Introdução

A Política de Segurança da Informação tem o compromisso com a proteção dos ativos de informação de propriedade ou sob salvaguarda da CWA Clipping, preservando a confidencialidade, integridade e disponibilidade destas informações e, garantindo a transparência no tratamento dos dados. Estabelecendo um conjunto de diretrizes para implementar a Privacidade e Segurança de Dados, incluindo processos, procedimentos, estrutura organizacional e funções de software e hardware no uso dos dados da CWA Clipping ou sob sua salvaguarda, garantindo os direitos do titular dos dados, assim como estabelecendo a padronização do uso, tratamento, e proteção das informações.

A presente Política deve ser observada por todos que mantém vínculos com a CWA Clipping, especialmente, seus dirigentes, força de trabalho, sindicatos associados, fornecedores, parceiros e quaisquer pessoas físicas ou jurídicas que se relacionem direta ou indiretamente com a CWA Clipping.

Foi elaborada pela CWA Clipping, observadas as normas técnicas ABNT NBR ISO/IEC 27001:2013 e 27002:2013, a legislação protetiva da privacidade e dos dados pessoais, e os requisitos de negócio das entidades.

A segurança da informação é alcançada pela implementação de um conjunto adequado de controles, incluindo políticas, processos, procedimentos, estrutura organizacional e funções de software e hardware. Estes controles precisam ser estabelecidos, implementados, monitorados, analisados criticamente e melhorados, quando necessário para assegurar que os objetivos do negócio e a segurança da informação da organização sejam atendidos. (ABNT NBR 150/IEC 27002:2013)

Objetivos

Objetivo geral - definir e padronizar o uso, tratamento, controle e proteção das informações que possam causar impactos no desempenho financeiro da CWA Clipping, na sua participação no mercado, na sua imagem, agregando valor à operação e eficiência na prestação de serviços ou no seu relacionamento com as partes interessadas.

2.1. Objetivos específicos:

• Definir o escopo da segurança da informação da CWA Clipping;
• Definir as responsabilidades das partes interessadas na preservação da segurança da informação;
• Orientar as ações de segurança da informação das Entidades para reduzir riscos e garantir a integridade, confidencialidade e a disponibilidade das informações.

Definições

Para compreensão deste documento, adotam-se os seguintes termos e definições:

