Sumário

Introdução

1 - Sobre o licenciamento do "produto" e perfis de Usuários.

2 - Agentes de Tratamento e Encarregado pelo Tratamento de Dados Pessoais.

3 - Que informações e/ou dados pessoais são coletados através de nossos Serviços?

4- Informações automaticamente coletadas e indicadores on-line.

5 - Como suas informações e/ou dados pessoais são utilizados?

6 - Assistente Virtual "Dara".

7 - Suas informações e/ou dados pessoais serão compartilhados através de nossos Serviços?

8 - Como são tratados seus logins através de serviços externos?

9 - Informações e/ou dados pessoais recebidos de outras fontes.

10 - Por quanto tempo suas informações e/ou dados pessoais serão armazenados por nós?

11 - Quais são seus direitos em relação às suas informações e/ou dados pessoais e como exercê-los?

12 - Há utilização do Google Maps?

13 - Há utilização do Google Drive?

14 - Cookies e outras tecnologias são utilizadas?

15 - Como suas informações e/ou dados pessoais são armazenados?

16 - Utilização de backups.

17 - Como manteremos suas informações e/ou dados pessoais seguros?

Informações para contato.

Faremos atualizações nesta política?

Introdução

Sobre o licenciamento do "produto" e perfis de usuário

Esta política aplica-se a toda informação e/ou dado pessoal coletado pela Entidade através de nossos ambientes, que visam a prestação de serviços públicos de forma integrada, eficiente e simplificada, bem como criar oportunidades para auxiliar o desempenho dos agentes públicos/políticos, através de atividades menos burocráticas que revertam em benefícios para a comunidade como um todo. Para fácil entendimento, qualquer um deles será tratado doravante como "Serviços".

Quanto ao perfil de Usuário, informamos que neste documento é tratato da seguinte forma:

• Usuário Externo: Pessoa física ou jurídica (pública ou privada) que acessa/utiliza o Portal do Cidadão/Autoatendimento.
• Usuário Interno: Pessoa física ou jurídica (pública ou privada) autorizada pela Entidade a possuir acesso interno ao sistema de gestão.

Ainda, esclarece-se que nos momentos em que constar apenas "Usuário" entende-se que o disposto se aplica a ambos.

Agentes de Tratamento e Encarregado pelo Tratamento de Dados Pessoais

Na Lei nº 13.709/18 (Lei Geral de Proteção de Dados Pessoais - LGPD), que dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural, se enquadra como Agente de Tratamento, a figura do Controlador e Operador (art. 5º, inciso IX), havendo ainda, o Encarregado pelo Tratamento de Dados Pessoais (art. 5º, inciso VIII).

Na LGPD, a Entidade quando realiza o tratamento de dados pessoais figura como Controladora, visto que, lhe compete as decisões referentes aos tratamentos, e a IPM Sistemas Ltda. é Operadora, pois realiza o tratamento sob as ordens e em nome da Entidade, conforme art. 5º, incisos VI e VII, sendo que, ambas possuem responsabilidades que se encontram elencadas nos Termos de Uso do "Produto" que está pelo Usuário sendo utilizado, portanto, é de suma importância a sua leitura.

Por sua vez, o Encarregado pelo Tratamento de Dados Pessoais, consiste na pessoa indicada pela Controladora para atuar como canal de comunicação entre ela, os titulares de dados (pessoas físicas) e a Autoridade Nacional de Proteção de Dados, a ANPD (art. 5º, inciso VIII da LGPD), para informações sobre sua identificação e como contatá-lo, entre em contato diretamente com a Entidade através dos meios de comunicação por ela disponibilizados.

Que informações e/ou dados pessoais são coletados através de nossos Serviços?

São coletadas informações e/ou dados pessoais que o Usuário providencia à Entidade que deseja se relacionar.

São coletadas informações e/ou dados pessoais que o Usuário fornece aos Serviços, quando se relaciona com a Entidade que o licencia, a coleta depende do contexto de suas interações, o seu perfil de usuário (interno ou externo) e nos recursos que utiliza.

