Política de privacidade de dados pessoais
1. INTRODUÇÃO
A informação para a Exame é essencial para que consigamos cumprir nossa missão de prestar assistência à saúde com responsabilidade e comprometimento com o bem estar dos nossos pacientes, estabelecendo e mantendo um relacionamento ético e compensador com nossos pacientes, acompanhantes, colaboradores, parceiros de negócio e prestadores de serviços.
Os dados pessoais são ativos valiosos e exigem controle e proteções adequadas, são tratados com todo respeito e segurança dentro de nossa organização. Para tal, criamos e revisamos nossa política de privacidade dos dados pessoais à luz da Lei Geral de Proteção de Dados Pessoais (LGPD), Lei 13709/2018.
A Segurança da Informação visa proteger a empresa de grande número de ameaças a fim de assegurar a continuidade do negócio e preservar os direitos fundamentais de seus titulares. Um programa de Governança de Dados e uma política de segurança dos dados pessoais apresenta à sociedade e, principalmente, aos nossos colaboradores que lidam com os processos em todas as áreas, a nossa adesão e conformidade total aos princípios, fundamentos e todas as diretivas de proteção dos dados sob nossa custódia.
Nossos processos de negócio e seus respectivos tratamento de dados são revisados constantemente para que respeitem por natureza o aspecto da privacidade dos dados (Privacy by design), os riscos que identificamos são calculados e priorizamos suas mitigações com planos de ação, ações e possíveis incidentes formalizados e tratados, indicadores para monitoramento dos aspectos relativos à proteção e uso dos dados pessoais são estabelecidos e acompanhados. Geramos relatórios e painéis indicativos para o Encarregado e lideranças da Exame para viabilizar a governança e melhoria constante em todos os aspectos relativos à conformidade LGPD, e um estado diligente esteja estabelecido e mantido.
A Exame entende que a informação corporativa é um bem essencial para nossas atividades e para resguardar a qualidade de nossos serviços. Entendemos que através de nossa diretoria e liderança executiva promovemos e incentivamos a manutenção e evolução constante desta política interna de proteção dos dados das pessoas com as quais a organização mantem qualquer tipo de relação comercial, administrativa e de atração de talentos garantindo o tratamento de seus dados pessoais para os propósitos estabelecidos entre as partes em conformidade com a lei e nossos princípios morais e éticos.
Dessa forma, estabelecemos nossa política de proteção dos dados pessoais, como parte integrante do nosso sistema de gestão corporativo, alinhado às boas práticas e normas internacionalmente aceitas, com o objetivo de garantir níveis adequados às metas e necessidades da Exame.
2. PROPÓSITO
2.1 Esta Política tem por propósito estabelecer diretrizes e normas de segurança da informação que permitam aos colaboradores e parceiros de negócios da Exame adotar padrões de comportamento seguros e adequados em relação à proteção dos dados pessoais e outros dados internos e confidenciais da organização.
2.2 Orientar em relação à adoção de controles e processos para atendimento dos requisitos de segurança da informação e as legislações em relação à proteção dos dados pessoais previstos na Lei 13.709/2018 (LGPD).
2.3 Resguardar as informações da Exame, garantindo requisitos de confidencialidade, integridade e disponibilidade.
2.4 Prevenir incidentes com segurança e tratamento de dados como o uso inadequado de bases de dados, tratamento de dados sem hipóteses previstas em lei, vazamento de dados e responsabilização legal da empresa, nossos parceiros e colaboradores.
2.5 Minimizar os riscos de autuação pela autoridade reguladora (ANPD), processos judiciais, perda de confiança do mercado, exposição institucional por problemas de inconformidade e outros impactos negativos que a falta de segurança e de processos adequados à legislação possa acarretar.
3. ESCOPO
Esta política se aplica a todos os usuários das informações tratadas pela Exame, incluindo qualquer indivíduo ou organização que possui ou não possuiu vínculo com a empresa como funcionários, ex-funcionários, fornecedores, prestadores de serviços, parceiros de negócios, que possuíram ou possuem acesso às informações e fazem uso, ou fizeram, dos recursos computacionais e acessos aos serviços de dados e/ou bases de dados da empresa.
3.1 Compliance Lei 13.709/2018
Este documento estabelece a Política de Segurança da Informação e adesão à Lei 13.709/2018 da Exame.
