Proteção de Dados
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DA KALIMO TÊXTIL LTDA.
- OBJETIVO.
Esta política tem como objetivo principal estabelecer princípios, responsabilidades e diretrizes que capacitem os colaboradores da Kalimo a adotarem os mais elevados padrões de conduta, para fins de prevenção, detecção e remediação de riscos correlatos à segurança da informação, proteção de dados e privacidade. - ABRANGÊNCIA.
Esta política se aplica a todos os usuários da informação e que realizam tratamento de dados, direta ou indiretamente, independente de seu vínculo e/ou relacionamento, por qualquer meio, físico ou digital, ou do país onde estejam localizados os dados, desde que voltados para o fornecimento de bens e serviços pela Kalimo para indivíduos localizados no território nacional. - CONCEITOS.
Segurança da Informação: visa preservar as propriedades de confidencialidade, integridade, disponibilidade, não se limitando a sistemas computacionais, informações eletrônicas e/ou sistemas de armazenamento.
Informação pública: são aquelas que não necessitam de restrições de acesso e são de livre publicação.
Informação interna: são aquelas restritas aos colaboradores da Kalimo, e, somente, devem ser utilizadas para o alcance das suas metas e necessidades. São informações que, se forem divulgadas publicamente, terão impacto indesejável e imensurável aos negócios. São exemplos de informações internas: número de clientes, metas internas, faturamento, planos estratégicos, informações de colaboradores ou de clientes e políticas/práticas internas.
Informação confidencial: são aquelas que possuem o maior nível de restrição de acesso à informação. É disponível apenas àqueles que necessitam do acesso para o desempenho de suas funções. São informações que podem comprometer os negócios da Kalimo, caso acessadas por indivíduos não autorizados.
Informações: significa Informação pública, Informação interna e Informação confidencial, quando mencionadas em conjunto.
Usuário(s): Todo colaborador, independente do vínculo, ou terceiro com acesso as informações e ativos de informação da Kalimo.
Ativos de informação: qualquer dispositivo de propriedade da Kalimo que contenha dados e informações, tais como, mas não limitados a estações de trabalho, servidores, e-mail, chats, dispositivos móveis, HD’s, pen drives, impressoras com cartão de memória etc.
Sistemas de Informação: é a expressão utilizada para descrever um sistema, seja ele automatizado, manual, que abrange pessoas, máquinas e/ou métodos organizados para coletar, processar, transmitir e disseminar dados que representam informação para o usuário e/ou cliente. - PRINCÍPIOS DA SEGURANÇA DA INFORMAÇÃO
A Segurança da Informação é caracterizada pela preservação dos seguintes pilares:
● Confidencialidade: visa garantir que o acesso às informações da companhia e de clientes sejam obtidos somente por pessoas autorizadas e que necessitam do acesso para o desempenho de suas funções.
● Integridade: visa garantir que as informações e métodos de processamento sejam exatos e completos e dos métodos de seu processamento.
● Disponibilidade: visa garantir que a informação esteja sempre disponível aos profissionais autorizados e que necessitam do acesso para o desempenho de suas funções. - DIRETRIZES
5.1 Aspectos Gerais
As Informações (em formato físico ou digital) e os ambientes tecnológicos utilizados pelos Usuários são de exclusiva propriedade da Kalimo, não podendo ser interpretado como de uso pessoal.
Todos os conteúdos e Informações produzidas nos Ativos de Informação são de propriedade da Kalimo e poderão ser objeto de monitoramento, sem aviso prévio, não assistindo qualquer direito de privacidade ao Usuário. Os registros do monitoramento podem servir de evidência para fins jurídicos e aplicação de medidas disciplinares.
As Informações devem ser utilizadas somente para os fins para os quais foram autorizados e coletadas.
Todo Usuário deve possuir um crachá de identificação, pessoal e intransferível, cujo acesso será parametrizado a áreas que poderá circular, bem como fazer uso obrigatório do mesmo nas dependências da Kalimo.
Somente Usuários autorizados devem possuir acesso às Informações da Kalimo;
Todo processo, sempre que possível, durante seu ciclo de vida, deve garantir a segregação de funções;
A informação deve ser utilizada de forma transparente e apenas para a finalidade para a qual foi coletada.
