Política de privacidade

Introdução

A DROGA REDE, por meio desta política, se compromete em garantir que, no exercício de suas atividades corporativas, os dados pessoais de clientes, beneficiários, dependentes, parceiros, demais colaboradores, fornecedores e prestadores de serviços serão tratados com o mais alto nível de cuidado, confidencialidade e conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD) e demais legislações aplicáveis.

A presente política tem como objetivo apresentar, aos colaboradores da DROGA REDE, as determinações sobre a forma pela qual os dados pessoais serão manuseados, armazenados e transmitidos, a fim de atender às necessidades organizacionais e cumprir requisitos legais.

Esta política deverá atuar e ser cumprida em conjunto com a Política de Segurança da Informação e demais políticas internas aplicadas pela DROGA REDE.

A profissional terceirizada Paula Acirón, da Acirón Consultoria, CNPJ sob o nº 44.584.609/0001-20, foi nomeada como nossa Encarregada de Dados. Assim, ela está apta a exercer todas as funções e atribuições do cargo, previstas na LGPD. Caso você deseje exercer qualquer um de seus direitos expressos na Lei, basta clicar no “Canal de Comunicação LGPD” em nosso site (https://abre.ai/privacidadedrogarede), e preencher o “Formulário de Atendimento ao Titular de Dados”.

01Disposições gerais

1.1Para fins desta política, passa-se a adotar as definições expressas pela LGPD, quais sejam:

Dado Pessoal: informação relacionada a pessoa natural identificada ou identificável;
Dado Pessoal Sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
Dado Anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;
Titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;
Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;
Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;
Encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);
Agentes de Tratamento: o controlador e o operador;
Tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;
Anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;
Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;
Transferência Internacional de Dados: transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro;
Relatório de Impacto à Proteção de Dados Pessoais (RIPD): documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco;
Autoridade Nacional de Proteção de Dados (ANPD): órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento desta Lei em todo o território nacional.

1.2A LGPD determinou que as atividades de tratamento deverão observar a boa-fé e os seguintes princípios:

Finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
Adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
Necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
Livre Acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
Qualidade dos Dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
Transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
Segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
Prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
Não Discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;
Responsabilização e Prestação de Contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

1.3A LGPD determinou que o tratamento de dados pessoais somente poderá ser realizado nas hipóteses previstas em seu art. 7º, quais sejam:

Consentimento do titular;
Cumprimento de obrigação legal ou regulatória;
Execução de políticas públicas;
Estudos por órgãos de pesquisa;
Execução de contratos;
Exercício regular de direitos em processo judicial, administrativo ou arbitral;
Proteção da vida;
Tutela da saúde;
Legítimo interesse do controlador;
Proteção do crédito.

1.4A LGPD determinou que o tratamento de dados pessoais sensíveis somente poderá ser realizado nas hipóteses previstas no art. 11, quais sejam:

Consentimento do titular;
Cumprimento de obrigação legal ou regulatória;
Execução de políticas públicas;
Estudos por órgãos de pesquisa;
Execução de contratos;
Exercício regular de direitos inclusive em contrato e em processo judicial, administrativo ou arbitral;
Proteção da vida;
Tutela da saúde;
Prevenção à fraude e à segurança do titular.

02Objetivos

2.1Durante o exercício de suas atividades corporativas, os colaboradores da DROGA REDE realizam o tratamento de dados pessoais de seus clientes, beneficiários, dependentes, parceiros, demais colaboradores, fornecedores e prestadores de serviços. Essa política visa demonstrar o compromisso da DROGA REDE em:

Estabelecer diretrizes que garantem o cumprimento de normas e boas práticas relacionadas à proteção de dados pessoais;
Realizar o tratamento dos dados pessoais dos titulares acima qualificados com a devida proteção, transparência, segurança e confidencialidade;
Prevenir possíveis causas de violações à proteção dos dados pessoais tratados e incidentes envolvendo dados pessoais;
Minimizar os riscos de perdas financeiras, da confiança de clientes, parceiros, prestadores de serviços ou qualquer outro impacto negativo ao negócio da DROGA REDE, como resultado da violação à proteção dos dados pessoais.

