Modelo de Política de Privacidade LGPD

POLÍTICA DE PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS

[RAZÃO SOCIAL OU NOME DO CONTROLADOR]
Data de Vigência e Última Atualização: [DATA DA ÚLTIMA ATUALIZAÇÃO]
Versão: [NÚMERO DA VERSÃO]

Apresentação, Objetivo e Escopo

1. Apresentação e Compromisso Institucional

A presente Política de Privacidade e Proteção de Dados Pessoais (“Política”) formaliza o compromisso de [RAZÃO SOCIAL OU NOME DO CONTROLADOR] com a proteção da privacidade, a integridade dos dados e a segurança das informações das pessoas físicas com as quais se relaciona. As atividades de tratamento de dados pessoais são conduzidas com estrita observância da boa-fé e dos princípios legais estabelecidos pelo art. 6º da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), em especial a finalidade, a necessidade, a transparência e a segurança.

2. Objetivo

Esta Política tem como objetivo fornecer informações claras, transparentes e acessíveis aos titulares de dados pessoais acerca de como suas informações são coletadas, utilizadas, armazenadas, compartilhadas, descartadas e protegidas por [RAZÃO SOCIAL OU NOME DO CONTROLADOR], bem como apresentar os mecanismos disponíveis para o exercício de seus direitos fundamentais de liberdade, privacidade e livre desenvolvimento da personalidade.

3. Escopo de Aplicação e Público-Alvo

As disposições deste documento aplicam-se a todas as operações de tratamento de dados pessoais realizadas no território nacional, em meios físicos ou digitais, que envolvam:

a) Usuários, visitantes e navegadores das plataformas digitais e sítios eletrônicos mantidos por [RAZÃO SOCIAL OU NOME DO CONTROLADOR];
b) Clientes, contratantes e adquirentes de produtos ou serviços;
c) Representantes legais, prepostos e contatos de fornecedores e parceiros comerciais;

[MANTER APENAS SE APLICÁVEL]

Caso haja processos de recrutamento e seleção conduzidos pelo Controlador:

d) Candidatos a vagas de emprego, estágios ou oportunidades de prestação de serviços junto a [RAZÃO SOCIAL OU NOME DO CONTROLADOR].

4. Conformidade Legal

Este documento foi elaborado em conformidade com a legislação federal brasileira, em especial a Lei nº 13.709/2018 (LGPD), o Marco Civil da Internet e as demais normas regulamentares pertinentes expedidas pelas autoridades competentes.

Identificação do Controlador de Dados

1. Dados Cadastrais do Controlador

Na forma do art. 9º, incisos III e IV, da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), qualifica-se a pessoa responsável pelas decisões referentes ao tratamento de dados pessoais no âmbito desta Política:

[MANTER APENAS SE APLICÁVEL]

Caso o Controlador seja pessoa jurídica:

• Razão Social: [RAZÃO SOCIAL OU NOME DO CONTROLADOR]
• Nome Fantasia: [NOME FANTASIA DO CONTROLADOR]
• CNPJ: [CNPJ DO CONTROLADOR]
• Sede: [ENDEREÇO COMPLETO DO CONTROLADOR]
• Sítio Eletrônico Oficial: [SÍTIO ELETRÔNICO DO CONTROLADOR]
• E-mail Institucional Geral: [E-MAIL INSTITUCIONAL DO CONTROLADOR]
• Telefone de Contato Geral: [TELEFONE INSTITUCIONAL DO CONTROLADOR]

[MANTER APENAS SE APLICÁVEL]

Caso o Controlador seja pessoa natural:

• Nome Completo: [NOME COMPLETO DO CONTROLADOR PESSOA NATURAL]
• CPF: [CPF DO CONTROLADOR]
• Endereço Residencial ou Profissional: [ENDEREÇO COMPLETO DO CONTROLADOR]
• E-mail Geral de Contato: [E-MAIL INSTITUCIONAL DO CONTROLADOR]
• Telefone de Contato Geral: [TELEFONE INSTITUCIONAL DO CONTROLADOR]

2. Papel de Agente de Tratamento

[RAZÃO SOCIAL OU NOME DO CONTROLADOR] atua predominantemente na condição de Controlador dos dados pessoais tratados no contexto de suas atividades, sendo competente para tomar as decisões relativas à coleta, utilização, finalidades, prazos de retenção e hipóteses de eliminação ou compartilhamento dessas informações, observados os limites legais e regulamentares cabíveis.

Definições e Conceitos Básicos

1. Glossário e Conceitos da LGPD

Para os fins desta Política e para assegurar a transparência e a facilidade de compreensão acerca das operações de tratamento de informações, adotam-se as seguintes definições, em consonância com a legislação federal aplicável:

• Dado Pessoal: informação relacionada a pessoa natural identificada ou identificável (como nome, endereço, e-mail, número de CPF, dados de localização ou identificadores eletrônicos).
• Dado Pessoal Sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
• Titular de Dados: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento.
• Tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.
• Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.
• Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do Controlador e sob suas instruções.
• Agentes de Tratamento: o Controlador e o Operador em conjunto.
• Encarregado pelo Tratamento de Dados Pessoais: pessoa indicada pelo Controlador e Operador para atuar como canal de comunicação entre o Controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados.
• Autoridade Nacional de Proteção de Dados (ANPD): órgão da administração pública federal responsável por zelar, implementar e fiscalizar o cumprimento da legislação de proteção de dados pessoais em todo o território nacional.
• Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.
• Legítimo Interesse: base legal que autoriza o tratamento de dados pessoais para atender a propósitos legítimos do Controlador ou de terceiros, a partir de situações concretas e observadas as legítimas expectativas do titular e os seus direitos fundamentais.
• Anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo.
• Bloqueio: suspensão temporária de qualquer operação de tratamento, mediante guarda do dado pessoal ou do banco de dados.
• Eliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado.

