1. OBJETIVO

Esta Política estabelece critérios técnicos, jurídicos e operacionais para definição de prazos de retenção, arquivamento, bloqueio, legal hold, anonimização, devolução e descarte de dados pessoais e documentos que contenham dados pessoais tratados pela LegalBR.

Seu objetivo é evitar retenção excessiva, preservar evidências e documentos durante os períodos juridicamente necessários, reduzir exposição desnecessária e assegurar descarte compatível com a sensibilidade e o suporte dos registros.

2. ESCOPO

Aplica-se a dados pessoais em meio físico ou eletrônico mantidos pela LegalBR ou por terceiros que atuem em seu nome, incluindo documentos de clientes, atos societários e cadastrais, contratos, procurações, comunicações, dados comerciais, registros fiscais, dados de recursos humanos, dados de segurança, logs, solicitações de titulares, incidentes e registros relacionados a fornecedores e ferramentas tecnológicas.

3. REFERÊNCIAS

• Lei nº 13.709/2018 (LGPD), especialmente arts. 6º, III; 15; 16; 18; 37; 46 e 50.
• Resolução CD/ANPD nº 15/2024, quanto à retenção mínima de registros de incidentes de segurança.
• Normas fiscais, trabalhistas, previdenciárias, societárias e regulatórias aplicáveis à categoria documental concreta.
• Política de Privacidade e Proteção de Dados Pessoais da LegalBR.
• Obrigações contratuais de clientes, fornecedores e demais contrapartes, quando legitimamente aplicáveis.

4. DEFINIÇÕES ESPECÍFICAS

5. PRINCÍPIOS DE RETENÇÃO

• Limitação da conservação: dados serão mantidos apenas enquanto houver finalidade ou fundamento legítimo de conservação.
• Prevalência do maior prazo legítimo: quando mais de uma obrigação válida incidir sobre o mesmo registro, prevalecerá o prazo que exija conservação por período superior.
• Minimização de cópias: deverá ser evitada duplicação desnecessária em repositórios paralelos, dispositivos pessoais ou caixas de e-mail quando existir repositório corporativo adequado.
• Segurança durante a guarda: dados deverão permanecer protegidos por controles proporcionais à sua sensibilidade e criticidade.
• Rastreabilidade: exceções relevantes, legal holds e decisões de retenção superiores ao prazo padrão deverão ser documentados.
• Descarte efetivo: ao fim do prazo, inexistindo fundamento de conservação, o registro deverá ser eliminado, anonimizado ou devolvido, conforme aplicável.

6. RESPONSABILIDADES

6.1. Gestores dos processos

• identificar categorias documentais e repositórios sob sua responsabilidade;
• observar os marcos e prazos definidos na tabela de temporalidade;
• informar ao Encarregado situações que justifiquem exceção, legal hold ou retenção adicional;
• evitar manutenção de cópias redundantes após o encerramento da finalidade.

6.2. Encarregado

• orientar sobre compatibilidade entre retenção, LGPD e direitos dos titulares;
• apoiar avaliação de pedidos de eliminação e exceções relevantes;
• acompanhar revisões periódicas da tabela de temporalidade e do inventário de tratamento.

6.3. Administração de sistemas e usuários

Responsáveis por sistemas deverão apoiar revogação de acessos, expurgo e recuperação quando necessário. Usuários não deverão criar retenção paralela por conveniência nem manter cópias pessoais de documentos corporativos além do necessário.

7. DETERMINAÇÃO DO PRAZO E MARCO INICIAL

O prazo de retenção será definido considerando, cumulativamente: finalidade original; obrigação legal ou regulatória; prazo prescricional ou decadencial aplicável; necessidade de exercício regular de direitos; exigências contratuais legítimas; risco da eliminação prematura; e risco de retenção excessiva.

O marco inicial deverá ser objetivamente identificável, como término do contrato, conclusão do serviço, emissão do documento, encerramento do processo seletivo, desligamento, resposta ao titular ou data de registro do incidente. Na ausência de marco específico, o gestor deverá consultar o Encarregado antes de estabelecer retenção extraordinária.

8. LEGAL HOLD E SUSPENSÃO DO DESCARTE

O descarte deverá ser suspenso quando houver litígio, investigação, fiscalização, auditoria, denúncia, procedimento administrativo, ordem de autoridade ou circunstância concreta que exija preservação de evidência. O legal hold deverá ser limitado aos registros pertinentes e documentar, sempre que possível, motivo, escopo, data de início e responsável pela liberação.