A Política de Governança de Dados que inclui a Política de Segurança possui como objetivo definir regras e procedimentos para garantir que os objetivos de proteção dos dados da organização sejam atendidos, assim como os princípios fundamentais da Lei 13.709/2018.
É importante que as informações, assim como a cultura do cenário de tratamento de dados impostos pela LGPD, sejam divulgadas e compreendidas por todos os colaboradores da empresa e que todos estejam conscientes da importância de se entender e adotar essa política.
A Política estabelece regras para que independente do processo, do usuário, da infraestrutura ou sistema, todos os envolvidos na organização tenham um padrão de utilização dos diversos recursos que envolvem a Segurança da Informação & Proteção dos Dados Pessoais da empresa. Assim, o cuidado com a proteção dos dados para que seja cultura e hábito disseminado (Privacy by Default), e os processos de negócios sejam revisados e/ou criados com o objetivo e conceito de Proteção dos Dados Pessoais desde a sua concepção (Privacy by Design).
Os controles de Governança, de um modo geral, e a Política, em particular, foram definidos para garantir um nível de segurança coerente com o negócio da Exame.
4. DIRETRIZES
O objetivo da segurança da informação e proteção dos dados pessoais tratados pela Exame é garantir a gestão efetiva de todos os aspectos relacionados à segurança e governança do uso dos dados, provendo suporte às operações críticas de negócio e minimizando os riscos identificados em cada departamento e/ou processo de negócio, tratamentos de dados respectivos e seus impactos à organização.
4.1 Comprometimento da Exame
A Diretoria Executiva, o DPO e o comitê de proteção dos dados pessoais estão comprometidos com uma gestão efetiva de proteção dos dados pessoais na Exame e adotam medidas cabíveis para garantir que essa política seja adequadamente comunicada, entendida e seguida em todos os níveis da organização. Revisões periódicas serão realizadas a fim de se manter esta política realista, aplicável, sem comprometer o negócio da organização, mas garantindo seu propósito primário.
4.2 A Exame declara como política
4.2.1 Elaborar, implantar e seguir por completo as políticas, normas e procedimentos de proteção dos dados pessoais, garantindo os requisitos básicos de confidencialidade, integridade e disponibilidade da informação da Exame, atingidos através de adoção de controle contra ameaças provenientes de fontes externas e internas.
4.2.2 Disponibilizar políticas, normas e procedimentos de proteção dos dados pessoais à todas as partes interessadas e autorizadas tais como: colaboradores, pacientes, acompanhantes, prestadores de serviços, parceiros e, onde for aplicável, em fornecedores.
4.2.3 Garantir a educação e conscientização sobre as práticas de proteção dos dados pessoais adotadas pela Exame à todas as partes interessadas e autorizadas tais como: colaboradores, pacientes, acompanhantes, prestadores de serviços e parceiros.
4.2.4 Atender integralmente a Lei 13.709/2018 e aos requisitos de segurança da informação aplicáveis por outras legislações pertinentes e cláusulas específicas contratuais com parceiros de negócios.
4.2.5 Tratar integralmente os incidentes de uso dos dados e/ou segurança da informação, garantindo que os mesmos sejam devidamente registrados, classificados, investigados, tratados e, quando necessário, comunicados as partes interessadas (ANPD/TITULARES/DIRETORIAS).
4.2.6 Garantir a continuidade do negócio adotando a melhoria contínua e planos de ação com objetivos de segurança das informações e uso legal dos dados buscando melhorar continuamente a gestão da segurança da informação, qualidade dos dados, governança dos enquadramentos dos registros de dados baseados nas hipóteses legais previstas na LGPD.
5. PAPEIS E RESPONSABILIDADES
5.1 Comitê de Proteção dos Dados Pessoais /Segurança da informação
5.1.1 Institui-se o COMITÊ LGPD/SEGURANÇA DA INFORMAÇÃO que é composto pela participação de representantes da diretoria executiva, jurídico, RH, comunicação e liderado pelo Encarregado (DPO).
5.1.2 As responsabilidades do COMITÊ DE PROTEÇÃO DE DADOS PESSOAIS/SEGURANÇA DA INFORMAÇÃO;
5.1.2.1 Analisar, revisar e propor a aprovação de políticas e normas relacionadas à proteção dos dados pessoais;
5.1.2.2 Garantir a disponibilidade de recursos necessários para uma gestão efetiva do programa de proteção dos dados pessoais;
5.1.2.3 Garantir que as atividades de governança e segurança dos dados estejam em conformidade com esta política;
5.1.2.4 Promover a divulgação da Política de Proteção dos Dados Pessoais e disseminar a cultura de proteção dos dados, uso legal, conceito de privacidade de dados desde a concepção e por padrão na Exame.
