Política de Privacidade e Proteção de Dados Pessoais

1. Introdução

A presente Política de Privacidade e Proteção de Dados Pessoais (“Política de Privacidade”) estabelece as diretrizes adotadas pela Cambiador Crowdfunding S.A. (“Cambiador”) para o tratamento, proteção e governança dos dados pessoais coletados no desenvolvimento de suas atividades, relacionamentos comerciais, operacionais e institucionais. A Cambiador reconhece a importância da privacidade e da proteção dos dados pessoais, comprometendo-se com a adoção de práticas destinadas a garantir o tratamento adequado, seguro e transparente das informações sob sua responsabilidade. Esta Política foi elaborada considerando a natureza das atividades desenvolvidas pela Cambiador, seu modelo operacional, relacionamentos com clientes, usuários, parceiros, fornecedores, prestadores de serviços e demais terceiros, observando os princípios previstos na legislação aplicável de proteção de dados pessoais. As diretrizes aqui estabelecidas buscam fortalecer a cultura de privacidade, segurança da informação e conformidade, assegurando que o tratamento de dados pessoais seja realizado de forma ética, proporcional, transparente e compatível com as finalidades necessárias.

2. Objetivo

Esta Política tem como objetivo estabelecer as diretrizes para o tratamento, proteção, utilização, armazenamento e compartilhamento de dados pessoais no âmbito das atividades desenvolvidas pela Cambiador, assegurando a observância da legislação aplicável e das boas práticas de privacidade, segurança da informação e governança de dados. São objetivos desta Política:

• estabelecer princípios e responsabilidades relacionados à proteção de dados pessoais;
• definir critérios para coleta, utilização, armazenamento, compartilhamento e descarte de informações pessoais;
• assegurar que o tratamento de dados pessoais seja realizado de forma adequada, transparente e compatível com as finalidades informadas;
• orientar colaboradores, parceiros, prestadores de serviços e terceiros quanto às responsabilidades relacionadas à privacidade e proteção de dados;
• preservar a confidencialidade, integridade e segurança das informações tratadas pela Cambiador;
• estabelecer mecanismos para atendimento aos direitos dos titulares dos dados pessoais, conforme legislação aplicável.

3. Abrangência

Esta Política aplica-se aos administradores, colaboradores, prestadores de serviços, parceiros comerciais, fornecedores e demais terceiros que, de alguma forma, realizem tratamento de dados pessoais em nome ou em benefício da Cambiador. As diretrizes estabelecidas nesta Política abrangem, conforme aplicável, dados pessoais relacionados a:

• clientes e usuários dos produtos, serviços ou soluções disponibilizadas pela Cambiador;
• representantes legais, sócios, administradores e beneficiários finais de pessoas jurídicas relacionadas;
• parceiros comerciais e estratégicos;
• fornecedores e prestadores de serviços;
• colaboradores e demais pessoas vinculadas às atividades da Cambiador.

A aplicação dos procedimentos previstos nesta Política observará a natureza do relacionamento estabelecido, a finalidade do tratamento dos dados pessoais e os riscos relacionados à privacidade e segurança das informações.

4. Base Legal e Normativa

Esta Política foi elaborada considerando a legislação brasileira aplicável à proteção de dados pessoais, privacidade, segurança da informação e demais normas relacionadas às atividades desenvolvidas pela Cambiador. As diretrizes previstas nesta Política consideram, conforme aplicável:

• Lei nº 13.709/2018 - Lei Geral de Proteção de Dados Pessoais (LGPD);
• legislação relacionada à proteção da privacidade, sigilo e segurança das informações;
• obrigações legais, regulatórias e contratuais aplicáveis aos relacionamentos mantidos pela Cambiador;
• boas práticas nacionais e internacionais relacionadas à governança, proteção de dados e segurança da informação.

A Cambiador acompanhará alterações legais, regulatórias e operacionais que possam impactar seus processos de tratamento de dados pessoais, promovendo atualizações desta Política sempre que necessário.