Quando necessário, o uso de dados para fins estatísticos, estes ser anonimizados, sem a possibilidade de identificação de pessoas físicas;
A Kalimo deve garantir a gestão contínua, sistêmica e efetiva das medidas adotadas à proteção de dados pessoais e dos direitos dos seus titulares, permitindo suporte as operações sensíveis e críticas provendo suporte as operações críticas do negócio e minimizando riscos identificados e seus eventuais impactos a organização.
5.2. Classificação e tratamento da informação
Toda informação deve ser classificada de acordo com o grau de confidencialidade e criticidade para os negócios da Kalimo.
A classificação deve seguir os seguintes rótulos: pública, interna ou confidencial;
Cabe ao autor do arquivo classificar o nível de proteção, de acordo com o tipo de informação nele contido;
Cabe ao gestor operacional da área responsável pelo documento, assegurar a correta classificação da informação;
Toda informação sem classificação deve ser considerada como interna;
As Informações devem ser protegidas em todo o seu ciclo de vida, que compreende: geração, manuseio, armazenamento, envio e descarte.
5.3. Gestão de Riscos e Incidentes de Segurança da Informação
Os riscos devem ser identificados por meio de um processo estabelecido para avaliação dos riscos de Segurança da Informação que afetem o negócio e/ou suas estratégias, alinhados com o contexto do negócio de forma a preservar e proteger adequadamente a Kalimo.
Os incidentes de Segurança da Informação devem ser analisados, classificados, tratados, registrados e reportados ao solicitante e ao gestor do processo ou sistema impactado.
Caso um incidente seja classificado como crítico e com risco de alto impacto aos negócios da Kalimo, o mesmo deverá ser analisado pelo Gestor de Segurança da Informação e, quando aplicável, notificado à Diretoria;
Todo incidente de segurança deve ser usado como base para a implementação de novos ou modificação de controles existentes;
Os ativos estratégicos que suportam os negócios da Kalimo devem ser considerados no Plano de Contingencia e Continuidade de Negócio.
5.4 Uso do E-mail Corporativo @kalimo.com.br O correio eletrônico fornecido pela Kalimo é um instrumento de comunicação interna e externa para a realização dos negócios da empresa.
As mensagens devem ser escritas em linguagem profissional, não devem comprometer a imagem da Kalimo, não podem ser contrárias à legislação vigente e nem aos princípios éticos constantes no código de conduta da Kalimo. Sendo assim, é proibido aos Usuários o uso do e-mail corporativo da Kalimo para:
Enviar mensagens não solicitadas para múltiplos destinatários, exceto se relacionadas a uso legítimo da instituição;
Enviar e-mail usando o endereço de seu departamento, nome de Usuário de outra pessoa ou e-mail que não esteja autorizado;
Divulgar informações sensíveis e/ou não autorizadas;
Falsificar e/ou adulterar conteúdo de e-mails, tais como, esconder a identidade de remetentes e/ou destinatários;
Acessar indevidamente Informações que possam causar prejuízos a qualquer pessoa;
Para qualquer finalidade que não esteja relacionada às atividades e negócios da Kalimo; e
Para fins ilícitos, com conteúdo inadequado e que viole as boas práticas de mercado e de convivência social.
5.5. Compartilhamento de Dados
Todos os dados deverão ser armazenados nos servidores da rede, e a autorização para acessá-los deverá ser fornecida pelo servidor, com restrição de acesso a cada área, delimitado pela equipe de TI, que está orientada a analisar periodicamente todos os compartilhamentos existentes nas estações de trabalho e garantir que dados considerados confidenciais e/ou internos não estejam armazenados na rede;
Não são permitidos na empresa o compartilhamento de Informações através de dispositivos móveis tais como pen drivers e outros. O compartilhamento apenas é permitido através da rede e e-mail corporativo.
5.6. Programas ilegais
A Kalimo respeita os direitos autorais e apenas faz uso de devidamente licenciados em seus Ativos de Informação;
É terminantemente proibido o uso de programas ilegais (sem devido licenciamento) na Kalimo. Desta forma, todos os programas devem passar pela área de TI para homologação e autorização do programa, antes de qualquer aquisição e instalação por Usuários;
Periodicamente, a área de TI fará verificações nos dados dos servidores e/ou nos computadores dos Usuários, visando garantir a correta aplicação desta diretriz. Caso sejam encontrados programas não autorizados, estes deverão ser removidos dos computadores e os Usuários sujeitos a sanções e penalidades.
