Política de Privacidade dos Dados

Esta Política estabelece as orientações gerais para a proteção de dados pessoais dentro do ambiente corporativo da AUTOMOTION IND COM IMPORTACAO E EXPORTACAO LTDA, quando da execução de suas operações de coleta, manuseio, compartilhamento, armazenamento e eliminação de informações que podem estar relacionadas a pessoas físicas identificadas e/ou identificáveis (“Dados Pessoais”), com vistas a:

• estar em conformidade com as leis e regulamentações aplicáveis de proteção de Dados Pessoais e seguir as melhores práticas;
• ­proteger os direitos dos integrantes, clientes, fornecedores e parceiros contra os riscos de violações de Dados Pessoais;
• ser transparente com relação aos procedimentos da Companhia no Tratamento de Dados Pessoais; e
• promover a conscientização em toda a Companhia em relação à proteção de Dados Pessoais e questões de privacidade.

1. PUBLICO-ALVO

Essa política se aplica a todos os colaboradores, clientes, fornecedores e parceiros residentes no território brasileiro ou no exterior desde que possuam relacionamento com a AUTOMOTION IND COM IMPORTACAO E EXPORTACAO LTDA.

Qualquer legislação aplicável às diferentes regiões, nas quais a companhia atua, devem prevalecer caso estejam ou venham estar em conflito com esta Política.

2. DEFINIÇÕES

3. PRINCÍPIOS DE PROTEÇÃO DE DADOS

A instituição determina que todos os dados utilizados no processamento devem estar em conformidade com a LGPD. O artigo 7º da LGPD prevê que o tratamento de dados pessoais poderá ser realizado nas seguintes hipóteses:

1. mediante o fornecimento de consentimento pelo titular;
2. para o cumprimento de obrigação legal ou regulatória pelo controlador;
3. quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;
4. para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);
5. para a proteção da vida ou da incolumidade física do titular ou de terceiro;
6. quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou
7. para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente.

Observa-se, por fim, que o processamento deve garantir uma adequada segurança dos dados pessoais, incluindo a contramedida de processamento não autorizado ou ilegal, perda acidental, destruição ou danos, deve sempre utilizar técnicas apropriadas ou as medidas organizacionais.

4. DIRETRIZES

A Gestão dos Dados, conforme esta Política, é de responsabilidade de todos os colaboradores, prestadores e coligadas, nos limites das atribuições de cada área envolvida.

A Gestão se dará, conforme atribuições descritas no item “principais papéis e responsabilidades desta Política, nos Ambientes declarados Informacionais, Analíticos e entre outros”, a partir da execução de processos e monitoramentos descritos abaixo:

1. Esta política deve ser revista no mínimo anualmente;
2. Em qualquer observação ou constatação de não aderência a essa política, deve ser informado imediatamente ao DPO ou Encarregado de Proteção de Dados como assim definido pela respectiva lei geral de proteção de dados; e
3. Observar na Lei Geral de Proteção de Dados a Sanção II – Das Boas Práticas e da Governança.

5. PRINCIPAIS PAPÉIS E ATRIBUIÇÕES

O DPO ou Encarregado de Proteção de Dados, como assim definido pela respectiva lei geral de proteção de dados é pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD). Além do mais, é o responsável pela gestão conjunta de política e procedimentos, relativas à Gestão de Dados.

6. POLÍTICA

O processamento deve ser transparente, lícito, justo e deverá manter registros nos sistemas envolvidos.

Os acessos aos dados deve ser:

1. Revisados os acessos anualmente;
2. Os titulares de dedos têm o direito de acesso aos seus dados pessoais e quaisquer solicitações feitas para a Instituição e sem demora, conforme Art. 20 da LGPD; e
3. Devem ser providos de forma clara e transparente os dados dos titulares, conforme § 1º.

6.1. PRINCÍPIOS DE PROTEÇÃO DE DADOS PESSOAIS

Esta seção descreve os princípios que devem ser observados na coleta, manuseio, armazenamento, divulgação e Tratamento de “Dados Pessoais” pela Companhia para atender aos padrões de proteção de dados no âmbito corporativo e estar em conformidade com a legislação e regulamentação aplicáveis nos respectivos países onde tiver operação ou atividade comercial.

