I. Objetivo

Esta Política de Privacidade e Proteção de Dados Pessoais estabelece as diretrizes, principais regras e responsabilidades para a operação e o tratamento dos dados pessoais dos públicos abrangidos por este normativo.

O tratamento deve estar em conformidade com a legislação vigente e, especialmente, com a Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD), e com as resoluções da Agência Nacional de Proteção de Dados (ANPD), incluindo normas complementares, orientações técnicas e requisitos mínimos de governança.

II. Aplicação

Esta Política aplica-se a todos os titulares de dados com quem a Fundação REFER mantém vínculo, compreendendo seu público interno e externo.

III. Principais documentos de referência

1. Estatuto Social;
2. Código de Ética e Conduta;
3. Política da Tecnologia da Informação;
4. Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais (LGPD);
5. Resolução CD/ANPD nº 15/2024, Comunicação de Incidentes de Segurança;
6. Resolução CD/ANPD nº 19/2024, Transferência Internacional de Dados;
7. Guia Orientativo da ANPD sobre Agentes de Tratamento e Encarregado, versões atualizadas 2021–2024;
8. Guia Orientativo de Cookies e Proteção de Dados Pessoais, ANPD, 2022; e
9. Regulamentos e normativos da PREVIC aplicáveis à governança, controles internos e segurança da informação das EFPCs.

IV. Termos e definições

Agentes de tratamento

O controlador e o operador, incluindo também o suboperador e o controlador independente, quando aplicável.

Agência Nacional de Proteção de Dados (ANPD)

Órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional.

Consentimento

Manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento para finalidade determinada, de forma destacada, específica e facilmente revogável.

Controlador

Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.

Controlador independente

Agente que detém autonomia decisória real sobre o tratamento e define suas finalidades, meios e parâmetros essenciais.

Dado anonimizado

Dado relativo ao titular que não possa ser identificado, considerados os meios técnicos razoáveis e disponíveis, com anonimização irreversível para fins da LGPD.

Dado pessoal

Informação que, isolada ou associada a outras, identifique ou possa identificar uma pessoa natural.

Dado pessoal sensível

Informação sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou religiosa, filosófica ou política, saúde, vida sexual, dado genético ou biométrico vinculado a pessoa natural.

Encarregado (DPO)

Pessoa indicada pelos agentes de tratamento como canal entre o controlador, os titulares e a ANPD.

Eliminação

Exclusão de dado ou conjunto de dados armazenados em banco de dados.

Espaço do Participante

Área de acesso restrito dos participantes dos planos de benefícios administrados pela Fundação REFER, disponível no portal.

Incidente de Segurança com Dados Pessoais

Evento adverso, confirmado ou sob suspeita, capaz de comprometer confidencialidade, integridade ou disponibilidade de dados pessoais.

Operador

Pessoa natural ou jurídica que realiza o tratamento em nome do controlador.

Registro das Operações de Tratamento (ROPA)

Documento ou base de dados com a relação das operações de tratamento, conforme o artigo 37 da LGPD.

Relatório de Impacto à Proteção de Dados (RIPD ou AIPD)

Documento que descreve tratamentos capazes de gerar riscos, incluindo medidas de segurança, mitigação e controle.

Suboperador

Terceiro contratado pelo operador para auxiliar no tratamento, sujeito às instruções e obrigações do controlador.

Titular dos dados

Pessoa natural a quem se referem os dados pessoais tratados.

Tratamento de dados

Toda operação com dados pessoais, incluindo coleta, produção, recepção, classificação, uso, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, modificação, comunicação, transferência, difusão ou extração.

Transferência internacional de dados

Transferência de dados pessoais para país estrangeiro ou organismo internacional, observadas as salvaguardas da Resolução CD/ANPD nº 19/2024.

Uso compartilhado de dados

Comunicação, difusão, transferência internacional, interconexão ou tratamento compartilhado de bancos de dados entre entes públicos ou privados, nas modalidades permitidas.

Canal do Titular

Canal da Fundação REFER para encaminhamento de requisições de direitos previstos nos artigos 18 e 20 da LGPD.

V. Diretrizes

Fundamentação: Lei nº 13.709/2018, artigo 6º.