5.7. Permissões e senhas
Todo Usuário para acessar os dados da rede da Kalimo, deverá possuir um login e senha previamente cadastrados pela área de TI. Quem deve fornecer os dados referente aos direitos do Usuário é o seu superior imediato, que deve enviar uma solicitação ao departamento de TI;
A área de TI fará o cadastramento e informará ao novo Usuário qual será a sua primeira senha, a qual deverá, obrigatoriamente, ser alterada imediatamente após o primeiro login, e, a cada 180 (cento e oitenta) dias. Por segurança, a área de TI recomenda que as senhas tenham sempre um critério mínimo de segurança para que não sejam facilmente copiadas, e não possam ser repetidas;
Quando houver necessidade de acesso para Usuários externos, sejam eles temporários ou não, a permissão de acesso deverá ser bloqueada tão logo este tenha terminado o seu trabalho e/ou renovada, mediante justificativa;
O acesso lógico aos ativos de informação da Kalimo deve ser devidamente controlado, restrito aos Usuários com autorização formal e que necessitam do acesso para o desempenho de suas atividades. Os acessos devem sempre obedecer ao critério de menor privilégio, no qual os Usuários devem possuir somente as permissões necessárias para a execução de suas atividades;
Toda conta de acesso e senha é pessoal e intransferível. Desta forma, o Usuário é integralmente responsável por seu uso seguro e consciente; e
O uso dos dispositivos e/ou senhas de identificação de outra pessoa constitui crime tipificado no Código Penal Brasileiro.
5.8. Backup (cópia de segurança dos dados)
Todos os dados da Kalimo deverão ser protegidos através de rotinas sistemáticas de Backup; e
Cópias de segurança do sistema integrado e servidores de rede são de responsabilidade da área de TI e deverão ser feitas diariamente por meio de robôs. Ao final de cada mês também deverá ser feita uma cópia de segurança com os dados de fechamento do mês, que serão salvos em fita.
5.9. Cópias de segurança de arquivos em desktops
Não é política da Kalimo o armazenamento de dados em desktops individuais, entretanto, existem alguns programas das áreas fiscais que não permitem o armazenamento em rede. Nesse caso, a responsabilidade de backup caberá ao Usuário, para fins de garantia de Segurança da Informação, com apoio da área de TI; e
Caso não se enquadre na situação acima, as Informações devem ser salvas na rede, que contam com todas as proteções adequadas ao perfil de risco da Kalimo e rotinas de backup.
5.10. Uso de antivírus
Todo arquivo em mídia proveniente de entidade externa da Kalimo deve ser verificado por programa antivírus;
Todo arquivo recebido / obtido através do ambiente Internet deve ser verificado por programa antivírus;
Todas as estações de trabalho devem ter um antivírus instalado. A atualização do antivírus será automática, agendada pela área de T.I., via rede; e
O Usuário não pode em hipótese alguma, desabilitar o programa antivírus instalado nas estações de trabalho ou instalar versões de antivírus por conta própria nos Ativos de Informação.
5.11. Treinamentos de Conscientização
A área de TI deve promover programas periódicos para a conscientização de toda a organização quanto à segurança das Informações;
O programa de conscientização em Segurança da Informação é obrigatório para todos os Usuários, sendo o primeiro no realizado no momento da integração e, posteriormente, a cada 12 (doze) meses.