6.2. LEGALIDADE, TRANSPARÊNCIA E NÂO DISCRIMINAÇÃO

A Companhia trata os Dados Pessoais de forma justa, transparente e em conformidade com legislação e regulamentação aplicáveis.

A Companhia somente trata Dados Pessoais quando o propósito/finalidade do Tratamento se enquadra em uma das hipóteses legais permitidas, sendo certo que os Titulares de Dados devem ser informados sobre a razão e a forma pela qual seus Dados Pessoais estão sendo tratados antes ou durante a coleta:

• necessidade para a execução de um contrato do qual o Titular dos Dados é parte;
• exigência decorrente de lei ou regulamento ao qual a Companhia está sujeita;
• interesse legítimo pelo Tratamento, hipótese na qual tal interesse legítimo será comunicado previamente; e
• necessidade de prover ao Titular dos Dados o exercício regular de direito em processo judicial, administrativo ou arbitral.

Quando o Tratamento de Dados Pessoais não se enquadrarem nas hipóteses acima, a Companhia deve obter o Consentimento dos Titulares dos Dados para o Tratamento de seus Dados Pessoais, e assegurar que este Consentimento seja obtido de forma específica, livre, inequívoca informada. A Companhia deve coletar, armazenar e gerenciar todas as respostas de Consentimento de maneira organizada e acessível, para que a comprovação de Consentimento possa ser fornecida quando necessário.

Da mesma forma, o Titular de Dados deve ter a possibilidade de retirar o seu Consentimento a qualquer momento com a mesma facilidade que lhe foi fornecido.

Em algumas circunstâncias a Companhia também pode ser obrigada a tratar Dados Pessoais Sensíveis, envolvendo, mas não limitado a:

• ­dados relacionados à saúde ou à vida sexual;
• dados genéticos ou biométricos vinculados a uma pessoa física;
• dados sobre orientação sexual;
• dados sobre condenações ou ofensas criminais;
• dados que evidenciem a origem racial ou étnica, opiniões políticas, crenças religiosas ou filosóficas; e
• dados referentes à convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político.

O Tratamento de Dados Pessoais Sensíveis é proibido, exceto nos casos específicos descritos abaixo, nos quais deverão ser observados padrões de segurança mais robustos do que os empregados aos demais Dados Pessoais:

• quando for necessário para o cumprimento de obrigação legal ou regulatória;
• for necessário para o exercício regular de direitos como, por exemplo, defesa ou proposição de ações judiciais ou administrativas ou arbitrais;
• quando for necessário para o cumprimento de obrigações e o exercício de direitos em matéria de emprego, previdência social e proteção social;
­
• para proteção à vida ou à incolumidade física do Titular do Dado incluindo dados médicos com fins preventivos, ocupacional;
­
• para fins de promoção ou manutenção de igualdade de oportunidades entre pessoas de origem racial ou étnica diferente,
­
• quando o Titular dos Dados tiver dado o seu Consentimento explícito, de acordo com a legislação e regulamentação aplicáveis; e
­
• quando o Tratamento for relativo a condenações penais e infrações ou a medidas de proteção relacionadas será efetuado sob o controle da autoridade pública ou quando o Tratamento for autorizado pela legislação da União ou de um Estado-Membro que preveja as salvaguardas adequadas para os direitos e liberdades dos Titulares de Dados Pessoais.

6.3. COMO COLETAMOS OS SEUS DADOS?

1. Informações Pessoais que coletamos diretamente de você:

Nós coletamos Informações Pessoais diretamente de você quando você se registra em nosso site para realizar o download de nosso catálogo. Assim coletamos:

• ­Nome e Sobrenome;
• ­dados para contato (endereço de e-mail, número de telefone);


2. Outras Informações que coletamos quando você visita nossos Sites:

Utilizamos uma variedade de tecnologias comuns e automatizadas de coleta de dados, como tags da internet ou Cookies ("Tecnologias de Coleta de Dados"), para avaliar como nossos Sites são usados para personalizar sua experiência e fornecer conteúdo adaptado aos seus interesses. Ao fazer isso, nós coletamos informações sobre você quando você visita nossos Sites.