5. Conceitos e Definições

Para fins desta Política, são considerados os seguintes conceitos:

• Dados Pessoais: informações relacionadas a pessoa natural identificada ou identificável, tais como nome, documentos de identificação, dados cadastrais, informações de contato, dados profissionais ou quaisquer informações que permitam identificar uma pessoa.
• Dados Pessoais Sensíveis: dados relacionados à origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados referentes à saúde ou vida sexual, dados genéticos ou biométricos, quando vinculados a uma pessoa natural.
• Titular de Dados: pessoa natural a quem se referem os dados pessoais tratados pela Cambiador.
• Tratamento de Dados Pessoais: qualquer operação realizada com dados pessoais, incluindo coleta, produção, recepção, classificação, utilização, acesso, armazenamento, compartilhamento, eliminação ou demais formas de tratamento previstas na legislação aplicável.
• Controlador: pessoa física ou jurídica responsável pelas decisões relacionadas ao tratamento dos dados pessoais.
• Operador: pessoa física ou jurídica que realiza o tratamento de dados pessoais em nome do controlador, conforme orientações recebidas.
• Encarregado pelo Tratamento de Dados Pessoais (DPO): pessoa indicada para atuar como canal de comunicação entre a Cambiador, os titulares dos dados pessoais e, quando aplicável, a Autoridade Nacional de Proteção de Dados.
• Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para determinada finalidade, quando esta for a base legal aplicável.
• Anonimização: utilização de meios técnicos destinados a impedir a associação de determinada informação a uma pessoa natural identificada ou identificável.

6. Princípios de Proteção de Dados Pessoais

A Cambiador realiza o tratamento de dados pessoais observando os princípios previstos na legislação aplicável, buscando assegurar que as informações sejam utilizadas de forma adequada, transparente e compatível com as finalidades necessárias. São princípios observados pela Cambiador:

• Finalidade: os dados pessoais deverão ser tratados para propósitos legítimos, específicos e compatíveis com as atividades desenvolvidas pela Cambiador.
• Adequação: o tratamento dos dados deverá ser compatível com as finalidades informadas e com o contexto do relacionamento estabelecido com o titular.
• Necessidade: a coleta e utilização de dados pessoais deverão ser limitadas às informações necessárias para cumprimento das finalidades pretendidas.
• Livre Acesso e Transparência: os titulares poderão obter informações sobre o tratamento de seus dados pessoais, observados os procedimentos internos e requisitos legais aplicáveis.
• Qualidade dos Dados: a Cambiador buscará manter informações adequadas, atualizadas e compatíveis com a finalidade do tratamento.
• Segurança: serão adotadas medidas técnicas e administrativas destinadas à proteção dos dados pessoais contra acessos não autorizados, perda, alteração, divulgação indevida ou qualquer forma de tratamento inadequado.
• Prevenção: serão adotadas medidas destinadas a prevenir a ocorrência de danos decorrentes do tratamento de dados pessoais.
• Responsabilização e Prestação de Contas: a Cambiador buscará manter evidências e controles capazes de demonstrar a adoção de práticas relacionadas à proteção de dados pessoais.

7. Dados Pessoais Tratados pela Cambiador

A Cambiador poderá realizar o tratamento de dados pessoais necessários ao desenvolvimento de suas atividades, manutenção de seus relacionamentos, cumprimento de obrigações legais e regulatórias, execução de contratos, prevenção de ilícitos e atendimento das demais finalidades previstas nesta Política. Os dados pessoais tratados poderão variar conforme a natureza do relacionamento estabelecido com o titular e a finalidade do tratamento.