5.12. Diretrizes para Privacidade e Proteção de Dados
Todos os Usuários tem a obrigação de:
Assegurar ao titular, sempre que lhe for de direito, a autodeterminação acerca do tratamento de seus dados pessoais, excetuando-se casos onde a lei aplicável permitir especificamente o processamento de dados pessoais sem o consentimento do titular;
Assegurar que as razões para o tratamento de dados pessoais sejam adequadas e necessárias, transparente e esteja em conformidade com a regulação de privacidade e proteção de dados aplicável e de acordo com uma base legal permitida;
Informar, de forma transparente, real e adaptada às circunstâncias, o tratamento de dados pessoais ao titular, previamente ao tratamento inicial ou proposto;
Minimizar o tratamento de dados estritamente ao necessário, coletando o menor número e volume de dados ao propósito almejado e aos objetivos especificados, explícitos e legítimos;
Armazenar e tratar dados pessoais apenas pelo tempo que se fizerem necessários para cumprir os propósitos legítimos e, posteriormente, adotar medidas de anonimização, eliminação ou descarte;
Bloquear o acesso a dados pessoais e não realizar mais nenhum tratamento quando os propósitos declarados expirarem, mas a retenção dos dados pessoais for exigida pela regulação de proteção de dados;
Assegurar a precisão, qualidade e integridade dos dados pessoais tratados, ressalvados os casos onde exista uma base legal para mantê-los desatualizados;
Notificar titulares quando ocorrerem alterações significativas no tratamento dos seus dados pessoais;
Garantir aos titulares o exercício de seus direitos, sempre que possível, tais como acesso, revisão, compartilhamento e portabilidade dos dados pessoais;
Manter registros do processo e tratamento de dados, bem como o mapeamento e compartilhamento de dados com terceiros;
Tratar violações no tratamento de dados pessoais, garantindo medidas adequadas para o registro, classificação, investigação e documentação de incidentes;
Garantir que, na ocorrência de uma violação de dados, todas as partes interessadas serão notificadas, conforme requisitos e prazos previstos na legislação vigente;
Garantir a existência de um responsável por documentar, implementar e comunicar políticas, procedimentos e práticas relacionadas à privacidade e proteção de dados;
Adotar medidas de segurança preventivas, técnicas e administrativas voltadas à proteção dos dados pessoais;
Manter as políticas, normas e procedimentos disponíveis e de forma acessível para as partes interessadas necessárias e Usuários;
Promover a conscientização dos Usuários acerca das políticas e boas práticas relacionadas a privacidade e proteção de dados no ambiente da Kalimo;
Assegurar a não discriminação no tratamento de dados pessoais e/ou para fins ilícitos e/ou abusivos;
Manter a mesa de trabalho limpa, sem documentos corporativos visíveis, para evitar que o dado seja desvirtuado; e
Restringir o acesso aos arquivos físicos para apenas as pessoas que possuem necessidade e finalidade de utilizar tal informação. - MONITORAMENTO E AUDITORIA DO AMBIENTE
Para assegurar o cumprimento das diretrizes presentes nesta política, a Kalimo poderá fazer uso de qualquer ferramenta, rotina e metodologia de monitoramento e auditoria, sem aviso prévio, a seu exclusivo critério, a qualquer tempo, sem que assista aos Usuários qualquer direito à privacidade ou oposição às práticas adotadas, que visam a efetividade da Segurança da Informação e prevenção de riscos e materialização de contingências. - COMITÊ DE ÉTICA, CONDUTA E SEGURANÇA DA INFORMAÇÃO
O cumprimento desta política caberá ao Comitê de Ética, Conduta e Segurança da Informação, que deverá:
Analisar ocorrências de violações aos termos desta política;
Solicitar averiguações em equipamentos e sistemas à área de TI;
Direcionar as ocorrências aos Gestores/Líderes responsáveis para que sejam tomadas as devidas providências.
Analisar, criar, revisar e aprovar políticas e normas relativas à proteção de dados pessoais e privacidade;
Garantir e envidar esforços para a disponibilidade de recursos para a efetividade da gestão da proteção de dados pessoais e privacidade;
Garantir que o tratamento de dados pessoais seja realizado em conformidade as políticas, normas e regulações de proteção de dados pessoais existentes e aplicáveis;
Promover a divulgação das Políticas e normas de proteção de dados pessoais e privacidade e disseminar o conhecimento e cultura relativa ao tema no ambiente da Kalimo por meio de eventos, ações conscientizadoras e treinamentos.
O Comitê de Ética, Conduta e Segurança da Informação contará com a participação de, pelo menos, um representante da administração, um membro sênior das áreas de Tecnologia da Informação, Segurança da Informação, Gestão de Pessoas, Encarregado de Proteção de Dados, Jurídico, Compliance, Marketing, Projetos e Produtos. - DISPOSIÇÕES FINAIS
A presente política foi aprovada pela Diretoria em 31/07/2020 e entra em vigor na data de sua divulgação, mediante publicação no site www.kalimo.com.br/contact/legalinformation
Todos os Usuários, bem como as pessoas com as quais a Kalimo mantém relação de negócios devem ter conhecimento do seu conteúdo e cumpri-la integralmente.
O descumprimento por Usuários poderá acarretar aplicação das penalidades previstas na legislação aplicável, conforme o caso.
Eventuais descumprimentos, suspeitas, reportes, violações aos termos dessa política devem ser feitos através do canal www.kalimo.com.br/contact/legalinformation
Reportes de boa fé não serão objeto de retaliação por parte da Kalimo.