1. Apresentação

A presente Política de Privacidade e Proteção de Dados Pessoais ("Política") tem como objetivo fornecer orientações sobre como gerenciar as diversas atividades e operações de tratamento de dados pessoais existentes no Grupo Assunção Promotora. Este documento faz parte do programa de compliance do Grupo Assunção à Lei Geral de Proteção de Dados (Lei nº 13.709/2018 – "LGPD") e outras leis setoriais sobre o tema.

O GRUPO ASSUNÇÃO PROMOTORA, consciente da importância e da necessidade de adequar as suas operações de tratamento de dados pessoais a uma nova e ampla regulação sobre o tema, no caso, a LGPD, aprovada em agosto de 2018, deu início, em maio de 2019, ao seu processo de conformidade à nova legislação.

Nota-se que a LGPD é uma lei transversal, que perpassa diferentes agentes econômicos no Brasil, do setor privado, público e do terceiro setor; e oferece as regras e condições para que os dados pessoais possam ser utilizados nas atividades desses agentes.

Na condução das suas atividades, o GRUPO ASSUNÇÃO PROMOTORA realiza diversas operações de tratamento de dados pessoais buscando o melhor interesse dos titulares dos dados pessoais, e respeitando os seus direitos, podendo ser caracterizada como Controladora de Dados Pessoais, Operadora de Dados Pessoais, Controladora e Operadora de Dados Pessoais ou Co-Controladora de Dados Pessoais, de acordo com as definições da LGPD, reforçando, em todas as posições que ocupar, o seu compromisso com o cumprimento das regras de privacidade e proteção de dados pessoais.

O processo de compliance regulatório que culminará no Programa de Conformidade da LGPD envolve um trabalho de interpretação da Lei para definição das obrigações legais, diagnóstico dos fatos pertinentes e relevantes para a sua aplicação e levantamento de fluxos e processos que contribuem ou não para que os fatos estejam de acordo com o documento legal.

2. Definições

3. Escopo

A presente Política estabelece as diretrizes do Grupo Assunção Promotora para resguardo e uso de dados pessoais que venham a ser tratados em suas atividades, tendo como referência a Lei Geral de Proteção de Dados Pessoais, entre outras normas nacionais e internacionais relativas à privacidade e proteção de dados pessoais.

4. Destinatários

Esta Política se aplica:

1. Aos empregados do Grupo Assunção Promotora;
2. A todos os parceiros comerciais, sejam eles pessoas físicas ou jurídicas que atuam para ou em nome do Grupo Assunção Promotora em operações que envolvam tratamento de dados pessoais que sejam realizadas no escopo das atividades conduzidas pelo Grupo Assunção Promotora;
3. Aos agentes de tratamento de dados pessoais externos ao Grupo Assunção Promotora que de qualquer forma se relacionem com o grupo; e
4. Aos titulares de dados pessoais, cujos dados são tratados pelo Grupo Assunção Promotora.

A adesão ao programa de conformidade do Grupo Assunção Promotora às leis de proteção de dados pessoais e aos diplomas normativos dele decorrentes, Programa de Conformidade da LGPD, incluindo a presente Política, é obrigatória a todos os destinatários acima indicados na medida em que se relacionam com o Grupo Assunção Promotora. Todas as operações que envolvam tratamento de dados pessoais que sejam realizadas no escopo das atividades conduzidas pelo Grupo Assunção Promotora estão sujeitas a tais regras.

5. Aplicabilidade

Esta Política estabelece diretrizes e regras para garantir que seus destinatários entendam e cumpram as legislações que versam sobre proteção de dados pessoais em todas as interações com atuais e futuros titulares de dados pessoais, parceiros e agentes de tratamento de dados pessoais externos ao Grupo Assunção Promotora no âmbito de suas atividades.

