POLÍTICA DE SEGURANÇA DA INFORMAÇÃO E PRIVACIDADE

OBJETIVO
A CARE estabelece sua Política de Segurança da Informação e Privacidade, como parte integrante do seu sistema de gestão corporativo, alinhada às boas práticas do mercado, às normas ISO/IEC 27001:2022 e ISO/IEC 27701:2019, e à legislação brasileira pertinente — em especial a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018) —, com o objetivo de garantir níveis adequados de proteção às informações e dados pessoais operados pela organização, de seus clientes e colaboradores sob sua responsabilidade.

PROPÓSITO
Esta política tem por propósito:
- Estabelecer diretrizes e normas de Segurança da Informação e Privacidade que permitam aos colaboradores da CARE adotarem padrões de comportamento seguro;
- Orientar quanto à adoção de controles e processos para atendimento dos requisitos de Segurança da Informação e Privacidade dos Dados Pessoais;
- Resguardar as informações da CARE, garantindo os requisitos básicos de confidencialidade, integridade e disponibilidade;
- Prevenir possíveis incidentes e responsabilidade legal envolvendo a instituição, colaboradores, clientes, fornecedores e parceiros;
- Minimizar os riscos de perdas financeiras, de mercado, de confiança de clientes ou outros impactos negativos no negócio como resultado de falhas de segurança.

ESCOPO DO SGSI
Esta política aplica-se a todos os processos, sistemas, ambientes e partes que compõem o Sistema de Gestão de Segurança da Informação e Privacidade (SGSIP) da CARE, compreendendo:
- Limites organizacionais: todas as áreas, departamentos, colaboradores, estagiários e prestadores de serviço da CARE que acessem informações ou sistemas corporativos;
- Limites físicos e lógicos: escritórios, ambientes de nuvem, sistemas de informação, plataformas SaaS, infraestrutura de rede e repositórios de dados sob gestão ou custódia da CARE;
- Interfaces externas: integrações com sistemas de clientes, fornecedores e parceiros que envolvam o processamento, transmissão ou armazenamento de informações ou dados pessoais;
- Dados pessoais tratados: dados de colaboradores, clientes, usuários finais e demais titulares cujo tratamento seja realizado pela CARE na condição de controladora ou operadora, nos termos da LGPD.
Eventuais exclusões de escopo deverão ser formalmente justificadas e aprovadas pelo Comitê Gestor de Segurança da Informação (CGSIP).

APLICABILIDADE DA POLÍTICA
Esta política se aplica a todos os colaboradores, fornecedores e parceiros da CARE que possuem acesso às informações e dados pessoais da CARE e/ou fazem uso de recursos computacionais compreendidos na infraestrutura interna.
É Política da CARE:
- Elaborar, implantar e seguir políticas, normas e procedimentos de segurança da informação, garantindo confidencialidade, integridade e disponibilidade das informações;
- Disponibilizar políticas, normas e procedimentos de segurança a colaboradores, terceiros contratados, fornecedores e, onde pertinente, clientes;
- Garantir a educação e a conscientização sobre as práticas de segurança da informação e privacidade de dados para todas as partes envolvidas;
- Atender integralmente os requisitos de segurança da informação e privacidade dos dados pessoais aplicáveis por regulamentações, leis e cláusulas contratuais;
- Tratar integralmente incidentes de segurança, garantindo registro, classificação, investigação, correção, documentação e comunicação às autoridades quando necessário;
- Garantir a continuidade do negócio por meio da adoção, implantação, teste e melhoria contínua de planos de continuidade e recuperação de desastres;
- Melhorar continuamente a Gestão de Segurança da Informação e Privacidade por meio da definição e revisão sistemática de objetivos em todos os níveis da organização.

GESTÃO DE RISCOS DE SEGURANÇA DA INFORMAÇÃO
A CARE adota um processo sistemático e documentado de gestão de riscos de segurança da informação, aplicável a todos os ativos de informação no escopo do SGSI, com base pelas diretrizes da ISO/IEC 27001:2022 (cláusula 6.1).

Processo de Avaliação de Riscos
O processo de avaliação de riscos deve:
- Identificar os riscos de segurança da informação associados à perda de confidencialidade, integridade e disponibilidade das informações;
- Avaliar os riscos com base em critérios de probabilidade de ocorrência e impacto potencial ao negócio;
- Ser revisado, inclusive quando ocorrerem mudanças relevantes no ambiente tecnológico, organizacional ou regulatório.

