TERMOS DE USO

Estabelecer a sistemática para o tratamento e o controle de dados pessoais pela Associação Paranaense de Engenheiros Florestais - APEF, disciplinando a coleta, finalidade, definição da base legal, armazenamento, acesso, compartilhamento, retenção, eliminação, atendimento aos titulares e resposta a incidentes de segurança.

O procedimento operacionaliza a Política de Privacidade e Proteção de Dados Pessoais da APEF e tem como finalidade assegurar tratamento adequado, necessário, seguro, transparente e rastreável, em conformidade com a Lei Federal nº 13.709/2018 - Lei Geral de Proteção de Dados Pessoais - LGPD e regulamentações aplicáveis da Autoridade Nacional de Proteção de Dados - ANPD.

Aplica-se às atividades administrativas, associativas, institucionais, técnicas, financeiras, de comunicação, eventos, projetos e demais processos em que a APEF realize tratamento de dados pessoais, em meio físico ou digital. Abrange Diretoria Executiva, Conselho Deliberativo e Fiscal, Secretaria APEF, Comunicação e Marketing, comitês, comissões, representantes, prestadores de serviços, operadores e demais pessoas autorizadas a tratar dados em nome da Associação.

4.1 DIRETORIA EXECUTIVA

• Assegurar a implementação deste procedimento e aprovar a Política de Privacidade e Proteção de Dados Pessoais e suas revisões.
• Definir responsáveis pelos processos de tratamento e disponibilizar recursos proporcionais aos riscos e à estrutura da Associação.
• Designar formalmente o Encarregado, quando aplicável, ou o responsável interno pela coordenação das práticas de privacidade, mantendo canal de atendimento aos titulares.
• Deliberar sobre incidentes relevantes, medidas corretivas, contratações de operadores e demais temas de maior risco.

4.2 SECRETARIA APEF / COORDENAÇÃO DE PRIVACIDADE

• Coordenar e manter a Matriz/Registro das Operações de Tratamento de Dados Pessoais atualizada.
• Receber e registrar solicitações de titulares, encaminhando-as aos responsáveis e acompanhando os prazos aplicáveis.
• Manter evidências de consentimento quando essa for a base legal adotada, bem como registros de revogação e demais manifestações do titular.
• Coordenar o registro de incidentes de segurança e o encaminhamento das informações necessárias à Diretoria e ao Encarregado, quando designado.
• Promover orientações e treinamentos periódicos sobre proteção de dados e segurança da informação.

4.3 RESPONSÁVEIS PELOS PROCESSOS

• Identificar os dados pessoais utilizados em seus processos e comunicar alterações relevantes à Secretaria APEF.
• Definir e justificar finalidade e base legal, observando necessidade, adequação e minimização dos dados.
• Restringir o acesso às pessoas efetivamente necessárias e preservar a confidencialidade das informações.
• Apoiar o atendimento a titulares, a revisão de prazos de retenção, auditorias, investigações e resposta a incidentes.

4.4 USUÁRIOS, COLABORADORES E PRESTADORES AUTORIZADOS

• Utilizar dados pessoais somente para as finalidades autorizadas e dentro das atribuições recebidas.
• Não compartilhar credenciais, copiar bases para ambientes pessoais ou divulgar dados a terceiros sem autorização e fundamento aplicável.
• Comunicar imediatamente perda, envio indevido, acesso suspeito, exposição, fraude, phishing ou qualquer incidente relacionado a dados pessoais.
• Cumprir termos de confidencialidade, orientações de segurança e demais documentos do Sistema de Gestão.

5.1 PRINCÍPIOS E GOVERNANÇA DO TRATAMENTO

Toda operação com dados pessoais deve observar, conforme aplicável, os princípios da finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas. A inclusão de nova coleta, novo uso, novo compartilhamento ou nova tecnologia deve ser avaliada antes da implantação e registrada quando relevante.

5.2 MAPEAMENTO E REGISTRO DAS OPERAÇÕES DE TRATAMENTO

Os processos que tratem dados pessoais devem ser registrados na Matriz/Registro das Operações de Tratamento, conforme modelo do ANEXO 1. O registro deve conter, no mínimo: processo, titular, categorias de dados, origem/coleta, finalidade, base legal, armazenamento, responsáveis e acessos, compartilhamento, prazo ou critério de retenção e forma de eliminação ou anonimização.

A Matriz deve ser revisada sempre que houver alteração relevante no processo, sistema, formulário, finalidade, base legal, fornecedor, compartilhamento ou prazo de retenção, e ao menos uma vez por ano.