Para além dos conceitos definidos pelas normas que versam sobre privacidade e proteção de dados pessoais, as informações abarcadas pela presente Política incluem todos os dados detidos, usados ou transmitidos pela ou em nome do Grupo Assunção Promotora, em qualquer tipo de mídia. Isso inclui dados pessoais registrados em papel, mantidos em sistemas de computador ou dispositivos portáteis, bem como dados pessoais transmitidos eletronicamente.

6. Objetivos

São objetivos da Política de Privacidade e Proteção de Dados Pessoais do Grupo Assunção Promotora:

• Estabelecer as diretrizes e responsabilidades do Grupo Assunção Promotora que assegurem e reforcem o compromisso do grupo com o cumprimento das legislações de proteção de dados pessoais aplicáveis;
• Descrever as regras a serem seguidas na condução das atividades e operações de tratamento de dados pessoais realizadas pelo Grupo Assunção Promotora e pelos destinatários desta Política, no âmbito das atividades do Grupo Assunção Promotora, que garantem a sua conformidade com as legislações de proteção de dados pessoais aplicáveis e, em especial, com a LGPD.

A presente Política deve ser lida em conjunto com as obrigações previstas nos documentos abaixo relacionados, que versam sobre informações em geral, e a complementam quando aplicável:

1. Contratos de trabalho dos empregados do Grupo Assunção Promotora e outros documentos comparáveis, que dispõem sobre obrigações de confidencialidade em relação às informações mantidas pela Instituição;
2. Contrato de Prestação de serviços de parceria em prospecção de propostas para intermediação de serviços financeiros;
3. Políticas e normas de procedimentos de segurança da informação, bem como termos e condições de uso, que tratem sobre confidencialidade, integridade e disponibilidade das informações do Grupo Assunção Promotora;
4. Todas as normas internas a respeito da proteção de dados pessoais que vierem a ser elaboradas e atualizadas, de tempos em tempos.

7. Princípios de Privacidade e Proteção de Dados Pessoais

O Grupo Assunção Promotora cumprirá com os seguintes princípios de proteção de dados pessoais quando do tratamento de dados pessoais:

8. Bases Legais para o Tratamento de Dados Pessoais

Todas as operações de tratamento de dados pessoais no âmbito das atividades conduzidas pelo Grupo Assunção Promotora terão uma base legal que legitime a sua realização, com estipulação da finalidade e designação dos responsáveis pelo tratamento.

O Grupo Assunção Promotora assume como compromisso institucional a avaliação periódica das finalidades de suas operações de tratamento, considerando o contexto em que estas operações se inserem, os riscos e benefícios que podem ser gerados ao titular de dados pessoais, e o legítimo interesse da Instituição.

A realização de operações de tratamento de dados pessoais pelo Grupo Assunção Promotora poderá ser realizada:

1. Mediante o fornecimento de consentimento pelo titular de dados pessoais;
2. Para o cumprimento de obrigação legal ou regulatória;
3. Para a realização de estudos por órgão de pesquisa;
4. Quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular de dados pessoais;
5. Para o exercício regular de direitos em processo judicial, administrativo ou arbitral;
6. Para a proteção da vida ou da incolumidade física do titular de dados pessoais ou de terceiro;
7. Para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
8. Quando necessário para atender aos interesses legítimos da Grupo Assunção Promotora ou de terceiros;
9. Para a proteção do crédito.

O Grupo Assunção Promotora realizará registros de suas operações de tratamento a partir de categorias de tratamento, cada uma delas descritas a partir de sua(s) finalidade(s), servindo de auxílio e suporte para a sua avaliação periódica sobre conformidade com o quadro regulatório da proteção de dados pessoais.

Os registros das operações de tratamento de dados pessoais poderão ser consultados pelo titular dos dados pessoais, bem como por autoridades públicas competentes para o acesso e retenção dos dados em seu nome, resguardados os direitos do titular de dados pessoais.

9. Bases Legais para o Tratamento de Dados Pessoais Sensíveis

O Grupo Assunção Promotora reconhece que o tratamento de dados pessoais sensíveis representa riscos mais altos ao titular de dados pessoais e por esta razão a Instituição assume o compromisso de resguardo e cuidados especiais frente ao tratamento de dados pessoais sensíveis.