As Informações pessoais coletadas incluem:

Usuário Externo:

• Dados de login, quando houver: O Usuário externo fornece também senhas de acesso a sua conta no sistema (login). A Entidade poderá fornecer também a opção de cadastrar e efetuar login no sistema através do Gmail, login único do Gov.br, por exemplo.
• Pessoa Física - Informações cadastrais necessárias para acesso ao serviço público informatizado, quando solicitados: Nome completo, número(s) de telefone, endereço(s) de e-mail, endereço residencial, data de nascimento, estado civil, documentos de identificação (CPF, RG, CNS, entre outros).
• Pessoa Física - Estudante, quando houver serviços disponíveis relacionados à Educação:Nome completo, código de matrícula, endereço residencial, sexo, cor de pele, nacionalidade, filiação, tipo de deficiência se houver, altura, peso e documentos de identificação (CPF e certidão de nascimento).
• Pessoa jurídica (pública ou privada) - Informações cadastrais necessárias para acesso ao serviço público informatizado, quando solicitadas: Nome fantasia, razão social, número(s) de telefone, endereço(s) de e-mail, endereço da sede, documentos de identificação (CNPJ, Inscrição Estadual, entre outros).

Usuário Interno:

• Dados de login: O Usuário interno fornece também senhas de acesso a sua conta no sistema (login). A Entidade poderá fornecer também a opção de cadastrar e efetuar login no sistema através do Gmail, login único do Gov.br, por exemplo. Estas informações e/ou dados pessoais poderão também ser utilizados para acesso ao IPM Wiki, que é a Central de Informações em que são disponibilizadas as Notas Técnicas do sistema, por exemplo.
• Pessoa Física - Necessários ao exercício da atividade pública por agente público ou político, quando solicitados: Nome completo, número(s) de telefone, endereço(s) de e-mail, endereço residencial, data de nascimento, estado civil, sexualidade, escolaridade, documentos de identificação (CPF, RG, PIS/PASEP, CNS, entre outros).
• Informações e dados profissionais do agente público ou político, quando solicitados: São coletados dados de currículos, salário, bônus, ações disciplinares, e outras informações relacionadas a candidaturas de vagas de trabalho, dados sobre saúde, registos médicos e outros dados similares. Opcionalmente conforme contratação são também coletadas informações de biometria para acesso e registro de ponto eletrônico.

Toda informação e/ou dado pessoal que o Usuário fornece precisa ser verdadeiro, completo e preciso, toda vez que houver qualquer alteração, o Usuário precisa comunicar à Entidade para manter a qualidade de seus dados, pois impactam positivamente nos serviços públicos prestados através de nossos Serviços.

Informações automaticamente coletados e indicadores on-line

São coletadas automaticamente informações de seu navegador e características do dispositivo utilizado enquanto o Usuário acessa nossos serviços. Esta coleta é realizada visando manter a integridade, disponibilidade e confidencialidade de nossos Serviços em virtude de obrigações legais e/ou contratuais, além dos propósitos abaixo determinados:

Usuário Externo:

• Para fins de análise: Independentemente de estar logado ou não na aplicação, são coletadas informações dos serviços prestados, incluindo a avaliação deles (caso seja realizada pelo Usuário externo), sendo que estas informações são utilizadas apenas para fins estatísticos em relatórios de gestão da Entidade. Além desta avalidação, é utilizada a ferramenta Google Analytics, sendo possível obter mais informações através da Política de Uso de Dados do Google Analytics e também pela Política de Privacidade e Termos do Google.
• Dados de localização: Se o Usuário externo autorizar o navegador e/ou dispositivo (smartphone) através do Google Maps, nossos Serviços também poderão acessar a sua localização fornecida pelo Google Maps, para função específica de registros de ocorrência (obras e denúncias ambientais), informações de mobilidade urbana (pontos de interesse), assim como, localização de prédios públicos nas proximidades. Para mais informações, acesse o tópico "Há utilização do Google Maps?"

