I. CONTROLE DO DOCUMENTO

a) Identificação do Documento

Documento: Política de Privacidade e Proteção de Dados Pessoais

Código: PPD-001

Classificação: Uso Interno

Área Responsável: Governança, Segurança da Informação e Privacidade

Abrangência: Todos os colaboradores, sócios, administradores, prestadores de serviços, parceiros e terceiros que tratem dados pessoais em nome da ECAR Fleet.

b) Histórico de Revisões

Esta Política foi aprovada pela Diretoria Executiva da ECAR Fleet e integra o Programa Corporativo de Governança em Privacidade, Proteção de Dados e Segurança da Informação.

Sua observância é obrigatória para todos os colaboradores, administradores, parceiros comerciais, fornecedores e terceiros que tratem dados pessoais em nome da organização.

d) Responsável pela Manutenção

A manutenção desta Política é coordenada pelo Encarregado pelo Tratamento de Dados (Data Protection Officer – DPO), em conjunto com a Diretoria Executiva.

Compete ao responsável promover revisões periódicas, acompanhar alterações legislativas, coordenar melhorias nos processos de privacidade e assegurar a atualização dos documentos relacionados à proteção de dados pessoais.

Responsável: Eduardo Bortotti – Encarregado pelo Tratamento de Dados (DPO)

e) Revisão da Política

Esta Política será revisada:

• anualmente;
• sempre que houver alteração relevante na legislação aplicável;
• quando ocorrerem mudanças significativas nos processos de tratamento de dados pessoais;
• após incidentes relevantes relacionados à privacidade;
• quando identificadas oportunidades de melhoria decorrentes de auditorias ou avaliações internas.

II. OBJETIVO

Esta Política estabelece as diretrizes adotadas pela ECAR Fleet para o tratamento de dados pessoais, demonstrando o compromisso da organização com a privacidade, a proteção das informações e a conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 – LGPD).

Tem como objetivos:

• assegurar o tratamento adequado dos dados pessoais;
• proteger os direitos e liberdades dos titulares;
• estabelecer responsabilidades quanto ao tratamento de dados pessoais;
• garantir transparência nas atividades de tratamento realizadas pela organização;
• fortalecer a governança corporativa em privacidade;
• atender aos requisitos legais, regulatórios e contratuais relacionados à proteção de dados.

Esta Política constitui o documento orientador do Programa Corporativo de Governança em Privacidade, Proteção de Dados e Segurança da Informação da Ecar Fleet, sendo complementada por normas, procedimentos e políticas específicas.

III. ESCOPO

Esta Política aplica-se a todas as atividades desenvolvidas pela ECAR Fleet que envolvam coleta, utilização, acesso, armazenamento, compartilhamento, retenção, eliminação ou qualquer outra forma de tratamento de dados pessoais.

Aplica-se a:

• sócios;
• administradores;
• colaboradores;
• estagiários;
• consultores;
• prestadores de serviços;
• parceiros comerciais;
• terceiros que atuem em nome da ECAR Fleet.

IV. BASE LEGAL E REFERÊNCIAS

Esta Política foi elaborada considerando:

• Lei nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais (LGPD);
• Marco Civil da Internet;
• Constituição Federal;
• Código Civil Brasileiro;
• obrigações contratuais assumidas pela ECAR Fleet perante seus clientes;
• Política de Segurança da Informação da ECAR Fleet;
• Procedimento de Gestão e Resposta a Incidentes;
• Procedimento de Gestão da Informação;
• boas práticas internacionalmente reconhecidas de Governança em Privacidade e Proteção de Dados.

A ECAR Fleet adota como referência as melhores práticas de mercado relacionadas à privacidade e proteção de dados pessoais, utilizando tais referenciais para aprimorar continuamente seus controles internos, ainda que não possua certificação específica em privacidade.

V. PRINCÍPIOS DA PROTEÇÃO DE DADOS PESSOAIS

A ECAR Fleet realiza o tratamento de dados pessoais observando os princípios estabelecidos pela Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), comprometendo-se a assegurar que todas as atividades envolvendo dados pessoais sejam conduzidas de forma ética, transparente e compatível com as finalidades para as quais as informações foram coletadas.

Para tanto, a organização observa os seguintes princípios:

Finalidade

Os dados pessoais serão tratados para propósitos legítimos, específicos, explícitos e informados ao titular, compatíveis com as atividades desenvolvidas pela ECAR Fleet.

Adequação

O tratamento dos dados pessoais será compatível com as finalidades informadas aos titulares e com a natureza dos serviços prestados pela organização.

Necessidade

Serão tratados apenas os dados pessoais estritamente necessários para o atendimento das finalidades pretendidas, observando-se o princípio da minimização de dados.

Livre Acesso e Transparência

Os titulares poderão obter informações sobre o tratamento de seus dados pessoais por meio dos canais disponibilizados pela ECAR Fleet, observadas as limitações legais aplicáveis.