Dados Pessoais Coletados e Formas de Coleta

1. Categorias de Dados Pessoais Coletados

[RAZÃO SOCIAL OU NOME DO CONTROLADOR] realiza a coleta e o tratamento de dados pessoais estritamente necessários para a consecução de suas atividades, estruturados nas seguintes categorias:

1.1. Dados de Identificação e Contato

• Nome completo;
• Número de inscrição no CPF e no RG;
• Endereço residencial e comercial completo;
• Endereço de correio eletrônico (e-mail);
• Número de telefone (fixo ou móvel);
• Data de nascimento e estado civil.

1.2. Dados de Navegação e Registros Eletrônicos

• Endereço de protocolo de internet (endereço IP);
• Registros de data, horário e duração dos acessos às plataformas digitais;
• Tipo de navegador, sistema operacional e características do dispositivo de acesso;
• Dados de geolocalização aproximada do dispositivo;
• Páginas visualizadas, cliques, termos pesquisados e preferências de navegação.

[MANTER APENAS SE APLICÁVEL]

Caso haja transações comerciais, contratação de serviços ou venda de produtos pelo Controlador:

1.3. Dados Financeiros, Cadastrais e de Faturamento

• Dados bancários e agência para fins de pagamento ou restituição;
• Informações de cartão de crédito ou débito (processadas preferencialmente de forma tokenizada por instituições de pagamento);
• Histórico de transações, pedidos realizados, serviços contratados e notas fiscais emitidas;
• Informações sobre adimplemento, faturamento e créditos.

[MANTER APENAS SE APLICÁVEL]

Caso sejam tratados dados pessoais sensíveis nas atividades do Controlador:

1.4. Dados Pessoais Sensíveis

• [CATEGORIA ESPECÍFICA DE DADO SENSÍVEL TRATADO], tratados exclusivamente nas hipóteses em que houver consentimento específico e destacado do titular ou para o cumprimento de obrigação legal ou regulatória, nos estritos termos do art. 11 da Lei nº 13.709/2018.

[MANTER APENAS SE APLICÁVEL]

Caso o Controlador não realize o tratamento de dados pessoais sensíveis:

1.4. Não Coleta de Dados Pessoais Sensíveis

• [RAZÃO SOCIAL OU NOME DO CONTROLADOR] não coleta nem trata dados pessoais sensíveis (tais como origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato, dados de saúde, vida sexual, genéticos ou biométricos) em suas atividades habituais.

---

2. Modos e Meios de Coleta dos Dados

A coleta dos dados pessoais pode ocorrer por diferentes meios, observados os princípios da necessidade e da transparência:

2.1. Coleta Direta (Fornecida pelo Titular)

Os dados são fornecidos diretamente pelo titular em situações como:

• Preenchimento de formulários de cadastro, fale conosco, suporte ou orçamento no sítio eletrônico;
• Celebração e execução de contratos de prestação de serviços ou fornecimento;
• Envio de mensagens por correio eletrônico, telefone ou aplicativos de comunicação;
• Cadastro para recebimento de comunicações institucionais ou materiais informativos.

2.2. Coleta Automática

Determinadas informações são coletadas automaticamente quando o titular acessa e interage com as plataformas eletrônicas do Controlador, por meio de:

• Cookies e tecnologias semelhantes de identificação e registro de navegação;
• Registros de conexão e de acesso a aplicações de internet, em cumprimento às disposições legais aplicáveis;
• Ferramentas de análise de tráfego e desempenho de páginas web.

[MANTER APENAS SE APLICÁVEL]

Caso o Controlador utilize fontes externas, birôs de dados ou parceiros comerciais:

2.3. Coleta Indireta (Por Intermédio de Terceiros ou Fontes Públicas)

Os dados podem ser obtidos a partir de:

• Fontes públicas acessíveis e bancos de dados oficiais mantidos por órgãos públicos;
• Birôs de proteção ao crédito e serviços de prevenção à fraude;
• Parceiros comerciais e prestadores de serviços integrados às operações de [RAZÃO SOCIAL OU NOME DO CONTROLADOR], desde que a transferência observe as finalidades informadas e as exigências da Lei nº 13.709/2018.

Finalidades do Tratamento e Bases Legais

1. Finalidades Específicas e Fundamentos Legais

Em estrita observância aos princípios da finalidade, adequação, necessidade e transparência, previstos no art. 6º da Lei nº 13.709/2018, [RAZÃO SOCIAL OU NOME DO CONTROLADOR] realiza o tratamento de dados pessoais exclusivamente para propósitos legítimos, explícitos e informados, vinculando cada operação a uma base legal autorizadora prevista na legislação federal.

As finalidades do tratamento e seus respectivos fundamentos legais estruturam-se da seguinte forma:

1.1. Execução de Contrato e Procedimentos Preliminares (Art. 7º, V, Lei nº 13.709/2018)

• Realizar o cadastro, a identificação e a qualificação do titular para viabilizar a contratação de produtos ou serviços;
• Processar pedidos, emitir faturas, processar pagamentos e viabilizar a entrega de bens ou a prestação de serviços contratados;
• Prestar atendimento ao cliente, fornecer suporte operacional e responder a dúvidas sobre os serviços prestados;
• Gerenciar a conta de usuário mantida em plataformas digitais e viabilizar a utilização das funcionalidades contratadas.