5.3 COLETA DE DADOS PESSOAIS

• Coletar apenas dados adequados, pertinentes e limitados ao necessário para a finalidade declarada.
• Informar ao titular, de forma clara e acessível, as finalidades do tratamento e demais informações pertinentes por meio da Política de Privacidade, aviso de privacidade, formulário, termo ou comunicação equivalente.
• Evitar campos obrigatórios sem necessidade comprovada e revisar periodicamente formulários físicos e digitais.
• Quando dados forem recebidos de terceiros ou fontes legítimas, registrar a origem e verificar a compatibilidade do uso pretendido com a legislação e com as expectativas do titular.

5.4 FINALIDADE E BASE LEGAL

Nenhum tratamento deve ser iniciado ou ampliado sem finalidade definida e base legal aplicável. A base legal será registrada na Matriz de Tratamento de acordo com a operação concreta, podendo incluir, quando cabível, consentimento, cumprimento de obrigação legal ou regulatória, execução de contrato ou procedimentos preliminares, exercício regular de direitos, proteção da vida, legítimo interesse ou outra hipótese prevista em lei.

A aceitação genérica de Termos de Uso ou da Política de Privacidade não deve ser utilizada como consentimento indiscriminado. Quando o consentimento for necessário, deve ser livre, informado, inequívoco e relacionado a finalidades determinadas, com possibilidade de revogação.

5.5 CONSENTIMENTO

• Registrar data, finalidade, forma de manifestação e versão do aviso ou termo apresentado ao titular.
• Permitir revogação por procedimento gratuito e facilitado e registrar a manifestação.
• Não utilizar o consentimento quando outra base legal mais adequada for aplicável apenas com o objetivo de simplificar a documentação.
• Em comunicações facultativas, disponibilizar mecanismo de descadastro quando aplicável.

5.6 DADOS PESSOAIS SENSÍVEIS, CRIANÇAS E ADOLESCENTES

O tratamento de dados pessoais sensíveis somente poderá ocorrer nas hipóteses previstas no art. 11 da LGPD, com finalidade específica e controles reforçados. O legítimo interesse não será adotado como base legal para dados sensíveis.

Quando houver tratamento de dados de crianças ou adolescentes, devem ser observados o melhor interesse desses titulares e os requisitos legais aplicáveis à atividade, inclusive quanto à transparência e participação de responsáveis legais quando exigida.

5.7 ARMAZENAMENTO E SEGURANÇA DA INFORMAÇÃO

• Manter dados e registros em repositórios institucionais aprovados pela APEF, evitando armazenamento desnecessário em dispositivos, contas ou serviços pessoais.
• Adotar credenciais individuais, senhas adequadas, autenticação multifator quando disponível, controle de permissões, cópias de segurança e demais medidas proporcionais ao risco.
• Restringir arquivos editáveis, planilhas com dados pessoais e pastas sensíveis às pessoas que necessitem do acesso para execução de suas atividades.
• Proteger documentos físicos contra acesso indevido e, quando descartados, utilizar método que impossibilite recuperação do conteúdo.
• Para o site institucional e demais sistemas acessíveis pela internet, manter ambiente de hospedagem com controles de segurança compatíveis com os riscos, incluindo, quando disponibilizados ou contratados, firewall, mecanismos de proteção e mitigação contra ataques distribuídos de negação de serviço (DDoS), conexões seguras, monitoramento, atualização dos componentes tecnológicos, cópias de segurança e controles de acesso.
• No ambiente utilizado pelo site da APEF-PR, hospedado pela AZ Sistemas, manter evidência técnica, contratual ou declaração do fornecedor que comprove os mecanismos de firewall, proteção/mitigação DDoS e demais controles de segurança disponibilizados ao serviço.

5.8 CONTROLE DE ACESSO

Os acessos a dados pessoais devem observar o princípio do menor privilégio. A Secretaria APEF e os responsáveis pelos processos devem revisar permissões quando houver ingresso, mudança de função, substituição, desligamento ou término da necessidade de acesso. Credenciais não devem ser compartilhadas.

5.9 COMPARTILHAMENTO E OPERADORES

O compartilhamento com prestadores de tecnologia, contabilidade, instituições financeiras, meios de pagamento, parceiros, fornecedores, CREA-PR, autoridades ou outros terceiros deve limitar-se ao necessário para a finalidade correspondente e possuir fundamento jurídico aplicável.

