1. OBJETIVO E NATUREZA DO DOCUMENTO

Esta Política estabelece as diretrizes jurídicas, organizacionais e de governança aplicáveis ao tratamento de dados pessoais realizado pela LegalBR Assessoria e Consultoria Empresarial LTDA. (“LegalBR”). Seu objetivo é assegurar que as operações de tratamento sejam conduzidas de forma compatível com a Lei nº 13.709/2018 (“LGPD”), com a regulamentação da Autoridade Nacional de Proteção de Dados (“ANPD”), com obrigações contratuais assumidas pela LegalBR e com os princípios de segurança e responsabilização aplicáveis ao contexto de suas atividades.

A Política tem dupla função: (i) orientar internamente a tomada de decisão e a execução de tratamentos de dados pessoais; e (ii) estabelecer, em linguagem compatível com divulgação externa, os compromissos gerais de privacidade da LegalBR. Procedimentos operacionais, matrizes de risco, registros de tratamento, planos de resposta a incidentes e evidências de execução poderão ser mantidos em documentos internos complementares.

2. ESCOPO

Esta Política aplica-se a todos os tratamentos de dados pessoais realizados pela LegalBR, em meios físicos ou eletrônicos, no contexto de suas atividades societárias, paralegais, administrativas, de representação, cadastrais e de suporte corporativo.

O documento alcança administradores, empregados, estagiários, prestadores de serviços, consultores, fornecedores e terceiros que tenham acesso autorizado a dados pessoais sob responsabilidade ou custódia da LegalBR. Abrange, entre outros, dados de clientes e seus representantes, sócios e administradores de sociedades atendidas, procuradores, candidatos, colaboradores, fornecedores, parceiros, visitantes do website e demais pessoas naturais relacionadas às atividades da LegalBR.

3. REFERÊNCIAS LEGAIS E REGULATÓRIAS

• Lei nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais (LGPD), com destaque para os arts. 6º, 7º, 11, 18, 33 a 41 e 46 a 50.
• Resolução CD/ANPD nº 15/2024 – Regulamento de Comunicação de Incidente de Segurança.
• Resolução CD/ANPD nº 18/2024 – Regulamento sobre a atuação do Encarregado pelo Tratamento de Dados Pessoais.
• Resolução CD/ANPD nº 19/2024 – Regulamento de Transferência Internacional de Dados e Cláusulas-Padrão Contratuais.
• Resolução CD/ANPD nº 2/2022, quando aplicável ao enquadramento da LegalBR como agente de tratamento de pequeno porte.
• Demais atos normativos, orientações e decisões da ANPD aplicáveis às operações de tratamento da LegalBR.

4. DEFINIÇÕES

5. PRINCÍPIOS E CRITÉRIOS GERAIS DE TRATAMENTO

Toda operação de tratamento deverá observar os princípios do art. 6º da LGPD e ser estruturada de modo a permitir demonstração razoável de conformidade. Em particular, a LegalBR adotará os seguintes critérios:

• Finalidade e adequação: o tratamento deverá estar vinculado a propósito legítimo, específico e compatível com o contexto informado ao titular ou inerente à relação contratual e legal existente.
• Necessidade: serão tratados apenas os dados pertinentes, proporcionais e não excessivos para a finalidade pretendida.
• Transparência e qualidade: as informações sobre o tratamento serão prestadas de forma clara, e dados relevantes deverão ser mantidos adequados e atualizados na medida necessária.
• Segurança e prevenção: medidas técnicas e administrativas serão definidas de forma proporcional ao risco das operações e ao ambiente tecnológico utilizado.
• Não discriminação: é vedado o tratamento para fins discriminatórios ilícitos ou abusivos.
• Responsabilização e prestação de contas: decisões, avaliações de risco e controles relevantes deverão ser documentados em nível compatível com o porte, a natureza e a criticidade do tratamento.

6. PAPÉIS DA LEGALBR: CONTROLADORA E OPERADORA

A qualificação da LegalBR será determinada por operação de tratamento, e não de forma abstrata. A LegalBR atuará como controladora quando detiver poder decisório sobre as finalidades e os meios essenciais do tratamento; e como operadora quando tratar dados pessoais em nome de cliente ou outro controlador, segundo instruções lícitas e documentadas.

Na condição de operadora, a LegalBR limitará o tratamento ao necessário para execução dos serviços, observará as instruções do controlador e prestará cooperação razoável para atendimento de direitos dos titulares, gestão de incidentes, auditorias ou evidências de conformidade, observados a legislação e os instrumentos contratuais aplicáveis.

7. GOVERNANÇA, RESPONSABILIDADES E ENCARREGADO

7.1. Alta Administração

• aprovar esta Política e suas revisões materiais;
• deliberar sobre riscos de privacidade materialmente relevantes e planos de adequação;
• assegurar recursos compatíveis com a natureza e o risco das operações da LegalBR;
• promover cultura organizacional de confidencialidade, segurança e proteção de dados.