1.2. Cumprimento de Obrigação Legal ou Regulatória (Art. 7º, II, Lei nº 13.709/2018)

• Manter o registro de dados e comunicações para a emissão de notas fiscais e cumprimento de deveres perante a administração tributária;
• Armazenar registros de conexão e de acesso a aplicações de internet, em estrito cumprimento ao dever de guarda estabelecido pela legislação federal;
• Prestar informações a órgãos reguladores, autoridades fazendárias, policiais, administrativas ou judiciais competentes, quando formalmente requisitado.

1.3. Legítimo Interesse do Controlador ou de Terceiros (Art. 7º, IX e Art. 10, Lei nº 13.709/2018)

• Garantir a segurança física, cibernética e patrimonial das dependências e plataformas digitais do Controlador;
• Implementar mecanismos de prevenção a fraudes, validação cadastral e mitigação de riscos operacionais;
• Promover melhorias nos serviços, sistemas e plataformas a partir da análise de dados estatísticos e métricas de desempenho;
• Desenvolver e aprimorar as atividades institucionais e comerciais de [RAZÃO SOCIAL OU NOME DO CONTROLADOR], preservadas as legítimas expectativas do titular.

[MANTER APENAS SE APLICÁVEL]

Caso o Controlador realize envio de comunicações promocionais com base no consentimento:

1.4. Consentimento do Titular (Art. 7º, I e Art. 8º, Lei nº 13.709/2018)

• Enviar boletins informativos, novidades, pesquisas de satisfação e ofertas comerciais personalizadas, quando expressamente autorizado pelo titular mediante manifestação livre, inequívoca e informada;
• Realizar tratamentos específicos que demandem autorização expressa, garantida a faculdade de revogação do consentimento a qualquer momento pelo titular, mediante requisição simplificada e gratuita.

[MANTER APENAS SE APLICÁVEL]

Caso o Controlador trate dados para instrução ou defesa em processos contenciosos:

1.5. Exercício Regular de Direitos em Processo (Art. 7º, VI, Lei nº 13.709/2018)

• Instruir procedimentos e produzir provas em processos judiciais, administrativos ou arbitrais;
• Exercer e resguardar os direitos contratuais, civis ou creditórios de [RAZÃO SOCIAL OU NOME DO CONTROLADOR] no âmbito de processos judiciais, administrativos ou arbitrais already instaurados ou iminentes.

---

2. Limitação ao Mínimo Necessário (Princípio da Necessidade)

O tratamento de dados pessoais realizado por [RAZÃO SOCIAL OU NOME DO CONTROLADOR] restringe-se estritamente às informações pertinentes, proporcionais e não excessivas em relação às finalidades declaradas, sendo vedada a utilização de dados para propósitos incompatíveis ou não informados aos respectivos titulares.

Uso de Cookies e Tecnologias de Monitoramento

1. Conceito de Cookies e Tecnologias Semelhantes

Cookies são pequenos arquivos de texto enviados e armazenados no computador, dispositivo móvel ou outro equipamento utilizado pelo titular ao acessar plataformas e sítios eletrônicos. Tais arquivos permitem a identificação temporária do dispositivo de navegação, a retenção de preferências e o aprimoramento da experiência de uso.

Além dos cookies, [RAZÃO SOCIAL OU NOME DO CONTROLADOR] poderá utilizar tecnologias de monitoramento semelhantes, tais como pixels, web beacons, etiquetas (tags) e ferramentas de armazenamento local, empregadas para aferir a interação dos usuários com os serviços digitais, e-mails institucionais e páginas virtuais.

---

2. Categorias de Cookies Utilizados

Os cookies e as tecnologias de monitoramento empregados nas plataformas eletrônicas de [RAZÃO SOCIAL OU NOME DO CONTROLADOR] dividem-se nas seguintes categorias:

2.1. Cookies Estritamente Necessários (Essenciais)

São indispensáveis para o correto funcionamento das plataformas digitais e a prestação dos serviços solicitados pelo titular. Permitem a navegação segura, a autenticação em áreas restritas, o balanceamento de carga e a correta exibição dos conteúdos. O bloqueio desses cookies inviabiliza a adequada operação dos sistemas e recursos disponibilizados.

2.2. Cookies de Desempenho e Analíticos

Coletam informações sobre a forma como os usuários interagem com as páginas eletrônicas, tais como o número de acessos, as páginas mais visitadas, a ocorrência de erros técnicos e o tempo despendido em cada seção. Os dados são tratados de forma agregada e estatística, destinando-se exclusivamente à mensuração e à melhoria contínua do desempenho e da estabilidade das plataformas.

2.3. Cookies de Funcionalidade

Armazenam as escolhas e configurações personalizadas selecionadas pelo titular (como preferências de idioma, região, tamanho de fontes e preenchimento prévio de campos não sensíveis), evitando a necessidade de reconfiguração a cada novo acesso e proporcionando uma experiência de navegação contínua e personalizada.

[MANTER APENAS SE APLICÁVEL]

Caso o Controlador utilize cookies para veiculação de anúncios e marketing:

2.4. Cookies de Publicidade e Marketing

São empregados para registrar a navegação e o perfil de interesses do usuário, permitindo a veiculação de anúncios, ofertas e comunicações personalizadas, bem como para limitar o número de exibições de uma mesma propaganda e avaliar a eficácia de campanhas publicitárias.

---

3. Gerenciamento e Desativação de Cookies

O titular possui plena liberdade para gerenciar, limitar ou desativar o uso de cookies a qualquer momento, mediante as seguintes ferramentas:

3.1. Banner de Gerenciamento de Consentimento

Ao acessar as plataformas digitais de [RAZÃO SOCIAL OU NOME DO CONTROLADOR], o titular poderá configurar diretamente suas preferências por meio do painel de preferências de cookies, aceitando ou recusando as categorias que dependam de seu consentimento prévio.