6.4. COMO USAMOS SUAS INFORMAÇÕES PESSOAIS

Ao fornecer Informações Pessoais, você concorda que, quando permitido pela lei local, podemos utilizar suas Informações Pessoais:

• nos comunicarmos com você;
• para notificá-lo sobre nossos produtos e serviços e para lhe oferecer novidades e atualizações de produtos, materiais promocionais e informativos, dicas e outras informações úteis;
• para buscar suas opiniões sobre nossos produtos e serviços;
• para monitorar nossa conformidade regulatória;
• para melhorar o conteúdo ou personalizar nossas comunicações;
• para melhorar o nosso nível de serviço; e
• para outros objetivos que podem estar detalhados neste Site.

6.5. COMO COMPARTILHAMOS SUAS INFORMAÇÕES PESSOAIS COM OUTRAS PESSOAS

A sua privacidade é muito importante para nós. Nós poderemos divulgar suas Informações Pessoais a determinados terceiros listados abaixo, inclusive a terceiros que nos fornecem vários serviços comerciais. não venderemos ou divulgaremos suas Informações Pessoais sem o seu consentimento, exceto quando tal divulgação for razoavelmente necessária para operações de negócios normais e tal divulgação estiver de acordo com todas as leis de proteção de dados e privacidade aplicáveis.

1. Aplicação da lei

Em determinadas circunstâncias, a AUTOMOTION IND COM IMPORTACAO E EXPORTACAO LTDA pode ser solicitada a compartilhar suas Informações Pessoais em resposta a uma ordem judicial, intimação, mandato de busca, lei ou regulação. Cooperaremos com todas as solicitações, tomando as medidas adequadas para assegurar que o solicitante compreenda a natureza confidencial das Informações Pessoais que possam receber. Também nos reservamos o direito de cooperar com autoridades aplicadoras da lei na investigação e julgamento de usuários que violem nossas regras ou apresentem comportamento ilegal ou prejudicial a indivíduos ou às Informações Pessoais pelas quais somos responsáveis.

6.6. LIMITAÇÃO E ADEQUAÇÃO DA FINALIDADE

O Tratamento de Dados Pessoais deve ser realizado de maneira compatível com a finalidade original para a qual os Dados Pessoais foram coletados, não podendo ser coletados com um propósito e utilizados para outro. Quaisquer outras finalidades devem ser compatíveis com a razão original para qual os Dados Pessoais foram coletados.

O acesso às informações pessoais coletadas é extremamente restrito às pessoas autorizadas e envolvidas no processamento para a qual a finalidade coletada.

6.4. NECESSIDADE (MINIMIZAÇÃO DOS DADOS)

A Companhia somente pode tratar Dados Pessoais na medida em que seja necessário para atingir um propósito específico, este é o princípio da minimização de dados. O compartilhamento de Dados Pessoais com outra área ou outra empresa deve considerar este princípio, só podendo ser compartilhados quando tenham um amparo legal adequado.

6.5. EXATIDÃO (QUALIDADE DOS DADOS)

A Companhia deve adotar medidas razoáveis para assegurar que quaisquer Dados Pessoais em sua posse sejam mantidos precisos, atualizados em relação às finalidades para as quais foram coletados, sendo certo que deve ser possibilitado ao Titular do Dado Pessoal a possibilidade de se requerer a exclusão ou correção de dados imprecisos ou desatualizados.

6.6. RETENÇÃO E LIMITAÇÃO DO ARMAZENAMENTO DE DADOS

A Companhia deve ter conhecimento de suas atividades de Tratamento, períodos de retenção estabelecidos e processos de revisão periódica, não podendo manter os Dados Pessoais por prazo superior ao necessário para atender as finalidades pretendidas.