7.2. Encarregado pelo Tratamento de Dados Pessoais

O Encarregado será designado por ato formal, escrito, datado e assinado, com descrição de sua forma de atuação e atribuições. A LegalBR manterá substituto formalmente designado para ausências, impedimentos e vacância, conforme a regulamentação da ANPD. A identidade e as informações de contato do Encarregado serão mantidas atualizadas e divulgadas em local de fácil acesso.

• receber e coordenar o atendimento de solicitações e comunicações de titulares;
• receber comunicações da ANPD e coordenar as providências pertinentes;
• orientar administradores, colaboradores e contratados sobre práticas de proteção de dados;
• apoiar o inventário de tratamento, avaliações de risco, RIPD, gestão de incidentes e revisão de documentos de governança;
• reportar à Alta Administração riscos relevantes, não conformidades e medidas de adequação.

Canais atuais de privacidade da LegalBR: [email protected] e [email protected]. A divulgação pública deverá refletir o ato formal de designação vigente.

7.3. Gestores, colaboradores e terceiros autorizados

• tratar dados pessoais exclusivamente no contexto das atividades profissionais autorizadas;
• observar confidencialidade, necessidade de acesso e segregação de funções;
• não utilizar repositórios, dispositivos, contas ou aplicações não autorizadas quando isso ampliar risco de forma incompatível com as diretrizes internas;
• comunicar imediatamente suspeitas de incidente, perda de documento, acesso indevido, exposição ou uso incompatível de dados pessoais.

8. REGISTRO DAS OPERAÇÕES DE TRATAMENTO E INVENTÁRIO

A LegalBR manterá registro proporcional das operações de tratamento relevantes, inclusive para cumprimento do art. 37 da LGPD quando aplicável. O registro deverá permitir identificar, de forma compatível com o risco: categorias de titulares; categorias de dados; finalidade; base legal; papel da LegalBR; sistemas e repositórios; destinatários e operadores; prazo de retenção; transferências internacionais; controles de segurança e responsável interno.

O inventário deverá ser revisto sempre que houver novo processo, sistema, fornecedor, integração, categoria relevante de dados ou alteração material de finalidade, fluxo ou risco.

9. BASES LEGAIS, CONSENTIMENTO E DADOS SENSÍVEIS

A base legal deverá ser definida antes ou no início do tratamento e ser coerente com a finalidade concreta. O consentimento não deverá ser utilizado como fundamento padrão quando houver hipótese legal mais apropriada, especialmente execução de contrato, cumprimento de obrigação legal ou regulatória, exercício regular de direitos ou legítimo interesse, quando cabível.

Quando o consentimento for a base aplicável, deverão ser preservadas evidências de sua obtenção, finalidade e possibilidade de revogação. A revogação não afetará tratamentos realizados anteriormente de forma válida nem obrigações de conservação fundadas em outras bases legais.

Dados pessoais sensíveis somente serão tratados nas hipóteses do art. 11 da LGPD e deverão receber controles de acesso compatíveis com sua maior criticidade. Dados de saúde ocupacional, quando existentes, deverão ser limitados às finalidades legais e de gestão de saúde e segurança do trabalho.

10. DIREITOS DOS TITULARES E PROCEDIMENTO DE ATENDIMENTO

A LegalBR disponibilizará canal acessível para o exercício dos direitos previstos na LGPD. Toda solicitação recebida deverá ser registrada, classificada, encaminhada ao responsável competente e respondida nos prazos legais e regulamentares aplicáveis.

1. O titular deverá fornecer nome, meio de contato e elementos suficientes para identificação da solicitação e localização dos dados.
2. A identidade será validada de forma proporcional ao risco. A LegalBR poderá solicitar documento ou informação adicional quando necessário para prevenir fraude ou divulgação indevida.
3. Quando a LegalBR atuar como operadora, a solicitação poderá ser direcionada ao controlador ou tratada em coordenação com ele, conforme o papel de cada agente.
4. O registro interno deverá conter, no mínimo, data de recebimento, titular, natureza do pedido, responsável pelo tratamento, providências adotadas, data de resposta e fundamento de eventual impossibilidade total ou parcial.
5. As evidências do atendimento serão retidas pelo período necessário à demonstração de conformidade e ao exercício regular de direitos, nos termos da Política de Retenção e Descarte.

11. PRIVACY BY DESIGN, PRIVACY BY DEFAULT E MINIMIZAÇÃO

Novos processos, ferramentas, automações, integrações, fornecedores ou mudanças relevantes que envolvam dados pessoais deverão considerar privacidade desde a concepção e antes de sua adoção material.