2.2Esta política se aplica à DROGA REDE e a todas as empresas por ela controladas, bem como a todos os colaboradores que, em algum momento, possam ter contato com dados pessoais dos titulares qualificados no item 2.1;

2.3Outras políticas adicionais poderão ser criadas para casos específicos, principalmente se exigido por Lei ou Regulamento.

03Diretrizes

3.1A DROGA REDE se compromete a realizar o tratamento dos dados pessoais para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades.

3.2A DROGA REDE se compromete em realizar o tratamento dos dados pessoais de forma compatível com as finalidades informadas ao titular, de acordo com o contexto do tratamento.

3.3A DROGA REDE se compromete em realizar o tratamento dos dados pessoais limitando-se ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados.

3.4A DROGA REDE garante, aos titulares de dados, consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais.

3.5A DROGA REDE garante, aos titulares de dados, exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento.

3.6A DROGA REDE garante, aos titulares de dados, informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial, através de Termos de Ciência e de Consentimento.

3.7A DROGA REDE garante a utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

3.8A DROGA REDE garante a adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais, conforme descrito no item 3.11.

3.9A DROGA REDE não realizará tratamentos de dados pessoais para fins discriminatórios ilícitos ou abusivos.

3.10A DROGA REDE garante a demonstração da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas, conforme descrito no item 3.11.

3.11Os integrantes da DROGA REDE, no exercício de suas funções corporativas, declaram a adoção de medidas de segurança capazes de proteger os dados pessoais de acessos não autorizados, bem como de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

3.12A DROGA REDE se compromete a armazenar dados pessoais apenas pelo tempo mínimo necessário para atendimento da finalidade pretendida e cumprimento de eventuais obrigações legais que regulam determinada atividade de tratamento e, posteriormente, destruí-los, bloqueá-los ou anonimizá-los com segurança, por meio de picotadoras ou incinerados, sendo proibido o uso direto de lixeiras, ou eliminação de dados pessoais em hardwares e banco de dados digitais.

3.13A DROGA REDE se compromete a finalizar o tratamento de dados pessoais nas seguintes hipóteses: quando verificar que a finalidade foi alcançada ou que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade; fim do período do tratamento; comunicação do titular, inclusive no exercício de seu direito de revogação do consentimento; e determinação da ANPD, quando houver violação à LGPD.

3.14É vedada a reprodução física ou digital, para fins não profissionais, de qualquer imagem ou documento que contenha dados pessoais que possam identificar ou tornar identificável colaboradores, clientes, parceiros ou fornecedores, sob pena de responder pelos prejuízos causados e demais cominações legais e administrativas.

3.15É proibido o compartilhamento de logins e senhas, tanto corporativas quanto não profissionais, para uso de e-mails, plataformas ou sistemas, sob pena de responder pelos prejuízos causados, e demais cominações legais e administrativas, inclusive demissão por justa causa.

3.16A DROGA REDE, atualmente, não realiza a transferência internacional de dados pessoais. Caso seja necessário esse tipo de transferência, se compromete a seguir as determinações específicas para esse tipo de tratamento, conforme art. 33 e 34, da LGPD.

3.17Os integrantes da DROGA REDE, no exercício de suas funções institucionais, devem comunicar aos seus superiores e ao DPO (Data Protection Officer), imediatamente e, de forma detalhada, toda e qualquer ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, bem como sobre qualquer evento adverso confirmado, relacionado à violação na segurança de dados pessoais, tais como acesso não autorizado, acidental ou ilícito que resulte na destruição, perda, alteração, vazamento ou ainda, qualquer forma de tratamento de dados inadequada ou ilícita, para que estes adotem as devidas providências.

3.18Os integrantes da DROGA REDE deverão utilizar os equipamentos de trabalho (computadores, notebooks, tablets e celulares corporativos) apenas para fins corporativos, sendo proibido o uso deles para outras funções ou, ainda, para acesso de endereços eletrônicos ilegais ou com conteúdo que não condizem com as políticas da empresa.

