1.Objetivo

Este documento estabelece princípios, conceitos, requisitos, diretrizes e responsabilidades, visando assegurar o compromisso da Xpandi Ventures com o cumprimento das legislações de proteção de dados pessoais, bem como descrever as regras a serem seguidas na condução das atividades e operações de tratamento de dados pessoais realizadas pela Companhia.

2.Termos e definições

Anonimização: utilização de meios técnicos, razoáveis e disponíveis no momento do tratamento de dados pessoais, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo.

Autoridade Nacional de Proteção de Dados (ANPD): órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da Lei 13.709.

Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.

Dados Pessoais: informações relacionadas à pessoa natural identificada ou identificável.

Dados Pessoais Sensíveis: dados pessoais que se referem a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

Data Protection Officer ou DPO: ver a definição de Encarregado.

Diretriz: conjunto de instruções ou indicações que orientam o que deve ser feito para se alcançar os objetivos estabelecidos na Política.

Encarregado (DPO): pessoa física ou jurídica indicada pela Xpandi Ventures para atuar como canal de comunicação entre o Controlador, os titulares e a Autoridade Nacional de Proteção de Dados.

Incidente: evento que acarretará impactos negativos para a organização, seus clientes e fornecedores caso não seja tratado de maneira adequada.

Informação: qualquer conjunto organizado de dados que possua algum propósito e valor para a Xpandi Ventures, seus clientes, parceiros e colaboradores. A informação pode ser de propriedade da empresa ou estar sob sua custódia, como informações armazenadas em nuvem.

Operador: pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do Controlador.

Sistemas: todo recurso computacional que permita criar, consultar, alterar, encaminhar, armazenar ou descartar informações.

Titular: pessoa natural a quem se referem os dados pessoais a serem tratados nas bases de dados.

Tratamento de Dados: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

3.Diretrizes

As diretrizes contidas neste documento são reflexo das estratégias e valores da Xpandi Ventures e expressam o nível de comprometimento que estabelece em relação à Privacidade de Dados.

As diretrizes desta Política são consideradas linhas-mestras para o desenvolvimento de quaisquer normas ou procedimentos internos de Segurança da Informação e Privacidade de Dados.

4.Princípios desta política

A Política de Privacidade da Xpandi Ventures se norteia pelos seguintes princípios:

• Finalidade: deixar evidente e de forma bastante clara o motivo pelo qual os dados serão utilizados, informando isso detalhadamente ao titular.
• Adequação: garantir a compatibilidade do tratamento com as finalidades informadas ao titular, ou consentidas por este.
• Necessidade: limitar o tratamento ao mínimo necessário para a realização de suas finalidades.
• Livre acesso e Transparência: garantir processos que disponibilizam acesso fácil e gratuito ao titular do dado, com informações claras, precisas e sobre o processo de tratamento.
• Qualidade dos dados: garantir exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e finalidade.
• Segurança e Prevenção: medidas técnicas e administrativas para proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas.
• Não discriminação: a finalidade nunca será utilizada para fins discriminatórios ou abusivos.
• Responsabilização e prestação de contas: elaboração de relatórios que demonstrem a adoção de medidas eficazes e o cumprimento desta política.

5.Uso adequado de informações privadas

I. A Xpandi Ventures não coleta, armazena, compartilha, transmite ou mantém intencionalmente dados pessoais além daqueles relevantes à condução das suas atividades de negócio e permitidos por Lei ou autorização contratual.

II. A Xpandi Ventures adota as medidas necessárias para obter o consentimento dos titulares dos dados pessoais, nas hipóteses aplicáveis, garantindo a proteção dos registros de consentimento e meios para que os titulares possam consultar e/ou solicitar a revogação do seu próprio consentimento.

III. Havendo mudanças da finalidade do tratamento não compatíveis com o consentimento original, o controlador informará previamente o titular, que poderá revogar o consentimento.

