6. Diretrizes Gerias e Estrutura de Governança

6.1 Estrutura normativa do Programa

A estrutura normativa do Programa de Privacidade da Companhia é composta pelo conjunto de documentos elaborados pelas áreas técnicas, aprovados pelos órgãos internos de governança e registrados no sistema de gestão de documentos da Companhia.

6.2 Gestão e Governança

A gestão e governança do Programa de Privacidade do Grupo SIMPAR deverá ser conduzida pelos responsáveis abaixo:

6.2.1 Alta Administração

Cabe à Alta Administração a responsabilidade de atuar diretamente no gerenciamento de riscos (baixo, médio e alto) relacionados aoTratamento de Dados Pessoais, entendendo e se responsabilizando pelas seguintes etapas: identificação, avaliação, tratamento e monitoramento, buscando garantir a melhor tomada de decisão para a Companhia.

A Alta Administração, quando necessário e observando regimentos e estatutos vigentes, reporta-se diretamente aos órgãos de governança, tais como o Conselho de Administração e Comitê de Auditoria, entre outros.

Cabe, ainda, à Alta Administração garantir uma estrutura adequada para a gestão do Programa de Privacidade.

6.2.2 Encarregado Pelo Tratamento De Dados Pessoais

O Encarregado pelo Tratamento de Dados Pessoais, também conhecido como Data Protection Officer ou DPO, deve possuir conhecimentos jurídicos e técnicos relacionados à proteção de Dados Pessoais e experiência na área. O profissional ou organização que atuar como Encarregado deve ter grau razoável de independência em relação ao restante da administração e suas funções não devem incluir atividades que possam conflitar com a responsabilidade da Companhia para com os Titulares.

A atuação do Encarregado deve garantir a conformidade da Companhia em relação às leis e demais políticas de privacidade e proteção de

Dados Pessoais aplicáveis. Suas principais atribuições incluem:

a) Gerir o Programa de Privacidade;

b) Desenvolver, manter e propor a revisão das políticas de privacidade do Grupo SIMPAR;

c) Atuar como ponto de contato do Grupo SIMPAR com a ANPD e com os Titulares;

d) Receber e fazer a gestão das solicitações de Titulares; e

e) Revisar Relatórios de Impacto à Proteção de Dados Pessoais (“RIPD”), com apuração e revisão dos riscos das atividades.

Cabe ao Encarregado, apoiado pela Área de Controles Internos, Riscos e Conformidade - CRC e por algumas áreas de negócio e/ou áreas técnicas, o auxílio consultivo à Alta Administração em suas tomadas de decisão sobre as atividades de Tratamento de Dados Pessoais conduzidas pela Companhia.

Por fim, o Encarregado deve auxiliar no esclarecimento de dúvidas e orientar demais membros da Companhia durante a execução de suas atividades, quando envolverem operações de Tratamento de Dados Pessoais.

6.2.3 Área De Controles Internos, Riscos E Conformidade - Crc

A Área de Controles Internos, Riscos e Conformidade da Companhia será responsável, em conjunto com o Encarregado e, quando necessário, com o apoio de algumas áreas de negócio e técnicas, pela análise dos riscos envolvidos nas atividades relacionadas a tratamento de dados pessoais.

Além disso, será responsável por outras atividades, quais sejam:

a) análise de projetos que envolvam Dados Pessoais;

b) aprovação de avisos de privacidade das unidades de negócio, antes de sua efetiva publicação, com a elaboração do

Encarregado;

c) execução de atividades gerais relacionadas ao Programa de Privacidade;

d) revisão de políticas/procedimentos do Programa;

e) aplicação de medidas disciplinares por descumprimentos das políticas/ procedimentos relacionados ao Programa;

f) garantia de que as investigações internas que tenham como objeto a avaliação de eventual descumprimento de leis

relacionadas a privacidade/tratamento de dados pessoais sejam realizadas de forma imparcial e independente;

g) garantir a documentação e suporte das atividades relacionadas ao Programa; e

h) reportar ao Comitê de Auditoria os indicadores do Programa e riscos relacionados ao tema.

