5.1 PRINCÍPIOS E GOVERNANÇA DO TRATAMENTO
Toda operação com dados pessoais deve observar, conforme aplicável, os princípios da finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas. A inclusão de nova coleta, novo uso, novo compartilhamento ou nova tecnologia deve ser avaliada antes da implantação e registrada quando relevante.
5.2 MAPEAMENTO E REGISTRO DAS OPERAÇÕES DE TRATAMENTO
Os processos que tratem dados pessoais devem ser registrados na Matriz/Registro das Operações de Tratamento, conforme modelo do ANEXO 1. O registro deve conter, no mínimo: processo, titular, categorias de dados, origem/coleta, finalidade, base legal, armazenamento, responsáveis e acessos, compartilhamento, prazo ou critério de retenção e forma de eliminação ou anonimização.
A Matriz deve ser revisada sempre que houver alteração relevante no processo, sistema, formulário, finalidade, base legal, fornecedor, compartilhamento ou prazo de retenção, e ao menos uma vez por ano.
5.3 COLETA DE DADOS PESSOAIS
- Coletar apenas dados adequados, pertinentes e limitados ao necessário para a finalidade declarada.
- Informar ao titular, de forma clara e acessível, as finalidades do tratamento e demais informações pertinentes por meio da Política de Privacidade, aviso de privacidade, formulário, termo ou comunicação equivalente.
- Evitar campos obrigatórios sem necessidade comprovada e revisar periodicamente formulários físicos e digitais.
- Quando dados forem recebidos de terceiros ou fontes legítimas, registrar a origem e verificar a compatibilidade do uso pretendido com a legislação e com as expectativas do titular.
5.4 FINALIDADE E BASE LEGAL
Nenhum tratamento deve ser iniciado ou ampliado sem finalidade definida e base legal aplicável. A base legal será registrada na Matriz de Tratamento de acordo com a operação concreta, podendo incluir, quando cabível, consentimento, cumprimento de obrigação legal ou regulatória, execução de contrato ou procedimentos preliminares, exercício regular de direitos, proteção da vida, legítimo interesse ou outra hipótese prevista em lei.
A aceitação genérica de Termos de Uso ou da Política de Privacidade não deve ser utilizada como consentimento indiscriminado. Quando o consentimento for necessário, deve ser livre, informado, inequívoco e relacionado a finalidades determinadas, com possibilidade de revogação.
5.5 CONSENTIMENTO
- Registrar data, finalidade, forma de manifestação e versão do aviso ou termo apresentado ao titular.
- Permitir revogação por procedimento gratuito e facilitado e registrar a manifestação.
- Não utilizar o consentimento quando outra base legal mais adequada for aplicável apenas com o objetivo de simplificar a documentação.
- Em comunicações facultativas, disponibilizar mecanismo de descadastro quando aplicável.
5.6 DADOS PESSOAIS SENSÍVEIS, CRIANÇAS E ADOLESCENTES
O tratamento de dados pessoais sensíveis somente poderá ocorrer nas hipóteses previstas no art. 11 da LGPD, com finalidade específica e controles reforçados. O legítimo interesse não será adotado como base legal para dados sensíveis.
Quando houver tratamento de dados de crianças ou adolescentes, devem ser observados o melhor interesse desses titulares e os requisitos legais aplicáveis à atividade, inclusive quanto à transparência e participação de responsáveis legais quando exigida.
5.7 ARMAZENAMENTO E SEGURANÇA DA INFORMAÇÃO
- Manter dados e registros em repositórios institucionais aprovados pela APEF, evitando armazenamento desnecessário em dispositivos, contas ou serviços pessoais.
- Adotar credenciais individuais, senhas adequadas, autenticação multifator quando disponível, controle de permissões, cópias de segurança e demais medidas proporcionais ao risco.
- Restringir arquivos editáveis, planilhas com dados pessoais e pastas sensíveis às pessoas que necessitem do acesso para execução de suas atividades.
- Proteger documentos físicos contra acesso indevido e, quando descartados, utilizar método que impossibilite recuperação do conteúdo.
- Para o site institucional e demais sistemas acessíveis pela internet, manter ambiente de hospedagem com controles de segurança compatíveis com os riscos, incluindo, quando disponibilizados ou contratados, firewall, mecanismos de proteção e mitigação contra ataques distribuídos de negação de serviço (DDoS), conexões seguras, monitoramento, atualização dos componentes tecnológicos, cópias de segurança e controles de acesso.
- No ambiente utilizado pelo site da APEF-PR, hospedado pela AZ Sistemas, manter evidência técnica, contratual ou declaração do fornecedor que comprove os mecanismos de firewall, proteção/mitigação DDoS e demais controles de segurança disponibilizados ao serviço.
5.8 CONTROLE DE ACESSO
Os acessos a dados pessoais devem observar o princípio do menor privilégio. A Secretaria APEF e os responsáveis pelos processos devem revisar permissões quando houver ingresso, mudança de função, substituição, desligamento ou término da necessidade de acesso. Credenciais não devem ser compartilhadas.
5.9 COMPARTILHAMENTO E OPERADORES
O compartilhamento com prestadores de tecnologia, contabilidade, instituições financeiras, meios de pagamento, parceiros, fornecedores, CREA-PR, autoridades ou outros terceiros deve limitar-se ao necessário para a finalidade correspondente e possuir fundamento jurídico aplicável.
- Registrar na Matriz os principais destinatários ou categorias de destinatários e a finalidade do compartilhamento.
- Quando a APEF contratar operador, prever, conforme a natureza e o risco, obrigações de confidencialidade, segurança, tratamento segundo instruções, comunicação de incidentes, devolução ou eliminação de dados e cooperação com o atendimento aos titulares.
