Política de Governança e Proteção de Dados Pessoais
1. Objetivo:
O objetivo desta Política de Governança e Proteção de Dados Pessoais ("Política") é definir as principais responsabilidades e regras em relação à proteção de Dados Pessoais que são aplicáveis à Cinépolis no âmbito corporativo, para garantir um nível adequado de proteção aos Dados Pessoais, incluindo as técnicas e medidas organizacionais adequadas para prevenção contra o Tratamento não autorizado e ilegal de Dados Pessoais e contra perda ou destruição acidental.
Os termos e expressões, se escritos em letras maiúsculas, deverão ter os significados conforme definidos no Glossário ao final deste documento.
2. Referências
A presente Política deve ser interpretada e aplicada em consonância com as seguintes referências:
(i) Política de Privacidade;
(ii) Matriz de Retenção e Descarte de Dados Pessoais;
(iii) Plano de Resposta a Requisições de Titulares de Dados Pessoais;
(iv) Plano de Remediação e Resposta a Incidentes;
(v) Relatório de Impacto à Proteção de Dados;
(vi) Lei Federal n° 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais, ?LGPD?).
3. Abrangência
A presente Política é aplicável a todas as atividades da Cinépolis que envolvam o Tratamento de Dados Pessoais de Titulares de Dados localizados no Brasil ou que tenham como objetivo a prestação de serviços a Titulares de Dados localizados no País, independentemente se parte do Tratamento ocorrer no exterior.
4. Deveres da Cinépolis
Nos termos da presente Política, a Cinépolis deverá observar os seguintes compromissos:
- Elaborar e manter um registro atualizado de atividades de Tratamento de Dados Pessoais de Titulares que descreva, no mínimo, as categorias de Dados Pessoais, as finalidades específicas do Tratamento, uma descrição das medidas técnicas ou organizacionais para a proteção dos Dados Pessoais e as bases legais de Tratamento;
- Nomear um Encarregado de Proteção de Dados Pessoais e manter uma estrutura adequada de recursos humanos e financeiros para as atividades relacionadas à proteção de Dados Pessoais;
- Implementar as medidas organizacionais e técnicas necessárias para facilitar o atendimento aos direitos dos Titulares de Dados Pessoais, incluindo a divulgação de avisos de privacidade que informem, dentre outros itens, a finalidade do Tratamento, a forma e duração do Tratamento; a identificação da Cinépolis como controladora de Dados Pessoais, conforme aplicável; informações de contato da Cinépolis; e informações sobre o uso compartilhado de Dados Pessoais;
- Implementar as medidas organizacionais e técnicas para proteger os Dados Pessoais contra o Tratamento irregular, indevido ou ilegal, incluindo boas práticas de segurança da informação;
- Realizar avaliações periódicas sobre os riscos que Tratamentos de Dados Pessoais podem representar a um Titular e, conforme necessário e adequado, adotar medidas para proteger o Titular de Dados Pessoais, na forma exigida pela regulamentação aplicável ; e
- Aplicar treinamentos a todos os colaboradores sobre temas relacionados à segurança da informação e à proteção de dados pessoais.
5. Deveres dos colaboradores
Nos termos da presente Política, todos os colaboradores deverão observar os seguintes compromissos:
- Responsabilizar-se pelo uso adequado de Dados Pessoais no desempenho de suas atividades;
- Manter a mais estrita confidencialidade, integridade e disponibilidade dos Dados Pessoais a que tiverem acesso em razão do desempenho de sua função;
- Cumprir com o seu contrato de trabalho, a Legislação de Proteção de Dados, a presente Política e todas as políticas relacionadas;
- Reportar todas as situações de não conformidade e os incidentes de segurança que tome conhecimento ao Encarregado de Dados e;
- Participar de todos os treinamentos relacionados à proteção de Dados Pessoais.
O Encarregado de Dados Pessoais, em virtude de sua função, ainda deverá:
- Elaborar e manter o registro de atividades de Tratamento de Dados Pessoais da Cinépolis sempre atualizado;
- Acompanhar e apoiar a implementação dos planos de ação para correção de gaps das iniciativas de proteção de dados;
- Participar dos projetos da Cinépolis que envolvam Tratamento de Dados Pessoais a fim de garantir que estejam de acordo com a Legislação de Proteção de Dados;
- Elaborar e realizar treinamentos de proteção de Dados Pessoais para os colaboradores;
- Garantir que a Cinépolis possua e mantenha atualizada toda a documentação necessária e as evidências para atendimento à Legislação de Proteção de Dados;
- Monitorar o cumprimento, pelos colaboradores, desta Política e da Legislação de Proteção de Dados;
- Revisar e atualizar avisos de privacidade os Titulares;
- Endereçar as solicitações dos Titulares de Dados Pessoais e garantir que sejam respondidas dentro do prazo previsto na Legislação de Proteção de Dados;
- Responsabilizar-se pela interface com a ANPD, sempre que for necessário e;
- Coordenar os esforços necessários em caso de incidentes de segurança, considerando, inclusive as diretrizes do Plano de Resposta e Remediação a Incidentes de Privacidade.
