Devem ser observados os seguintes princípios nas atividades de tratamento de dados pessoais:

• Finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
• Adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
• Necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
• Livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
• Qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
• Transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
• Segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
• Prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
• Não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;
• Responsabilização e prestação de contas: demonstração, pelo agente de tratamento, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

O tratamento de dados pessoais, considerando o escopo desta política, somente poderá ser realizado nas seguintes hipóteses:

1. mediante o fornecimento de consentimento pelo titular;
2. para o cumprimento de obrigação legal ou regulatória pelo controlador;
3. quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;
4. para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);
5. para a proteção da vida ou da incolumidade física do titular ou de terceiros;
6. quando necessário para atender aos interesses legítimos do controlador ou de terceiros, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou
7. para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente.

O Encarregado de Dados (DPO) deve ser consultado, antes do tratamento do dado, quando houver qualquer dúvida quanto ao atendimento dos requisitos acima e sempre que um novo tratamento de dados vier a ser realizado.

Cabe ao DPO a responsabilidade por identificar as hipóteses de tratamento de dados pessoais em que a obtenção de consentimento prévio possa ser dispensada, bem como, os casos em que a hipótese de interesse legítimo é aplicável.

O tratamento de dados pessoais sensíveis, definido nesta política como “dado pessoal sensível”, deve ser limitado às hipóteses em que for indispensável. Cabe ao DPO avaliar os casos específicos em que isto ocorra e definir, com base na interpretação da Lei Geral de Proteção de Dados – LGPD, a que for mais restritiva, quanto a exigência do consentimento prévio do titular.

5.1.3.1 Bases legais para o tratamento de dados pessoais sensíveis

A Almata reconhece que o tratamento de dados pessoais sensíveis representa riscos mais altos ao titular de dados pessoais e por esta razão assume o compromisso de resguardo e cuidados especiais frente ao tratamento de dados pessoais sensíveis.

Os dados pessoais de crianças e adolescentes serão tratados com o mesmo nível de cuidado exigido e oferecido aos dados pessoais sensíveis, mas também estarão sujeitos às disposições próprias estabelecidas no Capítulo II, Seção III, da LGPD, e outras normas específicas aplicáveis.

A realização de operações de tratamento de dados pessoais sensíveis pela Almata somente poderão ser realizada:

• Quando o titular de dados pessoais ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas;
• Sem fornecimento de consentimento do titular de dados pessoais, nos casos em que o tratamento for indispensável para:

1. o cumprimento de obrigação legal ou regulatória pela Almata;
2. o exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral;
3. proteção da vida ou da incolumidade física do titular de dados pessoais ou de terceiros;
4. tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou
5. garantia da prevenção à fraude e à segurança do titular de dados pessoais, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos.

A LGPD em seu artigo 14, §1º, estabelece que o tratamento de dados de crianças deverá ser realizado com o consentimento específico e em destaque, dado por pelo menos um dos pais ou pelo responsável legal.

Conforme definição prevista no Estatuto da Criança e Adolescente (ECA), criança é a pessoa até doze anos de idade incompletas, e adolescente como aquela entre doze e dezoito anos de idade.

O tratamento de dados pessoais de crianças e adolescentes, inclusive quando o titular estiver na condição de aprendiz e estagiário, somente poderá ser realizado mediante consentimento específico e em destaque por pelo menos um dos pais ou pelo responsável legal.

É dever do responsável interno pela atividade, onde os dados de crianças e adolescentes são tratados, garantir que o consentimento, nas condições acima, foi obtido antes do efetivo tratamento.

O artigo 15 da LGPD enuncia hipóteses que determinam o término do tratamento desses dados pessoais:

1. Quando alcançada a finalidade específica ou quando os dados deixaram de ser pertinentes;
2. Fim do período de tratamento;
3. Interesse do titular;
4. Por determinação da autoridade nacional.

A Almata adota procedimentos para atender os direitos dos titulares ao término do tratamento, quando aplicável, e dispõe um canal de contato através do e-mail: dpo@almata.com.br.

Os dados pessoais poderão ser eliminados, nos limites técnicos da Almata, por solicitação do titular ou pelo término do tratamento. Todavia é autorizado a conservação dos dados para atender os critérios abaixo.

1. Cumprimento de obrigação legal ou regulatória pelo controlador, para o qual deve ser mantido apenas os dados necessários para atender esta finalidade;
2. Consentimento do titular dos dados;
3. Anonimização dos dados para uso exclusivo da Almata.

Em situações neste âmbito, a Almata não poderá ser responsabilizada, uma vez que cumprirá com dispositivos previstos na legislação brasileira vigente sobre o tema.  

Devem ser observados os direitos do titular dos dados pessoais na forma descrita no capítulo III da LGPD, considerando os procedimentos internos definidos.

Quando não houver procedimento ou o procedimento definido for insuficiente, deve-se imediatamente comunicar o DPO, para que as medidas necessárias possam ser tomadas em tempo hábil.

O titular de dados tem os seguintes direitos em relação aos seus dados:

1. Direito à confirmação da existência do tratamento:o titular de dados pessoais pode questionar se há a realização de operações de tratamento relativos a dados pessoais seus;
2. Direito de acesso:o titular de dados pessoais pode solicitar e receber uma cópia de todos os dados pessoais coletados e armazenados;
3. Direito de correção:o titular de dados pessoais pode requisitar a correção de dados pessoais que estejam incompletos, inexatos ou desatualizados;
4. Direito de eliminação:o titular de dados pessoais pode requisitar a exclusão de seus dados pessoais de bancos de dados geridos pela Almata, salvo se houver um motivo legítimo para a sua manutenção, como eventual obrigação legal de retenção de dados ou estudo por órgão de pesquisa;
5. Direito de solicitar a suspensão de tratamento ilícito:a qualquer momento, o titular de dados pessoais poderá requisitar da Almata o bloqueio ou eliminação de seus dados pessoais que tenham sido reconhecidos por autoridade competente como desnecessários, excessivos ou tratados em desconformidade com o disposto na LGPD;
6. Direito de oposição a um tratamento:nas hipóteses de tratamento de dados pessoais não baseadas na obtenção do consentimento, o titular de dados pessoais poderá apresentar à Almata uma oposição, que será analisada a partir dos critérios presentes na LGPD;
7. Direito à portabilidade dos dados:o titular de dados pessoais poderá requisitar à Almata que seus dados pessoais sejam disponibilizados a outro fornecedor de serviço ou produto, respeitados o segredo comercial e industrial, bem como os limites técnicos de sua infraestrutura;
8. Direito à revogação do consentimento:o titular de dados pessoais tem direito a revogar o seu consentimento. Entretanto, ressalta-se que isso não afetará a legalidade de qualquer tratamento realizado antes da retirada.

Para fazer perguntas, exercer qualquer um dos seus direitos acima definidos ou retirar o seu consentimento para o processamento dos seus Dados (onde o consentimento é a base legal para o processamento dos Dados), poderá ser realizado através do seguinte endereço de e-mail: dpo@almata.com.br

Toda transferência internacional de dados pessoais, inclusive para armazenamento em nuvem, deve ser comunicada com antecedência ao DPO da empresa para que seja avaliada a legalidade da operação.