Qualidade dos Dados

A ECAR Fleet buscará manter os dados pessoais corretos, atualizados, completos e pertinentes às finalidades de tratamento.

Segurança

Serão adotadas medidas administrativas e organizacionais destinadas a proteger os dados pessoais contra acessos não autorizados, destruição, perda, alteração, divulgação ou qualquer forma de tratamento inadequado ou ilícito.

Os controles técnicos relacionados à infraestrutura da plataforma utilizada na prestação dos serviços são implementados e mantidos pelo fornecedor tecnológico contratado pela ECAR Fleet, conforme responsabilidades estabelecidas contratualmente.

Prevenção

A organização adota medidas destinadas à prevenção de incidentes envolvendo dados pessoais, promovendo ações de conscientização, definição de procedimentos internos e acompanhamento dos controles de segurança implementados pelos fornecedores estratégicos.

Não Discriminação

Os dados pessoais não serão utilizados para fins discriminatórios, ilícitos ou abusivos.

Responsabilização e Prestação de Contas

A ECAR Fleet manterá mecanismos destinados a demonstrar a adoção de medidas compatíveis com a legislação vigente, buscando evidenciar a conformidade de seus processos de tratamento de dados pessoais.

VI. PAPÉIS E RESPONSABILIDADES

A proteção de dados pessoais constitui responsabilidade compartilhada entre todos aqueles que participam das atividades de tratamento realizadas pela ECAR Fleet.

a) Diretoria Executiva

Compete à Diretoria Executiva:

• aprovar esta Política e suas revisões;
• assegurar recursos para o Programa de Privacidade;
• promover a cultura de proteção de dados pessoais na organização;
• apoiar as ações relacionadas à conformidade com a LGPD.

b) Encarregado pelo Tratamento de Dados (DPO)

Compete ao Encarregado pelo Tratamento de Dados:

• atuar como canal de comunicação entre a ECAR Fleet, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD), quando aplicável;
• orientar colaboradores quanto às boas práticas de proteção de dados;
• acompanhar a conformidade da organização com a legislação aplicável;
• apoiar a elaboração e atualização das políticas relacionadas à privacidade;
• coordenar o atendimento às solicitações dos titulares;
• acompanhar incidentes envolvendo dados pessoais.

c) Gestores

Compete aos gestores:

• assegurar que os tratamentos realizados sob sua responsabilidade observem esta Política;
• comunicar situações que possam representar riscos à privacidade;
• apoiar as ações de conscientização de suas equipes.

d) Colaboradores

Compete aos colaboradores:

• tratar dados pessoais exclusivamente para fins relacionados às suas atividades profissionais;
• observar os princípios desta Política;
• manter o sigilo das informações às quais tiverem acesso;
• comunicar imediatamente qualquer incidente, suspeita de incidente ou utilização inadequada de dados pessoais.

e) Fornecedores e Parceiros

Os fornecedores que realizem tratamento de dados pessoais em nome da ECAR Fleet deverão observar as obrigações previstas na legislação aplicável, nos contratos firmados entre as partes e nas diretrizes estabelecidas pela organização.

Os fornecedores tecnológicos responsáveis pela infraestrutura da plataforma utilizada na prestação dos serviços permanecem responsáveis pelos controles técnicos sob sua gestão, incluindo aqueles relacionados à disponibilidade, segurança, criptografia, monitoramento e demais controles de infraestrutura.

VII. DADOS PESSOAIS TRATADOS PELA ECAR FLEET

Em razão da natureza de suas atividades, a ECAR Fleet poderá realizar o tratamento de dados pessoais necessários à prestação de seus serviços e ao desenvolvimento de suas atividades administrativas.

De forma geral, poderão ser tratados dados relacionados às seguintes categorias:

a) Colaboradores

• dados cadastrais;
• dados profissionais;
• dados necessários ao cumprimento das obrigações trabalhistas e legais.

b) Clientes

• dados cadastrais;
• dados de contato;
• informações relacionadas aos contratos firmados com a ECAR Fleet.

c) Condutores e Usuários da Frota

Quando necessários para a prestação dos serviços contratados pelos clientes, poderão ser tratados dados relacionados aos condutores cadastrados nas plataformas utilizadas pela ECAR Fleet, observadas as finalidades previstas contratualmente.

d) Fornecedores e Parceiros

Dados necessários para gestão contratual, relacionamento comercial e cumprimento de obrigações legais.

e) Registro das Operações de Tratamento

A ECAR Fleet mantém registro das atividades de tratamento de dados pessoais compatíveis com suas operações e com as responsabilidades assumidas perante seus clientes, observando a legislação vigente e os controles aplicáveis aos fornecedores tecnológicos responsáveis pela plataforma utilizada na prestação dos serviços.