5.2 Gerente da segurança da informação
5.2.1 Responsabilidades
5.2.1.1 Conduzir a gestão e operação da governança dos dados, revisões contínuas nos processos de negócio com base nesta política e com base nas definições do COMITÊ LGPD/SEGURANÇA DA INFORMAÇÃO;
5.2.1.2 Apoiar o COMITÊ LGPD/SEGURANÇA DA INFORMAÇÃO em suas deliberações;
5.2.1.3 Identificar, avaliar e comunicar as ameaças e a proteção dos dados pessoais, e implantar as medidas corretivas para reduzir os riscos inerentes;
5.2.1.4 Tomar as ações cabíveis para se fazer cumprir os termos desta política;
5.2.1.5 Realizar a gestão e comunicação dos incidentes de usos inadequados e segurança.
5.3 Gestores de áreas
5.3.1 Responsabilidades
5.3.1.1 Gerenciar os processos de negócios, tratamentos de dados formalizados e informações geradas sob suas responsabilidades durante todo o seu ciclo de vida, incluindo a criação, manuseio e seus descartes, dentro da linha de enquadramento legal dos registros de dados nos sistemas, seu controle de uso até o momento da sua exclusão ou anonimização, no caso de fim de finalidades de uso, ou falta de enquadramento legal para tratamento;
5.3.1.2 Identificar, classificar e rotular as informações geradas sob responsabilidade da área, ajustando a classificação e rotulagem quando necessário. Todos os processos relevantes de negócio que tratam dados pessoais devem ser formalizados, assim como seus respectivos tratamentos de dados/finalidades e hipóteses legais que subsidiam os respectivos tratamentos;
5.3.1.3 Revisar os processos de negócio/tratamento de dados, identificação dos ativos e suas classificações periodicamente, ou sempre que houver mudanças de sistemas, bases relevantes de dados e/ou diretivas do COMITÊ LGPD;
5.3.1.4 Autorizar e revisar os acessos à informação e sistemas de informação sob sua responsabilidade;
5.3.1.5 Solicitar a concessão ou revogação de acessos às informações e sistemas, de acordo com os procedimentos adotados pela Exame.
5.4 Usuários da informação
5.4.1 Responsabilidades
5.4.1.1 Ler, compreender e executar integralmente os termos da política de proteção dos dados pessoais, assim como as normas e procedimentos adicionais publicadas;
5.4.1.2 Enviar dúvidas ou solicitações de esclarecimentos sobre a política de proteção dos dados pessoais ao COMITÊ LGPD quando necessário, de forma documentada;
5.4.1.3 Comunicar ao COMITÊ LGPD e gerar notificação no sistema de incidentes sob qualquer evento que possa violar esta política e suas normas publicadas;
5.4.1.4 Assinar o termo de uso dos sistemas de informação da Exame e conhecimento desta política, formalizando a ciência e o aceite integral de seus termos e conteúdo, assumindo as responsabilidades pelo seu cumprimento;
5.4.1.5 Responder, sob a inobservância desta política, suas normas e procedimentos inerentes conforme as sanções e punições previstas.