3.19Os integrantes da DROGA REDE deverão utilizar o e-mail corporativo e demais recursos tecnológicos da empresa para fins exclusivamente profissionais. Permanece estabelecida, ainda, a possibilidade da empresa ter acesso ao conteúdo do e-mail corporativo do integrante e computadores, com aviso antecedente.

3.20Os integrantes da DROGA REDE deverão atuar com muito cuidado e atenção no encaminhamento de mensagens eletrônicas, conferindo, sempre antes do respectivo envio, o endereço, o conteúdo e o destinatário.

3.21O distanciamento do integrante de seu equipamento eletrônico deverá ser precedido do devido bloqueio (logoff).

3.22Os integrantes da DROGA REDE deverão adotar condutas para manter sua mesa, impressoras e scanners livres de documentos expostos que contenham dados pessoais de colaboradores, clientes, parceiros ou fornecedores.

3.23É terminantemente proibida a utilização de softwares não licenciados ou não autorizados nas dependências da DROGA REDE, sob pena de rescisão contratual, sem prejuízo de ressarcimento de eventuais danos sofridos pela DROGA REDE.

3.24É obrigatório que os integrantes da DROGA REDE mantenham seus equipamentos com sistema de antivírus válido e atualizado, sendo de sua responsabilidade a comunicação de vencimento ao responsável técnico.

3.25Aos integrantes da DROGA REDE, é permitido o acesso remoto aos dados necessários ao exercício de sua função somente mediante prévio conhecimento e autorização dos responsáveis técnico e administrativo, e, após auditoria da segurança de ambiental proporcionada pelo integrante, sendo seu acesso interrompido a qualquer tempo, sem aviso prévio, conforme conveniência da DROGA REDE.

3.26Aos integrantes da DROGA REDE, é proibido fotografar, filmar, reproduzir ou compartilhar quaisquer imagens de suas dependências e/ou outros integrantes, salvo se integrar a atividade da empresa e expressamente autorizado pela Diretoria.

3.27Aos integrantes da DROGA REDE, é proibido o uso de dispositivos removíveis nas portas USB, CD/DVD ou gravador de CD/DVD, salvo se permitido nos termos da Política de Segurança da Informação adotada.

3.28O compartilhamento interno ou externo de documentos que contenham dados pessoais simples, sensíveis, financeiros, comportamentais, de menores ou de quaisquer outras naturezas, que possam identificar ou tornar identificável eventual titular, far-se-á mediante o que estabelecido na Política de Segurança da Informação adotada.

3.29Os integrantes da DROGA REDE deverão adotar condutas de confidencialidade e sigilo de todas as informações de dados pessoais simples, sensíveis, financeiros, comportamentais, de menores ou de quaisquer outras naturezas, que possam identificar ou tornar identificável eventual titular, que tenha acesso no exercício de sua função.

3.30Quando o tratamento de dados pessoais envolver a finalidade de pesquisa, a DROGA REDE garante, sempre que possível, a anonimização dos dados pessoais envolvidos, através de métodos seguros e eficazes.

3.31O tratamento de dados pessoais de crianças e adolescentes deverá ser realizado em seu melhor interesse, observadas as determinações previstas na Seção III, da LGPD, denominada como “Do Tratamento de Dados Pessoais de Crianças e de Adolescentes”, quais sejam:

O tratamento de dados pessoais de crianças deverá ser realizado com o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal;
No tratamento de dados mencionado no item “a”, a DROGA REDE deverá manter pública a informação sobre os tipos de dados coletados, a forma de sua utilização e os procedimentos para o exercício dos direitos dos titulares;
Poderão ser coletados dados pessoais de crianças sem o consentimento a que se refere o item “a” quando a coleta for necessária para contatar os pais ou o responsável legal, utilizados uma única vez e sem armazenamento, ou para sua proteção, e em nenhum caso poderão ser repassados a terceiro sem o consentimento de que trata o item “a”;
A DROGA REDE não deverá condicionar a participação dos titulares de que trata o item “a” em jogos, aplicações de internet ou outras atividades ao fornecimento de informações pessoais além das estritamente necessárias à atividade;
A DROGA REDE deverá realizar todos os esforços razoáveis para verificar que o consentimento a que se refere o item “a” foi dado pelo responsável pela criança, consideradas as tecnologias disponíveis.
As informações sobre o tratamento de dados referidas neste item deverão ser fornecidas de maneira simples, clara e acessível, consideradas as características físico-motoras, perceptivas, sensoriais, intelectuais e mentais do usuário, com uso de recursos audiovisuais quando adequado, de forma a proporcionar a informação necessária aos pais ou ao responsável legal e adequada ao entendimento da criança.