Critérios de Aceitação de Riscos
O CGSI é responsável por definir e aprovar os critérios de aceitação de riscos, estabelecendo o apetite ao risco da organização. Riscos que superem o nível aceitável devem ser submetidos a um Plano de Tratamento de Riscos (PTR), com ações, responsáveis e prazos definidos.

Tratamento de Riscos
Para cada risco identificado acima do nível aceitável, a CARE deverá selecionar uma das seguintes opções de tratamento:
- Modificar o risco: implementar controles para reduzir probabilidade ou impacto;
- Reter o risco: aceitar formalmente o risco dentro dos critérios aprovados pelo CGSI;
- Transferir o risco: compartilhar o risco com terceiros (ex.: seguros, contratos);
- Evitar o risco: descontinuar a atividade ou processo que origina o risco.

PAPÉIS E RESPONSABILIDADES

Comitê Gestor de Segurança da Informação e Privacidade — CGSIP
Fica constituído o Comitê Gestor de Segurança da Informação e Privacidade — CGSI, contando com a participação de, pelo menos, um Diretor de Tecnologia, um Gerente de Tecnologia da Informação e pelo menos dois membros com conhecimento em tecnologia da informação, tanto com suporte a infraestrutura quanto com sistemas.
É responsabilidade do CGSI:
- Analisar, revisar e propor a aprovação de políticas e normas relacionadas à segurança da informação;
- Garantir a disponibilidade dos recursos necessários para uma efetiva Gestão de Segurança da Informação;
- Garantir que as atividades de segurança da informação e privacidade de dados sejam executadas em conformidade com esta política;
- Promover a divulgação desta política e tomar as ações necessárias para disseminar uma cultura de segurança da informação e privacidade de dados pessoais no ambiente da CARE;
- Definir e revisar periodicamente os critérios de aceitação de riscos e aprovar os Planos de Tratamento de Riscos.

Encarregado de Dados (DPO)
Em atendimento ao art. 41 da LGPD e às diretrizes da ISO/IEC 27701:2019, a CARE designa formalmente um Encarregado de Dados (Data Protection Officer — DPO), responsável por:
- Ser o ponto de contato oficial com a Autoridade Nacional de Proteção de Dados (ANPD) e com os titulares de dados pessoais;
- Orientar colaboradores e terceiros sobre as práticas de proteção de dados pessoais adotadas pela CARE;
- Receber, registrar e encaminhar reclamações e solicitações de titulares de dados;
- Fiscalizar o cumprimento desta política e das normas de privacidade aplicáveis;
- Atuar com independência funcional no exercício de suas atribuições, sem sofrer represálias.
O contato do Encarregado é disponibilizado no site institucional e nos canais internos de comunicação da CARE, conforme exigência do art. 41, §1º, da LGPD.

PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS

Princípios de Privacidade
O tratamento de dados pessoais pela CARE observa os princípios estabelecidos no art. 6º da LGPD, incluindo: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização.

Direitos dos Titulares de Dados
Em conformidade com o art. 18 da LGPD e a ISO/IEC 27701:2019 (seção 7.3), a CARE garante aos titulares de dados pessoais o exercício dos seguintes direitos:
- Confirmação da existência de tratamento de dados pessoais;
- Acesso aos dados pessoais tratados;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
- Portabilidade dos dados a outro fornecedor de serviço ou produto;
- Eliminação dos dados pessoais tratados com o consentimento do titular;
- Informação sobre com quais entidades públicas e privadas o controlador realizou uso compartilhado de dados;
- Revogação do consentimento, nos termos do art. 8º, §5º, da LGPD.
As solicitações dos titulares devem ser respondidas em até 15 (quinze) dias corridos a partir do recebimento, por meio do canal oficial de atendimento disponibilizado pelo Encarregado de Dados.

PRINCÍPIOS DE USO DE IA
Todas as soluções de IA devem ser projetadas e implementadas com mecanismos robustos de segurança para proteger os dados contra acessos não autorizados, vazamentos, modificações indevidas e outros tipo de ataques cibernéticos. Os modelos de IA devem ser treinados e validados de forma a minimizar riscos à integridade e confidencialidade das informações.
O uso de IA deve ser realizado em conformidade com a legislação vigente de proteção de dados, como a LGPD e o Regulamento Geral de Proteção de Dados (GDPR), quando aplicável. O processamento de dados pessoais por IA deve ser feito de forma transparente, garantindo o consentimento adequado dos titulares dos dados, sempre que necessário.

