Política e Governança de Dados

01Das Disposições Preliminares

Do Objeto e da Finalidade

Art. 1º Esta Política estabelece os princípios, os papéis, as estruturas, os domínios, os controles e os procedimentos que regem a governança e a gestão de dados e informações no âmbito da TALAS e de seu ecossistema de software e serviços ("Plataforma"), ao longo de todo o ciclo de vida do dado.

§ 1º São finalidades desta Política:

• I – assegurar que os dados sejam tratados como ativos estratégicos da sociedade e de seus clientes, com confidencialidade, integridade, disponibilidade, autenticidade e qualidade;
• II – assegurar a conformidade do tratamento de dados pessoais com a LGPD e com a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD);
• III – definir responsabilidades claras sobre os dados, da coleta à eliminação;
• IV – sustentar, na camada interna de governança, os compromissos assumidos perante titulares e usuários na Política de Privacidade e Proteção de Dados e nos Termos de Uso e Condições Gerais de Serviço;
• V – preservar o sigilo dos dados estratégicos e comerciais dos clientes, ainda quando não configurem dados pessoais em sentido estrito.

§ 2º Esta Política integra o conjunto normativo da TALAS e é interpretada de forma harmônica com a Política de Privacidade e Proteção de Dados, com os Termos de Uso e com o Código de Conduta e Ética Institucional; em caso de aparente conflito quanto a dados pessoais, prevalece a disposição que confira maior proteção ao titular.

Da Abrangência

Art. 2º Sujeitam-se a esta Política:

• I – os sócios e administradores da TALAS;
• II – os colaboradores, sob qualquer regime, que tratem, acessem ou utilizem dados sob responsabilidade da sociedade;
• III – os operadores e demais terceiros que tratem dados em nome da TALAS ou que acessem seus sistemas e bases;
• IV – toda a infraestrutura, as aplicações, os pipelines e os canais de distribuição que compõem a Plataforma, independentemente do formato, da origem ou da tecnologia dos dados.

Parágrafo único. Esta Política abrange os dados pessoais, sujeitos à LGPD, e os dados corporativos e estratégicos dos clientes, tratados sob sigilo comercial e dever de confidencialidade.

Das Definições

Art. 3º Para os fins desta Política, considera-se:

• I – dado: a representação registrada de fato, medida ou descrição, em qualquer formato, meio ou suporte;
• II – informação: o dado, processado ou não, apto à produção e à transmissão de conhecimento;
• III – dado pessoal: a informação relacionada a pessoa natural identificada ou identificável;
• IV – dado pessoal sensível: o dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a pessoa natural;
• V – dado anonimizado: o dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião do tratamento;
• VI – dado público de contratações: o dado disponibilizado por fonte oficial e aberta da administração pública, notadamente em cumprimento à Lei nº 12.527/2011 (Lei de Acesso à Informação) e à Lei nº 14.133/2021, tais como os constantes do Portal Nacional de Contratações Públicas (PNCP), de portais de compras e de diários oficiais;
• VII – titular: a pessoa natural a quem se referem os dados pessoais objeto de tratamento;
• VIII – controlador: a pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais;
• IX – operador: a pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do controlador;
• X – encarregado (DPO): a pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares e a ANPD;
• XI – tratamento: toda operação realizada com dados, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, modificação, comunicação, transferência, difusão ou extração;
• XII – ativo de dado: o conjunto de dados dotado de valor de negócio, sujeito a governança, qualidade e proteção;
• XIII – domínio de dados: o agrupamento de ativos de dados afins, sob responsabilidade definida, na forma do Título III;
• XIV – governança de dados: o exercício de autoridade, direção e controle sobre a gestão de dados, abrangendo as perspectivas de arquitetura, qualidade, segurança, compartilhamento, operação e conformidade;
• XV – gestão de dados: o conjunto de práticas de planejamento, aquisição, organização, armazenamento, integração, qualidade, curadoria, análise, disponibilização e descarte de dados, conforme as áreas de conhecimento consagradas no referencial DAMA-DMBOK;
• XVI – curadoria de dados: a função de zelar por determinado domínio ou conjunto de dados, assegurando a observância das normas, dos padrões e dos procedimentos de governança;
• XVII – custódia técnica: a função de administrar a infraestrutura, os bancos de dados e os pipelines que suportam o armazenamento e o processamento dos dados;
• XVIII – metadado: a informação estruturada que descreve e contextualiza um dado, facilitando seu entendimento, classificação, acesso, rastreabilidade e recuperação;
• XIX – linhagem (proveniência): o registro da origem do dado e das transformações relevantes por ele sofridas ao longo do pipeline;
• XX – ciclo de vida do dado: as fases que vão da coleta ou criação do dado até a sua eliminação, na forma do Título V;
• XXI – classificação da informação: a atribuição, a cada informação, de nível de proteção proporcional à sua sensibilidade e criticidade, na forma do Título IV;
• XXII – registro das operações de tratamento (inventário de dados): o registro previsto no art. 37 da LGPD, que documenta as operações de tratamento de dados pessoais realizadas pela sociedade;
• XXIII – Relatório de Impacto à Proteção de Dados Pessoais (RIPD): a documentação que descreve os processos de tratamento que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como as medidas e salvaguardas de mitigação;
• XXIV – incidente de segurança: o evento adverso, confirmado ou sob suspeita, relacionado à violação da confidencialidade, integridade, disponibilidade ou autenticidade de dados;
• XXV – segregação multi-inquilino (multi-tenant): o isolamento lógico dos dados de cada cliente, de modo que um cliente não acesse dados de outro;
• XXVI – modelo de concessão: o mecanismo de controle de acesso da Plataforma pelo qual permissões são atribuídas de forma granular, conforme a função exercida, sob o princípio do menor privilégio;
• XXVII – registro de acesso (log): o conjunto de informações referentes a data, hora, origem e circunstâncias de acesso ou operação em aplicação ou sistema.