3.32Com relação às atividades de tratamento de dados pessoais pautadas pelo consentimento, caberá à DROGA REDE avaliar a licitude dessa autorização, pois ela deverá ser fornecida por escrito ou por outro meio que demonstre a manifestação de vontade do titular, além de obedecer finalidades específicas, podendo ser revogado a qualquer momento, mediante manifestação de vontade do titular, conforme previsto no art. 8º, da LGPD.

3.33Dados pessoais fornecidos por terceiros externos à DROGA REDE somente poderão ser recebidos mediante celebração de contrato que incluam cláusulas de privacidade e proteção de dados pessoais robustas o suficiente, conforme orientações fornecidas pelo departamento jurídico interno e pelo Encarregado de Dados, que deverão verificar idoneidade e aplicabilidade das cláusulas adotadas, bem como se foram abordados todos os pontos necessários para garantir a completa adequação do documento à LGPD.

3.34Os integrantes da DROGA REDE se comprometem a não disponibilizar essa Política Interna de Privacidade e Proteção de Dados Pessoais com terceiros externos à DROGA REDE, por tratar-se de documentação interna que reúne todas as diretrizes de conduta corporativa adotadas pelos colaboradores.

04Registros de operações de tratamento de dados

4.1A DROGA REDE deverá manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse, devendo conter as seguintes informações:

Departamento responsável pelo registro;
Nome do registro;
Origem dos dados;
Finalidade do tratamento;
Tempo de armazenamento do registro na DROGA REDE;
Categoria de titulares envolvidos;
Faixa etária dos titulares envolvidos;
Quantidade aproximada de titulares envolvidos;
Tipos de dados pessoais tratados;
Local de armazenamento do registro;
Tempo de armazenamento do registro no departamento responsável e respectiva justificativa;
Como os dados pessoais são dispostos;
Forma de recuperação do registro;
Forma de proteção do registro;
Com quem esse registro é compartilhado;
Como esse registro é compartilhado;
Por quê esse registro é compartilhado;
Se é realizada a transferência internacional de dados pessoais;
Se é utilizada alguma plataforma, software ou aplicativo para a realização do compartilhamento;
Quem são os agentes de tratamento envolvidos na relação;
Necessidade e proporcionalidade dos dados pessoais tratados, armazenados e compartilhados.

4.2Deverão ser registradas todas as atividades que envolvam o tratamento de dados pessoais, sensíveis, comportamentais, financeiros e de menores realizadas pelos membros da DROGA REDE, em todos os seus departamentos e níveis.

4.3Caberá aos líderes de departamento realizar os registros das atividades que envolvam o tratamento de dados pessoais ou delimitar outros colaboradores de seu departamento para realizarem essa atividade.

4.4Todos os setores da DROGA REDE deverão se responsabilizar pela atualização dos registros mapeados, bem como se certificar que eles estejam de acordo com a realidade da empresa.

4.5A atribuição da hipótese legal dos registros caberá ao nosso Encarregado de Dados.

05Auditoria de processos

5.1Com o objetivo de auxiliar a DROGA REDE a garantir a atualização dos mapeamentos realizados, será realizada uma “auditoria de processos”. Após o período de adequação, será iniciada uma contagem de 1 ano para que os processos recomendados ou adicionados sejam auditados. Para isso, será feita uma seleção de 2% dos processos, com data de atualização mais antiga, cadastrados na empresa. Os processos que forem selecionados ficarão com o status “pendente”, até que:

O responsável indique que não há necessidade de mudanças, ou seja, que o processo está atualizado; ou
O responsável faça as mudanças necessárias para readequar o processo à realidade da empresa.

5.2O período de auditoria se encerra em 30 (trinta) dias. Será possível acessar o histórico de auditorias da DROGA REDE, monitorar e verificar os processos que foram modificados após as auditorias.