Além do Código de Ética e Conduta e dos demais normativos da Fundação REFER, o tratamento observa os princípios da LGPD e as boas práticas de governança recomendadas pela ANPD.

VI. Detalhamento

1. Coleta e uso de dados pessoais

A Fundação REFER coleta dados necessários à administração dos planos de benefícios, ao cumprimento de obrigações legais, como PREVIC, RFB e eSocial, ao recrutamento e seleção e à execução de contratos. Os dados podem ser obtidos do titular, das patrocinadoras ou de fontes públicas, respeitadas as bases legais dos artigos 7 e 11 da LGPD. Dados sensíveis observarão as hipóteses específicas do artigo 11, I, II e III.

2. Compartilhamento de dados

O compartilhamento com operadores e controladores independentes será restrito à operacionalização das atividades, incluindo instituições financeiras, empresas de auditoria e atuária, fornecedores de tecnologia e nuvem, órgãos reguladores e demais prestadores formalmente contratados.

Subcontratações exigem consentimento prévio e expresso do controlador. Terceiros devem cumprir a LGPD, manter confidencialidade, notificar incidentes imediatamente, não usar os dados para finalidades próprias e admitir auditorias pela Fundação.

3. Armazenamento e retenção

Os dados serão mantidos pelo período necessário às finalidades e conforme a Tabela de Temporalidade da Fundação REFER, considerando prazos prescricionais e obrigações legais. Encerrada a retenção, serão eliminados ou anonimizados de forma segura.

4. Transferência internacional de dados

Transferências internacionais, inclusive em serviços de nuvem ou suporte técnico, dependem de análise de risco e base legal conforme a Resolução CD/ANPD nº 19/2024. Serão realizadas para países com proteção adequada, mediante Cláusulas-Padrão Contratuais ou por outro mecanismo autorizado pela ANPD.

5. Segurança da informação e resposta a incidentes

A Fundação adota criptografia, controle de acesso, autenticação forte, backup e monitoramento contínuo. Em incidente que possa causar risco ou dano relevante, comunicará a ANPD e os titulares, registrará o incidente no ROPA, avaliará os impactos com o DPO, GERIC e GETIP e seguirá a Resolução CD/ANPD nº 15/2024 e o Plano de Gestão de Incidentes.

6. Direitos dos titulares

O titular pode solicitar confirmação, acesso, correção, anonimização, portabilidade, eliminação, revogação do consentimento, informação sobre compartilhamento, revisão de decisões automatizadas e oposição, quando aplicável.

7. Cookies e tecnologias de monitoramento

O Portal utiliza cookies para aprimorar navegação e segurança. Cookies estritamente necessários apoiam autenticação e funcionamento do site. Mais informações constam na Política de Cookies publicada no Portal, em conformidade com o Guia de Cookies da ANPD de 2022.

VII. Responsabilidades

VIII. Considerações gerais

Esta Política abrange o Portal REFER, o Espaço do Participante, a central de relacionamentos, e-mails, contatos telefônicos, correspondências e novos canais digitais, aplicativos móveis e plataformas de atendimento remoto ou automatizado.

Sua manutenção integra a estratégia de adequação à LGPD e o conjunto de políticas, procedimentos, relatórios e controles internos de segurança da informação, conforme boas práticas da ANPD e exigências da PREVIC.

O fornecimento de dados representa ciência das práticas descritas, mas não constitui base legal autônoma. O tratamento fundamenta-se nas hipóteses dos artigos 7 e 11 da LGPD. A ausência de informações ou a recusa de consentimento, quando este for indispensável, poderá impedir o atendimento de determinados requerimentos ou serviços.

IX. Alterações no documento

Esta Política possui ciclo anual de revisão e também será atualizada diante de marcos relevantes:

1. Alterações na legislação: novas normas, regulamentações ou orientações da ANPD e PREVIC.
2. Mudanças nas operações: novos dados, finalidades, tecnologias, fluxos, sistemas ou integrações.
3. Auditorias: recomendações de auditorias, avaliações de impacto, titulares ou fiscalizações.
4. Incidentes de segurança: eventos que exijam revisão imediata de processos e controles.
5. Melhores práticas de mercado: novos guias e padrões de segurança e privacidade.