Política de Privacidade e Segurança da Informação

1 Identificação

Empresa	Endereço	Cidade/Estado	CEP	CNPJ
Fabiana Ritzel Scalco - ME	Rua Bento Martins, 1286	São Borja/RS	97.670-000	06.321.696/0001-34
Scalco Desenvolvimento Empresarial LTDA	Rua Bento Martins, 1294	São Borja/RS	97.670-000	03.148.465/0001-82

2 Introdução

As empresas do Grupo Scalco – Fabiana Ritzel Scalco – ME e Scalco Desenvolvimento Empresarial Ltda., entendem que as informações corporativas são um bem essencial para suas atividades e, através deste documento, pretende definir a Política que rege as operações relativas a estes dados no que tange à privacidade e segurança das informações.

Todas as informações aqui contidas se referem às empresas Fabiana Ritzel Scalco – ME e Scalco Desenvolvimento Empresarial Ltda., doravante denominadas como Grupo Scalco ou, simplesmente, organização.

3 Objetivo

Estabelecer os conceitos e diretrizes relativos à Segurança da Informação, visando proteger as informações do Grupo Scalco, mantendo tal política alinhada aos objetivos estratégicos da organização.

4 Escopo

Esta Política aplica-se a todos os colaboradores, estagiários, fornecedores, prestadores de serviços, clientes e visitantes das empresas da organização, incluídas as gerências de área e a Alta Direção das empresas.

Qualquer indivíduo ou empresa que tenha tido, tenha atualmente ou venha a ter acesso a qualquer dado ou ativo de informação, considerado de propriedade da organização, em qualquer tempo, em qualquer circunstância e em qualquer localização geográfica, estará sujeito ao determinado no presente documento.

A. Coleta de Informações

Ao utilizar nossos serviços integrados com a plataforma Meta, podemos coletar os seguintes dados, mediante sua autorização expressa:

• Informações de Identificação: Nome completo e endereço de e-mail.
• Dados de Perfil: Foto de perfil e ID de usuário da plataforma social.
• Dados Técnicos: Endereço IP, tipo de dispositivo e registros de acesso.

B. Finalidade do Tratamento

Os dados são processados estritamente para as seguintes finalidades:

• Prover acesso seguro e autenticação ao aplicativo.
• Personalizar a experiência do usuário dentro da plataforma.
• Enviar comunicações essenciais sobre atualizações ou suporte técnico.
• Garantir a segurança contra fraudes e acessos indevidos.

C. Compartilhamento de Dados

O Grupo Scalco não vende, aluga ou compartilha seus dados pessoais com terceiros para fins de marketing. O compartilhamento ocorre apenas com parceiros de infraestrutura (como serviços de hospedagem de servidores) necessários para a operação do serviço, sempre sob rigorosos contratos de confidencialidade.

E. Segurança e Proteção

Adotamos medidas técnicas de segurança, como criptografia SSL e firewalls, para garantir que suas informações estejam protegidas contra acessos não autorizados ou destruição acidental.

F. Contato e Responsável

Para dúvidas, reclamações ou requisições sobre seus direitos de privacidade, entre em contato com nosso Encarregado de Dados (DPO):

Grupo Scalco
E-mail: [email protected]
Website: https://gruposcalco.com.br

5 Conceitos

A Segurança da Informação é aqui caracterizada pela preservação dos seguintes conceitos:

• Confidencialidade: garante que o acesso às informações seja efetuado, somente, pelas pessoas autorizadas, durante o período necessário;
• Integridade: garante que a informação esteja íntegra e completa durante todo o seu ciclo de vida;
• Disponibilidade: garante que a informação esteja disponível para as pessoas devidamente autorizadas, sempre que se fizer necessário.

6 Estrutura Normativa

A estrutura normativa da Segurança da Informação do Grupo Scalco é composta pelos documentos relacionados a seguir:

• Política: define a estrutura, diretrizes e os papéis referentes à Segurança das Informações.
• Normas e Manuais: estabelecem regras, definidas de acordo com as diretrizes da Política, a serem seguidas nas diversas situações em que a Informação é tratada.
• Termos, Procedimentos e Orientações: instrumentam as regras dispostas nas Normas, permitindo a aplicação nas atividades da organização.