5.3Para realizar a auditoria, após verificar que o processo encontra-se com o status “pendente”, será possível selecionar duas opções: está atualizado ou necessário editar. Caso o processo corresponda à realidade da empresa, clique em “está atualizado”. Caso contrário, clique em “necessário editar” e faça as mudanças necessárias. Após realizar as mudanças necessárias, é preciso enviar o processo para a revisão, para que o DPO analise e valide as novas informações cadastradas.

06Relatório de Impacto à Proteção de Dados (RIPD)

6.1O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) é um documento que reúne as atividades de tratamento que podem causar risco aos direitos e liberdades individuais dos titulares de dados pessoais. Portanto, precisará ser gerado quando houver atividades de tratamento que possam causar risco aos direitos e liberdades individuais dos titulares de dados pessoais. Os Relatórios de Impacto gerados são documentos internos e não devem ser publicados ou disponibilizados a terceiros. Contudo, poderão ser objeto de requisição da ANPD, a qualquer tempo.

07Incidentes

7.1Um incidente de segurança com dados pessoais é qualquer evento adverso confirmado, relacionado à violação na segurança de dados pessoais, tais como acesso não autorizado, acidental ou ilícito que resulte na destruição, perda, alteração, vazamento ou ainda, qualquer forma de tratamento de dados inadequada ou ilícita, os quais possam ocasionar risco para os direitos e liberdades do titular dos dados pessoais.

7.2Os integrantes da DROGA REDE, no exercício de suas funções institucionais, devem comunicar aos seus superiores e ao DPO (Data Protection Officer), imediatamente e, de forma detalhada, toda e qualquer ocorrência relacionada a um possível incidente envolvendo dados pessoais. Para registrar um incidente, deverão ser registradas as seguintes informações:

Data e hora do incidente;
Tipo de violação (confidencialidade, integridade ou disponibilidade);
Medidas de contenção adotadas durante e logo após o incidente;
Quantidade estimada de titulares afetados;
Processos afetados.

7.3Após o registro do incidente, será gerado um Registro de Melhoria Contínua (RMC) para tratamento. A DROGA REDE possui um documento denominado como “Plano de Gestão de Incidentes”, que descreve todas as etapas do gerenciamento realizado.

08Comitê de Proteção de Dados

8.1A criação de um Comitê é considerada como uma boa prática de proteção de dados pessoais. Portanto, a DROGA REDE instituiu seu próprio Comitê, como uma maneira de demonstrar que se preocupa com os dados pessoais que circulam dentro dos departamentos, diariamente.

8.2Esse grupo de colaboradores é responsável por garantir a comunicação do programa de privacidade, discutir e tomar decisões sobre novas atividades de tratamento, avaliar os mecanismos de tratamento e segurança adotados pela DROGA REDE, visando o cumprimento da LGPD.

8.3São atribuições do Comitê de Proteção de Dados:

Criação de políticas em geral, para a empresa e para departamentos específicos;
Auxílio para identificar atividades de tratamento e orientar o menor risco possível;
Auxílio e realização de atividades de educação e cultura;
Análise de problemas envolvendo produtos e serviços;
Apoio em caso de incidentes de dados pessoais;
Auxílio na manutenção de todo o programa de gestão da proteção de dados pessoais.

8.4A DROGA REDE garante que já adotou a utilização de toda a documentação acima mencionada, relacionada à formalização do Comitê de Proteção de Dados.

09Do Encarregado de Dados

9.1A profissional terceirizada Paula Acirón, da Acirón Consultoria, CNPJ sob o nº 44.584.609/0001-20, foi nomeada como nossa Encarregada de Dados. Assim, ela está apta a exercer todas as funções e atribuições do cargo, previstas na LGPD.

9.2As atividades do Encarregado consistem em:

Aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
Receber comunicações da ANPD e adotar providências;
Orientar os funcionários e os contratados da DROGA REDE a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e
Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

9.3A ANPD poderá estabelecer normas complementares sobre a definição e as atribuições do encarregado, inclusive hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados.

9.4As reclamações e comunicações dos titulares serão aceitas e recebidas através do “Canal de Privacidade”, inserido no site da DROGA REDE.