Dos Princípios

Art. 4º O tratamento de dados pela TALAS observa os princípios do art. 6º da LGPD (finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas) e, ainda, os seguintes princípios de governança:

• I – dado como ativo: os dados são ativos estratégicos da sociedade e de seus clientes e recebem gestão, proteção e investimento proporcionais ao seu valor;
• II – responsabilidade definida: todo ativo de dado relevante tem responsável identificável pelas decisões sobre o seu tratamento;
• III – minimização: coleta-se e mantém-se apenas o dado necessário à finalidade declarada;
• IV – privacidade e segurança desde a concepção e por padrão (privacy and security by design and by default): os controles de proteção são incorporados à arquitetura das soluções desde o seu planejamento e ativados como configuração padrão;
• V – menor privilégio e necessidade de conhecer: o acesso ao dado é concedido na medida estrita da função exercida e revogado quando cessa a necessidade;
• VI – rastreabilidade: as operações relevantes sobre dados são registradas para fins de auditoria, segurança e resposta a incidentes;
• VII – qualidade e fidelidade à fonte: os dados distribuídos preservam correspondência com as fontes oficiais de origem, com indicação de proveniência;
• VIII – transparência e prestação de contas: a sociedade é capaz de demonstrar a conformidade do tratamento que realiza;
• IX – ética no tratamento: os dados são adquiridos, tratados, analisados e descartados em conformidade com princípios éticos e com o Código de Conduta e Ética Institucional;
• X – proporcionalidade: os mecanismos de governança são aplicados de forma proporcional à natureza, à escala e à complexidade das atividades da sociedade e aos riscos envolvidos.

02Da Estrutura de Governança e dos Papéis

Art. 5º A governança de dados da TALAS é exercida pelas seguintes instâncias e funções:

• I – Governança de Dados: instância máxima, exercida pelos sócios da TALAS, à qual compete aprovar e revisar esta Política e os padrões dela derivados, deliberar sobre riscos, exceções e casos omissos, designar as funções de curadoria e custódia e assegurar os recursos necessários;
• II – Encarregado pelo Tratamento de Dados Pessoais (DPO): função exercida por Luiz Felipe Nascimento da Silva, sócio da TALAS, a quem compete aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; receber comunicações da ANPD e adotar providências; orientar os colaboradores e os contratados a respeito das práticas de proteção de dados pessoais; coordenar o registro das operações de tratamento, a elaboração de Relatórios de Impacto e a resposta a incidentes; e executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares;
• III – Curadoria de dados: função, designável por domínio de dados, de zelar pela qualidade, pela classificação, pelos metadados e pela conformidade do respectivo domínio; enquanto não houver designação específica, a curadoria é exercida pela Governança de Dados;
• IV – Custódia técnica: função de administrar a infraestrutura, os bancos de dados, os pipelines e os controles técnicos de segurança, executando as diretrizes desta Política na camada tecnológica;
• V – Operadores: os provedores que tratam dados em nome da TALAS, vinculados às instruções desta e a obrigações de confidencialidade e segurança compatíveis com esta Política, na forma do Título X;
• VI – Usuários internos e colaboradores: todos os que, no âmbito da TALAS, acessam ou utilizam dados, com o dever de fazê-lo de forma ética, segura e alinhada às finalidades autorizadas, compreendendo o significado, a origem e as regras de negócio dos dados que utilizam, e de reportar imediatamente ao Encarregado qualquer incidente, vulnerabilidade ou suspeita de violação.

§ 1º O contato com o Encarregado dá-se pelo endereço eletrônico privacidade@talasc.com.br , indicado na Política de Privacidade e nos canais institucionais.

§ 2º As funções previstas neste artigo podem ser acumuladas, observada a escala da sociedade, e a Governança de Dados pode instituir, conforme a evolução da estrutura, comitê ou fórum específico de dados, sem necessidade de alteração desta Política.

Art. 6º Compete à Governança de Dados manter o conjunto de padrões, normas técnicas e procedimentos operacionais que detalham esta Política ("preceitos de dados"), os quais vinculam colaboradores e terceiros no que lhes for aplicável.

03Dos Domínios de Dados, do Inventário e dos Metadados

Dos Domínios de Dados

Art. 7º Os ativos de dados da TALAS organizam-se nos seguintes domínios, sem prejuízo de subdivisões ou novos domínios definidos pela Governança de Dados:

• I – domínio de dados públicos de contratações: dados coletados de fontes oficiais e abertas (editais, avisos, atas, contratos, itens, preços, órgãos e fornecedores) que constituem o insumo primário da Plataforma;
• II – domínio de dados analíticos e derivados: índices, indicadores, classificações, enriquecimentos e demais produtos informacionais gerados pelo pipeline da Plataforma a partir dos dados públicos;
• III – domínio de dados cadastrais e contratuais: dados de identificação, contato, contratação, faturamento e suporte de clientes e usuários autorizados;
• IV – domínio de dados de configuração e estratégia do cliente: filtros, preferências, critérios de monitoramento, regras de distribuição e documentos submetidos pelo cliente, classificados como Restritos;
• V – domínio de dados de uso e telemetria: registros de acesso, de operação e de distribuição de mensagens, para fins de segurança, auditoria e faturamento;
• VI – domínio de dados administrativos e financeiros: dados contábeis, fiscais e operacionais da própria sociedade.

Parágrafo único. Cada domínio possui classificação, regras de qualidade, prazos de retenção e controles de acesso próprios, na forma desta Política.

Do Inventário e do Registro das Operações de Tratamento

Art. 8º A TALAS mantém, sob coordenação do Encarregado, o registro das operações de tratamento de dados pessoais que realiza, nos termos do art. 37 da LGPD, contemplando, no mínimo, para cada operação:

• I – a finalidade e a base legal do tratamento;
• II – as categorias de dados e de titulares envolvidas;
• III – os domínios, sistemas e operadores implicados;
• IV – os prazos de retenção aplicáveis;
• V – as medidas de segurança pertinentes;
• VI – a existência de compartilhamento e de transferência internacional.

Parágrafo único. O registro é revisado periodicamente e atualizado sempre que houver alteração relevante nas operações de tratamento, novos sistemas, novos operadores ou novas finalidades.

Dos Metadados e da Linhagem

Art. 9º Os ativos de dados relevantes são acompanhados de metadados que permitam identificar, no mínimo, a sua origem, o momento de captura ou criação, a classificação atribuída e as transformações relevantes sofridas no pipeline (linhagem).

§ 1º No domínio de dados públicos de contratações, os metadados de proveniência (fonte oficial e data/hora de captura) integram o padrão de qualidade da Plataforma e suportam a verificação prevista no art. 20.