Este compromisso incorpora os dados pessoais sensíveis enumerados no art. 5º, inciso II da LGPD, bem como os dados financeiros que, para os fins desta Política e do Programa de Conformidade da LGPD do Grupo Assunção Promotora, terão o mesmo status que os dados pessoais sensíveis.

Os dados pessoais de crianças e adolescentes serão tratados com o mesmo nível de cuidado exigido e oferecido aos dados pessoais sensíveis, mas também estarão sujeitos às disposições próprias estabelecidas no Capítulo II, Seção III, da LGPD, e outras normas específicas.

A realização de operações de tratamento de dados pessoais sensíveis pelo Grupo Assunção Promotora somente poderá ser realizada:

1. Quando o titular de dados pessoais ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas;
2. Sem fornecimento de consentimento do titular de dados pessoais, nos casos em que o tratamento for indispensável para:
   1. O cumprimento de obrigação legal ou regulatória pelo Grupo Assunção Promotora;
   2. A realização de estudos quando o Grupo Assunção Promotora estiver na posição de Órgão de Pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais sensíveis;
   3. O exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral;
   4. Proteção da vida ou da incolumidade física do titular de dados pessoais ou de terceiros;
   5. Tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou
   6. Garantia da prevenção à fraude e à segurança do titular de dados pessoais, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos.

10. Direito dos Titulares de Dados Pessoais

O Grupo Assunção Promotora, no contexto das suas atividades de tratamento de dados pessoais, reforça o seu compromisso de respeito aos direitos dos titulares de dados pessoais, quais sejam:

• Direito à Confirmação da Existência do Tratamento: o titular de dados pessoais pode questionar, junto ao Grupo Assunção Promotora, se há a realização de operações de tratamento relativos a dados pessoais seus;
• Direito de Acesso: o titular de dados pessoais pode solicitar e receber uma cópia de todos os dados pessoais coletados e armazenados;
• Direito de Correção: o titular de dados pessoais pode requisitar a correção de dados pessoais que estejam incompletos, inexatos ou desatualizados;
• Direito de Eliminação: o titular de dados pessoais pode requisitar a exclusão de seus dados pessoais de bancos de dados geridos pelo Grupo Assunção Promotora, salvo se houver um motivo legítimo para a sua manutenção, como eventual obrigação legal de retenção de dados ou estudo por órgão de pesquisa. Na hipótese de eliminação, a Instituição se reserva o direito de escolher o procedimento de eliminação empregado, comprometendo-se a utilizar meio que garanta a segurança e evite a recuperação dos dados;
• Direito de Solicitar a Suspensão de Tratamento Ilícito de Dados Pessoais: a qualquer momento, o titular de dados pessoais poderá requisitar do Grupo Assunção Promotora a anonimização, bloqueio ou eliminação de seus dados pessoais que tenham sido reconhecidos por autoridade competente como desnecessários, excessivos ou tratados em desconformidade com o disposto na LGPD;
• Direito de Oposição a um Tratamento de Dados Pessoais: nas hipóteses de tratamento de dados pessoais não baseadas na obtenção do consentimento, o titular de dados pessoais poderá apresentar ao Grupo Assunção Promotora uma oposição, que será analisada a partir dos critérios presentes na LGPD;
• Direito à Portabilidade dos Dados: o titular de dados pessoais poderá requisitar ao Grupo Assunção Promotora que seus dados pessoais sejam disponibilizados a outro fornecedor de serviço ou produto, respeitados o segredo comercial e industrial da Instituição, bem como os limites técnicos de sua infraestrutura;
• Direito à Revogação do Consentimento: o titular de dados pessoais tem direito a revogar o seu consentimento. Entretanto, ressalta-se que isso não afetará a legalidade de qualquer tratamento realizado antes da retirada. Na hipótese de revogação do consentimento, talvez não seja possível fornecer determinados serviços. Sendo este o caso, o titular de dados pessoais será informado.

