes e fornecedores.
Assim sendo, esta Política possui como propósito os seguintes tópicos:
• Aplicar medidas de Segurança da Informação para que ocorra o tratamento seguro dos dados pessoais dos colaboradores, clientes, fornecedores, parceiros comerciais e terceiros que mantenham relação com a empresa;
• Garantir e proteger os direitos dos Titulares de Dados Pessoais;
• Adotar medidas preventivas que assegurem o cumprimento das boas práticas e da legislação nacional e, na medida do possível, internacional, a respeito da proteção de dados pessoais;
• Orientar colaboradores, fornecedores, prestadores de serviços, parceiros e demais terceiros sobre as medidas técnicas e administrativas adotadas pela empresa em relação ao tratamento dos dados pessoais;
• Mitigar, transferir ou evitar os riscos de incidentes de segurança relacionados aos dados pessoais dos Titulares;
• Fortalecer a confiança dos colaboradores, clientes, fornecedores, parceiros e demais terceiros, assegurando transparência, responsabilidade e segurança no tratamento de seus dados pessoais ao longo das relações estabelecidas com a empresa.
2. ABRANGÊNCIA / TERRITORIALIDADE
Esta Política aplica-se às operações de coleta e tratamento de dados realizadas em território nacional.
3. DOCUMENTOS EXTERNOS
Lei nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais. Acessível em:
<https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm>
4. DEFINIÇÕES
• ANDP: Agência Nacional de Proteção de Dados (ANPD) é o órgão federal responsável por zelar, implementar e fiscalizar o cumprimento da Lei Geral de Proteção de Dados (LGPD – Lei nº 13.709/2018) em todo o território nacional;
• Controladora: Pessoa natural ou jurídica, de direito público ou privado, responsável por tomar as principais decisões referentes ao tratamento de dados pessoais e por definir a finalidade deste tratamento;
• Dado Pessoal: É uma informação relacionada à pessoa natural identificada ou identificável, tendo-se como exemplo: nome, CPF, gênero, profissão, endereço, e-mail;
• Dado Pessoal Sensível: É considerada toda informação capaz de gerar algum tipo de discriminação à pessoa física como, por exemplo, mas sem esgotar o tema: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato, dado referente à saúde ou à vida sexual, dado genético ou biométrico;
• Encarregado de Dados Pessoais: Iniciado pelo Controlador com atribuição orientar e assessorar no que se refere à proteção de dados pessoais, assim como no encaminhamento interno de questões relacionadas aos direitos dos titulares e atuar como canal de comunicação entre Titular de Dados, Controlador e ANDP;
• Regulamento Geral de Proteção de Dados (GDPR): legislação europeia equivalente à Lei Geral de Proteção de Dados.
• Operador: Pessoa natural ou jurídica, de direito público ou privado, responsável por realizar o tratamento de dados em nome do controlador e conforme a finalidade por este;
• Tratamento: Significa toda operação realizada com Dados Pessoais, especialmente as que se referem à coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.
• RAT: Registro de Atividade de Tratamento (RAT).
• RIPD: Relatório de Impacto à Proteção de Dados.
5. DISPOSIÇÃO
5.1. CÂMERAS DE VIGILÂNCIA
Tanto no ambiente interior, quanto no exterior, da empresa Buffon, há monitoramento por câmeras, exceto nos banheiros e lavabos. A empresa esclarece que realiza a coleta apenas da imagem, não possuindo nenhum tipo de reconhecimento facial ou inteligência artificial capaz de identificar o titular de dados.
A coleta possui como único fim assegurar a segurança física, as entradas e saídas e o patrimônio da empresa, baseado no Art. 7º, IX, LGPD.
5.1.1 Armazenamentos dos dados
Ressaltamos que as imagens são confidenciais e somente acessadas por pessoas autorizadas pela Direção da empresa.
A disponibilização das imagens apenas irá ocorrer por motivo justificado de forma escrita, decisão judicial, ou requerimento policial. Ademais, ficam disponíveis pelo período máximo de 60 dias, após os vídeos são descartados automaticamente.
5.1.2 Compartilhamento do dado pessoal
A Buffon compartilha os dados com os terceiros (operadores) realizando o tratamento dos dados com segurança e sigilo, dentro da finalidade de sua atividade, de acordo com as instruções da Buffon.
5.1.3 Medidas de Segurança Aplicadas
Para proteger os dados pessoais e resguardar a imagem dos titulares, a empresa adota medidas técnicas e administrativas rigorosas, incluindo o controle de acesso lógico individualizado por usuário e senha restrita a pessoal autorizado.
5.2. CONTROLE DE ACESSO
A sede administrativa da empresa realiza o cadastro de acesso de terceiros e colaboradores, para fins de segurança e controle de quem ingressa em suas dependências.
O tratamento visa registrar as entradas e saídas e o patrimônio das pessoas que transitam na empresa, com base no art. 7, IX, LGPD.