3.2. Configurações do Navegador de Internet

O titular pode configurar as opções de seu navegador de internet (browser) para recusar novos cookies, alertar quando um cookie estiver sendo enviado ou apagar os arquivos já instalados em seu dispositivo.

A desativação ou recusa integral dos cookies poderá indisponibilizar determinadas ferramentas, limitar a usabilidade do sítio eletrônico ou demandar o reenvio reiterado de preferências de navegação a cada acesso.

Compartilhamento de Dados com Terceiros

1. Hipóteses e Finalidades do Compartilhamento

Em atendimento ao princípio da transparência e ao disposto no art. 9º, V, da Lei nº 13.709/2018, [RAZÃO SOCIAL OU NOME DO CONTROLADOR] informa que os dados pessoais tratados poderão ser compartilhados com terceiros estritamente na medida do necessário para o cumprimento das finalidades informadas nesta Política, limitando-se às seguintes categorias de destinatários:

1.1. Prestadores de Serviços e Fornecedores Operacionais (Operadores)

O compartilhamento de dados com terceiros que atuam como operadores em nome de [RAZÃO SOCIAL OU NOME DO CONTROLADOR] ocorre exclusivamente para dar suporte e viabilizar as atividades institucionais e operacionais, abrangendo:

• Provedores de serviços de hospedagem de dados, infraestrutura de tecnologia da informação e computação em nuvem;
• Instituições financeiras, entidades credenciadoras e intermediadoras de processamento de pagamentos;
• Fornecedores de softwares de gestão empresarial, plataformas de suporte e canais de atendimento ao cliente;
• Empresas especializadas em segurança da informação, auditoria técnica, análise de risco e ferramentas de prevenção a fraudes;
• Prestadores de serviços logísticos, transportadoras e empresas de entrega encarregadas do envio de produtos ou correspondências físicas.

1.2. Autoridades Públicas, Órgãos Governamentais e Entidades Reguladoras

Os dados pessoais poderão ser compartilhados com autoridades judiciais, administrativas, policiais, fiscais ou órgãos reguladores competentes nas seguintes situações:

• Cumprimento de ordens judiciais, decisões administrativas ou requisições formais de autoridades legalmente constituídas;
• Cumprimento de obrigações legais ou regulatórias impostas a [RAZÃO SOCIAL OU NOME DO CONTROLADOR] pela legislação federal aplicável;
• Atendimento a solicitações formuladas no âmbito de fiscalizações, auditorias governamentais ou inquéritos formais.

[MANTER APENAS SE APLICÁVEL]

Caso ocorram operações societárias como fusões, aquisições ou incorporações:

1.3. Processos de Reestruturação Societária

Na hipótese de operações de fusão, cisão, incorporação, aquisição societária, venda de ativos, investimentos ou reorganizações correlatas envolvendo [RAZÃO SOCIAL OU NOME DO CONTROLADOR], os dados pessoais necessários à continuidade das operações poderão ser transferidos às entidades sucessoras ou aos novos controladores, garantida a manutenção dos níveis de proteção e a observância integral das finalidades e garantias previstas nesta Política.

---

2. Diretrizes e Deveres dos Operadores e Terceiros

Nos termos do art. 39 da Lei nº 13.709/2018, todos os prestadores de serviços e terceiros que tratem dados pessoais em nome e sob as orientações de [RAZÃO SOCIAL OU NOME DO CONTROLADOR] estão contratualmente obrigados a:

• Tratar os dados pessoais recebidos exclusivamente de acordo com as instruções lícitas e específicas repassadas pelo Controlador;
• Adotar medidas técnicas, operacionais e administrativas adequadas para assegurar a confidencialidade, a integridade e a segurança das informações tratadas, impedindo acessos não autorizados ou incidentes de segurança;
• Não utilizar, repassar ou comercializar os dados pessoais recebidos para propósitos próprios, alheios ou incompatíveis com as finalidades estipuladas no respectivo contrato;
• Eliminar, devolver ou anonimizar integralmente os dados pessoais compartilhados ao término da relação contratual ou após o cumprimento da finalidade do tratamento, ressalvadas as hipóteses legais de guarda obrigatória.

Transferência Internacional de Dados

[MANTER APENAS SE APLICÁVEL]

Caso os dados pessoais sejam transferidos para o exterior em decorrência do uso de infraestrutura tecnológica ou ferramentas sediadas fora do Brasil:

1. Hipóteses e Salvaguardas da Transferência Internacional de Dados

[RAZÃO SOCIAL OU NOME DO CONTROLADOR] poderá realizar a transferência internacional de dados pessoais para outros países quando necessária para a execução de suas atividades institucionais, operacionais ou contratuais, especialmente nas seguintes situações:

• Armazenamento, processamento e gestão de arquivos em provedores de infraestrutura de computação em nuvem com servidores físicos localizados no exterior;
• Contratação e operação de softwares, plataformas de produtividade corporativa, ferramentas de gerenciamento de dados (SaaS) ou sistemas de comunicação cujas sedes operacionais ou bancos de dados estejam situados fora do território nacional;
• Cumprimento de obrigações legais, regulatórias ou atendimento a requisições de cooperação jurídica internacional emitidas por autoridades públicas competentes.