§ 2º A gestão de metadados observa padrões definidos pela Governança de Dados, com vistas à rastreabilidade, à interoperabilidade interna e à recuperação eficiente da informação.

04Da Classificação da Informação

Art. 10. Toda informação tratada pela TALAS é classificada em um dos seguintes níveis, que determinam os controles de acesso, armazenamento, distribuição e descarte aplicáveis:

• I – Público: dados provenientes de fontes oficiais e abertas, bem como materiais institucionais divulgados pela própria TALAS; não exigem restrição de acesso, mas mantêm controle de integridade e proveniência;
• II – Interno: dados operacionais de baixo risco, de circulação restrita à TALAS, cuja divulgação indevida não causa dano relevante a titulares ou clientes, tais como métricas agregadas de uso, documentação técnica interna e parâmetros gerais de configuração;
• III – Confidencial: dados cadastrais de clientes e usuários e dados pessoais relativos ao acesso à Plataforma, tais como nome, e-mail corporativo, registros de acesso (endereço IP, data, hora, navegador, geolocalização aproximada) e informações sobre a forma de acesso; exigem autenticação, controle de acesso por função e registro de auditoria;
• IV – Restrito: nível de maior proteção, aplicável à informação cuja exposição revelaria a estratégia de negócio do cliente ou comprometeria a segurança da Plataforma, compreendendo:
  • a) os filtros, preferências e critérios de monitoramento configurados pelo cliente, aptos a refletir sua estratégia comercial, seus interesses competitivos e seu posicionamento de mercado;
  • b) os editais, contratos, planilhas de custos e demais documentos submetidos pelo cliente à Plataforma;
  • c) as credenciais, chaves de acesso, segredos de aplicação e demais parâmetros de segurança.

§ 1º O dado Restrito é tratado sob sigilo reforçado, com acesso limitado ao estritamente necessário à execução do serviço, e não é utilizado para finalidade distinta daquela para a qual foi fornecido.

§ 2º Na dúvida quanto à classificação, adota-se o nível mais restritivo até que a reclassificação seja formalmente avaliada pela curadoria do domínio ou pela Governança de Dados.

§ 3º A reclassificação de informação é registrada, com indicação do responsável e da motivação.

Art. 11. Os controles mínimos por nível de classificação observam o seguinte:

• I – informações Públicas: verificação de integridade e de proveniência na captura e na distribuição;
• II – informações Internas: acesso restrito a colaboradores, vedada a divulgação externa sem autorização;
• III – informações Confidenciais: autenticação individual, permissões por função, registro de acesso e transmissão criptografada;
• IV – informações Restritas: todos os controles do inciso III e, adicionalmente, restrição de acesso à estrita necessidade, criptografia em repouso, segregação lógica e registro reforçado de operações.

05Do Ciclo de Vida do Dado

Art. 12. A governança da TALAS acompanha o dado em todas as fases do seu ciclo de vida, aplicando controles proporcionais à respectiva classificação:

• I – coleta: ingestão de dados públicos a partir de fontes oficiais, na forma do Título VI, e recepção de dados fornecidos pelo cliente ou gerados pelo uso da Plataforma;
• II – processamento e refino: organização, padronização, cruzamento, enriquecimento e análise dos dados no pipeline da Plataforma, com separação lógica entre as camadas de extração, refino e distribuição;
• III – armazenamento: persistência em infraestrutura controlada, com os controles do Título X;
• IV – distribuição: disponibilização da informação ao cliente na área autenticada, via API ou pelos canais de mensageria (e-mail e WhatsApp), observada a governança do Título IX;
• V – retenção: manutenção do dado pelos prazos do Título XI;
• VI – eliminação: descarte seguro ao término do ciclo, ressalvadas as hipóteses legais de conservação.

Parágrafo único. A transferência e a cópia de dados entre ambientes observam os controles de segurança aplicáveis à classificação do dado e são restritas às necessidades operacionais documentadas.

06Da Coleta de Dados Públicos e das Fontes

Art. 13. A inteligência da TALAS é construída exclusivamente sobre dados públicos, obtidos de fontes oficiais e abertas, e sobre dados fornecidos pelo próprio cliente. A TALAS não busca, não produz e não oferece informação privilegiada, sigilosa ou de acesso restrito.