• limitar coleta e exposição aos dados efetivamente necessários;
• definir perfis de acesso com base em função e necessidade de conhecimento;
• definir critérios de retenção e descarte desde a implantação do processo;
• avaliar anonimização ou pseudonimização quando a finalidade puder ser atingida com menor identificabilidade;
• avaliar compartilhamentos, transferências internacionais e dependências de terceiros;
• documentar riscos relevantes e medidas de mitigação.

12. AVALIAÇÃO DE RISCOS, RIPD E LEGÍTIMO INTERESSE

A LegalBR adotará abordagem baseada em risco. A avaliação deverá considerar natureza e sensibilidade dos dados, volume, titulares envolvidos, tecnologia, finalidade, exposição, compartilhamentos, transferências internacionais, possibilidade de impacto aos direitos e probabilidade de incidente.

RIPD poderá ser elaborado quando exigido pela ANPD, por obrigação contratual ou quando a avaliação interna identificar tratamento suscetível de gerar risco elevado aos direitos e liberdades dos titulares. Quando o legítimo interesse for adotado em situação que demande documentação reforçada, poderá ser realizada avaliação de balanceamento, com registro da finalidade, necessidade, impacto e salvaguardas.

13. FORNECEDORES, OPERADORES E SUBOPERADORES

Terceiros com acesso relevante a dados pessoais serão submetidos a avaliação proporcional ao risco antes da contratação ou utilização material. A diligência poderá considerar criticidade do serviço, categorias e volume de dados, localização do tratamento, histórico conhecido, medidas de segurança, continuidade, capacidade de resposta a incidentes, possibilidade de subcontratação e condições contratuais.

Quando aplicável, os instrumentos contratuais deverão contemplar finalidade e escopo do tratamento; confidencialidade; restrição de uso; medidas de segurança; subcontratação; comunicação de incidentes; cooperação no atendimento a titulares; retenção, devolução ou eliminação; auditoria ou disponibilização de evidências; e transferências internacionais.

Quando a LegalBR atuar como operadora, a utilização de suboperadores observará as condições pactuadas com o controlador, inclusive requisitos de autorização, comunicação ou manutenção de relação atualizada de suboperadores, quando exigidos.

14. TRANSFERÊNCIA INTERNACIONAL DE DADOS

Transferências internacionais somente serão realizadas quando houver, cumulativamente, hipótese legal válida para o tratamento e mecanismo válido de transferência internacional, nos termos dos arts. 33 a 36 da LGPD e da Resolução CD/ANPD nº 19/2024.

• identificar, na medida aplicável, exportador e importador, papéis dos agentes, finalidade, categorias de dados e titulares e país ou países de destino;
• limitar a transferência ao mínimo necessário para a finalidade;
• selecionar mecanismo legalmente admitido, como decisão de adequação, cláusulas-padrão contratuais da ANPD, cláusulas específicas previamente aprovadas, normas corporativas globais ou outra hipótese do art. 33 da LGPD;
• quando utilizadas cláusulas-padrão contratuais da ANPD, incorporar integralmente o texto obrigatório ao instrumento aplicável, sem alterações incompatíveis;
• manter informações de transparência exigidas pela regulamentação e disponibilizá-las aos titulares pelos canais adequados.

15. SEGURANÇA DA INFORMAÇÃO APLICADA A DADOS PESSOAIS

A LegalBR adotará medidas técnicas e administrativas proporcionais aos riscos e às funcionalidades efetivamente disponibilizadas pelos ambientes utilizados. Os controles poderão incluir:

• identificação individual de usuários e gestão do ciclo de vida de acessos;
• princípio do menor privilégio, segregação de funções e restrição de privilégios administrativos;
• autenticação multifator em serviços críticos que suportem o recurso;
• criptografia em trânsito e em repouso conforme os recursos das soluções corporativas;
• proteção de endpoints, atualização e aplicação de correções de segurança;
• backup, versionamento e mecanismos de recuperação para informações críticas;
• registros de autenticação e atividades disponibilizados pelos provedores para investigação e auditoria;
• revogação ou ajuste tempestivo de acessos em desligamentos, afastamentos, mudanças de função ou cessação da necessidade.

A descrição pública de controles de segurança deverá preservar informações cuja divulgação possa elevar o risco de segurança dos ambientes da LegalBR ou de seus clientes.

16. INCIDENTES DE SEGURANÇA COM DADOS PESSOAIS

Todo evento suspeito deverá ser comunicado imediatamente ao Encarregado ou à administração para triagem. Incidentes confirmados deverão ser registrados e tratados de forma estruturada, com preservação de informações suficientes para análise de causa, extensão e impacto.