6.2.4 Embaixadores De Privacidade

Os Embaixadores de Privacidade são pontos focais que podem ser alocados em áreas da Companhia para atuar como contato direto do Encarregado e da área de CRC. Os Embaixadores têm as funções de facilitar comunicações, treinamentos e levantamento de informações relativos à sua área.

Estes agentes serão nomeados pela área de CRC e poderão ou não formar um Comitê de Embaixadores, o qual será responsável pela supervisão do cumprimento das diretrizes do Programa, bem como fazer recomendações sobre o Tratamento de Dados Pessoais, mediante alinhamento prévio com a área de CRC e, quando necessário, com o Encarregado.

6.2.5 Comitê De Auditoria

O Comitê de Auditoria deve funcionar nos exatos termos do seu Regimento Interno e tem como competência supervisionar a aderência às normas legais, estatutárias e regulatórias, a adequação dos processos relativos à gestão de riscos e a efetividade do Programa de Privacidade.

Caberá ao Comitê de Auditoria, quando necessário, reportar ao Conselho de Administração nos termos do seu Regimento e Estatuto.

Para o desempenho de suas funções, o Comitê de Auditoria disporá de autonomia operacional e dotação orçamentária, dentro de limitesaprovados pelo Conselho de Administração, nos termos do Estatuto Social da Companhia.

6.3 Diretrizes Básicas do Programa de Privacidade

a) Toda operação de Tratamento de Dados Pessoais realizada pelo Grupo SIMPAR deverá seguir os princípios dispostos na LGPD, em seu artigo 6º, descritos no item 5 deste instrumento;

b) Toda operação de Tratamento de Dados Pessoais deverá ser fundamentada em uma das hipóteses legais previstas na LGPD (art. 7º para Dados Pessoais Simples ou art. 11 para Dados Pessoais Sensíveis);

c) A Companhia deverá possuir o registro das atividades de Tratamento de dados pessoais, contendo, preferencialmente, as seguintes informações que permitam a identificação: i) do fluxo dos dados pessoais em cada etapa de seu ciclo de vida; ii) do perfil do titular; iii) dos tipos de dados tratados; iv) da finalidade de tratamento; v) dos responsáveis internos pela atividade; vi) volumetria dos dados pessoais envolvidos; vii) da hipótese legal de tratamento aplicável; e viii) outras informações necessárias para garantia de conformidade do Grupo SIMPAR à legislação aplicável e/ou para viabilizar a gestão e direcionar as ações estratégicas do Programa de Privacidade;

d) As operações de compartilhamento de Dados Pessoais com terceiros deverão estar documentadas e adequadamente resguardadas mediante aplicação de cláusulas de proteção de dados pessoais. Estas operações deverão seguir o disposto na Política de Compartilhamento de Dados Pessoais com Terceiros do Grupo SIMPAR;

e) Todos os novos produtos, projetos e iniciativas que envolverem tratamento de Dados Pessoais deverão ser analisados nos termos do Procedimento de privacidade desde a concepção (Privacy by Design);

f) As operações de tratamento de Dados Pessoais que necessitarem da coleta de consentimento deverão ser pautadas pelas instruções descritas na Política para Uso e Gestão do Consentimento da Companhia;

g) Os Dados Pessoais tratados devem possuir um prazo de retenção definido, devidamente justificado, podendo serem excluídos após finalizado o período pré-determinado. Os períodos de retenção devem levar em consideração as necessidades internas da Companhia, devendo estar previstos em documento apartado que compile todos os prazos mínimos de guarda; e

h) As informações sobre o tratamento de dados pessoais deverão ser divulgadas por meio de Avisos de Privacidade e/ou outros meios que forneçam a transparência necessária ao Titular.