Art. 14. A coleta automatizada de dados públicos observa os seguintes parâmetros:

• I – restringe-se a portais e bases oficiais que disponibilizam a informação de forma pública, em consonância com a Lei nº 12.527/2011 e com o regime de publicidade da Lei nº 14.133/2021;
• II – respeita os limites técnicos e as condições de uso das fontes, incluindo restrições de taxa de requisição, evitando sobrecarga dos sistemas de origem;
• III – não emprega meios para contornar controles de acesso, autenticação ou barreiras técnicas de terceiros;
• IV – registra a proveniência e o momento da captura, na forma do art. 9º.

Art. 15. O tratamento de dados pessoais eventualmente presentes em fontes públicas é limitado à finalidade de inteligência de mercado e preserva a indicação de proveniência; as bases legais desse tratamento e as informações devidas aos titulares constam da Política de Privacidade e Proteção de Dados.

Art. 16. Os índices analíticos proprietários da TALAS, incluindo o Score de Órgãos, avaliam exclusivamente pessoas jurídicas de direito público, na condição de órgãos e entidades compradoras, e não realizam avaliação, perfilamento ou pontuação de pessoas naturais.

07Da Qualidade dos Dados

Art. 17. A qualidade dos dados da Plataforma é gerida segundo as seguintes dimensões:

• I – exatidão (acurácia): correspondência do dado com o fato ou com a fonte que representa;
• II – completude: presença dos atributos necessários à finalidade do dado;
• III – consistência: ausência de contradição entre representações do mesmo dado em diferentes bases ou camadas;
• IV – atualidade (tempestividade): captura e disponibilização em prazo compatível com a utilidade do dado para o cliente;
• V – unicidade: ausência de duplicidades indevidas;
• VI – validade: conformidade do dado com formatos, domínios e regras de negócio definidos;
• VII – rastreabilidade: capacidade de identificar a origem e as transformações do dado.

Art. 18. A curadoria de cada domínio monitora as dimensões de qualidade aplicáveis, e as não conformidades relevantes são registradas, priorizadas e tratadas, com correção na camada apropriada do pipeline e, quando cabível, reprocessamento.

Art. 19. A TALAS opera, no domínio de dados públicos de contratações, sob o regime de fidelidade à fonte: os dados replicam o conteúdo das fontes oficiais, com indicação de proveniência, e as retificações publicadas pelas fontes são incorporadas pelo pipeline no curso das rotinas de atualização.

Art. 20. Havendo divergência entre a informação exibida na Plataforma e a constante da fonte oficial, prevalece a fonte oficial, nos termos dos Termos de Uso, que atribuem à informação distribuída caráter informativo e de apoio à decisão, cabendo ao usuário a conferência nos canais oficiais para atos com efeitos jurídicos.

08Do Tratamento de Dados Pessoais

Art. 21. As finalidades, as bases legais e as informações devidas aos titulares relativas ao tratamento de dados pessoais pela TALAS constam da Política de Privacidade e Proteção de Dados, documento que rege a relação da sociedade com os titulares e ao qual esta Política dá sustentação operacional.

Art. 22. O exercício dos direitos dos titulares previstos no art. 18 da LGPD observa os canais, os prazos e os procedimentos da Política de Privacidade e Proteção de Dados.

Parágrafo único. O atendimento a requisições que envolvam dados tratados pela TALAS na condição de operadora, na forma do art. 27, é realizado conforme as instruções do cliente controlador, ao qual a requisição é direcionada quando cabível.

Art. 23. A TALAS não realiza tratamento de dados pessoais sensíveis como atividade da Plataforma e não realiza decisões automatizadas que produzam efeitos jurídicos sobre pessoas naturais com base em perfilamento pessoal; os índices analíticos da Plataforma recaem exclusivamente sobre pessoas jurídicas, na forma do art. 16.

Art. 24. A Plataforma destina-se a uso profissional por pessoas jurídicas e seus usuários autorizados, não sendo dirigida a menores de 18 (dezoito) anos.

