CONSIDERAÇÕES PRELIMINARES
I. Cultura de Privacidade e Proteção de Dados:
Inspirados na cultura Privacy by Design, na FRISABOR ALIMENTOS LTDS., pessoa jurídica de direito privado inscrita no CNPJ sob o nº 09.574.645/0001-02, com sede na Avenida Dr. Rinaldo Pinho Alves, nº 60-A, Paratibe, Paulista/PE, CEP 53.411-000, neste ato representada de acordo com o seu Contrato Social, (“FRISABOR” ou “EMPRESA”), entendemos que a privacidade e a proteção de dados, deve ser algo a ser encarado como uma cultura dentro e fora da empresa. 
Ao encarar este tema como cultura, elevamos seu nível de importância e ao mesmo tempo que o tornamos um hábito, sem burocracias, regras engessadas e letras miúdas.

II. Os pilares da nossa cultura de privacidade:
Nos comprometemos a proporcionar segurança e proteger os dados dos nossos clientes, colaboradores e terceiros, dando controle e trazendo facilidades para o manuseio dos seus dados pessoais no dia a dia.
Faz parte da nossa cultura os seguintes itens:
Consultar, divulgar e compartilhar somente informações conhecidas como públicas e verídicas: O que você encontrar em nossas redes sociais e site da empresa, fique à vontade para repassar adiante. Outras fontes, mesmo que mídias conhecidas, sugerimos que analise com cuidado a autenticidade, pois não desejamos que você caia nas famosas Fake News.
Os dados pessoais dentro da empresa: dados dos nossos clientes, consumidores, funcionários ou terceiros, devem ser guardados a “7 chaves” e somente acessado por perfis correspondes.

Aplicações Corporativas e Chat Interno: Nós sabemos que a comunicação é um dos pilares mais importantes para o sucesso dos nossos projetos, por isso, utilizamos as seguintes aplicações para gerenciarmos nossas atividades (Comércio Varejista de Alimentos), projetos e comunicados: Para o colaborador temos um canal direto com o RH da empresa. 
Armazenamento: o primário é RAM (Random Access Memory) – a captação ocorre no Navegador de internet, para posterior armazenamento. O secundário acontece por meio de um único disco de armazenamento, e HDD e SSD no servidor Nuvem, com restrição de acesso externo. Ademais, acontece armazenamento em nuvem no Microsoft Azure.

FINALIDADE 
2.1. A presente política tem por objetivo estabelecer princípios gerais de atuação e diretrizes regem a FRISABOR no que diz respeito à proteção de dados pessoais e dados sensíveis de todos os indivíduos que se encontrem relacionados com a instituição, garantindo o cumprimento da legislação aplicável.

2.1.1 A finalidade na captação dos dados: nome, RG e telefone, ocorre para cadastro no Programa de Fidelidade e Recompensas.

2.1.2 Os dados são coletados com cliente em loja através de QR Code, onde o cliente realiza seu auto cadastro ou diretamente em um terminal/maquineta por um colaborador.

APLICABILIDADE DA POLÍTICA
3.1. Esta política é dirigida a todas as pessoas, físicas e jurídicas, sejam clientes, colaboradores, estagiários, terceirizados, prestadores de serviço ou parceiros de negócio, que se interrelacionam com a FRISABOR no tratamento de dados pessoais de titulares.

LIDERANÇA E COMPROMETIMENTO
4.1. A Diretoria Executiva e o Comitê Gestor de Proteção de Dados Pessoais procuram gerir de maneira eficaz a proteção de dados pessoais na FRISABOR e adotam todas as medidas necessárias para este fim, comunicando adequadamente esta política a todos os seus colaboradores, estagiário, terceirizados, prestadores de serviço e parceiros de negócio e cuidando para que ela seja compreendida e aplicada por todos.

4.2. Serão realizadas revisões periódicas na Política de Proteção de Dados Pessoais para mantê-la atualizada e adequada. Sempre que ocorra alteração, uma nova comunicação junto às partes interessadas será promovida.

PRINCÍPIOS NORTEADORES PARA O TRATAMENTO DE DADOS PESSOAIS
5.1. Nas atividades de tratamento de dados pessoais de titulares, a FRISABOR cuidará para que sua equipe interna (funcionários, estagiários), terceirizados, prestadores de serviço e parceiros de negócio observem a Lei Geral de Proteção de Dados (Lei nº 13.709/2008 – LGPD) e demais legislações aplicáveis, bem como as diretrizes de proteção de dados pessoais estabelecidas através de Políticas e Avisos de Privacidade pela FRISABOR.

5.2. Também serão observados os princípios aqui estabelecidos por todos os atores envolvidos nas seguintes situações:

Criação e implementação de procedimentos que tratem dados pessoais;
Prestação de serviços e oferta de produtos;
Contratos celebrados com pessoas físicas;
Implantação de sistemas e programas que viabilizem tratamento de dados pessoais por prepostos da FRISABOR ou por terceiros contratados (prestadores de serviço, terceirizados e parceiros de negócio).