Toda e qualquer transferência internacional de dados pessoais observará estritamente os requisitos, diretrizes e salvaguardas estabelecidos na legislação federal aplicável e na regulamentação da autoridade competente, mediante a adoção cumulativa ou alternativa dos seguintes mecanismos:

• Realização de transferências para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais equivalente ou compatível com a legislação brasileira;
• Celebração de instrumentos jurídicos dotados de cláusulas contratuais padrão, cláusulas contratuais específicas ou normas corporativas globais que assegurem níveis adequados de privacidade, confidencialidade e segurança da informação;
• Exigência de que os agentes de tratamento e operadores sediados no exterior implementem medidas técnicas e organizacionais de segurança compatíveis com os padrões exigidos por [RAZÃO SOCIAL OU NOME DO CONTROLADOR].

---

[MANTER APENAS SE APLICÁVEL]

Caso não ocorra nenhuma transferência internacional e todos os dados sejam tratados exclusivamente em território nacional:

2. Tratamento e Armazenamento Exclusivo no Território Nacional

[RAZÃO SOCIAL OU NOME DO CONTROLADOR] declara formalmente que todos os dados pessoais coletados são armazenados e tratados exclusivamente em servidores, centros de processamento e infraestruturas tecnológicas localizados no território brasileiro, inexistindo transferência, envio ou compartilhamento de informações para jurisdições estrangeiras.

Retenção, Armazenamento e Descarte de Dados

1. Critérios e Prazos de Retenção dos Dados Pessoais

Os dados pessoais coletados por [RAZÃO SOCIAL OU NOME DO CONTROLADOR] serão armazenados e mantidos sob tratamento estritamente pelo período necessário para o atingimento das finalidades informadas nesta Política, em observância aos princípios da finalidade, da adequação e da necessidade estabelecidos no art. 6º, I, II e III, da Lei nº 13.709/2018.

A definição dos prazos de guarda e retenção observará os seguintes parâmetros e hipóteses:

1.1. Vigência da Relação Contratual ou Institucional

Os dados pessoais serão conservados de forma contínua e ativa enquanto perdurar o vínculo contratual, a prestação de serviços, o fornecimento de produtos ou o relacionamento institucional mantido entre o titular e [RAZÃO SOCIAL OU NOME DO CONTROLADOR].

1.2. Cumprimento de Obrigações Legais ou Regulatórias

Encerrada a relação principal ou atingida a finalidade imediata do tratamento, os dados pessoais serão conservados pelos prazos fixados pela legislação federal e por regulamentações setoriais aplicáveis, abrangendo, entre outros:

• Dados fiscais, contábeis e financeiros necessários à comprovação de operações perante a administração tributária e órgãos de controle;
• Registros de conexão e de acesso a aplicações de internet, mantidos sob sigilo e em ambiente controlado pelo prazo determinado pela legislação federal aplicável;
• Documentos de natureza trabalhista, previdenciária e comercial necessários ao atendimento de exigências fiscalizatórias.

1.3. Exercício Regular de Direitos em Processos Judiciais, Administrativos ou Arbitrais

[RAZÃO SOCIAL OU NOME DO CONTROLADOR] reserva-se o direito de reter os dados pessoais estritamente necessários para viabilizar a defesa de seus interesses jurídicos ou a propositura de demandas judiciais, administrativas ou arbitrais, mantendo a guarda das informações durante os prazos prescricionais ou decadenciais previstos na legislação federal de regência.

1.4. Tratamento Fundamentado em Consentimento

Nas hipóteses em que o tratamento estiver lastreado exclusivamente no consentimento do titular, os dados serão tratados até a manifestação formal de revogação pelo titular, ressalvada a necessidade de manutenção das informações com amparo em outra base legal autorizadora prevista no art. 7º da Lei nº 13.709/2018.

---

2. Formas de Armazenamento

Os dados pessoais tratados são mantidos em ambientes seguros, organizados e dotados de controles de acesso restrito, podendo estar alocados em:

• Servidores próprios ou infraestrutura física de armazenamento de [RAZÃO SOCIAL OU NOME DO CONTROLADOR];
• Ambientes virtuais e centros de processamento de computação em nuvem operados por provedores especializados contratados, que cumpram os padrões e salvaguardas de segurança da informação exigidos.

---

3. Procedimentos de Descarte e Eliminação Segura

Constatado o término do tratamento decorrente do alcance das finalidades, do decurso dos prazos de guarda legal, do encerramento da vigência de vínculos contratuais ou do acolhimento de requisição de exclusão apresentada pelo titular, [RAZÃO SOCIAL OU NOME DO CONTROLADOR] procederá à destinação final das informações por meio de uma das seguintes medidas:

3.1. Eliminação Definitiva

Exclusão física ou lógica e irreversível dos dados pessoais de todos os bancos de dados, servidores, sistemas informatizados e cópias de segurança mantidos pelo Controlador e por seus operadores, impedindo qualquer forma de recuperação ou reconstituição do dado.

3.2. Anonimização Irreversível

Aplicação de técnicas e procedimentos técnicos pelos quais os dados pessoais perdem definitivamente a possibilidade de associação, direta ou indireta, a um indivíduo determinado, tornando inviável a sua reidentificação por meios razoáveis e disponíveis, hipótese em que as informações despersonalizadas poderão ser mantidas para estudos internos e fins estatísticos.

3.3. Bloqueio Temporário

Suspensão temporária de qualquer operação de tratamento sobre o dado pessoal, mantendo-se a guarda do registro de forma restrita, isolada e inacessível para as operações rotineiras, exclusivamente até que se ultimem os prazos de retenção legalmente admitidos ou necessários à resolução de pendência específica.