• Agentes de tratamento: Controlador e Operador.
• Ameaça: causa potencial de um incidente indesejado, que pode resultar em dano para um sistema ou organização.
• Anonimização: utilização de meios técnicos que desassociam um dado ou informação pessoal de um indivíduo, de modo que o dado não possa mais ser vinculado, direta ou indiretamente, ao seu titular.
• ANPD: Autoridade Nacional de Proteção de Dados, órgão da administração pública federal, responsável, dentre outras competências, por: zelar pela proteção dos dados pessoais, elaborar as diretrizes da Política Nacional de Proteção de Dados Pessoais e da Privacidade, implementar e fiscalizar o cumprimento da LGPD, e aplicar as sanções por descumprimento da legislação protetiva de dados pessoais.
• Colaborador: todo e qualquer empregado da CWA Clipping.
• Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.
• Controlador: pessoa jurídica a quem compete a tomada de decisões acerca do tratamento de dados pessoais pela organização.
• Coordenador de Segurança da Informação: colaborador designado para operacionalizar os processos de Segurança da Informação.
• Dado pessoal: informação relacionada a pessoa física/natural identificada ou identificável, que poderá ser classificado como dado pessoal sensível, quando se referir a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, vinculado a uma pessoa natural.
• Encarregado: pessoa física ou jurídica, indicada pelo controlador, para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD), sendo responsável, principalmente, por: atender as demandas dos titulares dos dados pessoais e adotar as providências, responder às notificações referentes ao tratamento de dados pela entidade, da ANPD e demais órgãos públicos competentes, e prestar as orientações aos colaboradores e terceiros quanto às boas práticas para tratamento de dados pessoais.
• Força de trabalho da CWA Clipping: pessoas que compõem a organização e que contribuem para consecução de suas estratégias, objetivos e metas ou realizam atividades de aprendizagem, tais como empregados em tempo integral ou parcial, temporários, intermitentes, estagiários, autônomos que trabalham sob a coordenação direta da organização.
• Incidente de segurança da informação: evento ou série de eventos indesejados ou inesperados, que comprometam as operações do negócio e segurança da informação.
• Informação ou dado pessoal anonimizado: informação ou dado pessoal que não pode ser identificado, ou que não leve a identificação do indivíduo, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.
• Informação: conjunto de dados, imagens, textos e quaisquer outras formas de representação dotadas de significado dentro de um contexto.
• Líderes: grupo formado por coordenadores, gerentes e diretores.
• Monitoramento: acompanhamento e avaliação de dados e processos com objetivo específico de proteger o negócio, seus ativos e pessoas contra ameaças, prevenindo ataques ou outras manifestações que possam resultar em prejuízo para a organização.
• Multiplicador/Facilitador: colaborador responsável por disseminar esta política, seus guias e apoiar no seu cumprimento.
• Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.
• Recursos de Tecnologia da Informação: referem-se a qualquer sistema de armazenamento ou processamento da informação, serviço ou infraestrutura, ou às instalações físicas que os abriguem, tais como: pen drives, smartphones, tablets, e-mail, planilhas, documentos, computadores, notebooks, equipamentos de rede, dentre outros.
• Relatório de Impacto: documentação do Controlador que contém a descrição dos processos de tratamento de dados e informações que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de riscos.
• Software malicioso ou malware: Entende-se por software malicioso qualquer software que realiza ações nocivas aos sistemas, corno vírus, worm, ransonware e afins.
• Terceiros: grupo composto por profissionais que não são empregados da CWA Clipping, podendo ser vinculados a empresas contratadas ou não, como, por exemplo, os fornecedores, os prestadores de serviços, parceiros e clientes que possuam acesso às informações da CWA Clipping.
• Titular do dado ou da informação pessoal: pessoa física a quem se referem os dados ou informações pessoais que são objeto de tratamento.
• Tratamento: toda operação realizada com dados e informações, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração.
• Uso compartilhado de dados ou informações: compartilhamento de informações com outros agentes de tratamento, para desenvolvimento de suas atividades e paracumprimento de suas determinações legais ou regulatórias.
• Vulnerabilidade: fragilidade de um ativo ou grupo de ativos que pode ser explorada por uma ou mais ameaças.

Segurança da informação (SI) e tratamento dos dados pelas entidades da cwa clipping:

A informação é um ativo das organizações, ou seja, é um bem que possui valor e, portanto, deve ser protegida, independentemente de ser escrita ou falada, impressa em papel, armazenada eletronicamente, transmitida pelo correio ou através de meios eletrônicos, ou até apresentada em firmes.

A segurança da informação é alcançada através da preservação da integridade, confidencialidade e disponibilidade da informação, assim entendidos:

• Integridade: é a garantia da preservação da informação e consistência dos dados ao longo do seu ciclo de vida.
• Confidencialidade: é a garantia de sigilo, ou seja, a informação é acessível somente a pessoas autorizadas a terem acesso.
• Disponibilidade: é a garantia de que a informação e os ativos associados estejam disponíveis para os usuários legítimos, sempre que necessário.
• Em conformidade com a legislação vigente, em especial com a Lei Federal n° 13.709/18 — Lei Geral de Proteção de Dados Pessoais (LGPD), o tratamento de dados pessoais deve observar os seguintes fundamentos:
• Respeito à privacidade;
• Autodeterminação informativa;
• Liberdade de expressão;
• Inviolabilidade da intimidade, honra e imagem;
• Desenvolvimento econômico, tecnológico e inovação;
• Livre iniciativa, livre concorrência e defesa do consumidor;
• Direitos humanos , li v re desenvolv imento da personalidade, dignidade e exercício da cidadania.
• As ações referentes a tratamento de dados pessoais pela CWA Clipping devem atentar para a finalidade e necessidade do tratamento, a adequação dos processos e tecnologias, a qualidade dos dados coletados, assegurando tratamento isonômico, livre acesso aos dados por seu titular, transparência nas ações e segurança das informações.

