1. Objetivos

O Grupo Gazeta adota a presente Política como documento integrante do seu sistema de gestão corporativo, compatível com os requisitos da legislação brasileira, com o objetivo de estabelecer diretrizes para que o tratamento de dados pessoais seja realizado em níveis adequados de proteção, mediante a adoção de controles técnicos e administrativos necessários ao atendimento dos requisitos previstos na legislação vigente.

A presente Política objetiva, ainda, prevenir possíveis causas de violações de dados pessoais e incidentes de segurança da informação relacionados ao tratamento de dados pessoais e minimizar os riscos de perdas financeiras, da confiança de clientes ou de qualquer outro impacto negativo como resultado de violações de dados.

2. Ambiente normativo

A presente Política foi elaborada tendo por base a Lei nº 13.709/2018 – Lei Geral de Proteção de Dados (LGPD), assim como outras legislações do ordenamento jurídico que possam interferir nesta Política, bem como as diretrizes estabelecidas pela ABNT NBR ISO/IEC 27701:2020 e pela ISO 27001:2013.

3. Aplicação

A presente Política se aplica a qualquer operação de tratamento de dados pessoais realizada pelo Grupo Gazeta, independentemente do meio ou do país onde estejam localizados os dados, nos termos da LGPD.

Os princípios e conceitos adotados nesta Política são os constantes na LGPD e deverão seguir normas que complementem ou alterem o presente documento.

O Grupo Gazeta tratará apenas os dados estritamente necessários para o desempenho da finalidade do tratamento, o qual deverá ser adequado, transparente, não discriminatório e seguro.

O Grupo Gazeta garante ainda que viabilizará o livre acesso e a qualidade dos dados, assim como tomará medidas adequadas e razoáveis de prevenção e para o atendimento à LGPD.

4. Diretrizes

São diretrizes do Grupo Gazeta para esta Política:

• Garantir a conformidade integral com leis e regulamentações de proteção de Dados Pessoais.
• Garantir a adoção de controles de segurança da informação, tanto técnicos quanto administrativos, suficientes para assegurar níveis de proteção adequados para Dados Pessoais.
• Garantir a contínua melhoria da gestão de proteção de dados pessoais por meio da definição e revisão sistemática de objetivos de privacidade e proteção de dados pessoais em todos os níveis de sua organização profissional.
• Garantir a documentação, implementação e comunicação das Políticas, procedimentos e práticas relacionadas à privacidade e proteção de dados adotadas pelo Grupo.
• Garantir que o tratamento dos dados pessoais seja realizado em conformidade com as hipóteses autorizadoras previstas na legislação vigente, solicitando-se o consentimento do titular nas ocasiões em que a lei exigir.
• Garantir o tratamento apenas dos dados pessoais estritamente necessários e adequados à finalidade pretendida, explícita e legítima, e somente enquanto perdurarem os propósitos declarados.
• Garantir a precisão e qualidade dos dados pessoais tratados, excetuando-se casos em que exista uma base legal para a manutenção de dados desatualizados.
• Garantir a não discriminação no tratamento de dados pessoais, impossibilitando que estes sejam usados para fins discriminatórios, ilícitos ou abusivos.
• Garantir a retenção dos dados pessoais apenas pelo tempo necessário para cumprir os propósitos declarados e, posteriormente, destruí-los, bloqueá-los ou anonimizá-los com segurança, salvo quando a retenção for exigida pela legislação vigente.
• Garantir a rastreabilidade e prestação de contas durante todo o tratamento de dados pessoais, incluindo quando os dados pessoais forem compartilhados com terceiros.
• Garantir aos titulares o pleno exercício de todos os direitos previstos na legislação vigente, especialmente o direito de informação, confirmação, acesso aos dados, revisão, portabilidade, anonimização, bloqueio e eliminação.
• Garantir que as violações de dados sejam notificadas às partes interessadas, conforme requisitos e prazos previstos na legislação vigente, bem como sejam integralmente registradas, classificadas, investigadas, corrigidas e documentadas.

O Grupo Gazeta se compromete a fornecer ao titular explicações suficientes sobre políticas, procedimentos e práticas com relação aos dados pessoais objeto de tratamento, inclusive eventuais alterações em quaisquer desses itens.

5. Dados pessoais tratados pelo Grupo Gazeta

O Grupo Gazeta poderá tratar, de maneira informada, dados dos seus colaboradores ou de profissionais que estejam em processo de seleção, fornecedores, prestadores de serviços, contratantes e contratados, assim como dados recebidos de clientes para o desempenho dos seus serviços ou dados de participantes dos eventos que venha a promover, entre outros.

Os dados podem incluir nome civil ou social, endereço físico e eletrônico, número de telefone, número de inscrição no Cadastro de Pessoas Físicas – CPF, endereços eletrônicos, número do documento de identidade, entre outros.

O Grupo Gazeta não executa atividades relacionadas diretamente a crianças ou adolescentes nem recolhe de forma proativa seus dados pessoais.

Na hipótese de tratamento de dados pessoais de crianças e adolescentes, estes serão tratados conforme determinado pela Lei Geral de Proteção de Dados Pessoais.

Os usuários da informação serão todos os integrantes do Grupo Gazeta e terceiros alocados na prestação de serviços ao Grupo, independentemente do regime jurídico a que estejam submetidos, assim como outros indivíduos ou organizações devidamente autorizadas a manipular qualquer ativo de informação para o desempenho de suas atividades profissionais.

Os dados serão excluídos quando tiverem cumprido as finalidades para as quais foram coletados ou quando o respectivo titular solicitar a sua eliminação, exceto se houver base legal que justifique o seu armazenamento.