5.2.1 Armazenamentos dos dados
Os dados coletados pela Portaria serão utilizados apenas para fins de segurança, sendo armazenados em banco de dados seguro, com rotinas de backup, por período indeterminado.
5.2.2 Compartilhamento do dado pessoal
A Buffon compartilha os dados pessoais com os operadores, cujos sistemas armazenam os dados e com os terceirizados que atuam na Portaria. Contudo os terceiros (operadores) realizam o tratamento dos dados com segurança e sigilo, de acordo com as instruções da Buffon.
5.2.3 Medidas de Segurança Aplicadas
Para proteger os dados pessoais dos titulares, a empresa adota medidas técnicas e organizacionais adequadas, tais como restrição de níveis de acesso por usuário e senha e backups criptografados.
5.3 ANÁLISE DE CRÉDITO
Para concessão de crédito em cadastros de clientes, realizamos consultas junto a órgãos de proteção ao crédito, como SERASA e SCPC (Art. 7º, X, LGPD). Clientes com restrição cadastral mantêm a opção de realizar aquisições mediante pagamento à vista.
5.3.1 Armazenamentos dos dados
Ressalta-se que os dados são revisados semestralmente, só será armazenado por período indeterminado os dados de clientes que possuem dívidas com a empresa.
5.3.2 Compartilhamento do dado pessoal
A Buffon compartilha os dados pessoais com órgãos de proteção do crédito, como Controladores Conjuntos, e com o sistema de gestão cadastral. O compartilhamento atende a finalidades específicas de proteção ao crédito e gestão operacional, sendo realizado sob estrito dever de sigilo e padrões adequados de segurança.
5.3.3 Medidas de Segurança Aplicadas
Para proteger os dados pessoais contra acessos não autorizados e incidentes de segurança, a empresa adota medidas técnicas e administrativas adequadas, como controle de acesso restrito por níveis de permissão no setor, uso de antivírus e rotinas periódicas de backup nos computadores corporativos.
5.4 BASES LEGAIS UTILIZADAS POR ATIVIDADE
Cada atividade que realiza o tratamento de dados pessoais precisa estar enquadrada em uma das bases legais do Art. 7º da LGPD para que seja considerada legítima. Para saber qual base legal é enquadrada de acordo com a atividade de todos os processos, possuímos o documento intitulado de Registro de Atividade de Tratamento (RAT). Nesse, também, está exposto com quais terceiros compartilhamos os dados dos titulares envolvidos, bem como em quais atividades são coletados dados sensíveis.
Alguns exemplos de bases legais de acordo com o processo e a finalidade para qual os dados são coletados são:
• Cumprimento de Obrigação legal (Art. 7º, II, LGPD): Quando existe obrigação prevista em Lei ou norma regulamentadora, a exemplo, elaboração de documentos para exportação de mercadorias, cadastro de motorista no sistema de emissão de nota, dentre outros.
• Execução de contrato (Art. 7º, V, LGPD): Quando há relação pré-contratual ou contratual, a exemplo, aprovação de contrato de representação comercial, liberação do pedido de vendas, homologação da qualidade dos produtos junto ao cliente, dentre outros.
• Consentimento do Titular (Art. 7º, I, LGPD): Casos em que o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas, a exemplo, liberação de acesso ao wireless.
• Legítimo Interesse do controlador (Art. 7º, IX, LGPD): Quando necessário para atender aos interesses legítimos do controlador ou de terceiro, a exemplo, pesquisas de satisfação com os clientes, controle de acesso, seleção de novos funcionários, etc.
• Proteção de crédito (Art. 7º, X, LGPD): Quando necessário para fins de proteção de crédito, a exemplo, análise de crédito de clientes novos, com base no Serviço Central de Proteção ao Crédito (SCPC).
6. COMPARTILHAMENTO DE DADOS PESSOAIS
O compartilhamento de dados pessoais com terceiros pode ocorrer para viabilizar as atividades institucionais da Buffon, tais como o processamento de pagamentos de colaboradores, a gestão e concessão de benefícios, além do cumprimento de obrigações legais ou contratuais.
A fim de cumprir com o princípio da transparência, a Buffon informa que pode compartilhar dados pessoais com terceiros de acordo com as finalidades legítimas identificadas, conforme alguns dos terceiros listados abaixo:
• Empresas terceirizadas que prestam diversos serviços, a exemplo: transporte de produtos, tecnologia da informação, instituições financeiras, faturamento, dentre outros que, porventura, poderão ter acesso a dados pessoais única e exclusivamente para atender o objeto de suas contratações. Base legal: Artigo, 7º, V, LGPD.
• Agências de proteção de crédito: Os dados pessoais dos clientes podem ser compartilhados com estas para que seja possível a análise e proteção do crédito. Base legal: art. 7º, X, LGPD.
• Sistemas de uso interno: Os dados de clientes e terceiros podem ser compartilhados em casos de contratação de softwares com serviços como: monitoramento de câmeras de segurança, controle de acesso às dependências comerciais, dentre outros. Base legal: art. 7º, IX, LGPD.