6.4 Direito dos Titulares

A Companhia está comprometida a observância da LGPD, especialmente em relação aos direitos dos titulares:

Direitos do titular	Descrição
Direito à Confirmação da Existência do Tratamento	Garantia aos Titulares de obter, a qualquer momento e mediante requisição, confirmação sobre a existência ou não do Tratamento de seus Dados Pessoais.
Direito de Acesso aos Dados Pessoais	Garantia aos Titulares de consulta facilitada e gratuita sobre a forma e a duração do Tratamento, bem como sobre a integralidade de seus Dados Pessoais.
Direito à Correção de Dados Pessoais incompletos, inexatos ou desatualizados	Garantia, aos Titulares de exatidão, clareza, relevância e atualização dos Dados Pessoais, de acordo com a necessidade e para o cumprimento da finalidade de seu Tratamento.
Direito à Anonimização, Bloqueio ou Eliminação dos Dados Pessoais	Garantia, aos Titulares, de anonimização, bloqueio ou eliminação de Dados Pessoais desnecessários, excessivos ou tratados em desconformidade com a LGPD.
Direito à Portabilidade	Garantia aos Titulares de portabilidade de seus Dados Pessoais a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da ANPD, observados os segredos comercial e industrial.
Direito à Informação	Garantia aos Titulares, de informações, inclusive sobre as entidades públicas e privadas com as quais foi realizada o compartilhamento de seus Dados Pessoais.
Direito a Não Consentir e Direito à Revogação do Consentimento	Garantia aos Titulares, de serem informados sobre a possibilidade de não fornecer o seu consentimento e sobre as consequências da negativa. Igualmente, abarca a possibilidade de revogar o consentimento, quando este for a base legal aplicável.
Direito à Revisão de Decisão Automatizada	Garantia, aos Titulares, de revisão de decisões tomadas unicamente com base em Tratamento automatizado de Dados Pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade.

O atendimento dos direitos dos Titulares será realizado por meio de canal próprio para este fim, exclusivo e adequado para cumprimentoda legislação.

a) No contexto do atendimento às requisições dos titulares, a Companhia deverá levar em consideração as seguintes diretrizes:

b) Manter um canal adequado e disponível para o recebimento das solicitações a qualquer momento do dia, possuindo uma confirmação de recebimento da solicitação, ainda que automatizada;

c) Garantir a geração de evidências em todas as etapas do processo, desde o recebimento das solicitações até o momento do envio da resposta;

d) Garantir a cooperação entre as áreas de negócio envolvidas, para viabilizar a resposta e a adoção de providências;

e) Atender à requisição do titular em conformidade com os prazos legais aplicáveis; e

f) Facilitar o procedimento de resposta, mantendo os dados armazenados em formatos que facilitem sua consulta.

6.5 Relatório de Impacto a Proteção de Dados Pessais - RIPD

O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) é uma ferramenta importante para conformidade com a LGPD, pois auxilia a Companhia a avaliar adequadamente os riscos que uma determinada atividade representa aos titulares, além de definir e demonstrar a adoção de medidas adequadas para mitigação dos riscos identificados.

Tendo-se em conta a natureza, o contexto e a finalidade da operação de Tratamento de Dados Pessoais, o RIPD será realizado sempre que uma determinada atividade representar um elevado risco à garantia de um dos princípios gerais elencados na LGPD e aos direitos e liberdades dos Titulares.

Sem prejuízo de outras situações nas quais o Encarregado julgar necessárias, a elaboração do RIPD deverá ocorrer quando uma atividade de tratamento for enquadrada em criticidade “alta”, com base na matriz de criticidade constante do Anexo I.

Tais documentos não deverão ser publicados ou disponibilizados a terceiros sem a expressa autorização do Encarregado e da Diretoria da área de CRC. Contudo, devem ser arquivados em ferramenta/rede homologada pela Companhia, uma vez que poderão ser objeto de requisição da ANPD e/ou de auditoria interna e externa.