Capítulo I - Disposições Gerais
Artigo 1º - Esta política estabelece as diretrizes para a privacidade e segurança das informações pessoais coletadas, armazenadas, processadas e transmitidas pelo CONAR, assegurando a proteção da privacidade e dos dados pessoais em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD), os provimentos do CONAR e outras regulamentações aplicáveis.
Artigo 2º - Aplicam-se as disposições desta política a todos os associados, colaboradores, parceiros, fornecedores e terceiros que, de alguma forma, tratem dados pessoais sob a orientação ou em nome do CONAR.
Capítulo II - Da Privacidade, Confidencialidade e Proteção de Dados
Artigo 3º - A fim de preservar privacidade e da confidencialidade das informações obtidas, processadas e armazenadas durante a execução de suas atividades, o CONAR se compromete a assegurar sua integridade e o sigilo. Essas abrangem, sem limitação, os dados pessoais dos consumidores, as especificidades das queixas submetidas, informações de caráter comercial e demais dados sensíveis pertinentes às partes envolvidas nos procedimentos de Representações Éticas e demais atividades sob sua tutela.
§ 1º - Fica estabelecido que todos os empregados, colaboradores, prestadores de serviços e quaisquer terceiros vinculados ao CONAR devem preservar a confidencialidade das informações acessadas em virtude de suas funções ou colaborações. O acesso, utilização, divulgação ou permissão de acesso a tais informações deve ocorrer somente quando estritamente necessário para o cumprimento de suas atividades relacionadas ao CONAR, em observância às legislações aplicáveis, incluindo a Lei Geral de Proteção de Dados (LGPD) e os Provimentos específicos do CONAR.
§ 2º - O compromisso de manutenção da confidencialidade subsistirá indefinidamente, ultrapassando o término do vínculo laboral ou contratual, englobando todas as informações confidenciais às quais o indivíduo teve acesso durante a sua atuação junto ao CONAR.
§ 3º - Eventuais infrações ao dever de confidencialidade aqui previsto sujeitarão o infrator a penalidades legais correspondentes, além de responsabilização por danos eventualmente causados ao CONAR ou a terceiros em decorrência de tal infração.
§ 4º - Compromete-se o CONAR a implementar e manter medidas apropriadas e eficazes para salvaguardar as informações confidenciais contra acessos, usos, divulgações ou tratamentos não autorizados. Tais medidas incluem a elaboração e execução de políticas internas de segurança da informação, realização de treinamentos adequados aos seus empregados e colaboradores e imposição de sanções disciplinares em face do descumprimento das normativas estipuladas.
Artigo 4º - O CONAR compromete-se a coletar apenas dados pessoais necessários para a realização de suas atividades, respeitando os princípios da finalidade, adequação e necessidade.
§ 1º - Os dados coletados serão utilizados exclusivamente para os fins especificados no momento da coleta e de acordo com os provimentos do CONAR.
Capítulo III - Do Uso de Inteligência Artificial na Proteção de Privacidade e Informações Pessoais
Artigo 5º - O CONAR compromete-se a adotar práticas responsáveis no uso de tecnologias de inteligência artificial, assegurando que a implementação e operação de sistemas de IA respeitem a privacidade e proteção dos dados pessoais, em conformidade com a LGPD e os provimentos do CONAR.
§ 1º - O desenvolvimento, aquisição e uso de soluções baseadas em inteligência artificial pelo CONAR serão precedidos de uma avaliação de impacto à proteção de dados pessoais, considerando especialmente os riscos à privacidade e as medidas necessárias para mitigá-los.
§ 2º - Serão estabelecidos procedimentos claros para a governança de dados em sistemas de IA, incluindo, mas não se limitando a, critérios para a seleção de dados, anonimização de informações pessoais, e transparência quanto ao uso, finalidade e limitações das tecnologias empregadas.
§ 3º - O CONAR assegurará que os sistemas de IA sejam projetados e operados de forma a permitir a intervenção humana adequada, especialmente em decisões que afetam os direitos dos titulares dos dados, promovendo a responsabilidade e a transparência das decisões automatizadas.
§ 4º - O CONAR garantirá que todas as operações de tratamento de dados pessoais realizadas com o auxílio de inteligência artificial sejam conduzidas de maneira justa, transparente e com respeito aos direitos dos titulares dos dados, incluindo o direito à informação, acesso e contestação de decisões automatizadas.
§ 5º - A utilização de IA pelo CONAR na análise de dados respeitará os princípios de minimização de dados e anonimização, evitando-se o tratamento de informações pessoais identificáveis quando não estritamente necessário para os objetivos legítimos perseguidos.
§ 6º - Os usuários devem ser informados quando suas informações estão sendo processadas por um sistema de IA e devem consentir de forma explícita com este processamento, exceto no caso de dados já publicizados pelos próprios titulares, conforme disposto no art. 7º, inciso IX e §4º da LGPD.