IV. Ainda que o titular tenha direito de acesso ou solicite a exclusão dos dados, a Xpandi Ventures pode resguardá-los durante o prazo prescricional e/ou aquele estabelecido em Lei ou regulamentação de suas atividades no mercado de capitais brasileiro.

V. Todos os dados pessoais sensíveis sob custódia da Xpandi Ventures são classificados como DADO PESSOAL SENSÍVEL e só podem ser tratados com consentimento específico ou nas hipóteses previstas em lei.

VI. Os dados pessoais sob custódia da Xpandi Ventures ou de prestadores autorizados estão protegidos pelas Políticas e Procedimentos de Segurança da Informação da empresa.

VII. Dados pessoais sob custódia da Xpandi Ventures serão utilizados exclusivamente para os fins a que foram recebidos, sendo necessária nova forma de consentimento caso a finalidade seja alterada.

VIII. Quando a informação privada não é mais necessária, observada a regulação pertinente, ela será destruída por procedimentos que impeçam a recuperação total ou parcial dos dados.

IX. A Xpandi Ventures garante meios adequados de comunicação com o titular sempre que ocorrer alteração relativa à finalidade, forma e duração, controlador, ou uso compartilhado de dados.

X. Eventuais alterações no tratamento dos dados pessoais do titular serão submetidas a novas solicitações de consentimento.

6.Divulgação de informações privadas

I. Dados pessoais sob custódia da Xpandi Ventures não serão transferidos a terceiros, exceto quando exigido pela natureza do serviço ou por obrigação legal, mediante termo de consentimento e compromisso formal de confidencialidade pelos terceiros.

II. A Xpandi Ventures assegura cláusulas referentes à proteção de dados pessoais em contratos com terceiros, atestando o compromisso com as legislações aplicáveis.

III. Todos os contratos firmados entre a Xpandi Ventures e terceiros serão revisados e submetidos à aprovação do Encarregado da Xpandi Ventures e de sua equipe técnica.

IV. As informações de propriedade ou custódia da Xpandi Ventures somente serão acessadas por pessoas autorizadas e capacitadas.

V. Dados pessoais de colaboradores poderão ser disponibilizados apenas por cunho estritamente profissional aos seus superiores, responsáveis por benefícios e/ou prestadores de serviço autorizados.

VI. Com exceção de investigações criminais e incidentes de Segurança da Informação, pedidos de informação privada vindos de fora da Xpandi Ventures devem ser direcionados ao Departamento Jurídico e ao de Recursos Humanos.

VII. As informações de propriedade ou custódia da Xpandi Ventures só serão fornecidas mediante solicitação formal, observados os requisitos legais vigentes.

VIII. As áreas responsáveis pelas informações estão cientes e de acordo com o envio dos dados pessoais a unidades externas, bem como dos riscos relacionados a vazamento e indisponibilidade.

IX. Políticas, processos e procedimentos são mantidos para aumentar a transparência das práticas de tratamento de dados da Xpandi Ventures e dos riscos de privacidade associados.

X. Indivíduos e organizações impactados serão notificados sobre uma violação ou evento de privacidade.

7.Transferência internacional de dados

I. A Xpandi Ventures observa as seguintes condições nos casos de transferência de dados pessoais para país estrangeiro ou organismos internacionais:

• Transferência para países ou organismos que proporcionem grau de proteção adequado ao descrito nesta política.
• Garantias do cumprimento de princípios, direitos do titular e regime de proteção, por meio de cláusulas contratuais específicas, cláusulas padrão ou normas corporativas globais.
• Quando a autoridade nacional autorizar a transferência.
• Quando o titular fornecer consentimento específico e em destaque, com informação prévia sobre o caráter internacional da operação.

II. Todo o processo de transferência internacional será documentado e disponibilizado para auditorias internas e externas.

8.Exclusão de dados

I. A exclusão de dados do titular será analisada quanto à possibilidade de legislações específicas vigentes impedirem tal exclusão.

