Política de Segurança da Informação e Privacidade

Objetivo

A Fiscal.io é uma empresa especializada em consultoria de segurança da informação e proteção de dados pessoais, atuando no apoio à implantação das normas ISO/IEC 27001 e ISO/IEC 27701 e no atendimento à Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018). Por lidar diretamente com temas de segurança e privacidade em sua rotina de trabalho e no relacionamento com clientes, a empresa entende que deve dar o exemplo na forma como trata as informações e os dados pessoais sob sua responsabilidade. Esta página apresenta, em linguagem acessível, os princípios, práticas e canais que orientam esse compromisso, servindo como uma versão pública e resumida da Política de Segurança da Informação e Privacidade (PSIP) interna da Fiscal.io.

Abrangência

Este resumo se aplica ao relacionamento da Fiscal.io com todos os públicos que interagem com a empresa e cujas informações ou dados pessoais possam ser tratados no curso de suas atividades: clientes que contratam serviços de consultoria; colaboradores e prestadores que atuam internamente; fornecedores que prestam serviços à empresa; e parceiros com quem a Fiscal.io mantém relações comerciais ou institucionais. Internamente, a PSIP completa também disciplina o comportamento esperado de cada um desses públicos com relação ao uso de informações e recursos tecnológicos, mas o conteúdo detalhado dessas regras internas não é objeto desta versão pública.

Definições

Para facilitar a compreensão desta política, explicamos abaixo, em termos simples, alguns conceitos importantes:

Informação

Qualquer conteúdo que tenha valor para a organização, seja um documento, um dado em sistema, uma comunicação ou qualquer outro registro, independentemente da forma como está armazenado.

Dado pessoal

Qualquer informação que permita identificar uma pessoa, ou que a torne identificável — por exemplo, nome, CPF, e-mail ou telefone.

Dado pessoal sensível

Categoria especial de dado pessoal que exige cuidado redobrado, por poder gerar discriminação ou impacto mais grave ao titular caso exposto indevidamente — por exemplo, dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, ou dados genéticos e biométricos.

Titular

A pessoa física a quem os dados pessoais se referem — ou seja, você, quando fornece seus dados à Fiscal.io.

Base legal

O fundamento jurídico previsto na LGPD que autoriza a Fiscal.io a tratar um determinado dado pessoal para uma finalidade específica — por exemplo, a execução de um contrato, o cumprimento de uma obrigação legal, ou o consentimento do titular.

Consentimento

A autorização livre, informada e inequívoca que uma pessoa dá para que seus dados sejam usados com uma finalidade específica, previamente explicada a ela.

Incidente de segurança

Qualquer evento que comprometa a confidencialidade, a integridade ou a disponibilidade de uma informação ou de um sistema — por exemplo, um acesso indevido ou uma falha que exponha dados a quem não deveria vê-los.

Incidente com dados pessoais

Um incidente de segurança que envolve especificamente dados pessoais e que pode gerar risco ou dano aos titulares afetados, como o vazamento acidental de uma base de contatos.

Como tratamos dados pessoais

A Fiscal.io trata dados pessoais para finalidades específicas e informadas, sempre com base em um fundamento legal previsto na LGPD. Entre as principais finalidades estão: a execução de contratos e a prestação dos serviços de consultoria contratados pelos clientes; a gestão do relacionamento com clientes e fornecedores, incluindo comunicações comerciais e operacionais; a gestão de colaboradores, abrangendo processos de recursos humanos e administração de pessoal; o cumprimento de obrigações legais, regulatórias e contratuais, como exigências fiscais, trabalhistas e de auditoria; e, quando houver consentimento do titular, atividades de comunicação e marketing.

Seguimos o princípio da minimização, ou seja, coletamos apenas os dados pessoais estritamente necessários para cada finalidade, evitando coleta excessiva ou desconectada do propósito informado. Os prazos pelos quais mantemos os dados pessoais variam conforme a finalidade do tratamento e a base legal aplicável a cada caso — por exemplo, dados tratados para cumprimento de obrigação legal são mantidos pelo prazo exigido em lei, enquanto dados tratados mediante consentimento são mantidos apenas enquanto esse consentimento estiver vigente.

Independentemente da finalidade, quando não há mais necessidade ou obrigação legal de retenção, os dados pessoais são eliminados ou anonimizados. Esses prazos e critérios são definidos e controlados internamente por meio de processos formais de governança de dados, que são periodicamente revisados.

Princípios que seguimos

Em segurança da informação, orientamos nosso trabalho por três pilares fundamentais:

• Confidencialidade — garantir que a informação seja acessível apenas a pessoas autorizadas a conhecê-la.
• Integridade — garantir que a informação seja exata, completa e não sofra alterações indevidas.
• Disponibilidade — garantir que as informações e os sistemas estejam acessíveis a quem precisa deles, no momento necessário.