Artigo 6º - O tratamento de dados pessoais pelo CONAR deverá garantir a confidencialidade, integridade e disponibilidade das informações, adotando medidas de segurança apropriadas contra tratamento não autorizado ou ilícito e contra perda, destruição ou dano acidental.
Capítulo IV - Do Uso de Inteligência Artificial com Dados Publicizados
Artigo 7º - O CONAR poderá utilizar dados já publicizados por seus titulares para monitoramento por IA baseando-se no legítimo interesse, nos termos do art. 7º, inciso IX e §4º da LGPD.
Artigo 8º - As atividades de monitoramento por IA utilizando dados publicizados não exigem consentimento específico dos titulares dos dados, observando-se:
a). Os princípios de proteção de dados pessoais previstos na LGPD, incluindo a transparência, segurança, prevenção e responsabilização;
b). A garantia do direito dos titulares à informação sobre o tratamento de seus dados, conforme disposto no art. 9º da LGPD;
c). A implementação de medidas adequadas para minimizar riscos e proteger os direitos dos titulares dos dados.
Capítulo V - Do Compartilhamento de Dados
Artigo 9º - O CONAR poderá compartilhar dados das representações no caso de pedidos de autoridades competentes, conforme previsto em lei.
Artigo 10º - O CONAR também poderá compartilhar dados das representações para fins de pesquisa acadêmica, desde que
a). Os dados sejam previamente anonimizados de modo a garantir a privacidade dos titulares;
b). O compartilhamento esteja em conformidade com a legislação vigente, especialmente com a Lei Geral de Proteção de Dados Pessoais (LGPD);
c). Seja celebrado um termo de compromisso entre o CONAR e a instituição acadêmica, assegurando que os dados serão utilizados exclusivamente para os fins de pesquisa e que serão adotadas todas as medidas necessárias para garantir a segurança e confidencialidade dos dados.
Artigo 11º - O CONAR poderá compartilhar dados do consumidor caso seja necessário para a apuração de um caso e/ou no benefício do próprio consumidor, observando as seguintes condições:
a). O compartilhamento deverá ser realizado apenas mediante o consentimento específico e informado do consumidor, conforme disposto no artigo 7º, inciso I, da LGPD;
b). O consentimento deverá ser obtido de forma explícita, destacando claramente as finalidades específicas para as quais os dados serão compartilhados;
c). O CONAR deve assegurar que o compartilhamento dos dados será realizado em conformidade com os princípios da finalidade, necessidade e adequação previstos na LGPD;
d). Serão celebrados acordos de confidencialidade com os terceiros que receberem os dados, garantindo que estes adotarão medidas adequadas de proteção e segurança dos dados compartilhados.
Capítulo VI - Tratamento de Dados dos Colaboradores
Artigo 12º - O CONAR tratará dados pessoais de seus colaboradores, incluindo conselheiros, de acordo com os princípios estabelecidos nesta política e na LGPD e o tratamento de dados dos colaboradores será realizado para finalidades específicas, explícitas e legítimas, tais como:
a). Administração de recursos humanos, incluindo contratação, avaliação de desempenho, desenvolvimento de carreira, remuneração e benefícios;
b). Cumprimento de obrigações legais e regulatórias, incluindo obrigações trabalhistas, previdenciárias e fiscais;
c). Garantia da segurança das instalações e dos sistemas de informação do CONAR;
d). Comunicação e gestão interna, artigos científicos, relatórios, pareceres e análises emitidas oficialmente pelo órgão.
Artigo 13º - O CONAR assegurará que o tratamento de dados dos colaboradores respeite os direitos dos titulares, incluindo os direitos de acesso, correção, eliminação e oposição, conforme disposto na LGPD.
Artigo 14º - Medidas de segurança apropriadas serão implementadas pelo CONAR para proteger os dados pessoais dos colaboradores contra acessos não autorizados, uso indevido, perda, destruição ou dano acidental.
Capítulo VII - Do Tratamento de Queixas de Consumidor e da Desassociação de Dados
Artigo 15º - A anonimização de dados pessoais será utilizada sempre que possível, especialmente em atividades relacionadas à análise de dados e elaboração de relatórios de publicidade, de modo a proteger a identidade dos titulares dos dados.
Artigo 16º - No tratamento de informações relacionadas à resolução de queixas de consumidores, o CONAR obriga-se a utilizar essas informações de maneira responsável e exclusivamente para esse fim, garantindo a total confidencialidade e segurança das informações fornecidas.
§ 1º - No ato de formalização de uma queixa perante o CONAR, as informações pessoais disponibilizadas pelo denunciante serão destinadas unicamente aos fins de estabelecimento de contato, análise da queixa apresentada e à realização de análises agregadas que visem à identificação de tendências nas queixas recebidas.
§ 2º - Em conformidade com o Provimento nº 01/2019 do CONAR, as queixas de consumidor que levarem à instauração de Representações Éticas de ofício serão processadas de modo a desassociar os dados de identificação fornecidos no ato da denúncia, garantindo a privacidade do denunciante durante o processo.
