1 Nossos Princípios da Proteção de seus Dados Pessoais

Trabalhamos com profissionalismo na coleta, manuseio, armazenamento, divulgação e tratamento dos dados pessoais de nossos clientes. Atuamos com discrição para atender aos padrões de proteção de dados no âmbito corporativo e em conformidade não só com a legislação mas também com os regulamentação e normas aplicadas pelos Conselhos de Classe aos quais estamos subordinados.

a) Legalidade, Transparência e Não-Discriminação

Tratamos de forma justa e transparente todos os dados pessoais que nos são fornecidos por nossos clientes.

Tratamento de Dados Pessoais

A JELBR somente trata dados pessoais quando a finalidade do tratamento se enquadra em uma das hipóteses legais previstas na LGPD, que se encontram abaixo elencadas, sendo certo que os titulares são sempre informados sobre a razão e a forma pela qual seus dados pessoais estão sendo tratados.

São hipóteses de tratamento:

• Necessidade para a execução de um contrato do qual o titular dos dados é parte;

• Exigência decorrente de lei ou regulamento ao qual a Instituição está sujeita;

• Interesse legítimo no tratamento dos dados; e

• Necessidade de prover o exercício regular de direito em processo judicial, administrativo ou arbitral.

Quando o tratamento de dados pessoais não se enquadrar nas hipóteses legais acima, a JELBR solicita formalmente o consentimento do titular para o tratamento de seus dados pessoais. Temos o cuidado de assegurar que este consentimento seja obtido de forma específica, livre, inequívoca e informada, nos termos do art. 7º, inciso I da LGPD.

Nós coletamos, armazenamos e gerenciamos todas os formulários de consentimento de maneira organizada e acessível, para que a comprovação de consentimento possa ser provada quando necessário, nos termos do caput do art. 8º da LGPD.

Temos o cuidado de oferecer ao titular dos dados pessoais a possibilidade dele retirar o seu consentimento a qualquer momento com a mesma facilidade pela qual nos foi fornecido, nos termos do art. 8º, §5º da LGPD.

Tratamento de Dados Pessoais Sensíveis

Em algumas circunstâncias a JELBR também pode ser obrigada a tratar dados pessoais considerados sensíveis, tais como os abaixo elencados:

• Dados relacionados à saúde do titular;

• Dados genéticos ou biométricos vinculados ao titular;

• Dados acerca da orientação sexual do titular;

• Dados sobre eventuais condenações criminais do titular;

• Dados que evidenciem a origem racial ou étnica, opiniões políticas, filiação a sindicato ou a organização de caráter religioso, filosófico ou político.

Sabemos que o tratamento de dados pessoais sensíveis é vedado, exceto nas hipóteses específicas descritas abaixo, conforme definido pelo art. 11 da LGPD, casos em que nós observamos padrões de segurança mais robustos do que os normalmente empregados aos demais dados pessoais.

São hipóteses de tratamento de dados sensíveis:

• Necessidade para a execução de um contrato do qual o titular dos Dados é parte (art. 11, inciso II, alínea “b” da LGPD); ;

• Exigência decorrente de lei ou regulamento ao qual a Instituição está sujeita (art. 11, inciso II, alínea “a” da LGPD);

• Necessidade de prover o exercício regular de direito em processo judicial, administrativo ou arbitral (art. 11, inciso II, alínea “d” da LGPD).

• Proteção da vida ou da incolumidade física do titular (art. 11, inciso II, alínea “f” da LGPD);

Quando o tratamento de dados pessoais não se enquadra nas hipóteses legais acima nós solicitamos de forma específica e destacada, o consentimento do titular para o tratamento de seus dados pessoais sensíveis, e temos uma politica de Compliance para asseguramos que este consentimento seja obtido de forma específica, livre, inequívoca e informada, nos termos do art. 11, inciso I da LGPD.

Tratamento de Dados Pessoais de Criança ou Adolescente

Em circunstâncias muito específicas nós somos obrigados a tratar dados pessoais de crianças e adolescentes, respeitando o disposto no Estatuto da Criança e do Adolescente e de acordo com os seus melhores interesses (art. 14, caput da LGPD). Nestes casos o tratamento de dados pessoais de crianças e adolescentes só é realizado mediante o consentimento específico e em destaque dado pelo seu responsável legal (art. 14, §1º da LGPD).

b) Limitação e Adequação da Finalidade

O tratamento de dados pessoais sempre é realizado de maneira compatível com a finalidade original para a qual os dados pessoais foram coletados. A JELBR não coleta dados com um propósito para serem utilizados de forma diversa. Todas as finalidades para as quais coletamos dados de clientes são obrigatoriamente compatíveis com a razão original para qual os dados pessoais foram coletados.