• Para fins de análise e segurança: Quando o Usuário interno está identificado em uma sessão do sistema (logado), informações e/ou dados são automaticamente coletados. Tais dados incluem ações realizadas nos nossos Serviços, informações do dispositivo e informações de uso, como seu endereço de IP, navegador, características do dispositivo, sistema operacional, informações sobre como e quanto o Usuário interno utilizou nossos serviços, e outras informações técnicas. Essas informações são necessárias principalmente para uso de nossos serviços de análises e relatórios que são de interesses da Entidade, assim como, por nós, diante de obrigação contratual acerca da segurança das informações, inclusive para fins de auditoria.

Como suas informações e /ou dados pessoais são utilizados?

• Para proteger os Serviços: Podemos usar suas informações e/ou dados pessoais como parte de nossos esforços para manter nossos Serviços seguros e protegidos, observando-se as obrigações contratuais (por exemplo, para monitoramento de fraudes e prevenção de ataques).
• Para gerenciar contas de Usuários: A Entidade poderá usar suas informações para gerenciar contas e logins.
• Para login através de terceiros (ao Usuário externo se aplicará quando houver esta opção): Se o Usuário escolher se conectar ao Portal da Entidade através de um terceiro, quando disponível (como Gmail ou Gov.br), usaremos as informações e/ou dados pessoais recebidos desses terceiros para facilitar o processo de criação de conta ou login, incluindo a criação/atualização do seu cadastro. Para mais informações, verifique o item "Como são tratados seus logins através de serviços externos?".
• Para cumprimento de determinação legal/judicial: Suas informações e/ou dados pessoais poderão ser utilizados a qualquer tempo para finalidades legais, de modo a atender demanda judicial, policial, por requisição do Ministério Público, solicitação da Autoridade Nacional de Proteção de Dados - ANPD, e demais autoridades.

• Para criar conta e login, quando houver: Utilizaremos suas informações e/ou dados pessoais para criar sua conta e login no Portal da Entidade, quando houver esta opção. Os dados coletados serão aqueles que o Usuário externo informa no formulário, que geralmente são os descritos no item "Que informações e/ou dados pessoais são coletados através de nossos Serviços?", pois são imprescindíveis para a validação de sua solicitação de acesso por um agente público/político, de maneira a comprovar sua identidade.
• Para enviar informações administrativas: Usaremos suas informações e/ou dados pessoais de contato, por exemplo, para adverti-lo sobre eventual mudança nos Termos de Uso para Acesso ao Autoatendimento (quando disponibilizado), assim como, de informações que sejam de seu interesse, principalmente para o exercício de seus direitos perante a Entidade.

• Para enviar informações administrativas: Usaremos suas informações e/ou dados pessoais de contato para encaminhar avisos/alertas de seus interesses inerentes aos Serviços contratados pela Entidade.

• Para habilitar comunicação de usuário-para-usuário: Poderemos utilizar seus dados pessoais para habilitar comunicação de usuários-para-usuários por meio de "Chats", através do mecanismo de troca de mensagens/notificações do próprio Serviço.

Assistente Virtual "Dara"

Suas informações e/ou dados pessoais serão compartilhados através de nossos Serviços?

• Para proteção dos serviços: Suas informações e/ou dados pessoais poderão ser processados ou compartilhados quando houver necessidade de análise para a prevenção ou para tomar medidas que eventualmente se demonstrem necessárias em virtude de potencial violação de nossa política, suspeita de fraude, situações que envolvam ameaças potenciais para segurança de qualquer pessoa ou outras atividades ilegais.
• Para empresas subcontratadas: em situações específicas e autorizadas pela Entidade serão disponibilizadas informações e/ou dados pessoais às empresas subcontratadas para execução de serviços.
• Por obrigação legal e/ou contratual: A Entidade poderá determinar o compartilhamento de informações e/ou dados pessoais à empresas contratadas por ela, de modo que, por obrigação legal e/ou contratual a IPM Sistemas Ltda. na condição de Contratada e Operadora, é obrigada a observar as determinações da Entidade.

Como são tratados seus logins através de serviços externos?

Informações e/ou dados pessoais recebidos de outras fontes

Por quanto tempo suas informações e/ou dados pessoais serão armazenados por nós?