§ 3º - O CONAR manterá a integridade das queixas e dos dados associados à identificação do denunciante sob sua guarda, assegurando a confidencialidade e segurança destas informações, em linha com as práticas de segurança da informação e proteção de dados pessoais estabelecidas nesta política.
§ 4º - A adoção dessas medidas não implicará na aceitação de queixas anônimas, sendo essencial manter os dados do denunciante de forma segura e confidencial para fins de verificação e eventual contato pelo CONAR.
Capítulo VIII - Dos Direitos dos Titulares
Artigo 17º - Os titulares dos dados têm o direito de solicitar acesso, correção, eliminação, além de poderem questionar o tratamento de seus dados pessoais pelo CONAR, conforme estabelecido pela LGPD.
Capítulo IX - Da Segurança da Informação
Artigo 18º - O CONAR implementará controles técnicos e administrativos adequados para assegurar a segurança das informações pessoais, incluindo, mas não se limitando a, criptografia, controle de acesso, utilização de senhas complexas, monitoramento e sistemas de detecção e proteção contra intrusões/acessos não autorizados.
§ 1º - O CONAR pode utilizar agentes terceirizados para coletar ou processar dados, sendo que eventuais agentes terceirizados, ao coletar ou processar dados em nome do CONAR, estão igualmente sujeitos às obrigações de confidencialidade e segurança estabelecidas nesta política, devendo adotar medidas de proteção de dados compatíveis com as definidas pelo CONAR.
Artigo 19º - Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o CONAR compromete-se a comunicar o incidente às autoridades competentes e aos titulares dos dados de forma tempestiva, conforme a LGPD.
Capítulo X - Do Dever de Sigilo
Artigo 20º - Os associados, aderentes e seus representantes, no exercício de cargos ou funções do CONAR, têm a obrigação de manter sigilo sobre quaisquer atos ou fatos a que tenham tido acesso em razão de sua investidura, bem como respeitar a confidencialidade que resguarda os feitos em andamento perante o Conselho de Ética, conforme disposto no Estatuto do CONAR.
Capítulo XI - Das Responsabilidades
Artigo 21º - Todos os funcionários, colaboradores, parceiros e terceiros envolvidos no tratamento de dados pessoais em nome do CONAR deverão cumprir as disposições desta política, sob pena de medidas disciplinares, sem prejuízo de outras sanções legais.
Artigo 22º - É dever do CONAR fornecer treinamento adequado e periódico sobre a proteção de dados pessoais e a importância da privacidade para todos os seus funcionários e colaboradores.
Capítulo XII - Do Encarregado pelo Tratamento de Dados Pessoais
Artigo 23º - O CONAR designará formalmente um encarregado pelo tratamento de dados pessoais, responsável por atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).
§ 1º - A designação do encarregado será documentada por escrito, datada e assinada, demonstrando de forma clara e inequívoca a intenção do CONAR em designar o encarregado.
§ 2º - O documento de designação será apresentado à ANPD, quando solicitado.
§ 3º - Nas ausências, impedimentos e vacâncias do encarregado, a função será exercida por substituto formalmente designado.
Artigo 24º - A identidade e as informações de contato do encarregado serão divulgadas publicamente, de forma clara e objetiva, no sítio eletrônico do CONAR, em local de destaque e de fácil acesso.
§ 1º - A divulgação incluirá o nome completo do encarregado, se pessoa natural, ou o nome empresarial e o responsável, se pessoa jurídica.
§ 2º - A divulgação das informações de contato abrangerá, no mínimo, os dados referentes aos meios de comunicação que viabilizem o exercício dos direitos dos titulares junto ao controlador e possibilitem o recebimento de comunicações da ANPD.
Artigo 25º - O encarregado terá as seguintes atribuições:
a). Aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
b). Receber comunicações da ANPD e adotar providências;
c). Orientar os funcionários e os contratados do CONAR a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;
d). Executar as demais atribuições determinadas pelo CONAR ou estabelecidas em normas complementares.
Artigo 26º - O CONAR deverá garantir ao encarregado a autonomia técnica necessária para cumprir suas atividades, livre de interferências indevidas, especialmente na orientação sobre práticas de proteção de dados pessoais.
Artigo 27º - O CONAR compromete-se a prover os meios necessários para o exercício das atribuições do encarregado, incluindo recursos humanos, técnicos e administrativos.
Artigo 28º - O encarregado deverá atuar com ética, integridade e autonomia técnica, evitando situações que possam configurar conflito de interesse.
Artigo 29º - O CONAR adotará medidas para evitar o acúmulo de funções pelo encarregado que possam configurar conflito de interesse, e deverá declarar ao CONAR qualquer situação que possa configurar conflito de interesse.
Capítulo XIII - Disposições Finais
Artigo 30º - Esta política entra em vigor na data de sua publicação, revogando-se as disposições em contrário, e será revisada e atualizada periodicamente, ou sempre que ocorrer qualquer fato ou evento relevante que motive sua revisão antecipada.