6. Principais orientações para o tratamento de Dados Pessoais
Os Tratamentos de Dados Pessoais executados sob o controle da Cinépolis serão feitos de acordo com a Legislação de Proteção de Dados e com as disposições desta Política e em particular com as seguintes disposições:
- Adequação. Os Dados Pessoais devem ser obtidos de forma justa e legal, e o Tratamento deve ser compatível com as finalidades informadas ao Titular de Dados e, ainda, deve limitar-se ao mínimo necessário para a realização de suas finalidades. Além disso, os Dados Pessoais somente podem ser tratados de acordo com bases legítimas previstas da Legislação de Proteção de Dados.
- Propósitos legítimos e específicos. Os Dados Pessoais devem ser tratados apenas para propósitos específicos, explícitos e legítimos e informados ao Titular de Dados e não podem ser tratados de forma incompatível com esses propósitos. Os Tratamentos de Dados Pessoais devem ser conduzidos para finalidades que observem a legislação vigente, sendo definidos de forma específica e diligente. Os Dados Pessoais apenas serão disponibilizados a terceiros para estes propósitos ou de qualquer outra forma permitida pela Legislação de Proteção de Dados.
- Segurança. Os controles e procedimentos técnicos e organizacionais apropriados devem ser implementados para garantir a segurança dos Dados Pessoais e evitar acesso ou divulgação não autorizados, que potencialmente poderiam resultar em alteração, destruição acidental ou ilegal, perda dos dados e contra todas as demais formas ilegais de Tratamento.
- Transparência. Devem ser garantidas aos Titulares de Dados informações claras, precisas e facilmente acessíveis sobre a realização do Tratamento, bem como implementados procedimentos para garantir respostas às solicitações dos Titulares de Dados, nos termos da Legislação de Proteção de Dados.
- Descarte. Os Dados Pessoais não podem ser mantidos por um período maior que o necessário para o atingimento dos objetivos para os quais foram obtidos ou se de outra forma autorizado pela Legislação de Proteção de Dados. Para mais informações, consultar a Matriz de Retenção e Descarte de Dados Pessoais da Cinépolis.
- Relatório de Impacto à Proteção de Dados Pessoais. Um relatório de impacto à proteção de dados pessoais deve ser conduzido pela Cinépolis nos casos em que o Tratamento de Dados Pessoais seja de alto risco ou a situação concretamente exija, contendo, no mínimo, a descrição dos tipos de Dados Pessoais coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e a análise da Cinépolis com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados.
Por fim, salienta-se que os Dados Pessoais não podem ser tratados para fins discriminatórios, ilícitos ou abusivos.
7. Transferência Internacional de Dados Pessoais
A Cinépolis deve garantir que as transferências de Dados Pessoais para o exterior observam o estabelecido pela LGPD. Nesse sentido, Dados Pessoais poderão ser transferidos ao exterior nos seguintes casos:
- Para países que proporcionem grau de proteção de Dados Pessoais adequado, conforme será determinado pela ANPD;
- Mediante cláusulas contratuais específicas para determinada transferência, cláusulas-padrão contratuais, normas corporativas globais ou selos, certificados e códigos de conduta, todos a serem aprovados pela ANPD; ou
- Quando o Titular de Dados tiver fornecido o seu consentimento específico e em destaque para a transferência, com informação prévia sobre o caráter internacional da operação, distinguindo claramente está de outras finalidades.
Enquanto não houver regulamentação sobre transferência internacional de dados editada pela ANPD, no mínimo, a Cinépolis se compromete a incluir cláusulas de Tratamento de Dados Pessoais nos contextos de transferência internacional que garantam um nível adequado de proteção aos Titulares de Dados Pessoais.
5 - Modificação / atualização da informação:
Os dados pessoais fornecidos pelo usuário farão parte de um arquivo que conterá seu perfil. O usuário pode modificar seu perfil a qualquer momento utilizando seu número de usuário/sócio e seu número de identificação pessoal pré-determinado ou que ele mesmo tenha escolhido.
Cinépolis Brasil aconselha que o usuário atualize seus dados todas as vezes que estes sofram alguma alteração, já que isso permitirá proporcionar-lhe um serviço mais personalizado.