6.1 Compliance com tratamento de dados pessoais

Todos os documentos desta estrutura, que necessitem consentimento para o tratamento de dados pessoais (definidos na Lei nº 13.709/2018 – LGPD) deverão incluir cláusula separa, em caráter inequívoco, que especifique dito tratamento e que especifique o consentimento explícito do titular dos dados de forma a dar cumprimento (compliance) com a correspondente Lei Geral de Proteção de Dados.

Sendo necessário o cumprimento com a GDPR (General Data Protection Regulamentation), a mesma deve ser também especificada, tendo cláusula específica.

6.1.1 Vigência LGPD

Imediata, desde a data de publicação desta Política de Segurança da Informação.

6.1.2 Vigência GDPR

Imediata, desde a data de publicação desta Política de Segurança da Informação.

7 Diretrizes

A seguir, são apresentadas as Diretrizes da Política de Privacidade e Segurança das Informações da organização. Estas Diretrizes devem ser a base fundamental para a elaboração de todas as Normas e Procedimentos.

7.1 Aspectos Gerais

• As informações (em formato físico ou lógico) e os ambientes tecnológicos utilizados pelos usuários são de exclusiva propriedade da organização, não podendo, sob nenhuma hipótese, ser interpretado como de uso pessoal;
• Excetuam-se desta propriedade, os dados pessoais compreendidos na Lei Geral de Proteção de Dados – LGPD;
• Todos os colaboradores, estagiários, prestadores de serviços, clientes e visitantes devem ter ciência de que o uso das informações e dos sistemas de informação podem ser monitorados e que os registros assim obtidos poderão ser utilizados para detecção de violações da Política e das Normas de Segurança da Informação, podendo estas servir de evidências para aplicações de medidas disciplinares, processos administrativos e legais;
• Todo o processo, sempre que possível, durante o seu ciclo de vida, deve garantir a segregação de funções, por meio de mais de uma pessoa ou equipe.

7.2 Tratamento das Informações

• Para assegurar a proteção adequada às informações, o Comitê Gestor de Segurança da Informação definiu o método de classificação da informação de acordo com o grau de confidencialidade e criticidade para o negócio da organização, cuja descrição está no Procedimento de Análise de Fontes e Criticidade de Dados Pessoais;
• Dados Pessoais cumprem com todos os critérios da LGPD;
• Todas as informações devem estar, adequadamente, protegidas em observância às diretrizes de Segurança da Informação da organização em todo o seu ciclo de vida, que compreende: geração, manuseio, armazenamento, transporte e descarte, de acordo com o definido na Norma de Uso dos Ativos da Informação, do Grupo Scalco;
• A informação deve ser utilizada de forma transparente e apenas para a finalidade coletada ou gerada.

7.3 Gestão de acessos e identidades

• O acesso às informações e aos ambientes tecnológicos da organização deve ser controlado de acordo com a sua classificação, de forma a garantir acesso apenas às pessoas autorizadas, mediante aprovação formal;
• O acesso aos funcionários, estagiários, clientes, visitantes e prestadores de serviços devem ser solicitados e aprovadas somente as informações necessárias ao desempenho de suas atividades.

7.4 Gestão de Incidentes de Segurança da Informação

Em caso de violação desta Política e Normas de Segurança da Informação:

• O Comitê Gestor de Segurança da Informação – CGSI realizará deliberações, somente, nos incidentes classificados como alta criticidade. Após deliberação o CGSI recomendará ao Diretor Executivo uma ação disciplinar a ser tomada;
• Todos os demais casos serão tratados pelo fluxo normal de respostas a incidentes.

7.5 Partes Externas

• Os contratos entre o Grupo Scalco e as empresas fornecedoras e/ou prestadoras de serviços com acesso às informações, aos sistemas e/ou ao ambiente tecnológico da organização devem conter cláusulas que garantam a confidencialidade entre as partes e que assegurem, minimamente, que os profissionais sob sua responsabilidade cumpram a Política e as Normas de Segurança da Informação. Também devem cumprir, rigorosamente, com a LGPD.