Quais são seus direitos em relação as suas informações e/ou dados pessoais e como exercê-los?

• Confirmação da existência do tratamento e acesso aos dados: acesso a todos os dados pessoais coletados pela Controladora, de modo facilitado e gratuito, sobre a forma, duração e integralidade dos dados.
• Correção: de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação: com relação a dados desnecessários, excessivos ou tratados em desconformidade com o disposto na Lei supracitada. Sendo necessário observar no momento da requisição, quais tecnologias estão disponíveis para exercer o procedimento, assim como, as orientações expedidas pela ANPD e a legislação pátria aplicável aos serviços públicos.
• Portabilidade: transferência dos seus dados pessoais de um Controlador para outro.
• Eliminação: esta hipótese se refere à possibilidade de eliminação dos dados tratados quando a base legal for o consentimento do titular, contudo, tais dados não poderão ser eliminados nas hipóteses previstas no art. 16 da supracitada Lei, estando prevista, por exemplo, a conservação para cumprimento de obrigação legal ou regulatória da Controladora, sendo aplicável esta hipótese em grande parcela dos tratamentos realizados pela Entidade. Além de ser necessário igualmente observar no momento da requisição, quais tecnologias estão disponíveis para exercer o procedimento, assim como, as orientações expedidas pela ANPD e a legislação pátria aplicável aos serviços públicos.
• Informações sobre o compartilhamento: obter conhecimento acerca de entidades públicas e privadas com as quais a Controladora realiza ou realizou uso compartilhado de dados.
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa: este direito está estritamente atrelado à base legal do consentimento fornecido pelo titular dos dados, sendo assim, tendo em vista que a Entidade possui base legal própria, a utilização do consentimento será em pequena parcela de possível tratamento a ser realizado, sendo que, quando houver necessidade, o titular dos dados poderá manifestar sua concordância de forma livre, informada e inequívoca.
• Revogação do consentimento: igualmente ao direito anterior, visto que, a revogação do consentimento obviamente somente ocorrerá quando a base legal for o consentimento do titular.
• Oposição: o titular possui o direito de opor-se ao tratamento realizado em descumprimento ao disposto na Lei supracitada.

Há utilização do Google Maps?

Há utilização do Google Drive?

Cookies e outras tecnologias são utilizadas?

Como suas informações e/ou dados pessoais são armazenados?

• Realizamos o backup completo do banco de dados todos os dias, tais backups ficam armazenados em estrutura externa a estrutura da Entidade em datacenter.
• Também são realizados backups incrementais, contendo apenas os registros entre o último backup completo e o ponto atual.
• Possuímos rígidas restrições de acesso aos arquivos de backups, onde somente um agente público/político devidamente autorizado mediante termo lavrado entre a IPM e a Entidade poderá realizar o download do backup. Para garantir a autenticidade, solicitamos que este agente público/político possua um certificado A3 em seu nome. Além disso, é importante mencionar que após a realização do download do backup pela Entidade, não haverá nenhuma responsabilização da IPM Sistemas Ltda. com relação à segurança desta replicação, visto que, não mais detêm controle sobre as informações e/ou dados pessoais lá armazenados, sendo única e exclusivamente de responsabilidade da Entidade zelar por sua segurança e preservação.
• Os dados ficam armazenados em banco de dados que garantem a integridade dos dados, sendo que cada movimentação do sistema fica registrada em logs, que podem ser consultados em uma possível auditoria.
• O acesso aos dados pode ser realizado apenas via aplicação, não sendo permitido acesso direto ao banco de dados por ferramentas externas a infraestrutura de datacenter.
• Todo o ambiente de datacenter conta com equipamentos de última geração para garantir a alta disponibilidade e a segurança do ambiente, assim como o armazenamento em discos criptografados.

Utilização de backups e suas restrições

Como manteremos suas informações e/ou dados pessoais seguros?