- Não comercializar ou disponibilizar bases de dados pessoais para finalidades incompatíveis com as finalidades institucionais ou sem fundamento legal.
- Para fornecedores de hospedagem, manutenção de sistemas, nuvem ou outras soluções tecnológicas que tratem dados pessoais, avaliar e registrar os controles de segurança disponibilizados, incluindo, conforme aplicável, firewall, proteção/mitigação DDoS, gestão de acessos, conexões seguras, cópias de segurança, monitoramento, atualização de componentes e resposta a incidentes.
- A AZ Sistemas, na condição de fornecedora de hospedagem do site da APEF-PR e, quando caracterizada como operadora de tratamento, deve constar na Matriz/Registro das Operações de Tratamento, com indicação dos serviços prestados, processos e dados envolvidos, medidas de segurança adotadas e evidências técnicas ou contratuais correspondentes.
- Manter como evidência contrato, proposta, declaração técnica, especificação de serviço, relatório ou comunicação formal do fornecedor que demonstre os controles tecnológicos e de segurança aplicáveis ao ambiente de hospedagem.
5.10 TRANSFERÊNCIA INTERNACIONAL DE DADOS
Quando fornecedores, plataformas ou serviços tecnológicos envolverem armazenamento, acesso ou processamento de dados em outros países, a APEF deverá verificar a caracterização da transferência internacional e adotar mecanismo admitido pela LGPD e pela regulamentação da ANPD, mantendo os registros e documentos pertinentes.
5.11 RETENÇÃO, ARQUIVAMENTO E ELIMINAÇÃO
Cada processo deve possuir prazo ou critério de retenção definido na Matriz de Tratamento, considerando a finalidade, a relação associativa ou contratual, requisitos legais, fiscais, contábeis, estatutários, exercício regular de direitos e necessidade de rastreabilidade.
Encerrada a finalidade e inexistindo fundamento para conservação, os dados devem ser eliminados ou anonimizados de maneira segura. Quando houver retenção obrigatória ou justificável, o acesso deve permanecer limitado à finalidade residual que justificou a conservação.
5.12 DIREITOS DOS TITULARES E CANAL DE ATENDIMENTO
As solicitações relacionadas a dados pessoais deverão ser recebidas pelo canal institucional divulgado na Política de Privacidade, atualmente secretaria@apef-pr.org.br, ou por outro canal formal que venha a substituí-lo. A solicitação deve ser registrada conforme ANEXO 2 e encaminhada ao responsável competente.
- Confirmar a identidade do solicitante de forma proporcional ao risco, evitando fornecimento de dados a pessoa não autorizada.
- Permitir, quando aplicável, confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários ou irregulares, portabilidade nos termos da regulamentação, informação sobre compartilhamentos, revogação do consentimento, oposição e demais direitos previstos na LGPD.
- Para confirmação e acesso, observar as formas e prazos legais do art. 19 da LGPD; para as demais solicitações, observar os prazos legais ou regulatórios aplicáveis e registrar eventual impossibilidade ou fundamento de retenção.
- Manter evidência da resposta, data, responsável e providências adotadas.
5.13 INCIDENTES DE SEGURANÇA COM DADOS PESSOAIS
Qualquer suspeita ou confirmação de acesso não autorizado, perda, envio indevido, alteração, indisponibilidade, fraude, exposição ou outro incidente envolvendo dados pessoais deve ser comunicada imediatamente à Secretaria APEF/coordenação de privacidade. A ocorrência deve ser registrada conforme ANEXO 3.
- Conter o incidente e preservar registros e evidências necessárias à análise.
- Identificar data de conhecimento, circunstâncias, sistemas afetados, categorias de dados, número estimado de titulares, possíveis impactos e medidas de correção ou mitigação.
- Avaliar se o incidente pode acarretar risco ou dano relevante aos titulares, conforme LGPD e regulamentação vigente da ANPD.
- Quando houver dever de comunicação, a APEF, como controladora, deverá comunicar a ANPD e os titulares no prazo regulamentar aplicável. Conforme a Resolução CD/ANPD nº 15/2024, o prazo geral é de 3 (três) dias úteis, ressalvadas hipóteses específicas previstas na própria regulamentação.
- Manter o registro do incidente, inclusive quando não houver comunicação externa, pelo prazo mínimo regulamentar de 5 (cinco) anos, salvo obrigação que exija período superior.
5.14 NOVOS PROJETOS, SISTEMAS E ALTERAÇÕES RELEVANTES
Projetos, sistemas, formulários, aplicativos, integrações ou alterações de processo que impliquem nova coleta, novo compartilhamento, uso de dados sensíveis, monitoramento relevante ou risco elevado devem incorporar requisitos de privacidade e segurança desde a concepção. Quando necessário, a Diretoria poderá determinar avaliação específica de riscos ou Relatório de Impacto à Proteção de Dados Pessoais - RIPD.
5.15 TREINAMENTO E CONSCIENTIZAÇÃO
A APEF realizará treinamento periódico sobre proteção de dados e segurança da informação para pessoas que tenham acesso regular a dados pessoais, mantendo conteúdo programático, lista de presença ou registro eletrônico, data, duração e demais evidências. O treinamento deve abordar, no mínimo, coleta necessária, uso autorizado, compartilhamento, segurança de credenciais, phishing, atendimento aos titulares e resposta a incidentes.
5.16 AUDITORIAS, NÃO CONFORMIDADES E MELHORIA
O cumprimento deste procedimento poderá ser verificado em auditorias e avaliações internas do Sistema de Gestão. Falhas identificadas devem ser registradas, corrigidas e, quando aplicável, tratadas por ação corretiva, incluindo análise de causa, responsável e prazo. A recorrência de falhas, incidentes ou mudanças regulatórias deve alimentar a revisão dos controles e treinamentos.