Medidas de Segurança da Informação

1. Compromisso com a Segurança da Informação

Em cumprimento ao disposto no art. 46 da Lei nº 13.709/2018, [RAZÃO SOCIAL OU NOME DO CONTROLADOR] adota medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

---

2. Medidas Técnicas de Proteção

As salvaguardas técnicas implementadas para garantir a integridade, confidencialidade e disponibilidade dos dados pessoais abrangem:

2.1. Criptografia de Dados

• Emprego de protocolos criptográficos avançados para a proteção de dados em trânsito entre o dispositivo do usuário e os servidores, mediante a utilização obrigatória do protocolo HTTPS com certificados de segurança e camada de transporte segura (TLS);
• Criptografia de bancos de dados, arquivos e volumes de armazenamento de dados pessoais em repouso, resguardando o sigilo das informações armazenadas.

2.2. Controle de Acesso Lógico e Autenticação

• Implementação do princípio do privilégio mínimo, assegurando que apenas colaboradores e prestadores de serviços estritamente autorizados e que possuam necessidade operacional tenham acesso às bases de dados;
• Uso de mecanismos robustos de autenticação, incluindo credenciais individuais e intransferíveis, políticas rígidas de complexidade e renovação periódica de senhas, além de autenticação de múltiplos fatores para acessos a ambientes críticos e administrativos;
• Registro e monitoramento contínuo de logs de auditoria para rastrear acessos, modificações e operações realizadas nos sistemas informatizados.

2.3. Segurança de Rede e Infraestrutura

• Instalação e manutenção periódica de barreiras de proteção de rede (firewalls), sistemas de prevenção e detecção de intrusões, antivírus e ferramentas contra softwares maliciosos nos pontos de conexão e estações de trabalho;
• Execução de rotinas sistemáticas de cópias de segurança (backups) periódicas e redundantes, com armazenamento seguro para permitir a rápida recuperação da integridade e disponibilidade dos dados em situações de falha ou desastre;
• Aplicação contínua de atualizações, correções de vulnerabilidades e testes periódicos de segurança nas aplicações e infraestruturas utilizadas.

---

3. Medidas Administrativas e Organizacionais

Além dos recursos tecnológicos, [RAZÃO SOCIAL OU NOME DO CONTROLADOR] desenvolve práticas de governança interna voltadas à conformidade com a privacidade e à segurança da informação:

• Instituição de Política Interna de Segurança da Informação e Código de Conduta vinculantes para todos os colaboradores e prestadores de serviços;
• Celebração de termos formais de confidencialidade e responsabilidade com empregados, parceiros comerciais e prestadores de serviços que tenham acesso a dados pessoais;
• Realização de programas regulares de capacitação, conscientização e treinamento da equipe acerca das melhores práticas de privacidade, governança e proteção de dados pessoais;
• Limitação e controle rigoroso do acesso físico às instalações, salas de servidores, arquivos físicos e centros de processamento de dados.

---

4. Limitações de Segurança e Responsabilidade

Nenhum ambiente digital é totalmente imune a falhas ou ataques externos, mesmo com a adoção das melhores práticas de segurança disponíveis.

O titular de dados também é responsável pela segurança de suas credenciais, devendo manter em sigilo seus nomes de usuário, senhas e códigos de validação, evitando o uso de senhas óbvias, o compartilhamento de acessos com terceiros ou a utilização de redes públicas e dispositivos não confiáveis para acessar os serviços disponibilizados.

---

5. Gestão de Incidentes de Segurança

[RAZÃO SOCIAL OU NOME DO CONTROLADOR] possui procedimentos estruturados para a detecção, contenção, mitigação e resposta rápida a potenciais incidentes de segurança que envolvam dados pessoais.

Na ocorrência de qualquer incidente de segurança que possa acarretar risco ou dano relevante aos direitos e liberdades dos titulares, [RAZÃO SOCIAL OU NOME DO CONTROLADOR] adotará as seguintes providências:

• Adoção imediata de medidas técnicas e operacionais para conter o incidente, eliminar a vulnerabilidade e mitigar seus efeitos;
• Comunicação formal à Autoridade Nacional de Proteção de Dados (ANPD) em prazo razoável, prestando as informações técnicas exigidas pela regulamentação vigente;
• Comunicação direta aos titulares de dados afetados, contendo a descrição da natureza dos dados pessoais impactados, os riscos identificados, as medidas já implementadas para reverter ou atenuar o prejuízo e as orientações para que os titulares protejam seus próprios dados e minimizem eventuais impactos.

Direitos dos Titulares e Como Exercê-Los

1. Direitos Assegurados aos Titulares de Dados

Em conformidade com o disposto no art. 18 da Lei nº 13.709/2018, o titular de dados pessoais tem o direito de obter de [RAZÃO SOCIAL OU NOME DO CONTROLADOR], a qualquer momento e mediante requisição formal, as seguintes providências relativas ao tratamento de seus dados:

1.1. Confirmação da Existência de Tratamento

Direito de obter a confirmação expressa sobre a realização ou não de operações de tratamento de dados pessoais de sua titularidade pelo Controlador.

1.2. Acesso aos Dados

Direito de acessar, de forma facilitada e transparente, os dados pessoais mantidos por [RAZÃO SOCIAL OU NOME DO CONTROLADOR], bem como de receber informações detalhadas sobre a origem dos dados, as finalidades do tratamento e os critérios utilizados.

1.3. Correção de Dados

Direito de solicitar a imediata correção, atualização ou complementação de dados pessoais que estejam incompletos, inexatos ou desatualizados.

1.4. Anonimização, Bloqueio ou Eliminação de Dados Inadequados

Direito de requerer a anonimização, o bloqueio temporário ou a eliminação definitiva de dados pessoais que sejam comprovadamente desnecessários, excessivos em relação às finalidades declaradas ou que tenham sido tratados em desconformidade com a legislação federal aplicável.