• Registrar na Matriz os principais destinatários ou categorias de destinatários e a finalidade do compartilhamento.
• Quando a APEF contratar operador, prever, conforme a natureza e o risco, obrigações de confidencialidade, segurança, tratamento segundo instruções, comunicação de incidentes, devolução ou eliminação de dados e cooperação com o atendimento aos titulares.
• Não comercializar ou disponibilizar bases de dados pessoais para finalidades incompatíveis com as finalidades institucionais ou sem fundamento legal.
• Para fornecedores de hospedagem, manutenção de sistemas, nuvem ou outras soluções tecnológicas que tratem dados pessoais, avaliar e registrar os controles de segurança disponibilizados, incluindo, conforme aplicável, firewall, proteção/mitigação DDoS, gestão de acessos, conexões seguras, cópias de segurança, monitoramento, atualização de componentes e resposta a incidentes.
• A AZ Sistemas, na condição de fornecedora de hospedagem do site da APEF-PR e, quando caracterizada como operadora de tratamento, deve constar na Matriz/Registro das Operações de Tratamento, com indicação dos serviços prestados, processos e dados envolvidos, medidas de segurança adotadas e evidências técnicas ou contratuais correspondentes.
• Manter como evidência contrato, proposta, declaração técnica, especificação de serviço, relatório ou comunicação formal do fornecedor que demonstre os controles tecnológicos e de segurança aplicáveis ao ambiente de hospedagem.

5.10 TRANSFERÊNCIA INTERNACIONAL DE DADOS

Quando fornecedores, plataformas ou serviços tecnológicos envolverem armazenamento, acesso ou processamento de dados em outros países, a APEF deverá verificar a caracterização da transferência internacional e adotar mecanismo admitido pela LGPD e pela regulamentação da ANPD, mantendo os registros e documentos pertinentes.

5.11 RETENÇÃO, ARQUIVAMENTO E ELIMINAÇÃO

Cada processo deve possuir prazo ou critério de retenção definido na Matriz de Tratamento, considerando a finalidade, a relação associativa ou contratual, requisitos legais, fiscais, contábeis, estatutários, exercício regular de direitos e necessidade de rastreabilidade.

Encerrada a finalidade e inexistindo fundamento para conservação, os dados devem ser eliminados ou anonimizados de maneira segura. Quando houver retenção obrigatória ou justificável, o acesso deve permanecer limitado à finalidade residual que justificou a conservação.

5.12 DIREITOS DOS TITULARES E CANAL DE ATENDIMENTO

As solicitações relacionadas a dados pessoais deverão ser recebidas pelo canal institucional divulgado na Política de Privacidade, atualmente secretaria@apef-pr.org.br, ou por outro canal formal que venha a substituí-lo. A solicitação deve ser registrada conforme ANEXO 2 e encaminhada ao responsável competente.

• Confirmar a identidade do solicitante de forma proporcional ao risco, evitando fornecimento de dados a pessoa não autorizada.
• Permitir, quando aplicável, confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários ou irregulares, portabilidade nos termos da regulamentação, informação sobre compartilhamentos, revogação do consentimento, oposição e demais direitos previstos na LGPD.
• Para confirmação e acesso, observar as formas e prazos legais do art. 19 da LGPD; para as demais solicitações, observar os prazos legais ou regulatórios aplicáveis e registrar eventual impossibilidade ou fundamento de retenção.
• Manter evidência da resposta, data, responsável e providências adotadas.

5.13 INCIDENTES DE SEGURANÇA COM DADOS PESSOAIS

Qualquer suspeita ou confirmação de acesso não autorizado, perda, envio indevido, alteração, indisponibilidade, fraude, exposição ou outro incidente envolvendo dados pessoais deve ser comunicada imediatamente à Secretaria APEF/coordenação de privacidade. A ocorrência deve ser registrada conforme ANEXO 3.

• Conter o incidente e preservar registros e evidências necessárias à análise.
• Identificar data de conhecimento, circunstâncias, sistemas afetados, categorias de dados, número estimado de titulares, possíveis impactos e medidas de correção ou mitigação.
• Avaliar se o incidente pode acarretar risco ou dano relevante aos titulares, conforme LGPD e regulamentação vigente da ANPD.
• Quando houver dever de comunicação, a APEF, como controladora, deverá comunicar a ANPD e os titulares no prazo regulamentar aplicável. Conforme a Resolução CD/ANPD nº 15/2024, o prazo geral é de 3 (três) dias úteis, ressalvadas hipóteses específicas previstas na própria regulamentação.
• Manter o registro do incidente, inclusive quando não houver comunicação externa, pelo prazo mínimo regulamentar de 5 (cinco) anos, salvo obrigação que exija período superior.

5.14 NOVOS PROJETOS, SISTEMAS E ALTERAÇÕES RELEVANTES

Projetos, sistemas, formulários, aplicativos, integrações ou alterações de processo que impliquem nova coleta, novo compartilhamento, uso de dados sensíveis, monitoramento relevante ou risco elevado devem incorporar requisitos de privacidade e segurança desde a concepção. Quando necessário, a Diretoria poderá determinar avaliação específica de riscos ou Relatório de Impacto à Proteção de Dados Pessoais - RIPD.