Os serviços de promoções via e-mail/internet poderão, a qualquer momento, serem desativados pelo usuário.
8. Direitos dos Titulares de Dados
A LGPD define que os Titulares de Dados devem receber informações sobre o Tratamento dos Dados Pessoais no momento de sua coleta. Os termos de uso, contratos ou avisos de privacidade devem disponibilizar as informações sobre o Tratamento de forma clara, adequada e ostensiva.
No caso de um Tratamento de Dados Pessoais, os Titulares de Dados possuem os direitos previstos na Legislação de Proteção de Dados e poderão exercê-los por meio de solicitações encaminhadas ao encarregado de dados. Para mais informações, consultar o Plano de Resposta a Requisições de Titulares de Dados Pessoais da Cinépolis.
9. Padrões de segurança
Todos os colaboradores da Cinépolis devem anuir e cumprir com esta Política e demais normativos internos e instruções comunicadas pela Cinépolis. Ao implementar novos processos, procedimentos ou sistemas que envolvam o Tratamento de Dados Pessoais, a Cinépolis deve adotar todas medidas para garantir o cumprimento da Legislação de Proteção de Dados desde a fase de concepção do produto ou do serviço até a sua execução.
A Cinépolis adotará medidas de segurança da informação, como a implementação de softwares de segurança, o monitoramento contínuo de equipamentos, da rede e de servidores da Cinépolis, controle e a manutenção de registro de acesso aos sistemas e aplicações utilizadas na Cinépolis, dentre outras.
Os colaboradores, inclusive prestadores de serviço, serão vinculados a obrigações de confidencialidade.
10. Prestadores de serviço/fornecedores
Os prestadores de serviços/fornecedores que tratem Dados Pessoais em nome da Cinépolis estão sujeitos a obrigações referentes à proteção de dados. Os colaboradores que negociem contratos em nome da Cinépolis deverão assegurar que todos os contratos com prestadores de serviço/fornecedores contenham as cláusulas de proteção de Dados Pessoais cabíveis e adequadas às circunstâncias para garantir a confidencialidade e segurança dos Dados Pessoais tratados em nome da Cinépolis.
11. Incidentes de segurança
Incidentes de segurança incluem, sem limitação, qualquer perda, exclusão, roubo ou acesso não autorizado aos Dados Pessoais que estejam em posse da Cinépolis. Todos os incidentes de segurança serão avaliados para definição de quais medidas serão adotadas, incluindo a notificação à ANPD e/ou aos Titulares de Dados. Para mais informações, consulte o Plano de Resposta e Remediação a Incidentes de Privacidade da Cinépolis.
12. Glossário
"Autoridade Nacional de Proteção de Dados" ou "ANPD" significa a autoridade administrativa encarregada da Proteção de Dados Pessoais, um órgão da administração pública nacional responsável por zelar, implementar e fiscalizar o cumprimento da Lei Geral de Proteção de Dados Pessoais em todo o território brasileiro.
"Colaboradores" significa todos os empregados da Cinépolis, incluindo representantes legais, diretores, estagiários, aprendizes e qualquer outra pessoa que possua vínculo direto com a Cinépolis.
"Controlador de Dados" ou "Controlador" significa uma pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao Tratamento de Dados Pessoais.
"Dados Pessoais" significa quaisquer dados relacionados a um indivíduo (pessoa natural) que é ou possa ser identificado a partir dos dados ou a partir dos dados em conjunto com outras informações.
"Dados Sensíveis" significa os Dados Pessoais sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, ou outros dados específicos na forma da legislação.
"Encarregado de Proteção Dados Pessoais" ou "DPO" significa a pessoa que na Cinépolis é a responsável por coordenar e por assegurar a conformidade com esta Política, com a Legislação de Proteção de Dados e que atuará como canal da Cinépolis com os Titulares de Dados e com a Autoridade Nacional de Proteção de Dados.
"Legislação de Proteção de Dados" significa toda a legislação brasileira, decretos e regulamentações, que dispõem sobre a proteção de Dados Pessoais, incluindo a LGPD.
"LGPD" significa a Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709, de 14 de agosto de 2018.
"Operador de Dados" ou "Operador" significa uma pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do Controlador de Dados.
"Política" significa esta Política de Governança e Proteção de Dados Pessoais.
"Titular(es) de Dados" significa qualquer pessoa natural pessoa natural a quem se referem os Dados Pessoais que são objeto de Tratamento.
"Tratamento ou Tratamento de Dados Pessoais" significa qualquer operação realizada com Dados Pessoais, como, por exemplo, a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.