Em privacidade, seguimos os dez princípios previstos no art. 6º da LGPD:

• Finalidade — tratamos dados pessoais apenas para propósitos legítimos, específicos, explícitos e previamente informados ao titular.
• Adequação — o tratamento realizado é sempre compatível com as finalidades que foram informadas ao titular.
• Necessidade — limitamos o tratamento ao mínimo indispensável para alcançar a finalidade pretendida, evitando coleta ou uso excessivo de dados.
• Livre acesso — garantimos ao titular a possibilidade de consultar, de forma facilitada e gratuita, como e por quanto tempo seus dados são tratados.
• Qualidade dos dados — buscamos manter os dados pessoais exatos, claros, relevantes e atualizados.
• Transparência — oferecemos informações claras, precisas e acessíveis sobre como os dados pessoais são tratados.
• Segurança — adotamos medidas técnicas e administrativas para proteger os dados pessoais contra acessos não autorizados e situações de destruição, perda, alteração, comunicação ou difusão indevidas.
• Prevenção — adotamos medidas para prevenir a ocorrência de danos aos titulares em decorrência do tratamento de seus dados.
• Não discriminação — não tratamos dados pessoais para fins discriminatórios, ilícitos ou abusivos.
• Responsabilização e prestação de contas — mantemos condições de comprovar, sempre que necessário, que adotamos medidas eficazes para cumprir a legislação de proteção de dados.

Direitos do titular

Como titular de dados pessoais, você tem direitos garantidos pelos arts. 18 a 20 da LGPD, que buscamos atender de forma clara e dentro dos prazos estabelecidos:

• Confirmação e acesso — você pode confirmar se tratamos dados pessoais seus e solicitar acesso a eles.
• Correção — você pode solicitar a correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação — você pode pedir que dados desnecessários, excessivos ou tratados em desconformidade com a lei sejam anonimizados, bloqueados ou eliminados.
• Portabilidade — você pode solicitar a portabilidade dos seus dados a outro fornecedor de serviço ou produto, observadas as condições previstas em regulamentação própria.
• Eliminação de dados tratados com consentimento — você pode solicitar a eliminação dos dados pessoais tratados a partir do seu consentimento, exceto nas hipóteses de conservação previstas em lei.
• Informação sobre compartilhamento — você pode solicitar informações sobre com quais entidades públicas ou privadas a Fiscal.io compartilhou seus dados.
• Revogação do consentimento — quando o tratamento se basear em consentimento, você pode revogá-lo a qualquer momento.

Prazos de atendimento

Ao receber sua solicitação, enviaremos um número de protocolo. Para a confirmação de tratamento, você pode optar pela resposta simplificada ou pela declaração completa. Os prazos de resposta são:

Os prazos contam a partir do recebimento da solicitação. Se precisarmos confirmar sua identidade, contam a partir dessa confirmação. Se não for possível atender ao pedido, explicaremos o motivo dentro do mesmo prazo.

Quando houver obrigação legal ou regulatória de manter determinado dado, ele poderá ser conservado mesmo após um pedido de exclusão, e você será informado sobre o motivo dessa conservação.

Segurança da informação

A Fiscal.io adota um conjunto de práticas de segurança da informação, alinhadas às diretrizes da norma ISO/IEC 27001, organizadas em diferentes frentes de proteção. Em relação ao controle de acesso, aplicamos o princípio do menor privilégio, segundo o qual cada pessoa tem acesso apenas às informações e sistemas necessários para exercer sua função, com revisões periódicas dessas permissões. Em relação à proteção de dispositivos e redes, adotamos mecanismos de defesa para proteger a infraestrutura tecnológica contra acessos não autorizados e ameaças externas, incluindo o uso de criptografia e conexões seguras para acesso remoto. Mantemos também um processo contínuo de gestão de vulnerabilidades e atualizações, com aplicação regular de correções de segurança e substituição de softwares obsoletos, de forma a reduzir a exposição a falhas conhecidas. Complementarmente, realizamos monitoramento de atividades em sistemas relevantes, o que permite identificar rapidamente comportamentos anômalos e apoiar a resposta a incidentes de segurança. Por fim, mantemos planos de continuidade de negócio e recuperação de desastres, testados e aprimorados periodicamente, para assegurar a disponibilidade dos nossos serviços mesmo diante de eventos inesperados.

Transferência internacional de dados

Assim como a maioria das empresas que utilizam serviços modernos de tecnologia, a Fiscal.io contrata soluções de nuvem oferecidas por prestadores que podem processar dados em servidores localizados fora do Brasil. Essa é uma prática comum e necessária para viabilizar a operação eficiente e segura dos sistemas utilizados na prestação dos nossos serviços. Quando isso ocorre, a Fiscal.io se compromete a exigir de seus fornecedores e operadores internacionais a adoção de salvaguardas contratuais compatíveis com os padrões de proteção de dados pessoais previstos na LGPD, avaliando periodicamente a adequação desses mecanismos à medida que os contratos com esses prestadores são revisados.

Gestão de incidentes com dados pessoais

Caso identifique um incidente de segurança que possa envolver dados pessoais, a Fiscal.io adota um processo interno de resposta que inclui, em primeiro lugar, a contenção do incidente, buscando limitar seus efeitos o quanto antes. Em seguida, é realizada uma avaliação de risco, para dimensionar o potencial impacto aos titulares afetados. Todo incidente identificado é registrado e investigado internamente, independentemente de gerar ou não comunicação externa, de forma a permitir a análise de causas e a adoção de melhorias. Quando a avaliação indicar que o incidente pode acarretar risco ou dano relevante aos titulares, a Fiscal.io comunicará os titulares afetados e a Autoridade Nacional de Proteção de Dados (ANPD), em prazo razoável, conforme determina o art. 48 da LGPD.

Revisão desta política

Esta política é revisada periodicamente pela Fiscal.io, de modo a acompanhar mudanças na legislação aplicável, na tecnologia utilizada e nos processos internos da organização, garantindo que as práticas aqui descritas permaneçam atualizadas e efetivas.