1. Identificar sistemas, processos e dados pessoais potencialmente afetados, bem como categorias e quantidade estimada de titulares quando possível.
2. Adotar medidas imediatas de contenção, preservação de evidências, recuperação e mitigação.
3. Avaliar risco ou dano relevante aos titulares, considerando natureza dos dados, possibilidade de uso indevido e medidas de proteção existentes.
4. Quando a LegalBR atuar como controladora, avaliar e realizar, quando cabível, comunicação à ANPD e aos titulares no prazo regulamentar de 3 (três) dias úteis, observado o Regulamento de Comunicação de Incidente de Segurança.
5. Quando a LegalBR atuar como operadora, comunicar o controlador sem demora indevida e dentro do prazo contratual aplicável, fornecendo informações necessárias para avaliação e comunicação regulatória.
6. Manter registro dos incidentes de segurança com dados pessoais pelo prazo mínimo de 5 (cinco) anos contado do registro, sem prejuízo de prazo superior quando houver obrigação adicional ou necessidade de exercício regular de direitos.

17. RETENÇÃO, DESCARTE, BACKUPS E CONTINUIDADE

Dados pessoais não serão mantidos indefinidamente por conveniência. Os períodos de retenção, marcos iniciais, exceções, legal hold e métodos de descarte observarão a Política de Retenção e Descarte de Dados Pessoais da LegalBR.

A eliminação deverá considerar ambientes ativos, repositórios, cópias locais e terceiros. Dados eliminados de ambientes ativos poderão permanecer temporariamente em cópias de segurança até o ciclo normal de expiração ou sobrescrita, devendo permanecer protegidos e sem reutilização incompatível.

A LegalBR manterá medidas de continuidade e recuperação compatíveis com a criticidade de seus serviços e informações, considerando indisponibilidade de pessoas, equipamentos e provedores tecnológicos relevantes.

18. INTELIGÊNCIA ARTIFICIAL E DECISÕES AUTOMATIZADAS

Ferramentas de Inteligência Artificial poderão ser utilizadas como apoio a atividades profissionais e administrativas, desde que submetidas a supervisão humana e às regras de finalidade, necessidade, confidencialidade, segurança e minimização.

Dados pessoais, dados sensíveis, credenciais, segredos de negócio ou informações confidenciais de clientes somente poderão ser submetidos a ferramentas de IA quando o uso estiver autorizado para a finalidade, houver fundamento jurídico adequado e as condições do provedor forem compatíveis com o risco, inclusive quanto a retenção do conteúdo, reutilização de entradas e saídas, treinamento de modelos e compartilhamento com terceiros.

A LegalBR não adotará decisão exclusivamente automatizada que produza efeitos jurídicos ou afete significativamente interesses de titulares sem avaliação específica de legalidade, transparência, segurança, revisão humana e direitos aplicáveis.

19. TREINAMENTO E CONSCIENTIZAÇÃO

Colaboradores e terceiros com acesso relevante a dados pessoais deverão receber orientação periódica proporcional às suas atribuições sobre privacidade, confidencialidade, segurança da informação, engenharia social, comunicação de incidentes e uso adequado de ferramentas tecnológicas e de IA. As ações materiais de conscientização e participação deverão ser registradas para fins de governança.

20. MONITORAMENTO, NÃO CONFORMIDADES E ACCOUNTABILITY

A aderência a esta Política poderá ser verificada por revisão documental, amostragem de acessos, análise de incidentes, avaliação de fornecedores, verificação de registros de tratamento e outros mecanismos proporcionais ao porte e ao risco. Não conformidades relevantes deverão resultar em plano de ação, com responsável, prazo e acompanhamento compatíveis com sua criticidade.

Exceções deverão ser justificadas e avaliadas sob a perspectiva de risco. Violações poderão ensejar medidas administrativas, contratuais ou disciplinares, sem prejuízo de responsabilidades legais.

21. TRANSPARÊNCIA E POLÍTICA PÚBLICA

A LegalBR manterá em seu website informações de privacidade compatíveis com as operações de tratamento dirigidas ao público, incluindo identificação e contato do Encarregado, direitos dos titulares, categorias gerais de tratamento, retenção, compartilhamentos relevantes e, quando aplicável, informações de transferência internacional exigidas pela regulamentação.

Informações de segurança cuja divulgação possa comprometer a proteção dos ambientes não serão publicadas em nível operacional detalhado.

22. APROVAÇÃO, REVISÃO E VIGÊNCIA

Esta Política deverá ser submetida à aprovação formal da Alta Administração e revisada, no mínimo, anualmente ou antes desse período quando houver alteração material na legislação, regulamentação, modelo de negócio, tecnologia, cadeia de fornecedores ou perfil de risco da LegalBR.

Após aprovação, a versão 2.0 entrará em vigor em 19 de agosto de 2026 e substituirá a versão efetiva desde maio de 2022.

CONTROLE DE REVISÕES