6.7. INTEGRIDADE E CONFIDENCIALIDADE (LIVRE ACESSO, PREVENÇÃO E SEGURANÇA)

A Companhia deve assegurar que medidas técnicas e administrativas apropriadas sejam aplicadas aos Dados Pessoais para protege-los contra o Tratamento não autorizado ou ilegal, bem como contra a perda acidental, destruição ou danos. O Tratamento de Dados Pessoais também deve garantir a devida confidencialidade. Dentre as medidas técnicas mais comuns, podem ser descritas:

Anonimização significa que os Dados Pessoais são tornados anônimos de tal forma que os dados não mais se referem a uma pessoa direta ou indiretamente identificável. O anonimato tem que ser irreversível.

Pseudoanonimização é um processo pelo qual os Dados Pessoais não mais se relacionam diretamente com uma pessoa identificável (por exemplo, mencionando seu nome), mas não é anônimo, porque ainda é possível, com informações adicionais, que são mantidas separadamente, identificar uma pessoa.

6.8. RESPONSABILIZAÇÃO E PRESTAÇÃO DE CONTAS

A Companhia é responsável e deve demonstrar o cumprimento desta Política, assegurando a implementação de diversas medidas que incluem, mas não se limitam a:

• garantia de que os Titulares dos Dados Pessoais possam exercer os seus direitos conforme descritos na Seção 5.5 deste Documento;
• registro de Dados Pessoais, incluindo: o registro de atividades de Tratamento de Dados Pessoais, com a descrição dos propósitos/finalidades desse Tratamento, os destinatários do compartilhamento das informações sobre Dados Pessoais e os prazos pelos quais a Companhia deve retê-los;
• registro de incidentes de Dados Pessoais e violações de Dados Pessoais;
­
• garantia de que os Terceiros que sejam Processadores de Dados Pessoais também estejam agindo de acordo com esta Política e com a legislação e regulamentação aplicáveis;
­
• garantia de que a Companhia, quando requerido, registre junto à Autoridade Supervisora aplicável um Encarregado de Dados ou DPO; e
­
• garantia de que a Companhia esteja cumprindo todas as exigências e solicitações de qualquer Autoridade de Supervisão à qual esteja sujeita.

7. INFORMAÇÕES COMPLEMENTARES

Todos os dados pessoais processados, deve ser feito em uma das seguintes análises de bases legais: autorização, contrato, obrigação legal, de interesses vitais, público ou interesses legítimos:

1. A áreas devem observar a adequação legal, e realizar o registro do tratamento do dado;
2. O consentimento deve ser armazenado no mesmo sistema ou em algum outro que possa ser de fácil acesso, conforme - Art. 5º - XII e Art. 8º - § 1º; e
3. Em qualquer momento os titulares dos dados podem revogar os acessos, mediante as bases legais ou outras que subsidie as demais atividades, conforme Art. 8º - § 2º e Art. 18.

8. MINIMIZAÇÃO DE DADOS

Deve ser possível minimizar os dados, limitados ao que é necessário em relação aos propósitos para os quais são processados.

9. REGRAS DETERMINANTES

A Instituição tomará medidas razoáveis para garantir que os dados dos titulares coletados estejam sempre atrelados à necessidade e apoiados nas bases legais permissivas para tanto, conforme Artigos 7º, 8º 11 e 14 de LGPD.

10. ARMAZENAMENTO OU DELEÇÃO

A coleta de dados pessoais fica restrito à apenas para finalidades definidas pela organização, obedecendo os princípios previsto no artigo 6º da Lei 13.709/2018 - Lei Geral de Proteção de Dados Pessoais.

Para garantir que os dados pessoais são conservados durante mais tempo do que o necessário, este armazenamento deve estar apoiado nas bases legais.

O armazenamento dos dados pessoais pode decorrer pela permanência do contrato em vigor e deve estar explícita a deleção após o término do interesse entre as partes.

Coleta de dados como cartões de visita físico, somente se dará mediante finalidade definida, obedecendo os princípios no artigo 6º da Lei 13.709/2018 - Lei Geral de Proteção de Dados Pessoais.