1.5. Portabilidade dos Dados

Direito de solicitar a transferência dos dados pessoais a outro fornecedor de serviço ou produto, mediante requisição expressa, observada a regulamentação emitida pela autoridade nacional competente e resguardados os segredos comercial e industrial de [RAZÃO SOCIAL OU NOME DO CONTROLADOR].

1.6. Eliminação dos Dados Tratados com Consentimento

Direito de requerer a exclusão definitiva dos dados pessoais cuja operação de tratamento tenha sido fundamentada exclusivamente no consentimento do titular, ressalvadas as hipóteses legais de conservação e guarda obrigatória para cumprimento de obrigação legal ou regulatória, estudo por órgão de pesquisa ou uso exclusivo do Controlador nos termos da lei.

1.7. Informação sobre Compartilhamento de Dados

Direito de receber informações claras sobre as entidades públicas e privadas com as quais [RAZÃO SOCIAL OU NOME DO CONTROLADOR] realizou o uso compartilhado de dados pessoais.

1.8. Informação sobre a Recusa do Consentimento

Direito de ser plenamente informado sobre a possibilidade de não fornecer o consentimento para determinado tratamento, bem como sobre as consequências específicas dessa recusa na utilização dos produtos, plataformas ou serviços disponibilizados.

1.9. Revogação do Consentimento

Direito de revogar a qualquer momento, mediante manifestação expressa e gratuita, o consentimento previamente outorgado, permanecendo válidos os tratamentos de dados realizados com base nesse consentimento até a data do requerimento de revogação.

---

2. Procedimento para o Exercício dos Direitos

O exercício dos direitos conferidos pela legislação federal poderá ser realizado diretamente pelo titular ou por seu representante legal legalmente constituído, observando-se as seguintes etapas:

2.1. Canal de Atendimento

As requisições deverão ser direcionadas formalmente ao Encarregado pelo Tratamento de Dados Pessoais (DPO), por meio do seguinte canal:

• E-mail institucional de contato: [E-MAIL INSTITUCIONAL DO CONTROLADOR]
• Endereço físico para correspondência: [ENDEREÇO COMPLETO DO CONTROLADOR]

2.2. Validação Prévia da Identidade do Solicitante

Com o objetivo de proteger a privacidade dos titulares e impedir o acesso indevido ou fraudulento de terceiros a dados pessoais, [RAZÃO SOCIAL OU NOME DO CONTROLADOR] exigirá do solicitante a apresentação de documentos e informações complementares estritamente necessários para a comprovação inequívoca de sua identidade ou dos poderes de representação legal.

2.3. Prazos e Formatos de Resposta

Nos termos do art. 19 da Lei nº 13.709/2018, as requisições formuladas pelos titulares serão atendidas de acordo com as seguintes modalidades e prazos:

• Formato simplificado: prestação de confirmação de existência de tratamento ou consulta simplificada aos dados fornecida imediatamente ao titular;
• Declaração clara e completa: fornecimento de relatório detalhado que indique a origem dos dados, a finalidade do tratamento, a inexistência de registros quando for o caso e os critérios operacionais adotados, disponibilizado no prazo de até 15 (quinze) dias, contado a partir da data de recebimento do requerimento do titular devidamente identificado.

As respostas às solicitações serão transmitidas ao titular por meio eletrônico seguro ou, caso expressamente requerido, por meio impresso, de forma gratuita e transparente.

2.4. Hipóteses de Impossibilidade de Atendimento Imediato

Caso [RAZÃO SOCIAL OU NOME DO CONTROLADOR] não seja o agente de tratamento dos dados objeto do pedido, indicará ao solicitante, sempre que estiver ao seu alcance, o respectivo agente responsável.

Na hipótese em que a requisição de eliminação, bloqueio ou alteração de dados pessoais não puder ser atendida em virtude do cumprimento de dever legal, regulatório, contratual ou para o exercício regular de direitos em processos, o Controlador apresentará formalmente ao titular as razões de fato e de direito que impedem a adoção imediata da medida pleiteada.

Identificação e Canal do Encarregado de Dados (Dpo)

1. Identificação do Encarregado pelo Tratamento de Dados Pessoais

Em cumprimento ao disposto no art. 41 da Lei nº 13.709/2018, [RAZÃO SOCIAL OU NOME DO CONTROLADOR] nomeou formalmente o seu Encarregado pelo Tratamento de Dados Pessoais (Data Protection Officer – DPO), cuja qualificação segue abaixo:

• Nome / Razão Social do Encarregado: [NOME OU RAZÃO SOCIAL DO ENCARREGADO DE DADOS DPO]
• Tipo de Atuação: [ENCARREGADO INTERNO / ENCARREGADO TERCEIRIZADO]

---

2. Canais Exclusivos de Atendimento e Comunicação

O titular de dados pessoais e os órgãos fiscalizadores dispõem dos seguintes canais dedicados para contato direto com o Encarregado de Dados:

• E-mail institucional exclusivo do DPO: [E-MAIL DO ENCARREGADO DE DADOS DPO]
• Endereço físico para correspondência: [ENDEREÇO COMPLETO DO CONTROLADOR]

[MANTER APENAS SE APLICÁVEL]

Caso o Controlador disponibilize formulário eletrônico específico para requisições de privacidade:

• Formulário eletrônico de privacidade: [SÍTIO ELETRÔNICO DO FORMULÁRIO DE ATENDIMENTO AO TITULAR]

---

3. Atribuições e Competências do Encarregado

O Encarregado pelo Tratamento de Dados Pessoais atua como o canal de comunicação oficial entre [RAZÃO SOCIAL OU NOME DO CONTROLADOR], os titulares de dados pessoais e a Autoridade Nacional de Proteção de Dados (ANPD).