Poderão ser coletadas e tratadas, conforme aplicável, as seguintes categorias de informações:

• dados de identificação: nome completo, CPF, documento de identificação, data de nascimento, nacionalidade, assinatura e demais informações necessárias para identificação do titular;
• dados cadastrais e de contato: endereço, telefone, e-mail e demais informações fornecidas pelo titular no relacionamento com a Cambiador;
• dados profissionais e econômicos: profissão, atividade exercida, vínculo profissional, informações relacionadas à capacidade econômica ou demais informações necessárias para avaliação do relacionamento;
• dados relacionados a pessoas jurídicas: informações de representantes legais, administradores, sócios, procuradores, beneficiários finais e demais pessoas vinculadas à estrutura societária;
• dados de relacionamento e utilização de serviços: registros de interações, solicitações, atendimentos, contratos, termos aceitos e demais informações relacionadas ao relacionamento mantido com a Cambiador;
• dados necessários para procedimentos de segurança, prevenção a fraudes e conformidade: informações utilizadas em processos de validação cadastral, análise reputacional, identificação de Pessoas Expostas Politicamente (PEP), consultas a listas restritivas, sanções e demais controles aplicáveis;
• dados técnicos e de acesso: informações relacionadas à utilização de ambientes digitais, tais como registros de acesso, identificadores eletrônicos, endereço IP, data e horário de acesso e demais informações técnicas necessárias para segurança e funcionamento dos sistemas.

A Cambiador poderá tratar dados pessoais sensíveis somente quando necessário e permitido pela legislação aplicável, observando critérios de necessidade, finalidade, segurança e proteção das informações. A coleta de dados pessoais será limitada às informações necessárias para execução das atividades, cumprimento de obrigações legais, prevenção de riscos e manutenção dos relacionamentos estabelecidos.

8. Finalidades do Tratamento de Dados Pessoais

A Cambiador realiza o tratamento de dados pessoais para finalidades legítimas e compatíveis com suas atividades, sempre observando os princípios de necessidade, transparência, segurança e proteção das informações. Os dados pessoais poderão ser tratados, conforme aplicável, para:

• identificação, cadastro e manutenção do relacionamento com clientes, usuários, parceiros, fornecedores e demais terceiros;
• execução de contratos, prestação de serviços e atendimento das solicitações realizadas pelos titulares;
• realização de procedimentos de conhecimento, validação e diligência relacionados a clientes, parceiros e demais partes relacionadas;
• prevenção à fraude, lavagem de dinheiro, financiamento do terrorismo, financiamento da proliferação de armas de destruição em massa e demais ilícitos;
• avaliação, gerenciamento e mitigação de riscos relacionados aos relacionamentos mantidos pela Cambiador;
• cumprimento de obrigações legais, regulatórias, determinações de autoridades competentes ou exercício regular de direitos;
• realização de controles internos, auditorias, segurança operacional e melhoria dos processos internos;
• comunicação com titulares, envio de informações relacionadas ao relacionamento estabelecido e atendimento de solicitações;
• proteção da segurança dos sistemas, informações, operações e ambientes utilizados pela Cambiador.

O tratamento dos dados pessoais será realizado de acordo com as finalidades informadas, sendo vedada a utilização incompatível com os objetivos estabelecidos nesta Política e com a legislação aplicável.

9. Bases Legais para o Tratamento de Dados Pessoais

O tratamento de dados pessoais realizado pela Cambiador será fundamentado nas hipóteses legais previstas na legislação aplicável, considerando a finalidade da utilização das informações, a natureza do relacionamento estabelecido e as obrigações assumidas pela empresa. Conforme aplicável, o tratamento poderá ocorrer com base nas seguintes hipóteses:

• cumprimento de obrigação legal ou regulatória: quando necessário para atendimento de exigências previstas na legislação, normas aplicáveis, solicitações de autoridades competentes ou manutenção de registros obrigatórios;
• execução de contrato ou procedimentos preliminares: quando necessário para estabelecer, executar ou administrar relacionamento mantido com clientes, parceiros, fornecedores ou demais titulares;
• exercício regular de direitos: quando necessário para proteção dos direitos da Cambiador em processos administrativos, judiciais, arbitrais ou demais situações permitidas pela legislação;
• prevenção à fraude e segurança do titular: para realização de procedimentos de validação de identidade, segurança, proteção das informações e prevenção de utilização indevida dos serviços;
• legítimo interesse: quando necessário para desenvolvimento das atividades da Cambiador, melhoria de processos, controles internos, segurança e proteção de seus relacionamentos, respeitados os direitos e liberdades dos titulares;
• consentimento: quando exigido pela legislação aplicável, mediante manifestação livre, informada e inequívoca do titular.