II. São motivos passíveis de exclusão por obrigatoriedade: verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários; fim do período determinado para o tratamento; solicitação do titular, exceto nas hipóteses de retenção obrigatória; ou determinação da autoridade nacional, na hipótese de violação à Lei 13.709.

III. Nos casos em que os dados forem compartilhados com outras empresas, a Xpandi Ventures comunicará a exclusão para que essas empresas realizem o mesmo em suas bases.

9.Direitos dos titulares de dados pessoais

• Confirmação da existência do tratamento: o titular pode questionar a Xpandi Ventures sobre operações de tratamento relativas a seus dados.
• Acesso: o titular pode solicitar e receber cópia de seus dados pessoais coletados e armazenados.
• Correção: o titular pode requisitar correção de dados incompletos, inexatos ou desatualizados.
• Eliminação: o titular pode requisitar a exclusão de seus dados, salvo motivo legítimo para sua manutenção, como obrigação legal de retenção.
• Suspensão de tratamento ilícito: o titular pode requisitar anonimização, bloqueio ou eliminação de dados reconhecidos como desnecessários, excessivos ou tratados em desconformidade com a LGPD.
• Oposição: nas hipóteses de tratamento não baseadas em consentimento, o titular pode apresentar oposição, analisada conforme os critérios da LGPD.
• Portabilidade: o titular pode requisitar a disponibilização de seus dados a outro fornecedor de serviço ou produto, respeitados segredo comercial e limites técnicos.
• Revogação do consentimento: o titular pode revogar o consentimento, sem afetar a legalidade dos tratamentos anteriores. Em alguns casos, pode não ser possível continuar fornecendo determinados serviços.

10.Atendimento a titulares de dados

I. A Xpandi Ventures garante processos e aplicações para que titulares solicitem esclarecimento, correção e exclusão de seus dados.

II. A solicitação é disponibilizada de forma clara, gratuita e de fácil acesso, pelo canal de contato disponível no site da Xpandi Ventures.

III. A Xpandi Ventures disponibiliza canal de comunicação por meio do endereço juridico@xpandiventures.com.br, no qual o encarregado pela proteção de dados pessoais recebe requisições, solicitações, comunicações e/ou manifestações dos titulares para exercício dos direitos estipulados na LGPD.

IV. A disponibilização de dados solicitada pelo titular contém, no mínimo: dados existentes na companhia; finalidades específicas do tratamento; forma e duração do tratamento; informações de contato na companhia; informações sobre uso compartilhado e finalidade; responsabilidades dos agentes que realizam o tratamento.

11.Confidencialidade e segurança das informações

I. Todas as ações de tratamento de dados pessoais, manuais ou automatizadas, possuem controles de acesso e rastreamento específicos.

II. A Xpandi Ventures utiliza tecnologias adequadas para proteger dados privados contra destruição, perda, alteração ou divulgação não autorizada.

III. Equipes capacitadas em Segurança da Informação asseguram a adoção de boas práticas durante a coleta e tratamento dos dados.

12.Resposta a incidentes

I. Políticas, processos e procedimentos são estabelecidos para receber, analisar e responder a ações problemáticas de dados divulgadas à organização por fontes internas e externas.

II. Há processos para receber, rastrear e responder a reclamações, preocupações e perguntas sobre práticas de privacidade.

III. Há processos para descrever análises e comunicação referente a incidentes de segurança envolvendo vazamento ou tratamento indevido de dados pessoais.

IV. A comunicação será efetuada ao titular e à ANPD e mencionará, no mínimo: natureza dos dados afetados; informações sobre os titulares envolvidos; medidas técnicas e de segurança utilizadas; riscos relacionados ao incidente; motivos de eventual demora; e medidas adotadas para reverter ou mitigar prejuízos.

V. Cabe à Xpandi Ventures agir em tempo adequado para as ações de comunicação de incidentes, observando os prazos legais vigentes.