Todo cartão de visita coletado de pessoa física, deverá ser transposto para o sistema de CRM e realizado o descarte do meio físico. Caso seja necessário o armazenamento físico, o mesmo deverá se dar por meios seguros e controlados, evitando acessos não autorizados conforme previsto no artigo 46º da Lei 13.709/2018 - Lei Geral de Proteção de Dados Pessoais.

Este item observa a Lei Geral de Proteção de dados Seção IV da respectiva lei.

11. SEGURANÇA

1. Dever dos funcionários de garantir que os dados pessoais são armazenados de forma segura, utilizando-se medidas protetivas, conforme procedimento “Segurança dos dados pessoais”, bem como:
2. O acesso a dados pessoais deverá ser limitado as pessoas que precisam de acesso e não é autorizado o compartilhamento das informações;
3. Quando dados pessoais são apagados, isso deve ser feito com segurança, de tal forma que os dados se tornem irrecuperáveis; e
4. O backup e soluções de recuperação de desastres deve seguir o procedimento “backup para recuperação”.
5. A Companhia está comprometida com a implementação dos padrões de Segurança da Informação e com a proteção de Dados Pessoais com vistas a garantir o direito fundamental do indivíduo à autodeterminação da informação.
6. A confidencialidade, integridade e disponibilidade, bem como autenticidade, responsabilidade e não repúdio são objetivos a serem perseguidos para a segurança dos Dados Pessoais.
7. Todos os Integrantes com acesso a Dados Pessoais estão obrigados aos deveres de confidencialidade dos Dados Pessoais mediante a anuência no Código de Conduta e Termos de Uso da AUTOMOTION IND COM IMPORTACAO E EXPORTACAO LTDA, quando do ingresso na Companhia e periodicamente quando necessário.
8. Ao implementar novos processos, procedimentos ou sistemas que envolvam o Tratamento de Dados Pessoais, a Companhia deve adotar medidas para garantir que as regras de Privacidade e Proteção de Dados sejam adotadas desde a fase de concepção até o lançamento/implantação destes projetos.
9. Cada Sociedade/Filião Controlada da Companhia é o Controlador dos Dados Pessoais em sua respectiva região ou empresa, sendo necessária a nomeação de um responsável por garantir que os Dados Pessoais estejam sendo tratados de forma correta e de acordo com a legislação e regulamentação aplicáveis naquela região. Em determinadas circunstâncias, uma Filial Controlada da Companhia pode atuar como Processadora de outra. Nestes casos, a Processadora é obrigada a seguir a orientação de quem está atuando como Controladora.
10. Quando os Dados Pessoais forem tratados em países diferentes de onde foram coletados, a legislação e regulamentação aplicáveis à transferência internacional de dados de cada país devem ser observadas. A Companhia deve garantir a existência e atualização de contratos de transferência internacional de Dados Pessoais.

12. DIREITOS DOS TITULARES DE DADOS PESSOAIS

A Companhia está comprometida com os direitos dos Titulares de Dados Pessoais, os quais incluem:

• a informação, no momento em que os Dados Pessoais são fornecidos, sobre como seus Dados Pessoais serão tratados;
­
• a informação sobre o Tratamento de seus Dados Pessoais e o acesso aos Dados Pessoais que a Companhia detenha sobre eles;
­
• a correção de seus Dados Pessoais se estiverem imprecisos, incorretos ou incompletos;
­
• a exclusão, bloqueio e/ou anonimização de seus Dados Pessoais em determinadas circunstâncias (“direito de ser esquecido”). Isso pode incluir, mas não se limita a, circunstâncias em que não é mais necessário que a Companhia retenha seus Dados Pessoais para os propósitos para os quais foram coletados;
­
• a restrição do Tratamento de seus Dados Pessoais em determinadas circunstâncias;
­
• opor-se ao Tratamento, se o Tratamento for baseado em legítimo interesse;
­
• a retirar o Consentimento a qualquer momento, se o Tratamento dos Dados Pessoais se basear no Consentimento do indivíduo para um propósito específico;
­
• a portabilidade dos Dados Pessoais a outro fornecedor de serviço ou produto, mediante requisição expressa em determinadas circunstâncias;
­
• a revisão das decisões tomadas unicamente com base em Tratamento automatizado de Dados Pessoais; e
­
• a apresentação de queixa à Companhia ou à Autoridade de Proteção de Dados aplicável, se o Titular dos Dados Pessoais tiver motivos para supor que qualquer um de seus direitos de proteção de Dados Pessoais tenha sido violado.