09Da Gestão da Informação pelo Cliente e da Distribuição Controlada

Art. 25. A Plataforma oferece ao cliente recursos de governança sobre a informação que lhe é distribuída, permitindo-lhe definir o que é distribuído, a quais destinatários, com qual nível de acesso interno e sob qual custo de distribuição.

Art. 26. No exercício dessa governança:

• I – o cliente define quais informações distribuídas pela Plataforma (por e-mail ou por mensagem de WhatsApp) devem circular internamente e a quais destinatários;
• II – o cliente pode atribuir níveis de acesso distintos, restringindo determinado dado a seus executivos e ampliando o acesso a outro dado às suas equipes, conforme o seu interesse e a sua estratégia;
• III – o cliente pode configurar o custo de distribuição das mensagens, na forma e nos limites do plano contratado.

Art. 27. Na distribuição de que trata este Título, o cliente atua como controlador dos seus dados internos e das listas de destinatários que define, e a TALAS atua como operadora, executando as instruções de configuração do cliente, com os controles de segurança desta Política.

§ 1º A responsabilidade pela definição dos destinatários e dos respectivos níveis de acesso é do cliente; à TALAS cabe assegurar que a distribuição ocorra conforme configurado.

§ 2º Os envios são registrados para fins de segurança, auditoria e faturamento, integrando o domínio de dados de uso e telemetria.

§ 3º A distribuição por WhatsApp e por e-mail utiliza provedores de mensageria integrados à Plataforma, na condição de suboperadores, vinculados a obrigações compatíveis com esta Política.

10Da Segurança da Informação

Das Medidas Técnicas e Organizacionais

Art. 28. A TALAS adota medidas técnicas e organizacionais aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, compatíveis com as melhores práticas e proporcionais à classificação do dado, entre as quais:

• I – criptografia em trânsito: todo o tráfego entre o usuário e os servidores é protegido por protocolo TLS/SSL;
• II – criptografia em repouso: os dados armazenados são protegidos por criptografia;
• III – autenticação multifator (MFA): exigida para o acesso a ambientes e consoles sensíveis;
• IV – controle de acesso por concessão: as permissões de acesso a dados e funcionalidades são atribuídas de forma granular, conforme a função, sob o princípio do menor privilégio, e revogadas quando cessa a necessidade, inclusive no desligamento de colaboradores e no encerramento de contratos;
• V – segregação multi-inquilino: os dados de cada cliente são isolados logicamente;
• VI – segregação de ambientes: os ambientes de desenvolvimento, teste e produção são separados, vedado o uso de dados Restritos reais em ambientes de teste sem salvaguardas;
• VII – gestão de credenciais e segredos: credenciais, chaves e segredos de aplicação são armazenados de forma protegida, com rotação e revogação controladas;
• VIII – cópias de segurança e continuidade: rotinas periódicas de backup e procedimentos de recuperação, com o objetivo de assegurar a disponibilidade e a restauração dos dados diante de falhas;
• IX – registro e auditoria: as operações relevantes sobre dados são registradas para fins de segurança e auditoria;
• X – atualização e correção: os componentes de software são mantidos atualizados e as vulnerabilidades identificadas são corrigidas segundo criticidade;
• XI – avaliações de segurança: a Plataforma é submetida a avaliações periódicas de segurança, incluindo testes de vulnerabilidade;
• XII – confidencialidade: o acesso interno aos dados é limitado aos colaboradores estritamente necessários, todos vinculados a compromissos de confidencialidade que subsistem ao término do vínculo.

Art. 29. O desenvolvimento de novas funcionalidades observa o princípio de privacidade e segurança desde a concepção: alterações que envolvam nova categoria de dado, novo canal de distribuição, novo operador ou nova finalidade de tratamento são precedidas de avaliação de privacidade e segurança, registrada pela Governança de Dados.

Da Infraestrutura e dos Operadores

Art. 30. O processamento primário dos dados ocorre em infraestrutura localizada no Brasil, na região de São Paulo. A TALAS apoia-se em operadores especializados, cujo rol público, exemplificativo e mantido atualizado conforme a evolução da Plataforma, consta da Política de Privacidade e Proteção de Dados.

§ 1º A contratação de novo operador é precedida de avaliação de segurança e conformidade compatível com esta Política e com o procedimento de Due Diligence de Terceiros, e os instrumentos contratuais contemplam obrigações de confidencialidade, segurança e tratamento conforme instruções.