c) Necessidade e Minimização dos Dados

A JELBR segue o princípio da minimização dos Dados, isto é, somente trata os dados pessoais dos titulares na medida em que são necessários para atingir um propósito específico e determinado. O compartilhamento de dados pessoais entre as equipes da empresa, quando ocorre, são sempre tratados com a observação deste princípio, só podendo haver o compartilhamento sob uma hipótese legal adequada.

d) Exatidão e Qualidade dos Dados

Adotamos medidas para assegurar que quaisquer dados pessoais em nossa posse sejam mantidos precisos e atualizados em relação às finalidades para as quais foram coletados, havendo inclusive a possibilidade de o titular de dados pessoais requerer a exclusão ou correção de dados imprecisos ou desatualizados dos nossos arquivos de avaliações, que são mantidos em arquivo e depois destruídos sem possibilidade de recuperação tanto no prazo limite como nas formas estabelecidas pela lei.

e) Limitação da Retenção e do Armazenamento de Dados

Não só por precaução mas também para acompanharmos os prazos de caducidade das informações legais mantemos períodos de retenção e processos de revisão periódicas no tratamento de dados pessoais. Também não mantemos dados pessoais por prazo superior ao necessário para atender as finalidades pretendidas, sempre fiéis aos ditames estabelecidos em nossa sua Política de Retenção de Dados.

f) Integridade e Confidencialidade

Asseguramos que medidas técnicas e administrativas apropriadas são aplicadas aos dados pessoais para protegê-los contra o tratamento não autorizado ou ilegal, bem como contra a perda acidental, destruição sem controle ou danos. Para nós o tratamento de dados pessoais é tratado com a devida confidencialidade.

Adotamos as medidas técnicas de garantia da integridade e confidencialidade dos dados pessoais previstas na Política Nacional de Segurança da Informação.

g) Responsabilização e Prestação de Contas

Nossa equipe de Peritos Avaliadores associados mantem-se atualizada e atenta às normas e às Políticas de Proteção de Dados para sempre garantir que suas nossas ações profissionais sempre incluam:

• Garantias de que os titulares possam exercer os seus direitos previstos nesta política;
• Registro de dados pessoais, incluindo: (i) registros de atividades de tratamento de dados pessoais, com a descrição das finalidades desse tratamento, os destinatários do compartilhamento dos dados pessoais e os prazos pelos quais a Instituição deve retê-los; (ii) registro de incidentes de dados pessoais; e (iii) registro de violações de dados pessoais.
• Garantias de que os terceiros que sejam operadores de dados pessoais também estejam agindo de acordo com esta política e com a legislação e regulamentação aplicáveis;
• Garantias de que matemos um canal do titular ativo e regulamentar, administrado por um DPO exclusivo; e
• Garantias de que toda a equipe seja solicita para cumprir todas as exigências e solicitações de qualquer autoridade regulamentar à qual estejamos sujeitos à qualquer tempo.

2. Diretrizes e Padrões de Segurança

A JELBR segue as boas práticas de segurança da informação, com o fim de proteger a privacidade e os dados pessoais dos indivíduos e garantir o direito fundamental à autodeterminação informacional dos titulares.

A confidencialidade, integridade e disponibilidade, bem como a autenticidade, a responsabilidade e o não-repúdio são considerados fundamentos da nossa segurança da informação.

Todos os Profissionais da JELBR cuja atividade exija ter acesso a dados pessoais de clientes estão obrigados aos deveres de confidencialidade, mediante a assinatura de Acordo de Confidencialidade.

Sempre que implementamos novos processos, procedimentos ou sistemas que envolvam o tratamento de dados pessoais, nós adotamos medidas para garantir que as regras de Privacidade e Proteção de Dados sejam adotadas desde a fase de concepção até o lançamento ou implantação dos projetos, de acordo com a Política de Desenvolvimento de Novos Produtos e Negócios.

3. Gestão das Relações Controlador-Operador de Dados Pessoais

Cada profissional de nossa equipe, ou mesmo fornecedor quando for o caso, que tratar dados pessoais fornecidos por nós será considerado, para todos os efeitos, um Operador de dados pessoais, sendo dele exigida legalmente a assunção da responsabilidade por garantir que estes dados pessoais estejam sendo tratados de forma correta e de acordo com a legislação e regulamentação aplicáveis.