8 Responsabilidades

8.1 Todos os colaboradores, estagiários, clientes, visitantes, fornecedores e prestadores de serviços.

• Ler, compreender e cumprir fielmente a Política, as Normas e os Procedimentos de Segurança da Informação da organização, como também quaisquer outras leis ou normas de segurança aplicáveis;
• Encaminhar quaisquer dúvidas e/ou pedidos de esclarecimento sobre a atual política, suas normas e procedimentos à área de Gestão de Segurança da Informação do Grupo Scalco;
• Proteger informações contra acessos, modificações, destruição ou divulgação não autorizada pela organização;
• Cumprir as normas que regulamentam a propriedade intelectual;
• Não discutir assuntos confidenciais de trabalho em ambientes públicos ou áreas expostas (aviões, transportes, restaurantes, encontros sociais, etc.) incluindo a emissão de comentários e opiniões em blogs, páginas e redes sociais;
• Não compartilhar informações confidenciais de qualquer tipo;
• Comunicar, imediatamente, à área de Gestão de Segurança da Informação qualquer descumprimento ou violação desta política e/ou de Normas e Procedimentos ou qualquer evento que coloque ou possa colocar em risco a segurança das informações do Grupo Scalco.

8.2 Gestores da Informação

• Identificar, classificar e rotular as informações sob sua responsabilidade, de acordo com as normas da organização;
• Autorizar ou revogar os acessos à informação sob sua responsabilidade, revisando, periodicamente, os mesmos;
• Assumir a responsabilidade por todo o ciclo de vida da informação sob sua responsabilidade.

8.3 Área de Gestão de Segurança da Informação

• Prover todas as informações de Gestão de Segurança da Informação solicitadas pelo CGSI e pela Diretoria Executiva;
• Promover ampla divulgação da Política e das Normas de Segurança da Informação para todos os colaboradores, estagiários, clientes, visitantes e prestadores de serviços;
• Promover ações de conscientização sobre Segurança da Informação para os colaboradores, estagiários, clientes, visitantes e prestadores de serviços;
• Propor projetos e iniciativas relacionadas ao aperfeiçoamento da Segurança da Informação da organização;
• Estabelecer procedimentos relacionados à instrumentação da Segurança da Informação da organização.

8.4 Comitê Gestor de Segurança da Informação

• Atuar como enlace fundamental entre a Alta Direção da empresa e a Área de Gestão de Segurança da Informação, garantindo a fluidez da comunicação entre as mesmas;
• Reunir-se periodicamente ou extraordinariamente, analisando e tomando decisões sobre eventos e incidentes de Segurança da Informação;
• Observar as modificações políticas, estruturais e estratégicas das empresas do Grupo Scalco, levando tais mudanças para que sejam refletidas na Política de Segurança da Informação.

8.5 Alta Direção do Grupo Scalco

• Promover os recursos necessários para o cumprimento da Política de Segurança da Informação;
• Assegurar que a Política de Segurança da Informação é compatível com o os objetivos e estratégias corporativas;
• Demonstrar liderança e comprometimento com a Política de Segurança da Informação, incentivando a sua aplicação e dando o suporte moral e executivo para a execução das mesmas;
• Assegurar que a Política de Segurança da Informação consegue atingir seus objetivos.

9 Não Conformidade

9.1 Definição

A Não Conformidade está definida nesta Política como a violação, omissão, tentativas não consumadas ou ausência de cumprimento com qualquer das definições, diretrizes, normas, procedimentos e conceitos definidos nesta Política de Segurança da Informação, voluntária ou involuntariamente, por parte de um colaborador, estagiário, cliente, visitante, fornecedor ou prestador de serviços.

9.1 Determinação

Qualquer colaborador, estagiário, cliente, visitante, fornecedor ou prestador de serviços pode denunciar uma suspeita de não conformidade com a Política de Segurança da Informação.

A referida denúncia deve ser efetuada verbalmente ou, preferencialmente, por escrito, para a Área de Gestão de Segurança da Informação ou para um gestor de qualquer área das empresas do Grupo Scalco que, por sua vez, deve encaminhar a denúncia à Área de Gestão de Segurança da Informação da organização.

O formato de denúncia escrita deve estar definido nas Normas e Procedimentos de Segurança da Informação.

Dispositivos e procedimentos de monitoramento e verificação de Segurança da Informação, também, podem indicar possíveis violações ou não cumprimentos. As formas de comunicação através destes dispositivos ou procedimentos devem estar definidas nas Normas e Procedimentos da Segurança da Informação.