13.Tratamento dos dados pessoais, finalidades e bases legais

I. O tratamento dos dados pessoais tem as seguintes finalidades:

• Celebração de contrato de trabalho, de prestação de serviços, contrato social ou outro tipo de contrato mantido com a Xpandi Ventures, escrituração digital e cumprimento da legislação trabalhista e previdenciária.
• Fornecimento de benefícios eventualmente devidos no curso da relação de emprego.
• Dados dos sócios serão tratados para rotinas de alteração de contrato social, rotinas contábeis, fiscais, tributárias e administrativas, e cumprimento de obrigações legais.

II. O tratamento será realizado com base em fundamentos jurídicos adequados, incluindo: atender interesses legítimos da empresa; consentimento do titular, quando exigido; cumprimento de obrigação legal ou contratual; exercício regular de direitos em processo judicial, administrativo ou arbitral; proteção da vida ou incolumidade física do titular ou de terceiros.

III. A Xpandi Ventures poderá, para fins de segurança, utilizar câmeras de filmagem e/ou fotografia em suas dependências, respeitando a intimidade do titular.

14.Processamento de dados pessoais

Para as finalidades descritas acima, os dados pessoais serão processados exclusivamente conforme esta Política de Privacidade e os princípios de transparência, necessidade, minimização e legalidade previstos na LGPD.

Os dados pessoais podem ser processados de forma impressa ou em formato eletrônico automático, por correio, e-mail, telefone, fax e qualquer outro canal eletrônico.

São adotadas medidas de segurança adequadas e atualizadas para proteger as informações pessoais contra perda, uso indevido ou acesso não autorizado.

15.Divulgações necessárias ou permitidas por lei

I. Independentemente de outras disposições, a Xpandi Ventures poderá divulgar ou tratar dados do titular no contexto de qualquer transação que envolva o todo ou parte de seus negócios, ou conforme exigência legal, ou conforme necessidades de auditoria regulatória.

II. O titular autoriza, de forma gratuita, o uso de sua imagem, conforme Termo de Autorização/Consentimento de Uso de Imagem assinado, em todo e qualquer material e documento da Xpandi Ventures, abrangendo licença a terceiros para fins comerciais, publicitários, jornalísticos, editoriais, didáticos e outros, inclusive no site da empresa, por prazo indeterminado e em território nacional e internacional.

III. A Xpandi Ventures poderá tratar imagens e fotografias do titular quando em ambiente monitorado pela empresa ou em evento por ela organizado.

16.Cookies

O site da Xpandi Ventures utiliza cookies, proprietários e de terceiros, que permitem ao titular melhor experiência de navegabilidade. Ao acessar o site, o usuário tem acesso a esta política e expressamente concorda com a inclusão de cookies em seu dispositivo.

Cookies são arquivos de texto com dados enviados de um site para o navegador do computador enquanto o usuário navega. Permitem navegação facilitada e armazenam preferências, otimizando a experiência.

Os cookies usados pela Xpandi Ventures podem ser configurados no site da Xpandi Ventures ou por site de terceiros, e podem ser temporários (excluídos ao fechar o navegador) ou persistentes (armazenados por período determinado).

17.Vigência e periodicidade de revisão

Esta política entra em vigor a partir da data de publicação, com revisão tempestiva quando ocorrerem mudanças em regulamentações, normas ou procedimentos de segurança da informação que afetem os tópicos aqui citados.

Esta Política está sujeita a revisões anuais, podendo ser revisada em periodicidade menor, caso necessário, em decorrência de alterações na regulamentação aplicável ou para refletir alterações nos procedimentos internos da organização.

A versão atualizada desta Política será publicada na rede interna da Xpandi Ventures e será de conhecimento de todos os colaboradores e prestadores de serviço da companhia.

18.Direito aplicável e foro

Para a solução das controvérsias decorrentes do presente instrumento, será aplicado integralmente o Direito brasileiro.

Os eventuais litígios deverão ser apresentados no foro da comarca em que se encontra a sede da Xpandi Ventures.

19.Histórico de revisões