Compete privativamente ao Encarregado de Dados:

• Receber reclamações, requerimentos e comunicações formuladas pelos titulares de dados pessoais, prestar os esclarecimentos necessários e adotar as providências operacionais para o efetivo exercício de seus direitos;
• Receber notificações, requerimentos e comunicações encaminhadas pela Autoridade Nacional de Proteção de Dados (ANPD), adotando as medidas cabíveis e prestando as informações requisitadas;
• Orientar os funcionários, contratados e parceiros de [RAZÃO SOCIAL OU NOME DO CONTROLADOR] sobre as diretrizes, medidas e boas práticas a serem observadas para a garantia da proteção de dados pessoais e cumprimento da legislação federal;
• Executar as demais atribuições determinadas pelo Controlador ou estabelecidas em normas complementares expedidas pela autoridade competente.

Atualizações e Alterações Desta Política

1. Direito e Frequência de Atualização

[RAZÃO SOCIAL OU NOME DO CONTROLADOR] reserva-se o direito de revisar, modificar e atualizar o conteúdo desta Política de Privacidade a qualquer momento, periodicamente, a seu exclusivo critério, com a finalidade de refletir:

• Modificações na legislação federal, normas regulamentares ou diretrizes emitidas pela Autoridade Nacional de Proteção de Dados (ANPD);
• Alterações nos processos internos operacionais, tecnológicos, de segurança ou de governança corporativa;
• Inclusão, alteração ou descontinuação de produtos, serviços, plataformas ou funcionalidades oferecidas aos titulares.

A versão em vigor desta Política de Privacidade será sempre a mais recente disponibilizada nos canais oficiais de [RAZÃO SOCIAL OU NOME DO CONTROLADOR], constando expressamente no cabeçalho deste documento a data de sua última atualização e o respectivo número de versão.

---

2. Notificação e Comunicação de Alterações Relevantes

Sempre que forem implementadas alterações substanciais que modifiquem as finalidades do tratamento, as categorias de dados coletados, a forma de compartilhamento com terceiros ou a forma de exercício dos direitos pelos titulares, [RAZÃO SOCIAL OU NOME DO CONTROLADOR] adotará esforços razoáveis para comunicar os titulares afetados por meio de aviso ostensivo e destacado antes que as alterações entrem em vigor.

Os meios utilizados para a comunicação de alterações materiais incluirão:

• Publicação de aviso em destaque em [SÍTIO ELETRÔNICO DO CONTROLADOR];
• Envio de notificação eletrônica direta para o endereço de e-mail cadastrado pelo titular, quando disponível;

[MANTER APENAS SE APLICÁVEL]

Caso os serviços incluam acesso por conta ou login de usuário:

• Exibição de aviso específico e solicitação de confirmação de leitura no primeiro acesso ou login efetuado pelo titular após a publicação da nova versão da política.

Na hipótese em que as alterações na Política de Privacidade implicarem mudanças operacionais cujo tratamento dependa de consentimento específico do titular, [RAZÃO SOCIAL OU NOME DO CONTROLADOR] solicitará previamente a renovação formal da respectiva autorização, sendo assegurado ao titular o direito de revogar ou não fornecer tal consentimento.

---

3. Recomendação de Consulta Periódica e Vigência

Recomenda-se que o titular consulte periodicamente esta Política de Privacidade para se manter informado acerca das práticas vigentes de proteção e tratamento de dados pessoais aplicadas por [RAZÃO SOCIAL OU NOME DO CONTROLADOR].

Todas as alterações entrarão em vigor imediatamente na data de sua publicação em [SÍTIO ELETRÔNICO DO CONTROLADOR], salvo estipulação em sentido contrário constante expressamente do próprio aviso de atualização. A continuidade no acesso, navegação ou utilização dos serviços, produtos e plataformas fornecidos por [RAZÃO SOCIAL OU NOME DO CONTROLADOR] após a publicação de modificações importa na plena ciência dos novos termos da Política de Privacidade pelo titular.

Legislação Aplicável e Foro

1. Legislação Aplicável

O presente documento, bem como todas as operações de tratamento de dados pessoais realizadas por [RAZÃO SOCIAL OU NOME DO CONTROLADOR], é regido, interpretado e executado em estrita conformidade com a legislação da República Federativa do Brasil, em especial com a Lei Federal nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD) e as demais normas federais pertinentes à privacidade e proteção de dados.

---

2. Solução Amigável de Controvérsias

Eventuais dúvidas, reclamações, conflitos ou controvérsias decorrentes da aplicação, vigência ou interpretação desta Política de Privacidade deverão ser prioritariamente encaminhados ao canal oficial de comunicação do Encarregado pelo Tratamento de Dados Pessoais de [RAZÃO SOCIAL OU NOME DO CONTROLADOR], visando à solução consensual e extrajudicial da demanda.

---

3. Eleição de Foro

Fica eleito o foro da Comarca de [CIDADE]/[UF] para dirimir quaisquer disputas, litígios ou demandas judiciais oriundos desta Política de Privacidade, com expressa renúncia a qualquer outro foro, por mais privilegiado que seja.

[MANTER APENAS SE APLICÁVEL]

Caso a relação estabelecida entre o titular dos dados e o Controlador configure relação de consumo:

• Fica assegurado ao titular de dados o direito de ajuizar eventuais ações perante o foro de seu domicílio, em conformidade com as normas federais de ordem pública e proteção ao consumidor.