VIII. BASES LEGAIS PARA O TRATAMENTO DE DADOS PESSOAIS

A ECAR Fleet realiza o tratamento de dados pessoais somente quando existir fundamento legal que o autorize, observando as hipóteses previstas na Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018). O tratamento poderá ocorrer, conforme aplicável, com fundamento nas seguintes bases legais:

a) Execução de Contrato

Quando o tratamento for necessário para a execução de contratos celebrados pela ECAR Fleet ou para a realização de procedimentos preliminares relacionados à contratação de seus serviços.

b) Cumprimento de Obrigação Legal ou Regulatória

Quando o tratamento decorrer de obrigação imposta por lei, regulamento ou determinação de autoridade competente.

c) Exercício Regular de Direitos

Quando necessário para o exercício regular de direitos em processos judiciais, administrativos ou arbitrais.

d) Legítimo Interesse

Quando o tratamento for necessário para atender aos interesses legítimos da ECAR Fleet ou de terceiros, observados os direitos e as liberdades fundamentais dos titulares dos dados.

e) Consentimento

Sempre que exigido pela legislação, a ECAR Fleet solicitará o consentimento livre, informado e inequívoco do titular antes da realização do tratamento dos dados pessoais.

IX. COMPARTILHAMENTO DE DADOS PESSOAIS

A ECAR Fleet realiza o compartilhamento de dados pessoais apenas quando necessário ao desenvolvimento de suas atividades, à execução dos serviços contratados ou ao cumprimento de obrigações legais e regulatórias.

a) Hipóteses de Compartilhamento

Os dados pessoais poderão ser compartilhados com:

• clientes da ECAR Fleet;
• fornecedores contratados para apoio à prestação dos serviços;
• parceiros comerciais;
• autoridades públicas, quando houver obrigação legal ou determinação competente;
• fornecedores tecnológicos responsáveis pela infraestrutura utilizada na prestação dos serviços.

b) Compartilhamento com Fornecedores Tecnológicos

Os fornecedores tecnológicos contratados pela ECAR Fleet atuarão conforme as responsabilidades estabelecidas contratualmente, adotando controles compatíveis com a proteção dos dados pessoais tratados. Sempre que aplicável, a ECAR Fleet buscará assegurar que tais fornecedores mantenham medidas técnicas e organizacionais adequadas para proteção das informações.

c) Compartilhamentos Não Autorizados

É vedado aos colaboradores compartilhar dados pessoais para finalidades distintas daquelas autorizadas pela organização ou pela legislação vigente.

X. DIREITOS DOS TITULARES DOS DADOS

A ECAR Fleet assegura aos titulares dos dados pessoais o exercício dos direitos previstos na Lei Geral de Proteção de Dados Pessoais, observadas as limitações legais aplicáveis. Os titulares poderão solicitar, quando cabível:

• confirmação da existência de tratamento;
• acesso aos dados pessoais;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados tratados em desconformidade com a legislação;
• portabilidade dos dados;
• informações sobre compartilhamento de dados;
• revogação do consentimento, quando aplicável;
• revisão de decisões automatizadas, quando cabível.

As solicitações serão analisadas e respondidas nos prazos e condições estabelecidos pela legislação vigente.

Sempre que possível, a identidade do solicitante será previamente validada, de forma a assegurar que o atendimento seja realizado exclusivamente ao titular dos dados ou ao seu representante legal devidamente autorizado.

XI. CANAL DE ATENDIMENTO AOS TITULARES

A ECAR Fleet disponibiliza canal específico para atendimento às solicitações relacionadas ao tratamento de dados pessoais. Os titulares poderão exercer seus direitos por meio dos canais oficiais disponibilizados pela organização.

• Encarregado pelo Tratamento de Dados (DPO):
  • Eduardo Bortotti
  • E-mail: privacidade@ecarfleet.com.br

As solicitações serão registradas, avaliadas e respondidas conforme os procedimentos internos da organização e a legislação aplicável.

XII. MEDIDAS DE SEGURANÇA APLICADAS À PROTEÇÃO DE DADOS PESSOAIS

A ECAR Fleet adota medidas administrativas, organizacionais e contratuais destinadas à proteção dos dados pessoais tratados em suas atividades, buscando reduzir os riscos de acesso não autorizado, perda, alteração, divulgação ou qualquer outra forma de tratamento inadequado ou ilícito.

Entre as medidas adotadas destacam-se:

• controle de acesso às informações de acordo com as atribuições de cada colaborador;
• utilização de credenciais individuais para acesso aos recursos corporativos;
• aplicação das diretrizes estabelecidas na Política de Segurança da Informação;
• conscientização periódica dos colaboradores sobre proteção de dados e segurança da informação;
• celebração de instrumentos de confidencialidade com colaboradores, parceiros e fornecedores, quando aplicável;
• acompanhamento dos controles implementados pelos fornecedores tecnológicos responsáveis pela infraestrutura utilizada na prestação dos serviços;
• realização periódica de revisões dos controles administrativos relacionados à proteção de dados pessoais.