9.5Por meio do Canal, qualquer interessado é direcionado ao Portal de Privacidade e pode verificar a autenticidade da adequação da empresa à LGPD, inclusive, podendo verificar: a última revisão de seus mecanismos de controle com a exibição da data e hora em que foi feita a revisão; as políticas de privacidade da empresa; o meio de contato dos titulares de dados; e o meio de contato da ANPD.

9.6Caso você deseje exercer qualquer um de seus direitos expressos na LGPD, basta clicar no “Canal de Privacidade” em nosso site, e preencher o “Formulário de Atendimento ao Titular de Dados”.

10Treinamentos

10.1Todos os colaboradores da DROGA REDE que estiverem envolvidos nas atividades de tratamento de dados pessoais deverão receber treinamentos periódicos, decididos e organizados pelo Comitê de Proteção de Dados, especificamente sobre:

Conceitos gerais de privacidade e proteção de dados pessoais, incluindo a apresentação dessa Política Interna, a Política de Segurança da Informação e demais políticas adotadas pela DROGA REDE;
Conceitos específicos de privacidade e proteção de dados pessoais, aplicados às atividades de cada área.

10.2O treinamento mencionado no item 10.1 deverá fazer parte do procedimento de integração de novos colaboradores da DROGA REDE.

11Direitos dos titulares

11.1Em cumprimento à LGPD, a DROGA REDE garante ao titular a possibilidade de solicitação dos seguintes direitos:

Confirmação da existência de tratamento;
Acesso aos dados;
Correção de dados incompletos, inexatos ou desatualizados;
Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a Lei;
Portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial;
Eliminação dos dados pessoais tratados com o consentimento do titular;
Informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;
Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
Revogação do consentimento.

11.2Com relação ao recebimento das requisições, o titular deverá enviá-las através do “Canal de Privacidade”, inserido no site da DROGA REDE. Todas as requisições serão recebidas e avaliadas pelo DPO, que irá confirmar a identidade do titular e a licitude da requisição enviada, para que a DROGA REDE possa realizar o que foi solicitado.

11.3O DPO informará quanto à possibilidade, ou não, de atendimento da requisição do titular, através de justificativas legais, bem como entrará em contato com o titular para informá-lo sobre essa justificativa e, caso seja legalmente permitida, sobre a realização do que foi solicitado por parte da DROGA REDE.

12Segurança da informação

12.1Para garantir a segurança dos dados pessoais tratados no exercício das atividades corporativas da DROGA REDE e evitar acessos indevidos ou não autorizados, perda, destruição ou qualquer outro evento que comprometa a integridade, disponibilidade ou confidencialidade das informações, a DROGA REDE se compromete a adotar e manter os melhores mecanismos de Segurança da Informação, proteção de dados pessoais e confidencialidade.

12.2Para tanto, os mecanismos adotados serão expostos na Política de Segurança da Informação aplicada pela DROGA REDE, que deverá ser analisada em conjunto com a presente Política Interna de Privacidade e Proteção de Dados Pessoais e demais documentações internas.

13Responsabilidade

13.1Em caso de prejuízos causados pelos colaboradores à DROGA REDE, em razão da quebra de confidencialidade das informações às quais teve acesso, ou qualquer incidente de vazamento de dados que for constatado ser decorrente de sua conduta no tratamento dos dados, como também em desconformidade com as orientações da DROGA REDE, incorre em falta disciplinar grave, sujeito às sanções previstas em Lei ou constantes nos processos disciplinares internos da DROGA REDE, inclusive serem responsabilizados pessoalmente, judicial ou extrajudicialmente.

14Disposições finais

14.1Esta Política Interna de Privacidade e Proteção de Dados Pessoais foi elaborada com base nas determinações expressas pela LGPD.

14.2A DROGA REDE se reserva no direito de atualizar esta Política Interna de Privacidade e Proteção de Dados Pessoais quantas vezes forem necessárias, a fim de que as determinações expressas no documento estejam sempre atualizadas e em conformidade com a legislação vigente.

14.3Os casos omissos serão avaliados pelo Comitê de Proteção de Dados, como também pelo Encarregado de Dados, para posterior deliberação.