O Grupo Assunção Promotora reitera o seu compromisso com os direitos dos titulares de dados pessoais à transparência e à informação adequada, destacando o fornecimento de:

1. Informação das entidades públicas e privadas com as quais o Grupo Assunção Promotora realizou uso compartilhado de dados;
2. Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.

11. Deveres para o Uso Adequado de Dados Pessoais

Os deveres de cuidado, atenção e uso adequado de dados pessoais se estendem a todos os destinatários desta Política no desenvolvimento de seus trabalhos e atividades no Grupo Assunção Promotora, comprometendo-se a auxiliar a Instituição a cumprir suas obrigações na implementação de sua estratégia de privacidade e proteção de dados pessoais.

Deveres Específicos dos Titulares de Dados Pessoais

Incumbe aos titulares de dados pessoais comunicar ao Grupo Assunção Promotora sobre quaisquer modificações em seus dados pessoais na sua relação com o grupo (e.g. mudança de endereço), notificando a preferencialmente na seguinte ordem:

1. Por e-mail endereçado ao setor de cadastro, no caso do titular ser parceiro ou fornecedor; para todos os outros casos para o e-mail juridico@assuncaopromotora.com.br endereçado à DPO do grupo, Dra. Panmalla Carneiro Moreira Bacellar;
2. Por meio físico (e.g. carta) endereçado diretamente ao DPO do Grupo Assunção Promotora, Dra. Panmalla Carneiro Moreira Bacellar.

Deveres Específicos dos Empregados do Grupo Assunção Promotora

O compartilhamento de dados pessoais de titulares de dados pessoais entre as empresas do Grupo Assunção Promotora é permitido, desde que respeitada a sua finalidade e base legal, observado o princípio da necessidade, ficando o tratamento de dados pessoais sempre adstrito ao desenvolvimento de atividades autorizadas pelo Grupo.

Deveres dos Empregados do Grupo Assunção Promotora, Agentes de Tratamento de Dados Pessoais, Parceiros e Terceiros

1. Não disponibilizar nem garantir acesso aos dados pessoais mantidos pelo Grupo Assunção Promotora para quaisquer pessoas não autorizadas ou competentes de acordo com as normas do Grupo ou do Controlador;
2. Obter a autorização necessária para o tratamento de dados e ter os documentos necessários que demonstrem a designação de sua competência para a realização da operação de tratamento de dados lícita, nos termos do arcabouço normativo do Grupo Assunção Promotora que será disponibilizado;
3. Cumprir as normas, recomendações, orientações de segurança da informação e prevenção de incidentes de segurança da informação publicadas pelo Grupo.

Deveres de Todos os Destinatários desta Política

Todos os destinatários desta Política têm o dever de contatar o Encarregado (DPO) do Grupo Assunção Promotora, quando da suspeita ou da ocorrência efetiva das seguintes ações:

1. Operação de tratamento de dados pessoais realizada sem base legal que a justifique;
2. Tratamento de dados pessoais sem a autorização por parte do Grupo Assunção no escopo das atividades que desenvolve;
3. Operação de tratamento de dados pessoais que seja realizada em desconformidade com a Política de Segurança da Informação do Grupo Assunção Promotora;
4. Eliminação ou destruição não autorizada pelo Grupo Assunção Promotora de dados pessoais de plataformas digitais ou acervos físicos em todas as instalações do Grupo ou por ele utilizados;
5. Qualquer outra violação desta Política ou de qualquer um dos princípios de proteção de dados dispostos no item 7.

12. Relação com os Terceiros

A LGPD estabelece que a responsabilidade no caso de danos patrimoniais, morais, individuais ou coletivos derivados de violações à legislação de proteção de dados pessoais é solidária, i.e., todos os agentes da cadeia envolvendo o tratamento de dados pessoais podem ser responsabilizados pelos eventuais danos causados.