• Os dados são trafegados de forma criptografada de ponta a ponta, ou seja, todos os ambientes utilizam certificados SSL, que são atualizados periodicamente.
• O login ao sistema de gestão é realizado através de plataforma única, onde o CPF é o dado de login principal seguido da senha, podendo ser utilizado em casos específicos login por certificado digital A3 ou biometria.
• O login é associado diretamente a uma pessoa natural que, dependendo do caso é um agente público ou político, sendo realizada validação da situação funcional (diretamente no Cadastro de Funcionário, quando o módulo de Folha de Pagamento estiver ativado/contratado) a cada login realizado, levando-se em consideração também o horário de trabalho.
• A critério da Entidade, dispomos de login único, através da conta gov.br com validação de autenticidade em órgãos governamentais, como por exemplo o Banco do Brasil.
• Os usuários dos sistemas têm permissões para utilizar somente determinadas rotinas que lhes foram atribuídas as devidas permissões, através do gerenciamento de privilégios.
• A infraestrutura de rede é isolada para cada Entidade através da criação de redes virtuais. Essa segmentação garante que cada estrutura é autossuficiente e não tem ligação com as demais estruturas do datacenter.
• A manutenção dos ambientes é realizada somente por pessoas autorizadas com permissão de execução somente de um determinado local, e somente para determinadas operações.
• Todo o ambiente é protegido por firewalls com regras rígidas, a fim de garantir que somente o tráfego legítimo seja permitido ao ambiente da Entidade.
• Todo o tráfego é monitorado e os logs são armazenados em servidores externos, como medida de análise e tomada de ações preventivas às tentativas de ataque. O datacenter físico é protegido por segurança armada e monitoramento 24h por dia.
• São realizadas diversas companhas visando a conscientização a segurança da informação (criação de cartilhas, eventos, palestras etc.), mantendo nossos colaboradores atentos ao tema.
• São realizadas as análises de logs dos servidores com objetivo de identificar possíveis tentativas de invasão. Essas análises ocorrem tanto em tempo real como posteriormente, através do histórico. Através dela conseguimos identificar certos padrões que podem indicar algum acesso não legítimo ou não autorizado.
• Todas as tecnologias envolvidas na construção do software são atualizadas periodicamente, sempre tendo como referência a última versão estável.
• O sistema Atende.Net conta com políticas de segurança em vários níveis, onde, quando configurado no nível "Máximo", temos a ativação das regras abaixo.
• Validação de agente público/político ativo no momento do login, confrontando com a situação funcional do usuário. Desde que o módulo de folha de pagamento esteja ativo/contratado.
• Bloqueio de login por tentativas de acesso, após três falhas. Efetua o logoff automaticamente após 4 (quatro) horas de inatividade. Exige senha com nível de segurança forte.
• Devendo conter: No mínimo oito caracteres; letras maiúsculas e minúsculas; números; caracteres especiais;
• Não podendo conter: Números sequenciais; data de nascimento; repetir as últimas três senhas;
• A senha será expirada de forma automática, a cada 90 (noventa) dias.
• O centro de tecnologia onde o software é desenvolvido, conta com sistema de vigilância, acesso físico restrito incluindo identificação por biometria.
• O ambiente de desenvolvimento possui segurança conforme as principais normas de mercado, incluindo entre outras coisas, separação física das redes de desenvolvimento, teste e suporte, espaço físico restrito, com controle de acesso físico e proteção lógica dos servidores e demais equipamentos, (todas essas ações são mencionadas no padrão internacional ISO/IEC 15.408 ao qual a IPM buscou se espelhar).
• Sempre que uma nova atualização de software é liberada, obrigatoriamente ela deve passar pelo setor de teste/qualidade, que avalia não somente a funcionabilidade de software, mas também se este foi desenvolvido seguindo as regras de segurança impostas.
• Periodicamente são realizadas análises de vulnerabilidades nos sistemas IPM, estas análises são realizadas pela equipe interna e por uma empresa terceirizada com nível de reconhecimento internacional em segurança, onde após cada análise é fornecido um novo selo de segurança e no caso de alguma vulnerabilidade ter sido detectada, a IPM é informada juntamente com um prazo máximo de resolução, sob pena de perder o selo de segurança.

Das disposições finais

Informações para contato

Faremos atualizações nesta política?