LGPD — Proteção de Dados

Política de Proteção de Dados Pessoais LUMIIUS CONSULTORIA EM TI LTDA. · CNPJ 67.813.128/0001-45 · lumiius.com.br e lumiius.com Documento interno de governança Natureza deste documento. Esta Política é o instrumento interno de governança de proteção de dados da Lumiius. Não substitui os Termos de Uso nem a Política de Privacidade, que são os documentos voltados ao Usuário. Seu público são sócios, colaboradores, prestadores de serviço e, quando requisitada, a ANPD e demais autoridades. Sua adoção e a evidência de sua aplicação são o que demonstra boa-fé e diligência em caso de fiscalização ou incidente. 1 · Objetivo e abrangência Esta Política estabelece princípios, responsabilidades, controles e procedimentos para o tratamento de dados pessoais pela Lumiius, em conformidade com a Lei nº 13.709/2018 e com a regulamentação da ANPD. Aplica-se a todos os sócios, administradores, colaboradores, estagiários, prestadores de serviço e terceiros que, em razão de suas atividades, tratem dados pessoais sob responsabilidade da Lumiius, em qualquer meio ou suporte. O descumprimento desta Política sujeita o infrator a medidas disciplinares, à rescisão do vínculo e às responsabilidades civis, administrativas e penais aplicáveis. 2 · Princípios aplicados Princípio Aplicação na Lumiius Finalidade Cada tratamento tem finalidade declarada no registro de operações; usos novos exigem análise prévia do Encarregado Necessidade e minimização Coleta e envio limitados ao mínimo; camada de minimização obrigatória antes de qualquer chamada a Provedor de IA Adequação Compatibilidade entre a finalidade informada ao titular e o tratamento efetivo, verificada em revisão semestral Transparência Política de Privacidade em linguagem clara, aviso condensado antes do aceite e lista pública de subprocessadores Segurança e prevenção Controles do capítulo 8 desta Política, com revisão anual Não discriminação Vedação a uso de dados para fins discriminatórios ilícitos ou abusivos, inclusive em classificações de perfil Responsabilização Documentação de decisões, avaliações e evidências, apta a demonstrar conformidade 3 · Governança 3.1 Encarregado pelo Tratamento de Dados Pessoais A Lumiius indica formalmente um Encarregado, cuja identidade e canal de contato são divulgados publicamente. São atribuições do Encarregado: receber e responder requisições de titulares; receber comunicações da ANPD e adotar providências; orientar colaboradores; opinar previamente sobre novos tratamentos, novos fornecedores e mudanças de finalidade; manter o registro de operações de tratamento; coordenar a resposta a incidentes; e reportar-se diretamente à administração. O Encarregado deve ter acesso irrestrito às informações necessárias ao exercício de suas funções e autonomia para recomendar a suspensão de tratamento que considere irregular. 3.2 Responsabilidades por área Área Responsabilidade principal Administração Aprovar esta Política, destinar recursos e decidir sobre riscos residuais aceitos Encarregado Registro de operações, requisições de titulares, relatórios de impacto e relação com a ANPD Engenharia Privacidade desde a concepção, camada de minimização, controles de acesso, logs e criptografia Segurança da informação Gestão de vulnerabilidades, monitoramento, resposta a incidentes e testes Suporte Cumprimento do protocolo de suporte assistido e do dever de confidencialidade Jurídico Contratos de tratamento, cláusulas-padrão de transferência internacional e avaliação regulatória Produto Consentimentos granulares, avisos, jornadas de revogação e exclusão 3.3 Privacidade desde a concepção Toda nova funcionalidade que envolva dados pessoais passa por avaliação prévia do Encarregado antes do desenvolvimento, documentando: finalidade, base legal, categorias de dados, operadores envolvidos, prazo de retenção, medidas de segurança e necessidade de relatório de impacto. Funcionalidade sem essa avaliação não é liberada para produção. 4 · Registro das operações de tratamento A Lumiius mantém e atualiza registro das operações de tratamento, nos termos do art. 37 da LGPD, contendo, para cada operação: finalidade, base legal, categorias de titulares e de dados, origem, operadores e subprocessadores envolvidos, transferências internacionais e respectivas garantias, prazo de retenção, medidas de segurança e responsável interno. O registro é revisado a cada seis meses e sempre que houver alteração relevante de fluxo, fornecedor ou finalidade. É mantido em formato apto a atender requisição da ANPD sem elaboração adicional. 