Encerrada a causa do legal hold, os registros deverão retornar ao ciclo normal de retenção, sem reinício automático de prazo, salvo fundamento jurídico específico.

9. BACKUPS, VERSIONAMENTO E RECUPERAÇÃO

A eliminação em repositório ativo não implica remoção imediata de cópias de segurança. Dados poderão permanecer temporariamente em backups até o ciclo normal de expiração, sobrescrita ou rotação do provedor, devendo permanecer protegidos e não ser restaurados para uso ordinário incompatível com a finalidade.

Caso backup contendo dado anteriormente eliminado seja restaurado por necessidade técnica, a eliminação deverá ser reaplicada quando tecnicamente viável e compatível com a integridade do ambiente.

10. TERCEIROS, SUBOPERADORES E DEVOLUÇÃO DE DADOS

Quando terceiro armazenar ou tratar dados em nome da LegalBR, as condições de retenção e descarte deverão ser consideradas na contratação. Sempre que aplicável, deverá ser prevista devolução ou eliminação ao término da prestação, ressalvadas obrigações legais próprias do fornecedor e limitações técnicas legítimas de backup.

Quando a LegalBR atuar como operadora, prevalecerão as instruções lícitas do controlador quanto à devolução e eliminação, desde que compatíveis com obrigações legais ou regulatórias próprias da LegalBR.

11. MÉTODOS DE DESCARTE

• Documentos físicos: fragmentação, trituração ou destruição por método que inviabilize leitura ou reconstrução razoável.
• Arquivos eletrônicos: exclusão dos repositórios ativos e áreas de recuperação acessíveis, observadas as funcionalidades do sistema e o ciclo de backups.
• Mídias e equipamentos: limpeza segura, redefinição ou destruição física quando a criticidade justificar e não houver reutilização segura.
• Anonimização: poderá substituir a eliminação quando o resultado impedir razoavelmente a associação a pessoa natural e houver finalidade remanescente legítima.

12. SOLICITAÇÕES DE ELIMINAÇÃO POR TITULARES

Pedidos de eliminação deverão ser avaliados considerando a base legal, a finalidade, as hipóteses do art. 16 da LGPD, obrigações legais ou regulatórias e necessidade de exercício regular de direitos. A eliminação não será realizada quando existir fundamento legítimo de conservação que prevaleça sobre o pedido, devendo o fundamento ser documentado e comunicado de forma adequada ao titular quando aplicável.

Quando a eliminação for devida, a LegalBR adotará providências nos ambientes sob seu controle e, quando necessário e tecnicamente aplicável, comunicará operadores ou suboperadores responsáveis por cópias relevantes.

13. INCIDENTES E EVIDÊNCIAS

Registros de incidentes de segurança com dados pessoais, inclusive aqueles que não acarretem risco ou dano relevante aos titulares, serão mantidos pelo prazo mínimo de 5 (cinco) anos contado da data do registro, conforme regulamentação da ANPD, salvo obrigação adicional que justifique prazo superior.

Evidências relacionadas a incidente não deverão ser eliminadas durante investigação, obrigação de comunicação, fiscalização, auditoria ou controvérsia pendente.

14. TABELA DE TEMPORALIDADE E INTERPRETAÇÃO

A tabela anexa define parâmetros mínimos e padrões internos. Ela não substitui análise jurídica quando houver norma específica, obrigação contratual legítima, legal hold ou mudança legislativa. Em caso de dúvida, o descarte deverá ser suspenso até validação do responsável competente.

ANEXO I – TABELA DE TEMPORALIDADE

15. MONITORAMENTO E REVISÃO

A tabela de temporalidade deverá ser revisada ao menos anualmente e sempre que houver alteração legal, regulatória, contratual, tecnológica ou operacional relevante. A revisão deverá considerar, especialmente, novos serviços, mudanças de sistemas, novos fornecedores, alteração de prazos legais e incidentes que evidenciem necessidade de ajuste.

Exceções materiais deverão ser documentadas e aprovadas pelo responsável competente, com ciência do Encarregado quando envolverem risco relevante à proteção de dados.

16. APROVAÇÃO E VIGÊNCIA

Esta Política deverá ser submetida à aprovação formal da Alta Administração. Após aprovação, a versão 2.0 entrará em vigor em 19 de agosto de 2026 e substituirá a versão efetiva desde maio de 2022.

O Encarregado pode ser contatado no e-mail [email protected] para responder a eventuais dúvidas ou fornecer maiores informações sobre esta Política de Retenção e Descarte de Dados Pessoais.