13. PRESTADORA DE SERVIÇOS TERCEIRIZADOS

Os prestadores de serviços terceirizados que tratem Dados Pessoais sob as instruções da AUTOMOTION IND COM IMPORTACAO E EXPORTACAO LTDA, estão sujeitos às obrigações impostas aos Processadores de acordo com a legislação e regulamentação de proteção de Dados Pessoais aplicáveis. A Companhia deve assegurar que no contrato de prestação de serviço sejam contempladas as cláusulas de privacidade que exijam que o Processador de Dados terceirizado implemente medidas de segurança, bem como controles técnicos e administrativos apropriados para garantir a confidencialidade e segurança dos Dados Pessoais e especifiquem que o Processador está autorizado a tratar Dados Pessoais apenas quando seja formalmente solicitado pela Companhia.

Nos casos em que o prestador de serviços estiver localizado fora do país em que o Dado Pessoal foi coletado, as cláusulas contratuais padrão devem ser incluídas no contrato de proteção de Dados Pessoais como um Anexo para garantir que as devidas salvaguardas exigidas pela legislação e regulamentação aplicáveis de proteção de Dados Pessoais sejam

14. VIOLAÇÃO

No caso de violação de segurança que leve à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso a dados pessoais, a Instituição deverá prontamente avaliar o risco para os direitos e liberdades das pessoas e, se apropriado, informar essa violação à autoridade competente.

Todos os incidentes e potenciais violações de dados devem ser reportadas ao Líder de Privacidade Corporativo e/ou DPO/Encarregado de Proteção de Dados Pessoais de cada região.

Todos os Integrantes devem estar cientes de sua responsabilidade pessoal de encaminhar e escalonar possíveis problemas, bem como de denunciar violações ou suspeitas de violações de Dados Pessoais assim que as identificarem.

No momento em que um incidente ou violação real for descoberto, é essencial que os incidentes sejam informados e formalizados de forma tempestiva.

Violações de Dados incluem, mas não se limitam a, qualquer perda, exclusão, roubo ou acesso não autorizado de Dados Pessoais controlados ou tratados pela AUTOMOTION IND COM IMPORTACAO E EXPORTACAO LTDA.

Este item da política observa a Lei Geral de Proteção de Dados Seção II – Da Responsabilidade.

15. AUDITORIAS DE PROTEÇÃO DE DADOS

A Companhia deve garantir que existam revisões periódicas a fim de confirmar que as iniciativas de Privacidade, seu sistema, medidas, processos, precauções e outras atividades incluindo o gerenciamento de proteção de Dados Pessoais são efetivamente implementados e mantidos e estão em conformidade com a legislação e regulamentação aplicáveis.

Adicionalmente e conforme previsto na Diretriz Global de Auditoria Interna, o tema deve ser avaliado com a devida periodicidade e de acordo com os riscos existentes. Caso os riscos sejam relevantes a Auditoria Interna deverá incluir revisão independente específica no plano anual de auditoria interna.

16. NORMAS EXTERNAS RELACIONADAS E OUTRAS REGÊNCIAS DE MERCADO

LEI Nº 12.965 - Marco Civil: Tem como objetivo precípuo oferecer segurança jurídica aos usuários da rede, sejam eles internautas, empresas, provedores e Administração Pública.

Resolução nº 4.658 BACEN: Trata sobre segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem. Lei 105/01 - Leio de sigilo Bancário.

LGPD – Lei Geral de Proteção de Dados – 13.709/2018.

27001 – Security Foundation.

NIST – National Institute of Standards and Technology.

AUTOMOTION IND COM IMPORTAÇÃO E EXPORTAÇÃO LTDA
POLÍTICA DE PRIVACIDADE DOS DADOS -- Versão 1.0