5.5 Encarregado
5.5.1 Responsabilidades
5.5.1.1 Conduzir o comitê LGPD, atendendo e gerindo o programa de conformidade à LGPD;
5.5.1.2 Atender e garantir os direitos dos titulares;
5.5.1.3 Atender e garantir as informações requisitadas pela ANPD;
5.5.1.4 Garantir o processo de melhoria contínua e atualização das políticas do programa de conformidade à LGPD.
6. SANÇÕES E PUNIÇÕES
6.1 Sobre as violações
As violações, mesmo que por omissão, desta política, suas normas e procedimentos publicados podem acarretar em penalidades que incluem advertência verbais, notificações formais, suspensão não remunerada, cancelamento de contrato (no caso de parceiros de negócio ou prestadores de serviços), e demissão por justa causa do funcionário da empresa;
6.2 Sobre aplicações de sanções e punições
A Aplicação de sanções e punições poderá ser realizada de acordo com a definição do COMITÊ DE PROTEÇÃO DE DADOS PESSOAIS, onde a gravidade do incidente ou ameaça e/ou dano causado será avaliado, além da recorrência e as hipótese previstas nos contratos e/ou no artigo 482 da CLT podem o COMITÊ DE PROTEÇÃO DE DADOS PESSOAIS, no uso disciplinar que lhe é atribuído em conjunto com o departamento de RH e/ou jurídico, aplicar a pena cabível;
6.3 Sobre violações criminosas
Para violações que estejam relacionadas a atividades criminosas ou que possam acarretar dano à Exame ou aos titulares das informações, o infrator será responsabilizado pelos prejuízos cabendo a aplicação de medidas judiciais.
7. DECLARAÇÃO DE COMPROMETIMENTO DA DIRETORIA (ABNT NBR ISO/ IEC 27701:2019)
A Diretoria da Exame declara-se comprometida em um programa de governança que envolve a Segurança & Proteção dos Dados Pessoais de seus clientes e qualquer pessoa ou entidade acerca de seus negócios, garantindo a confidencialidade, integridade e disponibilidade dos mesmos, conforme legislação brasileira de boas práticas de governança de dados.
A gestão estratégica compromete-se com os fundamentos e princípios de uso dos dados pessoais regidos pela Lei 13.709/2018 para uso dos dados de forma consentida pelo seu titular, enquadramento no direito ou dever de tratamento através das dez hipóteses previstas em lei. A Exame compromete-se com a conscientização de todo nosso time de colaboradores, diretorias e executivos e com os processos adequados para uso legal dos dados.
7.1 Nosso papel de controlador de dados pessoais (ABNT NBR ISO/IEC 27701:2019)
A Exame assume o papel de controlador de dados pessoais e, para isso, estabelece mecanismos de proteção a esses dados, além dos serviços para prover aos titulares das informações por eles tratadas para que exerçam seus direitos de confirmação do tratamento, acesso, possibilidade de atualização, portabilidade dentre outros.
No papel de controlador, a Exame, trata dados pessoais de colaboradores, prestadores de serviços, fornecedores, pacientes e acompanhantes. Para tal, realiza-se os enquadramentos devidos nas hipóteses previstas em lei, revisando e formalizando os processos de tratamentos de dados e cada etapa crítica onde os dados são coletados, armazenados, compartilhados e processados. Assim, calcula-se riscos e planeja-se mecanismos de mitigação dos mesmos, a fim de evitar o uso inadequado e vazamento de dados à luz de mecanismos tecnológicos de segurança digital, políticas, procedimentos e processos revisados, desenhados com os aspectos da privacidade por natureza (Privacy by design).
7.2 Partes interessadas (ABNT NBR ISO/IEC:2019)
Governo, sócios, clientes, colaboradores, prestadores de serviços, pacientes, acompanhantes, pessoa física, parceiros de negócios, empresas prestadoras de serviços, fornecedores e Autoridade Nacional de Proteção de Dados.
7.3 Principais mecanismos – Proteção dos Dados Pessoais (Segurança & Uso Adequado)
A Base deste programa de conformidade à LGPD é estabelecida a partir dessa política, onde busca-se abordar todos os procedimentos acerca do tema segurança da informação e uso legal dos dados pessoais que transacionam com a empresa. Para isso, foram estabelecidos alguns mecanismos chaves que formam um arcabouço estruturado para um Sistema de Gestão da Privacidade e da Informação (3.2 ABNT NBR ISO/IEC 27701:2019) – SGPI, que considera a proteção de privacidade como potencial afetada pelo tratamento dos dados pessoais.
Essa política apresentará o conjunto de processos que estabelecem os mecanismos para segurança dos dados em custódia da Exame, considerando processos, pessoas, infraestrutura e tecnologia, seguindo os princípios, fundamentos e hipóteses legais previstas em lei, observando todos os artigos que regem a LGPD. Além disso, os mecanismos de gestão da melhoria contínua que visam a observação dessa própria política geral (este documento, nesta revisão e versão) e todos os demais processos de segurança e uso legal dos dados, estarão em um verdadeiro ciclo de monitoramento e melhoramentos para que possam ser exigidos por normativas, diretivas e portarias legais a partir das comunicações e/ou novas exigências da ANPD (Autoridade Nacional de Proteção dos Dados Pessoais).