Papéis e reponsabilidades

Todos que mantém relações com a CWA Clipping (dirigentes, força de trabalho, fornecedores, parceiros, representantes de sindicatos e organizações associadas) têm responsabilidade sobre as informações que acessam e manipulam nas instalações e nos sistemas destas entidades.

A observância das diretrizes estabelecidas nesta política independe da existência de controles que, de forma total ou parcial, obriguem o seu cumprimento.

A seguir constam especificadas as principais competências dos agentes desta Política de Segurança da Informação:

5.1. Controladora:

O Controlador é o responsável por determinar as ações de tratamento de dados pela organização, podendo ser responsabilizado judicial e administrativamente em caso de incidentes de dados ou falha de segurança, ou de descumprimento à legislação protetiva da privacidade. Deste modo, constitui-se como controladora a CWA Clipping.
O Controlador possui as seguintes responsabilidades:
a) Tomar decisões referentes aos processos de gestão, atentando para as diretrizes da segurança das informações e privacidade dos dados pessoais;
b) Adotar medidas de boas práticas para tratamento de dados pessoais pela organização, observadas as exigências legais;
c) Responsabilizar-se junto as instituições públicas e privadas acerca das decisões sobre segurança da informação da organização e tratamento de dados pessoais pela organização.

5.2. Operador:

Refere-se como Operador o terceiro, pessoa física ou jurídica, que realiza tratamento de dados pessoais em nome do Controlador, nos termos do instrumento contratual firmado. O Operador poderá ser responsabilizado solidariamente em caso de incidente de dados pessoais, devendo, portanto, adotar boas práticas de proteção de dados ao executar suas atividades.

Compete ao Operador:
a) Realizar as atividades de tratamento das informações de acordo com as orientações do Controlador; b) Responsabilizar-se pelas ações executadas, respondendo pela inobservância das orientações do Controlador e/ou da legislação vigente, para o tratamento dos dados em nome do Controlador;

5.3. Encarregado de Proteção de Dados
O Encarregado é o responsável pela execução das atividades de tratamento de dados pelo Controlador/Entidade. É a pessoa que detém conhecimento acerca de sistemas, processos e legislação sobre tratamento de dados e segurança das informações, cabendo-lhe adotar práticas condizentes com o negócio das entidades e realidade de mercado. As informações de identificação e contato do Encarregado devem ser amplamente divulgadas e inseridas em documentos relacionados ao tratamento de dados pessoais.

Compete ao Encarregado de Proteção de Dados:
a) Gerir o recebimento das solicitações, reclamações e comunicações dos titulares dos dados, prestar esclarecimentos e adotar providências;
b) Receber notificações da Autoridade Nacional de Proteção de Dados e demais órgãos públicos e adotar providências;
c) Orientar dirigentes, colaboradores e prestadores de serviços contratados pelas entidades acerca das práticas a serem executadas para a proteção de dados pessoais e segurança das informações;
d) Executar as demais atribuições determinadas pelo Controlador, ou estabelecidas em normas complementares, ou requeridas pela ANPD;
e) Acompanhar o processo de adequação das atividades de tratamento de dados às exigências legais;
f) Fiscalizar as ações de tratamento de dados pessoais pelas entidades e indicar a necessidade de melhorias em processos e sistemas, para garantia da conformidade à lei.
g) Subsidiar o Controlador acerca das ações a serem adotadas para a garantia da segurança da informação e proteção dos dados pessoais;
h) Orientar as atividades desenvolvidas pelas Comissões de Segurança da Informação e operadores do Sistema de Gestão de Segurança da Informação;

5.4. Dirigentes, força de trabalho, fornecedores, clientes e parceiros com acesso às informações corporativas
a) Cumprir as determinações desta Política de Segurança da Informação, bem como seus respectivos documentos complementares;
b) Proteger a informação contra acesso não autorizado, divulgação, modificação, destruição ou interferência, em todo o seu ciclo de vida;
c) Notificar, com a maior brevidade possível, quaisquer incidentes de dados, fragilidades ou falhas de segurança ao Coordenador de Segurança da Informação e/ou ao Encarregado, para adoção das providências.