A Determinação final sobre a procedência da suspeita ou veracidade das informações relativas à Segurança da Informação cabe, somente, ao responsável pela Gestão de Segurança da Informação.

9.3 Ação

As regras que estabelecem o controle e o tratamento de situações de não conformidade relativas à Política de Segurança da Informação da organização, devem ser tratadas conforme a Política da Qualidade, ou conforme as leis vigentes do país, que regulamentam as punições correspondentes ao evento.

Na ocorrência de violação desta Política ou da Normas de Segurança da Informação, a Diretoria Executiva poderá adotar, com apoio das Gerências Jurídicas e de Recursos Humanos, sanções administrativas e/ou legais, conforme os parágrafos a seguir:

9.3.1 Colaboradores e estagiários

As regras que estabelecem o controle e o tratamento de situações de não conformidade relativas à Política de Segurança da Informação da organização, devem ser tratadas conforme a Política da Qualidade, ou conforme as leis vigentes do país, que regulamentam as punições correspondentes ao evento.

9.3.2 Fornecedores, Terceiros Contratados ou Fornecedores de Serviços

O CGSI deverá analisar a situação e deliberar sobre a aplicação de sanções previstas em contrato;

9.3.3 Clientes e Visitantes

O CGSI deverá analisar a situação e deliberar sobre a aplicação de sanções correspondentes ao fato, respeitando as demais legislações vigentes;

Para os casos de violações que impliquem em atividades ilegais ou que possam incorrer em danos às empresas do Grupo Scalco, o infrator será responsabilizado pelos prejuízos, cabendo a aplicação de medidas judiciais pertinentes, sem prejuízo ao estipulado nos itens anteriormente descritos.

10 Casos Omissos

O presente documento e a totalidade dos responsáveis citados no mesmo, devem considerar que a tecnologia e as ameaças à Segurança da Informação se intensificam e se atualizam todos os dias.

Portanto, não se constitui rol enumerativo, sendo obrigação do usuário do Grupo Scalco adotar, sempre que possível, outras medidas de segurança além das aqui previstas, com o objetivo de garantir à proteção às informações das empresas do Grupo Scalco.

Os eventuais casos que não estejam contemplados neste documento ou nos documentos auxiliares que o compõem, devem ser analisados, em primeira instância, pelo responsável da Área de Segurança da Informação e, caso o mesmo não tenha uma solução ou medida plausível para o evento, caberá ao Comitê Gestor de Segurança da Informação, decidir o procedimento para cada caso específico.

11 Alterações

Este documento poderá conter eventuais erros de tipográfica, ortografia ou gramática. Em tais casos, o responsável pela elaboração e manutenção poderá elaborar novas versões deste documento, com as devidas correções, sem a necessidade de nenhuma comunicação prévia aos interessados.

Demais alterações serão aplicadas à novas versões, sendo que novos acordos, reconhecimentos ou compromissos assumidos com respeito a este documento, farão, sempre, referência à versão mais recente do mesmo.

12 Revisões

Esta política será revisada anualmente, ou a qualquer momento em que o determine o Comitê Gestor de Segurança da Informação.

