Políticas RH Senior

Política e Plano de Resposta a Incidentes com Dados Pessoais

1. Objetivo

Estabelecer diretrizes e procedimentos claros para a identificação, notificação, contenção, mitigação e prevenção de incidentes de segurança envolvendo dados pessoais, visando o cumprimento da LGPD e a preservação da privacidade dos titulares.

2. Abrangência

Aplica-se a todos os colaboradores, prestadores de serviço e terceiros que tratem dados pessoais em nome da empresa.

3. Definições

• Incidente de segurança com dados pessoais: Evento adverso confirmado ou sob suspeita que comprometa a confidencialidade, integridade ou disponibilidade de dados pessoais.
• Controlador: Quem toma as decisões sobre o tratamento dos dados.
• Operador: Quem realiza o tratamento em nome do controlador.
• Titular: Pessoa a quem se referem os dados pessoais.

4. Responsabilidades

• DPO / Encarregado de Dados: Coordenar a resposta ao incidente, avaliar impacto, reportar à ANPD e ao titular, quando necessário.
• TI e Segurança da Informação: Identificar, conter, registrar e mitigar o incidente.
• Jurídico: Avaliar implicações legais e orientar ações corretivas.
• Comitê de Incidentes (se aplicável): Apoiar decisões críticas e assegurar comunicação entre áreas.

5. Etapas do Plano de Resposta

Etapa 1 – Identificação

• Detectar indícios de incidente por meio de alertas, auditorias, denúncias ou sistemas automatizados.
• Registrar data, hora, sistema afetado, tipo de dado envolvido e partes impactadas.

Etapa 2 – Contenção

• Isolar sistemas comprometidos.
• Restringir acessos.
• Ativar plano de continuidade, se necessário.

Etapa 3 – Avaliação

• Classificar a gravidade e o tipo de dado pessoal envolvido (sensível ou não).
• Avaliar a extensão do vazamento ou perda.
• Verificar riscos ao titular.

Etapa 4 – Comunicação

• Notificar a ANPD em até 2 dias úteis, se houver risco ou dano relevante aos titulares.
• Comunicar os titulares afetados com linguagem clara, indicando:
  • Natureza dos dados afetados
  • Riscos envolvidos
  • Medidas adotadas
  • Canal de contato com a empresa

Etapa 5 – Mitigação

• Corrigir vulnerabilidades.
• Reestabelecer a segurança do ambiente.
• Fornecer suporte ao titular.

Etapa 6 – Aprendizado e Prevenção

• Analisar causas raiz.
• Atualizar políticas, treinamentos e controles.
• Elaborar relatório pós-incidente.

6. Registro de Incidentes

Todos os incidentes devem ser documentados com:

• Data e hora da ocorrência
• Equipes envolvidas
• Ações tomadas
• Avaliação de impacto
• Comunicação realizada
• Lições aprendidas

7. Treinamento e Simulados

A empresa realizará treinamentos anuais e simulados periódicos com as equipes-chave para garantir a prontidão em caso de incidentes.

8. Revisão

Esta política será revisada anualmente ou sempre que houver mudanças significativas nos processos ou legislação aplicável.

Última atualização: 10 de junho de 2025.