1. Objetivo e alcance
Este programa define como a IDEIA trata dados pessoais em suas operações e contratos.
Ele vale para todas as áreas, unidades e projetos da empresa.
Aplica-se a dados de clientes, parceiros, fornecedores, colaboradores e candidatos a vaga.
A política de privacidade publicada no site trata do uso dos canais digitais e é documento separado.
Em caso de conflito, prevalecem a lei e o contrato firmado com o cliente.
2. Papéis de controlador e operador
Controlador é quem decide sobre a finalidade e os elementos do tratamento de dados.
Operador é quem trata dados pessoais em nome do controlador e conforme as instruções dele.
A IDEIA atua como controladora dos dados de colaboradores, candidatos e contatos comerciais.
Nos serviços de tecnologia, a IDEIA costuma atuar como operadora dos dados do cliente.
O papel de cada parte consta do contrato ou do aditivo de tratamento de dados.
3. Princípios da LGPD
A empresa observa finalidade, adequação, necessidade, livre acesso, qualidade e transparência.
Também observa segurança, prevenção, não discriminação, responsabilização e prestação de contas.
Coletamos apenas o dado necessário para a finalidade informada ao titular.
O tratamento é registrado e pode ser demonstrado à autoridade quando solicitado.
4. Bases legais do tratamento
Todo tratamento tem base legal definida na LGPD e registrada no inventário de dados.
As bases mais usadas são execução de contrato, cumprimento de obrigação legal e legítimo interesse.
O consentimento é usado quando nenhuma outra base se aplica ao caso.
Quando o consentimento é a base, o titular pode revogá-lo a qualquer momento.
Dados sensíveis seguem regra própria e só são tratados quando a lei permitir.
5. Dados de clientes
Nos projetos de tecnologia, o cliente define a finalidade dos dados que confia à IDEIA.
A empresa trata esses dados apenas para executar o contrato e prestar o suporte contratado.
O acesso é limitado à equipe designada, conforme a função e a necessidade.
A empresa não usa dado de cliente para finalidade própria nem para venda a terceiros.
Ao fim do contrato, os dados são devolvidos ou eliminados conforme a orientação do cliente.
6. Dados de colaboradores
A empresa trata dados de colaboradores para cumprir o contrato de trabalho e a lei.
Isso inclui dados cadastrais, de folha, de jornada, de benefícios e de saúde ocupacional.
O acesso a esses dados é restrito às áreas de pessoal, gestão e conformidade.
Dados de saúde são tratados apenas pelo pessoal autorizado e com finalidade legal.
O colaborador é informado sobre o tratamento e pode consultar seus próprios dados.
7. Segurança da informação
A empresa adota medidas técnicas e administrativas para proteger os dados pessoais.
As medidas incluem controle de acesso, autenticação em duas etapas, registro e cópia de segurança.
O acesso a dado pessoal é concedido por função e revisado periodicamente.
Quem trata dado pessoal assina termo de confidencialidade e cumpre a política de segurança da informação.
8. Retenção e descarte
O dado pessoal é mantido apenas pelo tempo necessário para cumprir a finalidade.
Prazos legais, contratuais e fiscais são considerados antes de qualquer eliminação.
Encerrado o prazo, o dado é eliminado ou anonimizado de forma segura.
Cópias em backup podem permanecer por ciclo limitado e são eliminadas na renovação.
O descarte e os prazos aplicados ficam registrados para prestação de contas.
9. Atendimento ao titular
O titular pode pedir confirmação, acesso, correção, anonimização, portabilidade ou eliminação.
Também pode pedir informação sobre compartilhamento e sobre a base legal usada.
O pedido é enviado para contato@grupoideia.inf.br e respondido nos prazos da LGPD.
A empresa pode pedir dados adicionais para confirmar a identidade do solicitante.
Quando a empresa atua como operadora, o pedido é encaminhado ao controlador responsável.
10. Incidentes e comunicação à ANPD
Incidente de segurança é registrado e tratado conforme o plano de resposta da empresa.
A equipe avalia o risco e o impacto sobre os titulares afetados.
Incidente relevante é comunicado à ANPD e aos titulares, na forma da lei.
A empresa também comunica o cliente controlador quando o dado tratado for dele.
Depois do incidente, a causa é analisada e as medidas corretivas são registradas.
11. Sigilo profissional
O sigilo sobre dados de clientes é dever de todos os que atuam nos projetos da empresa.
A obrigação permanece após o fim do contrato de trabalho ou de prestação de serviço.
A quebra de sigilo sujeita o responsável a medida disciplinar e às sanções da lei.
O sigilo não impede o atendimento a requisição legal de autoridade competente.
12. Encarregado de dados
A empresa mantém encarregado de dados, o canal de comunicação com titulares e com a ANPD.
As solicitações são recebidas pelo e-mail contato@grupoideia.inf.br.
O encarregado orienta as áreas, acompanha os pedidos e mantém o registro das operações.
O nome e o contato do encarregado são divulgados nos canais oficiais da empresa.