§ 2º A atualização do rol de operadores não caracteriza alteração substancial desta Política nem da Política de Privacidade, preservado o registro histórico das mudanças materiais.

Da Transferência Internacional

Art. 31. Alguns operadores da TALAS possuem servidores e operações globais, de modo que determinados dados podem ser processados fora do território nacional.

Parágrafo único. Toda transferência internacional observa o regime dos arts. 33 e seguintes da LGPD e a regulamentação da ANPD, mediante salvaguardas que assegurem nível de proteção compatível, mantidos os padrões de segurança e confidencialidade desta Política, conforme também disposto na Política de Privacidade.

11Da Retenção e da Eliminação

Art. 32. A TALAS retém cada dado pelo menor prazo compatível com a sua finalidade e com as obrigações legais aplicáveis, adotando como referência os prazos mínimos legais somados às boas práticas de mercado:

• I – registros de acesso a aplicações: mantidos pelo prazo mínimo de 6 (seis) meses, nos termos do art. 15 da Lei nº 12.965/2014, sob sigilo e em ambiente controlado, podendo ser conservados por período compatível com necessidades de segurança e auditoria;
• II – dados cadastrais e contratuais: mantidos enquanto durar a relação contratual e, após o seu término, pelos prazos exigidos para a guarda de registros fiscais e contábeis e para o exercício regular de direitos;
• III – documentos submetidos pelo cliente: mantidos enquanto durar a relação contratual ou conforme a configuração definida pelo próprio cliente;
• IV – configurações opcionais de usabilidade: recursos como o salvamento de filtros e preferências são mantidos a critério do cliente e podem ser eliminados por ele a qualquer tempo;
• V – registros de distribuição de mensagens: mantidos pelos prazos necessários à segurança, à auditoria e ao faturamento, e pelos prazos de exercício regular de direitos;
• VI – registro de incidentes de segurança: mantido pelo prazo mínimo de 5 (cinco) anos, inclusive quanto a incidentes não comunicados à ANPD e aos titulares, nos termos da Resolução CD/ANPD nº 15/2024;
• VII – cópias de segurança: mantidas pelos ciclos técnicos definidos nas rotinas de backup, com descarte ao término do ciclo.

Art. 33. Encerrado o prazo de retenção, os dados são eliminados de forma segura e definitiva, ressalvada a conservação do estritamente necessário para o cumprimento de obrigação legal ou regulatória, para o exercício regular de direitos ou nas demais hipóteses do art. 16 da LGPD.

Parágrafo único. A eliminação em cópias de segurança opera-se pela expiração natural dos ciclos de backup, vedada a restauração dos dados eliminados fora das hipóteses legais.

12Da Resposta a Incidentes de Segurança

Art. 34. A TALAS mantém processo estruturado de resposta a incidentes de segurança, coordenado pelo Encarregado, com as seguintes etapas:

• I – detecção e registro: identificação do evento e abertura de registro com data, hora, natureza e escopo preliminar do incidente;
• II – classificação de severidade: avaliação do tipo de dado afetado, do volume, dos titulares envolvidos e do potencial de risco ou dano;
• III – contenção e mitigação: adoção imediata de medidas para conter o incidente, interromper a sua propagação e reduzir os seus efeitos;
• IV – avaliação de risco: análise dos critérios da Resolução CD/ANPD nº 15/2024 para determinar se o incidente pode acarretar risco ou dano relevante aos titulares e, portanto, se é de comunicação obrigatória;
• V – comunicação: sendo obrigatória, a comunicação à ANPD e aos titulares afetados é realizada no prazo de 3 (três) dias úteis, contados do conhecimento pela TALAS de que o incidente afetou dados pessoais, pelo meio disponibilizado pela Autoridade, admitida a complementação fundamentada das informações no prazo de até 20 (vinte) dias úteis;
• VI – erradicação e recuperação: eliminação da causa, restauração dos sistemas e validação da integridade dos dados;
• VII – documentação e melhoria: registro completo do incidente, da avaliação de risco e das medidas adotadas, mantido pelo prazo mínimo de 5 (cinco) anos, com revisão dos controles para prevenir recorrência.