A análise quanto a incidente de dados ou falha de segurança cabe exclusivamente ao corpo técnico competente, não devem ser testadas pelos usuários, apenas notificadas quando verificadas. Da mesma forma, ações corretivas não devem ser adotadas pelos usuários, mas, apenas, pelas pessoas autorizadas e designadas para a execução destas atividades na CWA Clipping.

O cumprimento desta Política de Segurança da Informação faz parte das responsabilidades de trabalho e, a partir da sua publicação, deve integrar contratos de trabalho e contratos com fornecedores em que suas disposições forem aplicáveis.

5.5. Líderes
a) Difundir a Política de Segurança da Informação e viabilizar, no âmbito de sua gestão, a educação, o treinamento e a conscientização sobre segurança da informação e proteção de dados;
b) Identificar as necessidades de segurança da informação e proteção de dados nos processos sob sua responsabilidade, incluindo a classificação das informações e temporalidade dos dados, inclusive propondo novas medidas de controle, quando necessárias;
c) Validar as solicitações de acesso aos dados, informações e sistemas de interesse para processos sob sua responsabilidade, revisando os acessos periodicamente;
d) Fornecer informações a respeito dos seus processos e serviços para composição de relatório de impacto ou outra documentação necessária;
e) Atuar de forma sistêmica para garantir os direitos dos titulares em conformidade com as regras do Controlador e legislação aplicável;

Dever de sigilo e confidencialidade das informações

As informações relacionadas a negócios são confidenciais e devem ser protegidas por todos os que tiverem acesso. O dever de sigilo e a garantia da confidencialidade das informações são diretrizes desta Política para o tratamento de dados pela CWA Clipping.

Apenas podem ser divulgadas informações de conhecimento público, autorizadas por seu titular, ou quando a legislação autorizar a sua publicação.

A força de trabalho deverá se submeter às diretrizes desta Política, a partir da assinatura do contrato de trabalho, devendo manter sigilo sobre as informações a que tiver acesso em decorrência da execução de suas atividades.

Deverá ser formalizado Acordo de Confidencialidade com fornecedores, prestadores de serviços e parceiros que tenham acesso a quaisquer informações consideradas confidenciais e a dados pessoais, em decorrência do vínculo com a CWA Clipping, a fim de que se comprometam a garantir a segurança e a confidencia lidade das informações, observado o seguinte:

• Informações sensíveis e dados pessoais compartilhados devem ser protegidos, utilizando boas práticas de governança e técnicas de segurança da informação e proteção de dados, a fim de evitar vazamentos e incidentes, por toda cadeia de tratamento da informação;
• Os parceiros e fornecedores são responsáveis pelas boas práticas de governança e técnicas de segurança e proteção de dados dos seus processos;
• O acordo de confidencialidade é valido durante todo o período de vigência do contrato e adicionalmente terá duração de 10 (dez) anos após o término da vigência ou obedecerá ao prazo que tiver sido definido no instrumento firmado;
• Em quaisquer outros casos, o dever de confidencialidade e sigilo obedecerá a regulamentação que orienta a atividade específica, nas áreas de: saúde, educação, propriedade intelectual, dentre outras.

Do tratamento dos dados pessoais

O tratamento de dados pessoais consiste nas operações de coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmi ssão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração das informações pela organização.

