1. Objetivo
Estabelecer diretrizes para tratamento de dados pessoais na Petra Arch em conformidade com a LGPD, com foco em governança, segurança, transparência e responsabilização.
2. Escopo
Aplica-se a processos, sistemas, colaboradores, prestadores e parceiros que tratem dados pessoais no contexto do portal web, plugin SketchUp e operações de suporte/comercial.
3. Papéis e responsabilidades
- Controlador: PetraAeternum LTDA (CNPJ 63.191.927/0001-76)
- Encarregado (DPO): Canal de Privacidade Petra Arch — ola@petraarch.com
- Operadores: fornecedores contratados que tratam dados em nome da Petra Arch
- Time interno: seguir minimização, necessidade e segurança por padrão
4. Princípios aplicáveis
Finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização.
5. Inventário e classificação de dados
A organização deve manter inventário atualizado contendo categorias de titulares, categorias de dados, base legal por processo, sistemas envolvidos, fluxos de compartilhamento e prazos de retenção.
6. Bases legais e governança de consentimento
Cada operação de tratamento deve possuir base legal registrada. Quando exigido, o consentimento deve ser livre, informado, inequívoco, auditável e revogável.
7. Direitos do titular — fluxo operacional
- Recebimento no canal oficial (ola@petraarch.com);
- validação de identidade do solicitante;
- classificação do pedido;
- atendimento no prazo legal com registro de evidências;
- comunicação de conclusão ao titular.
SLA interno recomendado: resposta inicial em até 5 dias úteis; conclusão em até 15 dias úteis.
8. Segurança e controles mínimos
- segregação de acesso por perfil e menor privilégio;
- autenticação segura e revisão periódica de permissões;
- trilhas de auditoria e monitoramento de eventos críticos;
- criptografia em trânsito e proteção adequada em repouso;
- gestão de segredos e credenciais;
- testes periódicos de segurança e correção de vulnerabilidades.
9. Retenção, anonimização e descarte
Dados pessoais devem ser mantidos apenas pelo tempo necessário e descartados com segurança, anonimização ou bloqueio quando aplicável.
10. Gestão de incidentes
Fluxo mínimo: identificar e conter, registrar causa e impacto, remediar, comunicar ANPD/titulares quando necessário e implementar ações preventivas.
11. Privacy by design e RIPD
Novas funcionalidades devem incorporar privacidade desde a concepção. Em cenários de alto risco, deve-se realizar RIPD e registrar decisões de mitigação.
12. Contratos com operadores
Contratos com terceiros devem conter cláusulas de confidencialidade, segurança, subcontratação, incidentes, auditoria e responsabilidades LGPD.
13. Treinamento, auditoria e revisão
Realizar treinamento periódico, auditorias internas e revisão desta política no mínimo anual ou sempre que houver mudança relevante.
14. Canal oficial
- Encarregado (DPO): Canal de Privacidade Petra Arch — ola@petraarch.com
- Jurídico: ola@petraarch.com
- Segurança da Informação: ola@petraarch.com