A ECAR Fleet promove a melhoria contínua de seus controles de proteção de dados, observando a evolução dos riscos, da legislação e das necessidades do negócio.

Sempre que compatível com a finalidade do tratamento e permitido pela legislação aplicável, a ECAR Fleet poderá utilizar técnicas de anonimização ou pseudonimização de dados pessoais, especialmente quando destinados a análises estatísticas, indicadores gerenciais, melhoria contínua dos serviços ou outras finalidades que não exijam a identificação direta do titular. Quando o tratamento ocorrer por meio da plataforma SaaS utilizada na prestação dos serviços, serão observados os mecanismos técnicos disponibilizados pela plataforma, permanecendo a ECAR Fleet responsável pela governança do tratamento dos dados pessoais.

XIII. RETENÇÃO E DESCARTE DE DADOS PESSOAIS

Os dados pessoais serão mantidos apenas pelo período necessário ao atendimento das finalidades para as quais foram coletados ou enquanto houver obrigação legal, regulatória ou contratual que justifique sua conservação. 

Encerrado o período de retenção, os dados pessoais serão submetidos aos procedimentos de descarte, eliminação ou anonimização, conforme aplicável, observando-se:

• obrigações legais e regulatórias;
• necessidades relacionadas ao exercício regular de direitos;
• requisitos contratuais;
• boas práticas de segurança da informação.

A eliminação dos dados deverá buscar impedir sua recuperação ou utilização não autorizada.

Quando os dados estiverem armazenados em ambientes sob responsabilidade de fornecedores tecnológicos contratados pela ECAR Fleet, o descarte observará as responsabilidades estabelecidas contratualmente entre as partes.

XIV. INCIDENTES ENVOLVENDO DADOS PESSOAIS

Todo colaborador que identificar ou suspeitar da ocorrência de incidente envolvendo dados pessoais deverá comunicar imediatamente o fato aos canais internos definidos pela ECAR Fleet.

Os incidentes serão registrados, analisados e tratados conforme os procedimentos internos da organização, considerando, entre outros aspectos:

• identificação da natureza do incidente;
• avaliação dos impactos potenciais;
• adoção de medidas para contenção e mitigação;
• implementação de ações corretivas, quando necessárias;
• comunicação às partes interessadas e às autoridades competentes, quando exigido pela legislação.

A ECAR Fleet manterá registro dos incidentes relevantes relacionados à proteção de dados pessoais e adotará medidas para prevenir recorrências.

O tratamento dos incidentes observará, quando aplicável, o Procedimento de Gestão e Resposta a Incidentes de Segurança da Informação da ECAR Fleet.

XV. TREINAMENTO E CONSCIENTIZAÇÃO

A ECAR Fleet promoverá ações periódicas de conscientização destinadas a fortalecer a cultura de privacidade e proteção de dados pessoais.

Essas ações poderão incluir:

• treinamentos internos;
• divulgação de orientações e boas práticas;
• campanhas de conscientização;
• atualização sobre alterações legais e regulatórias;
• reforço das responsabilidades previstas nesta Política e na Política de Segurança da Informação.

Os treinamentos poderão ser direcionados conforme a função exercida e os riscos associados às atividades desenvolvidas.

XVI. AUDITORIA E MELHORIA CONTÍNUA

A ECAR Fleet poderá realizar avaliações periódicas de seus processos relacionados à proteção de dados pessoais com o objetivo de verificar a aderência às políticas internas, à legislação aplicável e às obrigações assumidas perante clientes e parceiros.

As avaliações poderão considerar:

• conformidade com esta Política;
• efetividade dos controles administrativos;
• adequação dos procedimentos internos;
• resultados de auditorias;
• incidentes registrados;
• oportunidades de melhoria.

As recomendações decorrentes dessas avaliações serão analisadas pela administração da organização, visando ao aprimoramento contínuo do Programa de Governança em Privacidade.

XVII. DISPOSIÇÕES FINAIS

Esta Política entra em vigor na data de sua aprovação pela Diretoria Executiva da ECAR Fleet e permanece válida até que seja substituída por versão posterior.

Todos os colaboradores, administradores, parceiros e terceiros abrangidos por esta Política deverão conhecer, observar e cumprir suas disposições.

O descumprimento das diretrizes estabelecidas neste documento poderá resultar na adoção das medidas administrativas, contratuais e legais cabíveis, conforme a natureza da ocorrência.

Os casos omissos serão analisados pela Diretoria Executiva em conjunto com o Encarregado pelo Tratamento de Dados (DPO), observando a legislação vigente e as demais normas internas da organização.