A utilização de cada base legal será avaliada conforme a finalidade específica do tratamento realizado, observando os princípios de necessidade, proporcionalidade e transparência.

10. Compartilhamento de Dados com Terceiros e Parceiros

A Cambiador poderá compartilhar dados pessoais com terceiros quando necessário para execução de suas atividades, cumprimento de obrigações legais ou regulatórias, manutenção dos relacionamentos estabelecidos, segurança dos processos e atendimento das finalidades previstas nesta Política. O compartilhamento será realizado observando critérios de necessidade, finalidade, segurança e confidencialidade das informações, limitando-se aos dados necessários para o cumprimento da finalidade específica. Os dados pessoais poderão ser compartilhados, conforme aplicável, com:

• parceiros comerciais, estratégicos e operacionais necessários para disponibilização ou execução de produtos, serviços e soluções;
• fornecedores e prestadores de serviços contratados para apoio tecnológico, operacional, administrativo, jurídico, auditoria, segurança ou demais atividades necessárias;
• empresas responsáveis por ferramentas, sistemas, armazenamento, processamento ou proteção das informações;
• instituições ou entidades envolvidas na execução dos serviços contratados pelo titular, quando aplicável;
• autoridades públicas, órgãos reguladores ou demais terceiros quando houver obrigação legal, determinação válida ou necessidade de atendimento de exigências aplicáveis;
• terceiros necessários para prevenção à fraude, segurança, proteção de direitos, análise de riscos e cumprimento de procedimentos internos de conformidade.

A Cambiador adotará medidas razoáveis para que terceiros que realizem tratamento de dados pessoais em seu nome observem padrões adequados de segurança, confidencialidade e proteção das informações. O compartilhamento de dados pessoais não será realizado para finalidades incompatíveis com aquelas previstas nesta Política ou sem fundamento legal adequado.

11. Tratamento de Dados para Cumprimento Regulatório, Segurança e Prevenção a Ilícitos

No desenvolvimento de suas atividades, a Cambiador poderá realizar o tratamento de dados pessoais necessário para cumprimento de obrigações legais, regulatórias, contratuais e para adoção de medidas destinadas à segurança, prevenção de fraudes e mitigação de riscos. Esse tratamento poderá contemplar procedimentos relacionados à identificação e validação de informações, conhecimento de clientes, parceiros, fornecedores e demais partes relacionadas, bem como avaliações destinadas à prevenção de ilícitos e proteção dos relacionamentos mantidos pela Cambiador. Conforme aplicável, poderão ser realizados tratamentos relacionados a:

• processos de identificação e validação cadastral;
• procedimentos de Conheça seu Cliente (KYC), Conheça seu Parceiro (KYP) e demais diligências necessárias;
• identificação de representantes legais, beneficiários finais e pessoas relacionadas;
• consultas a informações públicas, bases de dados, listas restritivas, sanções e registros necessários para avaliação de riscos;
• prevenção, identificação e tratamento de situações relacionadas a fraudes, lavagem de dinheiro, financiamento do terrorismo ou demais práticas ilícitas;
• atendimento de solicitações de autoridades competentes.

Os dados tratados para essas finalidades serão utilizados de forma proporcional à necessidade identificada, observando critérios de segurança, confidencialidade e retenção aplicáveis.

12. Armazenamento, Segurança e Retenção das Informações

A Cambiador adotará medidas técnicas e administrativas destinadas à proteção dos dados pessoais tratados em seus ambientes físicos e digitais, buscando preservar a confidencialidade, integridade, disponibilidade e segurança das informações. Os dados pessoais deverão ser armazenados de forma adequada e protegida contra acessos não autorizados, perda, alteração, divulgação indevida, uso inadequado ou qualquer forma de tratamento incompatível com as finalidades previstas nesta Política. As medidas de proteção poderão contemplar, conforme aplicável:

• controle de acesso às informações de acordo com as responsabilidades atribuídas;
• utilização de mecanismos de segurança nos sistemas e ambientes utilizados;
• restrição de acesso aos dados pessoais somente às pessoas autorizadas e conforme necessidade operacional;
• adoção de procedimentos destinados à prevenção, identificação e tratamento de incidentes de segurança;
• orientação de colaboradores e terceiros quanto às responsabilidades relacionadas à proteção das informações.