Nesse sentido, a possibilidade do Grupo Assunção Promotora ser responsabilizado pelas ações de terceiros implica na necessidade de empregar os melhores esforços para verificar, avaliar e garantir que tais terceiros cumpram com as legislações de proteção de dados pessoais.

Dessa forma, todos os contratos com terceiros deverão conter cláusulas referentes à proteção de dados pessoais, estabelecendo deveres e obrigações envolvendo a temática, e atestando o compromisso dos terceiros com as legislações de proteção de dados pessoais aplicáveis.

Destaca-se, ainda, que esses contratos serão revisados e submetidos à aprovação do DPO e sua equipe técnica, conforme arcabouço normativo interno.

Todos os terceiros devem assinar o termo de aceitação desta Política, da Política de Segurança da Informação e do Plano de Resposta a Incidentes de Segurança, submetendo as atividades contratadas no âmbito da relação com o Grupo Assunção Promotora também a essas regras.

13. Programa de Conformidade às Leis de Proteção de Dados Pessoais

O Programa de Conformidade da LGPD visa a garantir o compromisso do Grupo Assunção Promotora em zelar pelo tratamento adequado de dados pessoais para fins legítimos que possam ser objeto de suas atividades e reforça o seu compromisso com boas práticas de privacidade e proteção de dados com as seguintes ações:

1. Produção e disseminação de informações, independente do formato, que descrevam as responsabilidades individuais dos destinatários desta Política no âmbito da privacidade e proteção de dados pessoais;
2. Fornecimento de treinamentos, orientações e aconselhamentos para os empregados do Grupo Assunção Promotora e terceiros, incluindo, mas não se limitando a cursos presenciais, online, workshops, reuniões internas, conversas regulares, palestras, dentre outras iniciativas; comungando conteúdos disponibilizados no formato digital e presencial;
3. Incorporação de preocupações e cuidados no tratamento de dados pessoais em todas as etapas de suas atividades, incluindo, mas não se limitando a rotinas administrativas, atividades de cadastramento de parceiros, prestação de serviços, dentre outras;
4. Identificação e aprofundamento da avaliação dos riscos que podem comprometer o alcance dos objetivos do Grupo Assunção Promotora na área de privacidade e proteção de dados pessoais; definir, criar e implementar planos de ação e políticas para mitigar os riscos identificados; além de manter uma avaliação contínua dos cenários com vistas a avaliar se as medidas implementadas não requerem novas diretrizes e ações.

A partir da entrada em vigor da LGPD, o Encarregado (DPO) do Grupo Assunção Promotora, auxiliado pela sua equipe técnica, terá as seguintes responsabilidades:

1. Conduzir o Programa de Conformidade da LGPD no Grupo Assunção Promotora, zelando pela sua fiscalização;
2. Monitorar o cumprimento das legislações de proteção de dados pessoais aplicáveis, de acordo com as políticas do Grupo Assunção Promotora;
3. Orientar os destinatários desta Política quanto ao regime de privacidade e proteção de dados pessoais do Grupo Assunção Promotora;
4. Assegurar que as regras e orientações relativas à proteção de dados sejam informadas e incorporadas nas rotinas e práticas do Grupo Assunção Promotora;
5. Organizar treinamentos sobre proteção de dados pessoais no Grupo Assunção Promotora;
6. Prestar esclarecimentos, oferecer informações e apresentar relatórios sobre as operações de tratamento de dados pessoais e seus impactos para as autoridades públicas competentes (e.g. Ministério Público, Autoridade Nacional de Proteção de Dados Pessoais, etc.);
7. Responder às solicitações e reclamações de titulares de dados pessoais cujos dados tenham sido objeto de tratamento pelo Grupo Assunção Promotora;
8. Auxiliar em auditorias ou qualquer outra medida de avaliação e monitoramento envolvendo proteção de dados;
9. Elaborar os relatórios de impacto à privacidade e proteção de dados, pareceres técnicos e revisão de documentos no que se refere à proteção de dados pessoais.

