ADEQUAÇÃO À LEI GERAL DE PROTEÇÃO DE DADOS PESSOAIS (LGPD)

Descrição: Analisar os requisitos de PD&P e seus impactos sobre o negócio; identificar leis, regulamentos e normas relevantes
1. Estabelecer e organizar a governança de PD&P
1. 1
1. 2 Estabelecer os marcos críticos a serem atingidos pelo programa de Governança em Privacidade Incluir a lista de contatos dos Encarregados de eventuais fornecedores e parceiros comerciais do negócio
2. Identificar leis pertinentes sobre o tema
2. 1 Levantar normas (leis, portarias, resoluções, etc.) e manifestações (guias, estudos, notas técnicas, pareceres) da Autoridade Nacional de Proteção de Dados (ANPD) sobre o tema
3. Gerenciar o envolvimento da alta administração e das partes interessadas
3. 1 Estabelecer calendário de interessadas reuniões periódicas com partes
4. Estabelecer o processo de conscientização e treinamentos
4. 1. Criar Plano de Treinamento para colaboradores anual
4. 2. Reunir, se aplicável, com unidades internas responsáveis pelos setores de comunicação/marketing e recursos humanos, para elaborar Plano de Comunicação e Conscientização

Entrega: • Programa de Governança em Privacidade;
• Relação de Encarregados de eventuais fornecedores e parceiros;
• Inventário de normas e guias pertinentes sobre o tema de PD&P;
• Calendário de reuniões periódicas;
• Plano de Treinamento para colaboradores;
• Plano de Comunicação e Conscientização em PD&P.

Descrição: Estabelecer as estruturas organizacionais e os mecanismos necessários ao atendimento das necessidades de conformidade com a legislação de proteção de dados pessoais
1. Manter e fortalecer o Programa de Governança, as Políticas Internas e os Controles de Governança em PD&P
1. 1 Avaliar a necessidade de atualizar ou criar políticas, normas e procedimentos internos para assegurar a conformidade com a proteção de dados pessoais e privacidade
2. Atribuir e manter as responsabilidades em relação à PD&P
2. 1. Revisitar, se aplicável, cada um dos riscos identificados no ciclo anterior de execução do DPMS
2. 2 Agendar reunião com cada unidade que contém riscos envolvidos para propor medidas de adequação
3. Manter o comprometimento institucional com relação à PD&P
3. 1 Levantar documentos internos relevantes, relacionados ao tema, que devam ser publicados internamente (intranet, se for o caso)
3. 2. Reunir com stakeholders para apresentação e esclarecimentos sobre documentos relevantes
3. 3 tenham conhecimento Assegurar que adequado sobre políticas internas, principais procedimentos e normas de segurança relacionadas ao tratamento todos os colaboradores
4. Implementar e operar sistemas automatizados de PD&P
4. 1. Configuração do formulário de registro das atividades de tratamento (RoPA)
4. 2 Incluir os processos mapeados por meio de planilhas
4. 3. Configurar a pesquisa de due dilligence com os fornecedores
5. Desenvolver planos de ação para implementação
5. 1 Após a aprovação das medidas de prevenção e mitigação, estabelecer plano de ação para implementação dessas medidas

Entrega: • Revisão das políticas, normas e procedimentos;
• Aprovação das medidas de prevenção e mitigação de riscos identificados junto às áreas de negócio;
• Disseminação e socialização de documentos relevantes relacionados ao tema de PD&P;
• Plano de ação para implementação das medidas de mitigação de riscos.

Descrição: Realizar as atividades estabelecidas no plano de ação; registrar as operações de tratamento de dados pessoais; desenvolver as atividades constantes do Plano de Treinamento e Conscientização; criar canal de atendimento às solicitações dos titulares
1. Executar atividades de integração de PD&P
1. 1 Incluir notificação sobre cookies nas aplicações web
1. 2
1. 3 Fazer inventário dos bancos de dados administrados Fazer inventário dos diretórios de arquivos (file server)
1. 4 Levantar quais outros diretórios devem ter seus documentos digitais mapeados
2. Registro de todas as operações que envolvam dados pessoais
2. 1. Reunião com cada responsável pelos processos de negócio para preenchimento do formulário digital de RoPA
3. Automatizar as requisições dos titulares de dados pessoais
4. Implementar controles de segurança de dados pessoais
4. 1 Elaborar/revisar política de backup
4. 2 Elaborar relatório periódico de teste de integridade de backup
4. 3 Acompanhar a ativação dos serviços de cibersegurança
4. 4. Manter registro de todos os incidentes envolvendo dados pessoais

Entrega: • Mapeamento dos dados estruturados e não estruturados;
• Registros das atividades de tratamento (RoPA);
• Automatização de processos de atendimento aos titulares;
• Integridade dos backups;
• Configurar central de registro de incidentes.