4. Transferência Internacional de Dados Pessoais

Nos casos de elaboração de Pareceres usados junto à Carteiras/Grupos de Investidores ou mesmo à Instituições Bancárias internacionais, e os dados pessoais forem tratados em países diferentes, a legislação e regulamentação aplicáveis à transferência internacional de dados de cada país é observada, nos termos da Política de Compartilhamento de Dados Pessoais.

Garantimos a todos os nossos clientes, de acordo com o disposto na Política de Compartilhamento de Dados Pessoais, que todos os nossos contratos com fornecedores celebrados a partir da publicação desta política estão em conformidade com a Lei 13.709/2018, nos termos do seu art. 33.

5. Direitos dos Titulares de Dados Pessoais

Sempre agimos para efetivar os direitos dos titulares de dados pessoais, mediante nossas políticas internas, normas de trabalho e procedimentos práticos realizados durante as vistorias e às demais etapas dos processos de elaboração de nossos pareceres, de forma que nosss equipes e nossos prepostos sempre trabalhem para fornecer de forma rápida:

• A informação sobre como seus dados pessoais serão tratados;
• A informação, a qualquer momento, sobre o tratamento de seus dados pessoais e o acesso aos dados pessoais que a Instituição detenha sobre eles;
• A possibilidade de correção de seus dados pessoais se estiverem imprecisos, incorretos ou incompletos;
• A possibilidade de exclusão, bloqueio ou anonimização dos seus dados pessoais em determinadas circunstâncias, nos termos de Política de Retenção de Dados da Instituição;
• A restrição do tratamento de seus dados pessoais em determinadas circunstâncias;
• A possibilidade de oposição ao tratamento, se o tratamento for baseado em legítimo interesse
• A possibilidade de retirada do consentimento a qualquer momento, se o tratamento dos dados pessoais se basear no consentimento do indivíduo para um propósito específico;
• A portabilidade dos dados pessoais a outro fornecedor de serviço ou produto, mediante requisição expressa em determinadas circunstâncias;
• A possibilidade de revisão das decisões tomadas unicamente com base em tratamento automatizado de dados pessoais; e
• A possibilidade de apresentação de queixa à Instituição através do contato com o DPO responsável, ou através de comunicação à Autoridade de Proteção de Dados, se o titular dos dados pessoais tiver motivos para supor que qualquer um de seus direitos tenha sido violado.

6. Prestadores de Serviço Terceirizados

A JELBR também trabalha com prestadores de serviços terceirizados em situações muito específicas. Quando existe necessidade de tratarem dados pessoais de clientes ela sempre ocorre sobre nossas estritas instruções e todos estão sujeitos às obrigações impostas aos Operadores de acordo com a legislação e regulamentação de proteção de dados pessoais aplicáveis, bem como às diretrizes estabelecidas nas nossas Políticas de Compartilhamento e de Terceirização.

Asseguramos a nossos clientes que no contrato de prestação de serviços terceirizados sejam contemplamos cláusulas de privacidade que exijam que quaisquer de nossos terceirizados implementem medidas próprias de segurança e proteção de dados pessoais, devendo sempre estar em conformidade com a LGPD.

Ocorrem casos em que o prestador de serviços está localizado fora do Brasil. Nestes casos temos cláusulas contratuais padrão que são incluídas no contrato de proteção de dados pessoais em forma de um Anexo, para garantir que as devidas salvaguardas exigidas pela legislação e regulamentação internacionais aplicáveis sejam adequadamente implementadas.

7. Da Gestão de Incidentes de Segurança da Informação

Trabalhamos para que incidentes não ocorram, mas se ocorrerem temos o DPO responsável, que trata os incidentes que por ventura ocorrerem por meio das diretrizes e procedimentos previstos na Política e Plano de Resposta a Incidentes.

Todos nossos funcionários e parceiros estão cientes da sua responsabilidade pessoal perante a ocorrência de eventos e incidentes de segurança da informação, agindo para denunciar tais incidentes e eventos assim que os identificarem.

8. Auditorias de Proteção de Dados

Mantemos Auditoria Constante e também procedimentos técnicos de revisões periódicas a fim de confirmar que as iniciativas previstas nesta política, bem como nossos sistemas, medidas, processos, precauções e outras salvaguardas estejam sendo efetivamente implementadas e mantidas em conformidade com a legislação e a regulamentação aplicáveis.

Em nossa Política de Auditoria Interna a problemática do tratamento de dados pessoais é avaliado com a devida periodicidade e de acordo com o grau de riscos existentes. Em caso de identificação de riscos relevantes nossa Auditoria Interna possui como procedimento padrão a revisão independente e específica do plano anual de auditoria interna.