14. Segurança da Informação

As normas de segurança da informação e prevenção contra incidentes de dados pessoais estão contidas na Política de Segurança da Informação do Grupo Assunção Promotora e nas normativas internas e documentos correlatos ao tema.

O Grupo Assunção Promotora reforça o compromisso consubstanciado em sua Política de Segurança da Informação em empregar medidas técnicas e organizacionais adequadas no trato com dados pessoais, e envidar esforços para proteção dos dados pessoais dos titulares de dados pessoais contra acessos não autorizados, perda, destruição, compartilhamento não autorizado, entre outras situações.

15. Transferência Internacional de Dados Pessoais

Nas hipóteses em que o Grupo Assunção Promotora é autorizado a tratar dados pessoais independentemente do consentimento do titular de dados, o Grupo Assunção Promotora poderá transferir dados pessoais para outros países desde que, alternativamente:

1. O país seja classificado como tendo um nível adequado de proteção de dados atribuído pela ANPD ou a transferência seja autorizada pela ANPD;
2. Enquanto não houver lista de países de nível adequado divulgada pela ANPD, o país seja classificado pela Comissão Europeia, por meio de uma decisão de Adequação, como país de nível adequado aos critérios da GDPR;
3. O agente de tratamento de dados pessoais internacional ofereça ao Grupo Assunção Promotora pelo menos uma das salvaguardas abaixo:
   1. Códigos de Conduta regularmente emitidos ou binding corporate rules aprovados pela Comissão Europeia;
   2. Cláusulas Contratuais Padrão emitidas pela ANPD ou pela Comissão Europeia;
   3. Selos e Certificados de conformidade ou adequação à proteção de dados pessoais concedidos por entidades reconhecidas pela ANPD ou pela Comissão Europeia;
   4. Obtenha consentimento explícito e destacado dos titulares de dados pessoais para realização de operações de transferência internacional de dados pessoais, com informação prévia sobre o caráter internacional da operação e destacando que o país não tem nível adequado de proteção de dados reconhecido ou que não há salvaguardas da conformidade do agente de tratamento, conforme o caso.

Nas hipóteses em que o Grupo Assunção Promotora é autorizado a tratar dados pessoais com base no consentimento, o Grupo Assunção Promotora poderá transferir dados pessoais para outros países desde que obtenha consentimento explícito e destacado dos titulares de dados pessoais para realização de operações de transferência internacional de dados pessoais, com informação prévia sobre o caráter internacional da operação.

Caso o país não tenha nível adequado de proteção de dados reconhecido ou não haja salvaguardas da conformidade do agente de tratamento, tais informações deverão ser prestadas ao titular de dados pessoais previamente, a fim de que consinta com os riscos da operação.

16. Treinamento

Os destinatários desta Política se comprometem a participar dos treinamentos, workshops, encontros e capacitações propostos pelo Encarregado (DPO) do Grupo Assunção Promotora para a ampliação da cultura de proteção de dados pessoais no Grupo.

Os empregados do Grupo Assunção Promotora cujas funções exigem o tratamento regular a dados pessoais, ou os responsáveis pela implementação desta Política se comprometem a participar de treinamentos adicionais para ajudá-los a entender seus deveres e como cumpri-los.

17. Monitoramento

Reitera-se que o Grupo Assunção Promotora reconhece o seu compromisso em zelar pelo tratamento adequado de dados pessoais para fins legítimos que possam ser objeto de suas atividades e reforça o seu compromisso com boas práticas de privacidade e proteção de dados, comprometendo-se a manter seu Programa de Conformidade da LGPD atualizado com as normas e recomendações emitidas pela ANPD ou outras autoridades competentes.

O Grupo Assunção Promotora assume o compromisso de revisitar a presente Política periodicamente e, a seu critério, promover modificações que atualizem suas disposições de modo a reforçar o compromisso permanente da Instituição com a privacidade e a proteção de dados pessoais, sendo comunicadas todas as alterações realizadas oportunamente pelos canais oficiais do Grupo.