5 · Bases legais e sua documentação Nenhum tratamento é iniciado sem base legal identificada e registrada. Aplicam-se as seguintes regras internas: ● Execução de contrato é a base do núcleo do serviço, inclusive do processamento por IA indispensável ao diagnóstico e às simulações. ● Consentimento é reservado ao que é genuinamente opcional ou legalmente exigido em destaque: Open Finance, consulta a bureaus, visualização de tela em suporte assistido, gravação de sessão, marketing e uso de dados identificáveis em treinamento de modelos próprios. ● É vedado usar consentimento como base para tratamento sem o qual o serviço não funciona, por ausência de liberdade de escolha. ● Todo tratamento fundado em legítimo interesse exige avaliação documentada de necessidade, adequação e balanceamento, com registro das salvaguardas adotadas, elaborada antes do início e revisada anualmente. ● Consentimentos são registrados com data, hora, versão do documento, texto exibido e evidência técnica da manifestação, e são conservados por 5 anos após o encerramento da relação. 6 · Relatório de impacto à proteção de dados É obrigatória a elaboração de relatório de impacto (RIPD) antes do início dos seguintes tratamentos, e sua revisão anual: ● Processamento de dados financeiros por Provedores de IA, incluindo a avaliação da camada de minimização e do risco de reidentificação. ● Suporte assistido com visualização de tela contendo dados financeiros e de Open Finance. ● Consolidação de dados via Open Finance. ● Análise preliminar de crédito e classificação indicativa de perfil, quando ativadas. ● Transferência internacional de dados pessoais. ● Qualquer tratamento em larga escala que envolva perfilamento ou dados financeiros granulares. O RIPD descreve tipos de dados, metodologia de coleta e segurança, análise do controlador quanto a necessidade e proporcionalidade, riscos identificados, salvaguardas e riscos residuais aceitos, com aprovação registrada da administração. 7 · Minimização no uso de inteligência artificial A camada de minimização é controle obrigatório, executado no servidor, e sua ausência impede o envio de dados a Provedor de IA. As regras internas são: Regra Detalhamento Execução no servidor O cliente nunca monta o payload. Chamadas a partir do aplicativo são bloqueadas por arquitetura Campos nunca enviados Nome, CPF, e-mail, telefone, data de nascimento, endereço, conta, agência, cartão, senhas, tokens Dados de terceiros Nomes de pessoas naturais em descritores de transferências são removidos antes do envio Categorização em duas etapas Camada determinística local resolve por tabela, MCC e regex; só o resíduo vai à IA, com descritor higienizado Pseudônimo não reversível Identificador aleatório em tabela de correspondência, ou HMAC com chave em KMS/HSM rotacionável, nunca hash simples de CPF Segregação da chave A tabela de correspondência e a chave não residem no mesmo repositório dos dados analíticos Conteúdo não confiável Descritores de transação e texto do usuário são delimitados no prompt, nunca concatenados como instrução Filtro de saída A resposta é validada antes da exibição, verificando ausência de dado identificável e coerência dos valores Restrição de escopo Restrição dura no prompt de sistema vedando recomendação de ativo nomeado ou aconselhamento personalizado de investimento Modelos e endpoints permitidos Lista fechada de modelos e endpoints elegíveis a retenção zero; endpoints sem elegibilidade são vedados Região de inferência Inferência restrita à geografia contratada, configurada no nível da organização para todas as chaves 7.1 Registro de auditoria da minimização Cada chamada a Provedor de IA gera registro contendo: hash do conteúdo enviado, carimbo de tempo, identificador pseudonimizado, finalidade, versão do pipeline de minimização aplicada e relação dos campos removidos ou mascarados. O registro não armazena o conteúdo financeiro enviado, é imutável e conservado por 5 anos, e constitui a evidência primária de conformidade perante a ANPD. 7.2 Teste de reidentificação Antes de cada alteração relevante no pipeline, e no mínimo anualmente, é realizado teste de reidentificação sobre amostra de conteúdo efetivamente enviado, com o objetivo de estimar a possibilidade de identificação do titular a partir da combinação de valores, datas e padrões. O resultado é documentado e, quando indicar risco relevante, exige reforço da minimização antes da liberação. 