6. Papéis e responsabilidades

6.1 Comitê Gestor de Proteção de Dados Pessoais – CGPD

Fica constituído o Comitê Gestor de Proteção de Dados Pessoais (CGPD).

O CGPD será composto de:

• 02 diretores;
• 01 membro gestor da área de privacidade e proteção de dados;
• 01 gestor ou consultor da área de segurança ou de tecnologia da informação;
• 01 gestor de departamento pessoal ou de recursos humanos;
• O encarregado de Proteção de Dados.

É responsabilidade do CGPD:

• Aprovar esta Política, bem como propor as alterações e ajustes necessários.
• Aprovar as diretrizes de proteção da privacidade e de dados pessoais complementares a esta Política, elaboradas pelo time de Segurança da Informação, bem como propor alterações e ajustes necessários.
• Garantir a disponibilidade dos recursos necessários para uma efetiva Gestão da Proteção de Dados Pessoais.
• Garantir que o tratamento de Dados Pessoais seja realizado em conformidade com a presente Política e com a legislação vigente.
• Promover a divulgação da presente Política e tomar as ações necessárias para disseminar uma cultura de proteção de Dados Pessoais no ambiente corporativo.

6.2 Encarregado pelo Tratamento de Dados Pessoais

O encarregado representa o Grupo Gazeta perante a Autoridade Nacional de Proteção de Dados Pessoais – ANPD.

É responsabilidade do Encarregado pelo Tratamento de Dados Pessoais:

• Apoiar o Comitê Gestor de Proteção de Dados Pessoais em suas deliberações.
• Tomar as ações cabíveis para se fazer cumprir os termos desta Política.
• Identificar e avaliar as principais ameaças à proteção de dados, bem como propor e apoiar a implantação de medidas corretivas para reduzir o risco.
• Aceitar reclamações e comunicações dos titulares de dados pessoais, prestar esclarecimentos e adotar as providências necessárias.
• Receber comunicações da Autoridade Nacional de Proteção de Dados e adotar as providências necessárias.
• Orientar os integrantes e parceiros do Grupo Gazeta a respeito das práticas relacionadas à proteção de dados pessoais.
• Atender às demais atribuições conforme orientação da Autoridade Nacional de Proteção de Dados.
• Apoiar a gestão das violações de dados pessoais, garantindo tratamento adequado e comunicação às autoridades e titulares quando aplicável.

6.3 Equipe de Segurança da Informação e Tecnologia da Informação

É responsabilidade da equipe:

• Implementar os controles necessários para cumprir os requisitos de segurança da informação relacionados à proteção da privacidade e dos dados pessoais tratados pelo Grupo Gazeta.
• Adotar medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas.
• Realizar o tratamento de incidentes de segurança da informação que envolvam dados pessoais, garantindo sua detecção, contenção, eliminação e recuperação dentro de prazo razoável.
• Apoiar o Encarregado pelo tratamento de dados pessoais na comunicação à Autoridade Nacional e aos titulares quando aplicável.

6.4 Usuários da Informação

É responsabilidade dos Usuários da Informação:

• Ler, compreender e cumprir integralmente os termos da presente Política, bem como as demais normas e procedimentos de proteção de dados pessoais aplicáveis.
• Assinar o termo de ciência e adesão à Política quando aplicável.
• Encaminhar dúvidas e pedidos de esclarecimento sobre esta Política ao Encarregado pelo Tratamento de Dados Pessoais ou, quando pertinente, ao Comitê Gestor.
• Comunicar qualquer evento que viole esta Política ou coloque em risco Dados Pessoais tratados pelo Grupo Gazeta.
• Responder pela inobservância da Política, normas e procedimentos relacionados ao tratamento de Dados Pessoais.

7. Sanções e punições

As violações, mesmo que por mera omissão ou tentativa não consumada, desta Política, bem como das demais normas e procedimentos de proteção de dados pessoais, serão devidamente apuradas pelo Comitê Gestor de Proteção de Dados Pessoais.

Poderão ser aplicadas medidas cabíveis conforme a gravidade do caso, assegurada a ampla defesa.

Nos casos de violações que impliquem atividades ilegais, riscos aos titulares de dados pessoais ou danos ao Grupo Gazeta, poderão ser adotadas as medidas judiciais pertinentes.

O Grupo Gazeta disponibiliza canal para denúncias ou reclamações, inclusive de forma anônima conforme opção do denunciante ou reclamante. Quando relacionadas à proteção de dados pessoais, serão direcionadas para apuração do Comitê Gestor de Proteção de Dados Pessoais.

8. Casos omissos

Os casos omissos serão avaliados pelo Comitê Gestor de Proteção de Dados Pessoais para posterior deliberação.

As diretrizes estabelecidas nesta Política e nas demais normas e procedimentos de proteção de dados pessoais não se esgotam em razão da contínua evolução tecnológica, da legislação vigente e do constante surgimento de novas ameaças e requisitos.

Dessa forma, não constituem rol enumerativo, sendo obrigação dos usuários da informação do Grupo Gazeta adotar, sempre que possível, outras medidas de segurança além das aqui previstas, com o objetivo de garantir a proteção dos dados pessoais tratados.

9. Auditoria interna

O Grupo Gazeta realizará auditorias internas anuais, a serem desenvolvidas pelo Encarregado com o auxílio do time de Segurança da Informação, no que for necessário, garantindo o registro e o relato dos resultados ao Comitê Gestor de Proteção de Dados Pessoais.

10. Revisões

Esta Política é revisada com periodicidade anual ou conforme o entendimento do Comitê Gestor de Proteção de Dados Pessoais.