5.15 TREINAMENTO E CONSCIENTIZAÇÃO

A APEF realizará treinamento periódico sobre proteção de dados e segurança da informação para pessoas que tenham acesso regular a dados pessoais, mantendo conteúdo programático, lista de presença ou registro eletrônico, data, duração e demais evidências. O treinamento deve abordar, no mínimo, coleta necessária, uso autorizado, compartilhamento, segurança de credenciais, phishing, atendimento aos titulares e resposta a incidentes.

5.16 AUDITORIAS, NÃO CONFORMIDADES E MELHORIA

O cumprimento deste procedimento poderá ser verificado em auditorias e avaliações internas do Sistema de Gestão. Falhas identificadas devem ser registradas, corrigidas e, quando aplicável, tratadas por ação corretiva, incluindo análise de causa, responsável e prazo. A recorrência de falhas, incidentes ou mudanças regulatórias deve alimentar a revisão dos controles e treinamentos.

Constituem registros associados a este procedimento, quando aplicável:

• Matriz/Registro das Operações de Tratamento de Dados Pessoais;
• registros de consentimento, revogação e preferências de comunicação;
• registros de solicitações de titulares e respectivas respostas;
• registros de acesso, permissões e revisões de usuários críticos;
• registros de compartilhamentos e contratos/termos com operadores relevantes;
• registros de incidentes de segurança e respectivas medidas, comunicações e justificativas;
• relatórios de risco ou RIPD, quando elaborados;
• materiais, listas de presença e evidências de treinamentos;
• registros de auditorias, não conformidades, ações corretivas e melhorias.

Os registros devem ser mantidos no repositório oficial da APEF, com acesso compatível com sua classificação e finalidade. Os prazos de guarda seguirão requisitos legais e regulatórios, a Matriz de Tratamento e demais procedimentos do Sistema de Gestão. O registro de incidentes de segurança deve observar o prazo mínimo definido pela regulamentação da ANPD.

• ANEXO 1 - Modelo de Matriz/Registro das Operações de Tratamento de Dados Pessoais.
• ANEXO 2 - Modelo de Registro de Solicitação de Titular.
• ANEXO 3 - Modelo de Registro de Incidente de Segurança com Dados Pessoais.

• APEF-10 - Elaboração e Controle de Documentos - revisão vigente.
• APEF-14 - Plano de Atualização Tecnológica APEF 4.0 - revisão vigente.
• Política de Privacidade e Proteção de Dados Pessoais da APEF-PR - versão vigente.
• Lei Federal nº 13.709/2018 - Lei Geral de Proteção de Dados Pessoais - LGPD.
• Resolução CD/ANPD nº 15/2024 - Regulamento de Comunicação de Incidente de Segurança.
• Resolução CD/ANPD nº 18/2024 - Regulamento sobre a atuação do Encarregado pelo Tratamento de Dados Pessoais.
• Resolução CD/ANPD nº 19/2024 - Regulamento de Transferência Internacional de Dados e cláusulas-padrão contratuais.
• Estatuto Social da Associação Paranaense de Engenheiros Florestais - versão vigente.

Este documento passa a vigorar após dez dias da data de sua aprovação e deve ser revisado em prazo máximo de 02 (dois) anos, ou antes desse prazo sempre que houver alteração relevante na legislação ou regulamentação, nos processos, sistemas, riscos, finalidade de tratamento ou estrutura da APEF que afete sua aplicação.

Este procedimento integra o Sistema de Gestão da Associação Paranaense de Engenheiros Florestais e será administrado pela Secretaria APEF, com acompanhamento da Diretoria Executiva e do responsável pela privacidade/Encarregado, quando formalmente designado. Sua emissão, revisão, disponibilização e arquivamento devem seguir o APEF-10 - Elaboração e Controle de Documentos.

A implantação deste procedimento formaliza controles sobre coleta e uso de dados pessoais e constitui evidência do Sistema de Gestão para atendimento às práticas de proteção de dados, inclusive ao item 11.42 do 19º Ciclo do Prêmio Crea-PR da Qualidade - PCQ 2026, sem limitar sua finalidade permanente de conformidade legal e governança institucional.

ANEXO 1 - MODELO DE MATRIZ / REGISTRO DAS OPERAÇÕES DE TRATAMENTO DE DADOS PESSOAIS

ANEXO 2 - MODELO DE REGISTRO DE SOLICITAÇÃO DE TITULAR

ANEXO 3 - MODELO DE REGISTRO DE INCIDENTE DE SEGURANÇA COM DADOS PESSOAIS