13 Conceitos e Definições

• Informação: Dados, eletrônicos ou físicos, ou registros de um sistema, devidamente processados;
• Dados Pessoais: Dados específicos a um indivíduo, definidos através da LGPD;
• Tratamento de Dados: Toda a operação realizada com dados, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, análises, modificação, comunicação, transferência, difusão ou extração.
• Titular dos Dados: Pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;
• Ativo: Tudo aquilo que possui ou constitui valor para a organização;
• Ativos de Informação: Conjunto de informações, armazenado de modo que possa ser identificado e reconhecido como valioso para o Grupo Scalco; Trata-se de patrimônio intangível da organização, constituído por suas informações de qualquer natureza, incluindo aquelas de caráter estratégico, técnico, administrativo, mercadológico, financeiro, de recursos humanos ou legais, bem como, quaisquer informações criadas ou adquiridas por meio de parcerias, aquisições, compra, licenciamento ou confiadas à organização por funcionários, parceiros, clientes, visitantes, fornecedores, terceiros em formato escrito, verbal, físico, digitalizado, que seja armazenado, transitado ou trafegado pelas estruturas da empresa, além de documentos em suporte físico ou mídia eletrônica que transitarem interna ou externamente a estrutura física do Grupo Scalco;
• Sistemas de Informação: Sistemas computacionais utilizados pelo Grupo Scalco para suportar suas operações; Podem haver exceções que, mesmo não sendo sistemas informatizados, suportem operações do Grupo Scalco.
• Ameaça: Causa potencial de um acidente, que possa vir a comprometer ou prejudicar a imagem ou as operações da organização;
• Confidencialidade: Garante que o acesso às informações seja efetuado somente pela pessoa autorizada, durante o período necessário;
• Integridade: Garante que a informação seja íntegra, exata e completa durante todo o seu ciclo de vida;
• Disponibilidade: Garante que a informação esteja disponível para as pessoas ou organismos autorizados, sempre que se fizer necessária;
• Risco de Segurança da Informação: Efeito da incerteza sobre os objetivos da Segurança da Informação do Grupo Scalco;
• Controle: Medida de segurança adotada pela organização para tratamento de um risco específico;
• Segregação de Funções: Consiste na separação entre as funções de autorização, aprovação das operações, execução, controle e contabilização, de maneira que nenhum colaborador, estagiário, cliente, visitante, fornecedor ou prestador de serviços detenha poderes e atribuições em desacordo com este princípio ou conflitantes entre si;
• Informação da Organização: Ativos de Informação que se relacionem diretamente à organização, suas atividades, dados de clientes, fornecedores, funcionários, estagiários, visitantes ou terceiros; e qualquer tipo de dado ou informação gerada ou alterada por membros da empresa, no exercício de suas funções;
• Comitê Gestor de Segurança da Informação: Grupo multidisciplinar composto por membros das Diretorias Executivas, com o objetivo de avaliar as estratégias e diretrizes da Segurança da Informação seguidas pelo Grupo Scalco;
• LGPD – Lei Geral de Proteção de Dados: Lei brasileira de número 13.709/2018, promulgada em 14 de agosto de 2018, que define as normas e procedimentos para o tratamento de dados pessoais.

14 Documentos de Referência

• Lei 13.709/18 – Lei Geral de Proteção de Dados – LGPD.
• Lei 13.853/19 – Lei Geral de Proteção de Dados – LGPD.
• Série ISO 9001 E ISO 27000
• Código de Ética do Grupo Scalco
• Política de Gestão de Riscos Corporativo
• Política de Classificação de Dados
• Política da Qualidade
• CLT – Consolidação das Leis do Trabalho – Lei 5452/1943

15 Gestão da Política

Essa Política de Privacidade e Segurança da Informação foi aprovada pelo Comitê Gestor de Segurança da Informação, em conjunto com a Diretoria Executiva no dia 20/01/2020.

16 Política da Qualidade

Esta Política de Privacidade e Segurança da Informação integra a Política da Qualidade do Grupo Scalco e é disseminada à equipe da empresa no Evento de Integração e na Convenção anual e às demais partes interessadas no site www.gruposcalco.com.br, nos eventos do Grupo Scalco e em todas as oportunidades de interação específicas para a disseminação desta Política.

17 Formulários

• Informações de Auditoria de Compliance à LGPD;
• Constituição do Comitê Gestor de Segurança da Informação;
• Designação do Encarregado de Dados da empresa Fabiana Ritzel Scalco – ME;
• Designação do Encarregado de Dados da empresa Scalco Desenvolvimento Empresarial Ltda;
• Norma de Uso de Ativos da Informação;
• Catálogo de Dados das Operação do Grupo Scalco;
• Relatório de Análise de Fontes de Dados;
• Relatório de Impacto à Proteção de Dados;
• Declaração de Conformidade com a LGPD e Termo de Uso dos Serviços do Grupo Scalco;
• Formulário de Consentimento para Tratamento de Dados Pessoais Visitante (Rede WiFi);
• Formulário de Consentimento na web;
• Formulário de Solicitação de Exercício de Direito – Tratamento de Dados Pessoais;
• Formulário de Consentimento para Tratamento de Dados Pessoais de Contratos Terceirizados;