A retenção dos dados pessoais observará os prazos necessários para cumprimento das finalidades que justificaram sua coleta, execução de contratos, cumprimento de obrigações legais ou regulatórias, exercício regular de direitos e atendimento de requisitos internos de segurança e governança. Após o encerramento da finalidade do tratamento e observados os prazos legais aplicáveis, os dados pessoais poderão ser eliminados, anonimizados ou mantidos quando houver fundamento legal que autorize sua conservação.

13. Direitos dos Titulares dos Dados Pessoais

A Cambiador assegurará aos titulares dos dados pessoais o exercício dos direitos previstos na legislação aplicável de proteção de dados, observados os procedimentos internos, requisitos legais e eventuais limitações decorrentes de obrigações regulatórias ou legais. O titular poderá solicitar, conforme aplicável:

• confirmação sobre a existência de tratamento de seus dados pessoais;
• acesso aos dados pessoais tratados pela Cambiador;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados tratados em desconformidade com a legislação aplicável;
• informações sobre compartilhamento de seus dados pessoais com terceiros;
• portabilidade dos dados pessoais, quando aplicável e conforme regulamentação específica;
• revisão ou informações relacionadas às decisões tomadas exclusivamente com base em tratamento automatizado de dados pessoais, quando aplicável;
• revogação do consentimento, nos casos em que o tratamento estiver baseado exclusivamente nesta hipótese legal.

O atendimento às solicitações dos titulares será realizado após validação adequada da identidade do solicitante e avaliação da possibilidade de atendimento, considerando as bases legais existentes, obrigações de retenção e necessidade de preservação de informações. O exercício de determinados direitos poderá ser limitado quando a manutenção dos dados for necessária para cumprimento de obrigações legais ou regulatórias, prevenção de fraudes, segurança, exercício regular de direitos ou demais hipóteses permitidas pela legislação aplicável.

14. Atendimento aos Titulares e Encarregado pelo Tratamento de Dados (DPO)

A Cambiador disponibilizará canal adequado para atendimento de solicitações relacionadas à privacidade e proteção de dados pessoais, possibilitando que os titulares exerçam seus direitos conforme previsto na legislação aplicável. O Encarregado pelo Tratamento de Dados Pessoais (“DPO”) ou responsável designado terá como atribuições, conforme aplicável:

• atuar como ponto de contato para assuntos relacionados à proteção de dados pessoais;
• receber e apoiar o tratamento das solicitações realizadas pelos titulares;
• orientar colaboradores e demais envolvidos quanto às práticas relacionadas à privacidade e proteção de dados;
• apoiar a avaliação e aprimoramento dos controles internos relacionados ao tratamento de dados pessoais;
• atuar na comunicação com autoridades competentes, quando necessário.

As solicitações relacionadas aos direitos dos titulares deverão ser avaliadas considerando a identidade do solicitante, a natureza do pedido, as informações envolvidas e eventuais obrigações legais ou regulatórias que justifiquem a manutenção dos dados. A Cambiador poderá definir canais específicos para atendimento das solicitações relacionadas à privacidade e proteção de dados pessoais, divulgando-os aos titulares conforme aplicável.

15. Uso de Cookies e Tecnologias Similares

A Cambiador poderá utilizar cookies e tecnologias similares em seus ambientes digitais com a finalidade de possibilitar o adequado funcionamento das plataformas, melhorar a experiência dos usuários, aumentar a segurança dos acessos e aprimorar seus serviços.

Os cookies e tecnologias similares poderão ser utilizados, conforme aplicável, para:

• permitir funcionalidades essenciais dos ambientes digitais;
• registrar preferências e melhorar a experiência de navegação;
• apoiar mecanismos de segurança e prevenção de acessos indevidos;
• obter informações estatísticas relacionadas ao uso dos ambientes digitais.