8 · Controles de segurança e de acesso ● Criptografia em trânsito (TLS 1.2 ou superior) e em repouso (AES-256). ● Privilégio mínimo, credenciais individuais, autenticação multifator para acessos administrativos e revisão trimestral de permissões. ● Registro de auditoria de toda consulta a dados de Usuário por colaborador, com identificação de quem acessou, quando e a que registro. ● Segregação de ambientes; é vedado o uso de dados reais em desenvolvimento e homologação sem pseudonimização. ● Gestão de vulnerabilidades, monitoramento contínuo e testes de segurança periódicos. ● Avaliação prévia de segurança e privacidade de fornecedores, com contrato de tratamento de dados assinado antes do primeiro acesso a dados. ● Backup, plano de continuidade e teste periódico de restauração. ● Termo de confidencialidade assinado por todo colaborador e prestador com acesso a dados, e revogação imediata de acessos no desligamento. ● Treinamento em proteção de dados na admissão e reciclagem anual, com registro de participação. 9 · Suporte assistido: controles internos Este é o controle de acesso mais sensível da operação. A visualização de tela expõe, em tempo real e sem filtro de campo, dados cadastrais e financeiros de Open Finance a uma pessoa. Os controles abaixo são obrigatórios e sua ausência impede a operação da funcionalidade. Controle Exigência Autorização por sessão Consentimento do titular manifestado no momento, registrado com evidência técnica; vedada autorização geral ou prévia Identificação do atendente Nome exibido ao Usuário; acesso por credencial individual, nunca compartilhada Escopo técnico Captura limitada à aplicação da Lumiius; vedada captura de tela do dispositivo ou de outras aplicações Mascaramento Campos de senha, token e código de autenticação mascarados por padrão na origem Somente leitura Vedado controle remoto, alteração de dados ou execução de ações em nome do titular Indicador visual Aviso permanente e não removível durante toda a sessão Encerramento pelo titular Comando de encerramento sempre acessível, com efeito imediato Gravação Desabilitada por padrão; habilitação apenas com consentimento específico e registro da manifestação Vedação de cópia Proibida captura de imagem, transcrição de dados financeiros fora dos sistemas autorizados e uso de dispositivo pessoal Log de sessão Atendente, data, horários de início e fim, motivo, evidência da autorização; conservado 5 anos, sem conteúdo de tela Auditoria por amostragem Revisão mensal de amostra de sessões para verificar autorização válida e adequação do motivo Justificativa vinculada Sessão sempre vinculada a atendimento aberto pelo próprio titular; vedado início por iniciativa do atendente sem solicitação Treinamento específico Capacitação obrigatória antes da liberação do acesso, com reciclagem anual Sigilo bancário: os dados obtidos via Open Finance estão sujeitos a dever de sigilo. Seu acesso por colaborador é admitido apenas na medida estritamente necessária ao atendimento solicitado pelo próprio titular, sendo vedado acesso exploratório, por curiosidade ou para qualquer finalidade diversa. A violação é apurada como falta grave. 10 · Gestão de operadores e subprocessadores Nenhum fornecedor recebe dados pessoais antes de: avaliação de segurança e privacidade documentada; contrato de tratamento de dados assinado, com finalidade restrita, dever de sigilo, medidas de segurança, vedação de subcontratação não autorizada, obrigação de comunicar incidentes e dever de eliminar ou devolver dados ao término; e, quando houver tratamento no exterior, mecanismo válido de transferência internacional. A Lumiius mantém inventário de operadores e subprocessadores, publicado em versão voltada ao Usuário, com empresa, finalidade, categorias de dados e país de hospedagem. Alterações relevantes são comunicadas aos titulares com 15 dias de antecedência. O inventário é revisado semestralmente. Exigências específicas para Provedores de IA: vedação de uso dos dados para treinamento dos modelos do provedor; retenção zero; vedação de adesão a programas do provedor que impliquem uso de conteúdo para desenvolvimento de modelos; restrição da geografia de inferência; e ciência documentada de que conteúdo sinalizado por sistemas automatizados de segurança do provedor pode ser retido por prazo superior, situação registrada como risco residual aceito. 