CLASSIFICAÇÃO E TRATAMENTO DE INCIDENTES

Incidentes de Segurança da Informação
Todo incidente de segurança da informação e privacidade deve ser classificado conforme sua criticidade e impacto, e tratado em conformidade com os procedimentos estabelecidos. A comunicação de incidentes críticos deve ser imediata ao CGSIP, e as ações de contenção e mitigação devem ser iniciadas sem demora.

Incidentes com Dados Pessoais — Notificação
Em atendimento ao art. 48 da LGPD e à ISO/IEC 27701:2019 (seção 6.13), todo incidente de segurança que possa acarretar risco ou dano relevante aos titulares de dados pessoais deve seguir o seguinte procedimento de notificação:
- Notificação à ANPD: comunicar à Autoridade Nacional de Proteção de Dados em prazo compatível com a regulamentação vigente, observando o prazo de até 48 (quarenta e oito) horas a partir da ciência do incidente para casos de alto risco;
- Comunicação aos titulares afetados: informar os titulares de dados pessoais impactados, de forma clara e acessível, sobre a natureza do incidente, os dados envolvidos e as medidas adotadas;
- Conteúdo mínimo da notificação: descrição da natureza dos dados afetados, categorias e quantidade estimada de titulares, medidas técnicas e administrativas adotadas para mitigação, dados de contato do Encarregado;
- Registro e documentação: todo incidente envolvendo dados pessoais deve ser registrado com informações completas sobre a ocorrência, impactos e ações tomadas, compondo o histórico de incidentes da CARE.
O Encarregado de Dados é responsável por coordenar a resposta a incidentes com dados pessoais e pela comunicação com a ANPD e os titulares afetados.

SANÇÕES E PUNIÇÕES
As violações desta política ou de outras normas de segurança, ainda que por omissão, serão passíveis de penalidades que variam de advertência verbal a demissão por justa causa para colaboradores CLT, e rescisão imediata de contratos para terceiros ou fornecedores. O CGSI é responsável por analisar cada infração e deliberar sobre as punições.
Em casos de violação que impliquem em atividades ilegais ou danos à organização, o infrator será responsabilizado e sujeito a medidas legais cabíveis. A aplicação de sanções e punições será realizada conforme a análise do CGSI, devendo-se considerar a gravidade da infração, efeito alcançado e recorrência, podendo o CGSI repassar a informação da infração ao Gestor imediato que aplicará a pena quando identificada a falta grave.
No caso de terceiros contratados ou prestadores de serviço, o CGSI deve analisar a ocorrência e deliberar sobre a efetivação das sanções e punições conforme termos previstos em contrato.
Para o caso de violações que impliquem em atividades ilegais, ou que possam incorrer em dano à organização, o infrator será responsabilizado pelos prejuízos, cabendo aplicação das medidas judiciais pertinentes.

CASOS OMISSOS
Os casos omissos serão avaliados pelo Comitê Gestor de Segurança da Informação para posterior deliberação.
As diretrizes estabelecidas nesta política e nas demais normas e procedimentos de segurança não se esgotam em razão da contínua evolução tecnológica e constante surgimento de novas ameaças. Desta forma, não se constitui rol enumerativo, sendo obrigação do usuário da informação da CARE adotar, sempre que possível, outras medidas de segurança além das aqui previstas, com o objetivo de garantir proteção às informações e dados pessoais.

HISTÓRICO DAS ALTERAÇÕES
--------------------------------------------------
Data       | Revisão | Histórico
--------------------------------------------------
18/11/2022 | 01      | Aprovação inicial
22/12/2023 | 02      | Revisão e inclusão do item 5. (utilização de IA responsável)
30/09/2024 | 03      | Revisão de item 5. e inclusão item 6.
02/06/2026 | 04      | Revisão de escopo do SGSI, gestão de riscos, DPO/Encarregado, direitos dos titulares, notificação de incidentes com dados pessoais (pontos críticos ISO 27001 e ISO 27701)
--------------------------------------------------