O usuário poderá, conforme funcionalidades disponíveis em seu navegador ou ambiente utilizado, gerenciar suas preferências relacionadas ao uso de cookies, observando que a desativação de determinadas tecnologias poderá impactar algumas funcionalidades. O uso dessas tecnologias observará os princípios de transparência, necessidade e segurança previstos na legislação aplicável.

16. Transferência Internacional de Dados

No desenvolvimento de suas atividades, a Cambiador poderá realizar transferência internacional de dados pessoais quando necessária para execução de serviços, utilização de soluções tecnológicas, armazenamento de informações, relacionamento com parceiros ou cumprimento de obrigações legais e contratuais. Quando ocorrer transferência internacional de dados pessoais, a Cambiador buscará assegurar que sejam adotadas medidas compatíveis com os requisitos legais aplicáveis, visando preservar a proteção, confidencialidade e segurança das informações transferidas. A transferência poderá ocorrer, conforme aplicável, para:

• fornecedores ou prestadores de serviços localizados no exterior;
• utilização de sistemas, ferramentas ou infraestrutura tecnológica com processamento ou armazenamento internacional;

• cumprimento de obrigações legais ou atendimento de solicitações de autoridades competentes;
• execução de contratos ou relacionamento envolvendo parceiros internacionais.

A Cambiador adotará medidas proporcionais à natureza dos dados tratados e aos riscos envolvidos, buscando garantir proteção adequada às informações pessoais.

17. Governança e Responsabilidades em Privacidade e Proteção de Dados

A Cambiador manterá práticas de governança relacionadas à privacidade e proteção de dados pessoais compatíveis com sua estrutura, porte, natureza das atividades desenvolvidas e riscos associados aos tratamentos realizados. A governança de privacidade tem como objetivo assegurar que os dados pessoais sejam tratados de forma adequada, segura e em conformidade com as diretrizes previstas nesta Política e na legislação aplicável. As responsabilidades relacionadas à proteção de dados pessoais serão distribuídas conforme a atuação de cada envolvido nos processos da Cambiador.

17.1 Administração

Compete à Administração:

• aprovar esta Política e suas revisões;
• apoiar a implementação das diretrizes relacionadas à privacidade e proteção de dados pessoais;
• promover uma cultura de segurança, confidencialidade e uso adequado das informações;
• acompanhar, quando aplicável, situações relevantes envolvendo proteção de dados pessoais;
• apoiar iniciativas destinadas ao aprimoramento dos controles internos relacionados ao tema.

17.2 Responsável por Privacidade, Compliance ou Controles Internos

O responsável pelas atividades relacionadas à privacidade, compliance ou controles internos possui como atribuições, conforme aplicável:

• acompanhar a aplicação das diretrizes previstas nesta Política;
• apoiar avaliações relacionadas ao tratamento e proteção de dados pessoais;
• orientar áreas internas quanto às boas práticas de privacidade e segurança das informações;
• acompanhar solicitações de titulares e demandas relacionadas à proteção de dados;
• apoiar avaliações envolvendo fornecedores, parceiros e terceiros que realizem tratamento de dados pessoais;
• recomendar melhorias nos processos e controles internos.

17.3 Colaboradores e Demais Envolvidos

Compete aos colaboradores, prestadores de serviços e demais pessoas que atuem em nome da Cambiador:

• observar as diretrizes estabelecidas nesta Política;
• utilizar dados pessoais somente para as finalidades necessárias ao desempenho de suas atividades;
• preservar a confidencialidade das informações acessadas;
• comunicar situações que possam representar risco à segurança ou proteção dos dados pessoais;
• participar das orientações e treinamentos disponibilizados relacionados ao tema.