Para o tratamento de dados pessoais, a CWA Clipping deverá observar a legislação protetiva da privacidade e dos dados pessoais, em especial à Lei Federal n° 13.709/2018, e as seguintes diretrizes:
• Implementar na organização estrutura de governança de dados, visando a melhor gestão das ações de segurança da informação e privacidade de dados;
• Tratar somente os dados estritamente necessários para a execução do serviço;
• Eliminar os dados, após o tratamento concluído/finalizado, salvo, se a legislação exigir a guarda das informações por período superior;
• Sempre que possível, tratar os dados de forma anonimizada;
• Observar os fundamentos e princípios da legislação na execução de suas atividades;
• Preservar a segurança e o sigilo das Informações para o tratamento dos dados pessoais pela organização;
• Utilizar/Manter os Sistemas processuais e digitais em conformidade com as boas práticas de Segurança da Informação, quanto à disponibilidade, confidencialidade e autenticidade, adicionalmente empregando sempre que possível os princípios de Security By Design em seus processos, sistemas digitais e infraestrutura;
• Tratar os dados exclusivamente para as finalidades definidas nos instrumentos firmados com os titulares dos dados ou em conformidade com a legislação;
• Criar mecanismos de supervisão interna e externa para a preservação das boas práticas no tratamento das informações em seus processos e sistemas;
• Manter um canal de comunicação direto com os titulares de dados, assim como a ANPD, para interlocução com o Encarregado;
• Observar os direitos do titular dos dados e atender às suas solicitações, em conformidade com a lei;
• Manter registros das operações de tratamento de dados pessoais realizadas pela organização;
• Elaborar e disponibilizar relatório de impacto sobre a proteção de dados pessoais com os critérios mínimos determinados em conformidade com a legislação vigente;
• Comunicar à ANPD e ao titular a ocorrência de incidente de dados que possa acarretar riscos ou danos efetivos a este último;
• Elaborar e executar planos de resposta a incidentes de dados;
• Monitorar as atividades de tratamento de dados de modo contínuo e realizar avaliações periódicas;
• Observar a estrutura, escala e volume de suas operações no processo de conformidade às exigências da legislação protetiva da privacidade e dos dados pessoais.

Toda operação envolvendo dados pessoais realizada por esta organização deverá estar enquadrada nas hipóteses de tratamento previstas na legislação, e atender às finalidades legais e/ou especificadas no instrumento celebrado com o titular do dado.

Direitos do titular

O tratamento de dados pessoais pela CWA Clipping deve resguardar os direitos do titular dos dados especificados na lei.

Devem restar assegurados os direitos do titular de requerer, durante o período de tratamento de seus dados, as seguintes informações:

• Esclarecimentos sobre a possibilidade de não fornecer o consentimento e as consequências da negativa;
• Confirmação da existência do tratamento de seus dados pessoais;
• Acesso facilitado às informações sobre o tratamento de seus dados, sendo-lhe garantido conhecimento sobre: os dados existentes e suas formas de tratamento; a finalidade e duração cio tratamento; o compartilhamento dos dados e sua finalidade.
• Atualização de seus dados, correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários; excessivos ou tratados em desconformidade com o disposto na lei;
• Eliminação dos dados — exclusão das informações pessoais dos bancos de dados e sistemas da organização - Direito ao esquecimento;
• Quando os dados coletados não forem mais necessários para cumprimento do objeto da coleta (finalidade alcançada) e das exigências legais;
• Fim do período de tratamento;
• Revogação do consentimento.

Processos disciplinares

Violações a esta Política de Segurança da Informação e demais documentos complementares sobre segurança da informação e proteção de dados pessoais serão analisados pelo, superior imediato da área na qual ocorreu o fato, que deverá informar a ocorrência ao Coordenador de Segurança da Informação e ao encarregado, para adoção das medidas cabíveis, considerando, a natureza e gravidade do impacto causado.

Poderá ser recomendada a instauração de sindicância para averiguação dos fatos, quando houver indícios de ocorrência de infração funcional, sem prejuízo responsabilização penal e civil do suposto infrator.

Concluída a apuração, conforme normas específicas da CWA Clipping, e comprovada a ocorrência da infração, poderão ser aplicadas as penalidades previstas na legislação vigente e nos regulamentos internos, observada a proporcionalidade entre a infração e a sanção respectiva, e respeitado os primados da ampla defesa e do contraditório.

Conscientização em segurança da informação

A CWA Clipping se compromete a disseminar as informações da Política de Segurança da Informação as partes interessadas, parceiros, fornecedores e clientes.

Contato

Para dúvidas ou maiores informações/esclarecimentos a respeito desta política, deve-se contactar o Encarregado de Proteção de Dados através do e-mail: atendimento@cwaclipping.com.br

Documentos complementares da política de segurança da informação

A Política de Segurança da Informação da CWA Clipping é complementada por diretrizes e documentos afins, considerados como parte integrante desta política.

Esta Política está em implantação para atender aos requisitos da legislação vigente, em especial a lei 13.709/18 - Lei Geral de Proteção de Dados Pessoais - LGPD com sua conclusão prevista para 30/09/2022.