Descrição: Reunir informações sobre as atividades realizadas, mediante a elaboração dos seguintes relatórios: (i) treinamento e conscientização; (ii) impacto à proteção de dados e (iii) listagem de documentos elaborados (políticas, normas e procedimentos internos)
1. Implementar práticas para gerenciar o tratamento de dados pessoais
1. 1 Levantar treinamentos e campanhas de conscientização de proteção de dados e de segurança da informação informações sobre
2. Avaliar riscos relacionados à proteção de dados pessoais
2. 1
2. 2
2. 3 Elaborar relatório de riscos relacionados à proteção de dados pessoais com a respectiva relação das medidas técnicas e administrativas necessárias para tratá-los/mitigá-los Avaliar os riscos residuais e apresentá-los às instâncias decisórias competentes Elaborar relatórios de impacto à proteção de dados (RIPDs) referentes a dados críticos e sensíveis
3. Manter documentação atualizada
3. 1 Propor atualizações no relatório de lições aprendidas, se aplicável

Entrega: • Relatório sobre treinamentos institucionais e campanhas de conscientização executadas;
• Relatório a respeito de riscos relacionados a dados pessoais para subsidiar a estratégia de compliance;
• Relatórios de impacto à proteção de dados (RIPDs);
• Relatório de lições aprendidas.

Descrição: Avaliar e melhorar todos os aspectos específicos do Programa de Conformidade em LGPD, com a elaboração de relatório de lições aprendidas e com a atualização do Plano de Ação, para que sejam definidos os próximos passos para a adequação
1. Monitorar leis e regulamentos
1. 1 Analisar cada nova lei e regulamento relacionados à proteção de dados pessoais, inclusive guias orientativos e recomendações expedidos pela ANPD
2. Executar Avaliação Interna de Riscos à Privacidade (AIRP)
3. Avaliar lições aprendidas
3. 1 Propor novo ciclo DPMS, para o ano seguinte
4. Realizar pesquisa interna sobre PD&P
4. 1. Realizar pesquisa com pontos focais e/ou colaboradores, para compor Relatório de Autoavaliação

Entrega: • Relatório de monitoramento de leis e demais normas sobre privacidade e proteção de dados pessoais;
• Relatório de Avaliação Interna de Riscos à Privacidade (AIRP);
• Relatório de mudanças a serem propostas para o próximo ciclo de execução do DPMS;
• Relatório de Autoavaliação.

Na impossibilidade de esta ficha técnica ser aplicada presencialmente, ela poderá ser aplicada de forma remota (ferramentas de videoconferência, ligações telefônicas, aplicativos de mensagens e/ou e-mails). No momento da contratação, a empresa demandante deverá ser comunicada que parte do serviço ou a integralidade dele, quando aplicável, acontecerá de forma remota. Além disso, o alinhamento do formato do atendimento deve ser feito na Etapa 01 entre a empresa demandante e a prestadora de serviço tecnológico Na impossibilidade de as entregas serem assinadas fisicamente pela empresa demandante, elas poderão ser validadas via assinatura digital, aceite eletrônico ou e-mail, em que a empresa demandante deverá manifestar o aceite e encaminhar para a prestadora de serviço tecnológico, e esta deverá incluir o comprovante de validação da empresa demandante nas entregas para o registro do atendimento Os valores dos honorários apresentados pela prestadora de serviço devem incluir todas as despesas com impostos e encargos sociais, conforme legislação tributária em vigor, que possam incidir sobre o objeto da proposta Despesas adicionais com terceiros (direitos autorais, fotografias, hospedagem, imagens, registro de domínio, revisões, textos, conteúdo dinâmico, entre outros) ficam a cargo exclusivo da empresa demandante e devem ser previamente autorizadas por ela durante a validação da proposta de trabalho É de responsabilidade da prestadora de serviço todo o trabalho, da concepção à aprovação da empresa demandante A prestadora de serviço não pode ser responsabilizada por erros de terceiros contratados pela empresa demandante. Versão Data

-