18. Incidentes de Segurança Envolvendo Dados Pessoais

A Cambiador adotará procedimentos destinados à prevenção, identificação, avaliação e tratamento de incidentes que possam comprometer a segurança, confidencialidade, integridade ou disponibilidade dos dados pessoais tratados em suas atividades. São considerados incidentes de segurança eventos que possam ocasionar acesso não autorizado, perda, alteração, divulgação indevida, destruição ou qualquer forma de tratamento inadequado de dados pessoais. Quando identificado possível incidente envolvendo dados pessoais, a Cambiador deverá avaliar:

• natureza e circunstâncias do evento identificado;
• categorias de dados pessoais envolvidas;
• quantidade e perfil dos titulares impactados;
• possíveis riscos ou impactos decorrentes do incidente;
• medidas necessárias para contenção, mitigação e prevenção de novas ocorrências.

As análises realizadas e providências adotadas deverão ser registradas de forma adequada, possibilitando rastreabilidade das decisões tomadas e das medidas implementadas. Quando aplicável, a Cambiador adotará as providências de comunicação aos titulares envolvidos e/ou autoridades competentes, observando os critérios e prazos previstos na legislação aplicável. Os processos de tratamento de incidentes deverão contribuir para o aprimoramento contínuo dos controles de segurança e proteção de dados pessoais.

19. Conscientização e Cultura de Privacidade

A Cambiador promoverá ações destinadas à disseminação da cultura de privacidade, proteção de dados pessoais, segurança da informação e utilização adequada das informações tratadas no desenvolvimento de suas atividades. As orientações e treinamentos deverão ser compatíveis com a natureza das atividades desempenhadas, responsabilidades atribuídas e nível de acesso às informações pessoais. As ações de conscientização poderão contemplar, conforme aplicável:

• princípios relacionados à proteção de dados pessoais;
• responsabilidades dos colaboradores e demais envolvidos no tratamento das informações;
• boas práticas de segurança e confidencialidade;
• identificação e comunicação de possíveis incidentes envolvendo dados pessoais;
• cuidados relacionados ao compartilhamento, armazenamento e utilização das informações.

A Cambiador poderá realizar treinamentos, orientações ou comunicações periódicas destinadas ao fortalecimento da cultura de privacidade e conformidade. Os registros das ações realizadas deverão ser mantidos de forma adequada, possibilitando evidenciar a disseminação das diretrizes previstas nesta Política.

20. Avaliação e Aprimoramento dos Controles de Privacidade

A Cambiador manterá procedimentos destinados ao acompanhamento e aprimoramento contínuo dos controles relacionados à privacidade e proteção de dados pessoais, considerando alterações legais, evolução dos processos internos, mudanças nos relacionamentos mantidos e demais fatores relevantes. A avaliação dos controles tem como objetivo identificar oportunidades de melhoria, fortalecer práticas existentes e assegurar que as medidas adotadas

permaneçam compatíveis com a natureza das atividades desenvolvidas e com os riscos relacionados ao tratamento de dados pessoais. O processo de acompanhamento poderá considerar informações provenientes de:

• avaliações internas;
• alterações nos processos, sistemas ou modelos operacionais;
• solicitações recebidas de titulares;
• situações envolvendo segurança da informação ou privacidade;
• recomendações decorrentes de avaliações, auditorias ou revisões realizadas.

Quando identificadas oportunidades de melhoria ou necessidade de adequação, poderão ser estabelecidas medidas corretivas proporcionais à relevância da situação identificada.

21. Revisão, Aprovação e Vigência da Política

Esta Política deverá ser aprovada pela Administração da Cambiador e permanecerá vigente a partir da data de sua aprovação, aplicando-se aos relacionamentos, processos e atividades abrangidos por suas diretrizes. A Política deverá ser revisada periodicamente ou sempre que forem identificadas alterações relevantes que possam impactar as diretrizes estabelecidas, incluindo mudanças legais, regulatórias, tecnológicas, operacionais ou alterações no modelo de atuação da Cambiador. As revisões realizadas deverão considerar a adequação das práticas de tratamento de dados pessoais, controles existentes, requisitos legais aplicáveis e necessidade de aprimoramento dos processos internos. As alterações aprovadas deverão ser registradas, permitindo o controle histórico das versões e a rastreabilidade das atualizações realizadas.

22. Controle de Versões