§ 1º Todo colaborador ou terceiro que tomar conhecimento de incidente, vulnerabilidade ou suspeita de violação deve comunicá-lo imediatamente ao Encarregado, pelo e-mail privacidade@talasc.com.br.

§ 2º Quando o incidente envolver dados tratados pela TALAS na condição de operadora, o cliente controlador é comunicado em prazo hábil ao cumprimento das obrigações legais deste.

13Dos Cookies e da Medição de Audiência

Art. 35. A governança de cookies e das ferramentas de medição de audiência observa integralmente o disposto na Política de Privacidade e Proteção de Dados.

Parágrafo único. As ferramentas de análise e medição (Google Analytics e Microsoft Clarity) operam exclusivamente no sítio público, mediante consentimento do usuário, e não são carregadas sem o aceite; tais ferramentas não operam na área autenticada da Plataforma.

14Do Acesso à Plataforma e à API

Art. 36. As regras de cadastro, licença de uso, vedações e limites de utilização da Plataforma e da API constam dos Termos de Uso e Condições Gerais de Serviço, que integram esta governança para todos os fins.

Art. 37. O acesso é pessoal e intransferível e é regido pelo modelo de concessão sob menor privilégio; a detecção de compartilhamento indevido de credenciais, de automação não autorizada ou de tentativa de extração massiva de dados sujeita a conta às medidas previstas nos Termos de Uso, sem prejuízo das providências de segurança e das medidas judiciais cabíveis.

15Da Gestão de Riscos, do Relatório de Impacto e da Melhoria Contínua

Art. 38. A Governança de Dados realiza, periodicamente e sempre que houver mudança relevante, a avaliação dos riscos de privacidade e de segurança inerentes às operações de tratamento, proporcional à natureza, à escala e à complexidade das atividades, com registro das conclusões e dos planos de tratamento dos riscos.

Art. 39. O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) é elaborado, sob coordenação do Encarregado, para as operações de tratamento que possam gerar riscos elevados às liberdades civis e aos direitos fundamentais dos titulares, bem como quando solicitado pela ANPD.

Art. 40. A efetividade desta Política é monitorada por meio de indicadores definidos pela Governança de Dados (abrangendo, entre outros, qualidade de dados, atendimento a titulares, incidentes e conformidade de acessos), cujos resultados alimentam o aprimoramento contínuo dos controles.

Art. 41. Os colaboradores recebem orientação e treinamento sobre esta Política no ingresso e em reciclagem anual, com registro e termo de ciência, na forma do programa de Cultura de Integridade e Treinamento Contínuo.

16Das Disposições Finais

Art. 42. Esta Política observa, entre outras, as seguintes referências normativas e técnicas:

• I – Lei nº 13.709/2018 (LGPD) e a regulamentação da ANPD, notadamente a Resolução CD/ANPD nº 15/2024 (comunicação de incidentes) e a Resolução CD/ANPD nº 2/2022 (agentes de tratamento de pequeno porte);
• II – Lei nº 12.965/2014 (Marco Civil da Internet) e Decreto nº 8.771/2016;
• III – Lei nº 12.527/2011 (Lei de Acesso à Informação) e Lei nº 14.133/2021, como regime de publicidade das fontes oficiais das quais a Plataforma se alimenta;
• IV – como referências de boas práticas: o corpo de conhecimento DAMA-DMBOK (Data Management Body of Knowledge) e as normas ABNT NBR ISO/IEC 27001 e 27701.

Art. 43. Esta Política é interpretada de forma harmônica com a Política de Privacidade e Proteção de Dados, com os Termos de Uso e com o Código de Conduta e Ética Institucional, prevalecendo, quanto a dados pessoais, a disposição mais protetiva ao titular.

Art. 44. Os casos omissos são resolvidos pela Governança de Dados, ouvido o Encarregado quando a matéria envolver dados pessoais.

Art. 45. Esta Política é revisada periodicamente e sempre que houver alteração legislativa, evolução tecnológica ou mudança relevante nos processos de tratamento, recebendo cada revisão nova identificação de versão e data; a versão vigente permanece disponível no sítio institucional.

Art. 46. Esta Política entra em vigor na data de sua publicação.