Em caso de dúvidas sobre como esses terceiros tratam os dados pessoais recebidos, o titular poderá solicitar diretamente ao nosso Encarregado pelo Tratamento de Dados Pessoais (DPO).
7. DIREITOS DO TITULAR DE DADOS
A Lei Geral de Proteção de Dados (LGPD) assegura aos titulares, pessoas físicas a quem os dados pessoais se referem, o pleno controle sobre suas informações. Nos termos do Artigo 18 da legislação, o titular pode solicitar a qualquer momento:
• A confirmação da existência de tratamento que envolva dados pessoais;
• Acesso facilitado às informações sobre o tratamento de dados pessoais de forma clara, adequada e ostensiva;
• A correção de dados pessoais que porventura estejam incompletos, inexatos ou desatualizados;
• A possibilidade de anonimização, bloqueio ou eliminação de dados pessoais considerados desnecessários, excessivos ou que estejam em desconformidade com a LGPD;
• A portabilidade dos seus dados pessoais a outro fornecedor de serviço ou produto, observando os segredos comerciais e industriais;
• A revisão de decisões e tratamentos automatizados;
• Informação sobre o compartilhamento de dados pessoais.
Para mais informações, entre em contato com o Encarregado de Dados da empresa.
8. SEGURANÇA
A Buffon se compromete a adotar medidas técnicas e administrativas de segurança rigorosas na busca pela manutenção da integridade, disponibilidade e confidencialidade dos dados pessoais. Como parte desse compromisso, realizamos capacitações periódicas com todos os colaboradores, promovendo a conscientização contínua sobre as melhores práticas de Segurança da Informação e proteção de dados.
Em parceria com a área de Tecnologia da Informação (TI), mantemos nossos sistemas e ferramentas constantemente atualizados, aplicando os melhores controles de prevenção para garantir a segurança no tratamento dos dados pessoais.
9. EXCLUSÃO DE DADOS PESSOAIS
A retenção prolongada de dados pessoais aumenta o risco de vazamentos, acessos indevidos e perdas. Por isso, a Política de Retenção e Descarte da Buffon define prazos claros para guardar documentos e os critérios para a sua exclusão, conforme a finalidade e a base legal de cada tratamento.
A eliminação deve ser completa e irreversível, tanto no meio físico quanto no digital, seguindo rigorosamente os procedimentos de descarte e exclusão previstos na nossa Política.
10. TRANSFERÊNCIA INTERNACIONAL
A Buffon realiza transferência internacional de dados para armazenamento em nuvem exclusivamente com fornecedores e países que garantem padrões de segurança equivalentes aos da da Lei Geral de Proteção de Dados Pessoais (LGPD) e Regulamento Geral de Proteção de Dados Européia (GDPR).
11. RESPONSÁVEIS PELO PROGRAMA DE PRIVACIDADE
O Encarregado de Dados (DPO) e o profissional, ou pessoa jurídica, nomeada pela Buffon para atuar como canal de comunicação entre a empresa, os titulares dos dados pessoais e a Agência Nacional de Proteção de Dados (ANPD), nos termos do art. 5º, VIII, da LGPD. O Encarregado também é responsável por capitanear as ações relacionadas ao Programa de Adequação à LGPD. São suas principais atribuições:
• Coordenar o programa de privacidade;
• Emitir pareceres, orientar a organização e prestar subsídios técnicos e jurídicos à Diretoria/Conselho, cabendo a estes a tomada final de decisão sobre o tratamento de dados pessoais;
• Atualizar as normas e políticas de privacidade da organização, inclusive esta;
• Reportar vazamento de dados a Autoridade Nacional de Proteção de Dados e aos Titulares, quando se fizer necessário;
• Atuar diretamente na elaboração dos documentos como o Relatório de Impacto à Proteção de Dados (RIPD), revisão dos riscos, políticas, entre outros.
O Encarregado também é responsável por responder as dúvidas e orientar os colaboradores, clientes e terceiros sobre o tratamento de dados pessoais na organização. O contato pode ser feito por meio de:
• Encarregado de Dados: WEP Assessoria Empresarial e Treinamentos Ltda - WEP Compliance;
• E-mail: lgpdbuffon@buffon.com.br;
Entretanto, o Encarregado não atua sozinho, possuindo o Comitê de Privacidade, o qual auxilia na tomada de decisões, que deve se reunir regularmente, no máximo a cada 06 (seis) meses, para deliberar a respeito das questões que envolvem o tratamento de dados pessoais. Os mesmos também são capazes de deliberar e decidir sobre assuntos relacionados à privacidade e proteção de dados.
Quanto aos seus objetivos, o Comitê deve garantir a divulgação e efetividade do programa, discutindo a respeito de novas atividades de tratamento.
12. DISPOSIÇÕES FINAIS
Esta política será revisada de acordo com as alterações de processos/ações e recomendações do escritório, observado o prazo máximo de 1 (um) ano.
Encantado/RS, 26 de agosto de 2026.