11 · Transferência internacional Toda transferência internacional exige, previamente: identificação no registro de operações; mecanismo válido do art. 33 da LGPD, preferencialmente as cláusulas-padrão contratuais da Resolução CD/ANPD nº 19/2024; medidas técnicas complementares de minimização, pseudonimização e criptografia; e informação ao titular sobre destino e garantias. A Lumiius não realiza transferência internacional com base exclusiva em consentimento do titular quando o tratamento for indispensável à prestação do serviço, por ausência de liberdade de escolha. Nessas hipóteses, a necessidade para execução do contrato é registrada e fundamentada no RIPD, sem prejuízo da adoção das cláusulas-padrão. O mapeamento de fluxos internacionais é revisado semestralmente, incluindo nuvem, e-mail, ferramentas de suporte, analytics e agentes de IA hospedados no exterior. 12 · Atendimento aos direitos dos titulares Etapa Regra interna Recebimento Canal único do Encarregado, com protocolo e registro de data e hora Identificação Verificação proporcional da identidade, sem coleta de dado adicional desnecessário Prazo Acesso simplificado imediato; declaração completa em até 15 dias, sem prorrogação Eliminação Verificação das hipóteses de conservação obrigatória; resposta indicando o que foi eliminado e o que foi conservado, com fundamento Revisão de decisão automatizada Análise por pessoa natural, com registro da conclusão e da lógica geral informada ao titular Revogação de consentimento Efeito imediato, sem ônus, com interrupção do tratamento correspondente e registro Registro Todas as requisições e respostas são registradas e conservadas por 5 anos 13 · Retenção e eliminação A retenção observa a tabela da Política de Privacidade, com as seguintes regras internas: cada base de dados tem responsável e prazo declarados; a eliminação é automatizada sempre que possível, com registro de execução; a anonimização, quando adotada como alternativa à eliminação, é irreversível e validada por teste de reidentificação; dados de Open Finance são eliminados ao término ou à revogação do consentimento, sem exceção baseada em política interna; e não há retenção por prazo indeterminado. 14 · Resposta a incidentes O plano de resposta a incidentes prevê: canal interno de comunicação imediata; classificação de severidade; contenção; apuração da natureza dos dados e dos titulares afetados; avaliação de risco ou dano relevante; comunicação à ANPD e aos titulares em até 3 dias úteis do conhecimento, quando exigível; registro completo do evento e das medidas; e revisão de controles após o encerramento. Todo colaborador tem o dever de comunicar imediatamente ao Encarregado qualquer suspeita de incidente, sem avaliação prévia de gravidade. Contratos com operadores exigem comunicação imediata à Lumiius, prazo que deve permitir o cumprimento do prazo legal. É mantido registro de todos os incidentes, inclusive os que não exigiram comunicação, com a fundamentação da decisão de não comunicar. 15 · Fronteira regulatória Constituem restrições permanentes de produto, verificadas em revisão trimestral: ● Vedação a recomendação individualizada de valores mobiliários, implementada como restrição no prompt de sistema e verificada por filtro de saída. ● Vedação a promessa de aprovação, condição, taxa ou limite de crédito. ● Vedação a consultoria tributária, contábil, jurídica ou atuarial. ● Vedação a solicitação de senha, token ou credencial bancária por qualquer canal, inclusive suporte. ● Alerta de crédito responsável e prevenção ao superendividamento na apresentação de produtos de crédito. ● Verificação de que o objeto social e os atos constitutivos comportam as atividades efetivamente exercidas. 16 · Monitoramento, revisão e evidências Atividade Periodicidade Revisão do registro de operações de tratamento Semestral e a cada mudança relevante Revisão desta Política e da Política de Privacidade Anual Revisão de permissões de acesso Trimestral Auditoria por amostragem das sessões de suporte assistido Mensal Teste de reidentificação do pipeline de IA Anual e a cada alteração relevante Revisão do inventário de operadores e transferências internacionais Semestral Treinamento e reciclagem em proteção de dados Anual Teste do plano de resposta a incidentes e de restauração de backup Anual As evidências de execução de cada atividade são conservadas e organizadas de forma a permitir demonstração de conformidade a qualquer momento. 17 · Aprovação e contato Item Conteúdo Aprovada por [nome e cargo do administrador responsável] Encarregado (DPO) [nome do Encarregado] — privacidade@lumiius.com.br Data de aprovação [data] Próxima revisão Setembro de 2027 © 2026 Lumiius Consultoria em TI Ltda. Uso interno.