5.3. Princípios Básicos Relativos ao Tratamento de Dados Pessoais.

5.3.1. As atividades de tratamento de dados pessoais serão pautadas na boa-fé e observarão os seguintes princípios:

a. Finalidade – a finalidade do tratamento de dados pessoais (neste caso é para o Programa de Fidelidade e Recompensas da FRISABOR) deve estar em conformidade com a legislação aplicável e definida por uma base legal, não podendo haver tratamento posterior de uma forma incompatível com as finalidades determinadas, explicitas e legítimas comunicadas previamente ao titular.

b. Adequação – o tratamento dos dados pessoais deve ser compatível com as finalidades informadas ao titular, em conformidade com o contexto do tratamento.

c. Necessidade – somente devem ser coletados os dados pessoais estritamente necessários (neste caso, NOME, RG e telefone), pertinentes, proporcionais e não excessivos à realização da finalidade pretendida. Não devem ser coletados dados pessoais indiscriminadamente, seja em quantidade ou em tipo. 

d. Livre acesso – assegurar aos titulares uma consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integridade dos seus dados pessoais através do e-mail: sac@frisabor.com.br.

e. Qualidade dos dados – refere-se a garantia de que os dados pessoais tratados sejam precisos, completos, atualizados (salvo se existir uma base legítima para conservar dados desatualizados), adequados e relevantes à finalidade de uso. 

f. Transparência – informações claras e facilmente acessíveis sobre o tratamento dos dados pessoais serão disponibilizadas aos titulares, incluindo avisos de que seus dados pessoais estão sendo processados, a finalidade do tratamento, os tipos de partes interessadas a quem os dados podem ser divulgados, informações de identidade e contato do controlador, bem como os direitos correspondentes dos titulares. Ficam resguardados os segredos comercial e industrial.

g. Segurança – adoção de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

h. Prevençao – emprego de medidas para precaver a ocorrência de danos em virtude de tratamento de dados pessoais.

i. Não discriminação – o tratamento de dados pessoais não será realizado para fins discriminatórios, ilícitos ou abusivos.

j. Responsabilização e prestação de contas (accountability) – dever de agir e ser capaz de demonstrar, satisfatoriamente, a adoção de medidas eficazes (incluindo documentação, comunicação apropriada das políticas, procedimentos e práticas vinculadas à privacidade, treinamento e conscientização da equipe envolvida nas atividades de tratamento de dados pessoais, notificação de titulares e demais partes interessadas a respeito de violações de privacidade capazes de acarretar risco ou dano relevante aos titulares) e o cumprimento das normas de proteção de dados pessoais.

POLÍTICA GERAL DE PROTEÇÃO DE DADOS PESSOAIS
6.1. Incluem-se na política da FRISABOR:

Garantir que as atividades de tratamento sejam executadas em conformidade com leis e regulamentações de proteção de dados pessoais e de acordo com uma base legal permitida;
Assegurar o tratamento de dados pessoais lícito, não discriminatório e não abusivo;

Manter documentadas todas as políticas, procedimentos e práticas que guardem correlação com a privacidade e proteção de dados, garantindo a devida comunicação, disponibilização, treinamento e conscientização das partes interessadas;

Adotar medidas técnicas e administrativas necessárias para garantir níveis de proteção apropriados aos dados pessoais tratados;

Fornecer, previamente aos titulares, informações claras e acessíveis sobre as políticas, procedimentos e práticas adotadas no tratamento de seus dados pessoais, inclusive assinalando quais os tipos de dados pessoais processados, o objetivo do tratamento, os direitos e como contactar o FRISABOR para obter esclarecimentos mais detalhados sobre o tratamento;

Garantir ao titular a livre escolha de consentir, ou não, o tratamento de seus dados pessoais, salvo se a legislação possibilitar o processamento de dados pessoais independente desse consentimento;

Restringir a coleta de dados pessoais ao estritamente necessário às finalidades do tratamento, bem como reduzir o uso, retenção, divulgação e transferência de dados pessoais ao imprescindível às finalidades específicas, concretas e legítimas e apenas pelo tempo necessário para cumprir os objetivos informados, salvo se existir legislação estabelecendo prazo maior de retenção desses dados pessoais;

Certificar que os dados pessoais tratados sejam precisos e atualizados, excetuando-se as hipóteses previstas em lei que autorizem a manutenção de dados desatualizados;

Assegurar, aos titulares, mediante a devida autenticação de suas identidades, acesso e revisão dos seus dados pessoais, salvo se existir determinação legal em contrário;

Informar antecipadamente, ao titular, de forma clara e adequada às situações, sobre o tratamento de seus dados pessoais para uma nova finalidade ou quando ocorrerem alterações significativas no processamento desses dados;

Certificar a rastreabilidade e prestação de contas durante todo o tratamento de dados pessoais, incluindo as hipóteses de compartilhamento desses dados com terceiros;

Empregar as medidas necessárias para que as violações de dados sejam devidamente registradas, classificadas, investigadas, corrigidas e documentadas, garantindo a notificação cabível de todas as partes interessadas e observando os requisitos e prazos previstos na legislação vigente;

Responsabilizar-se pela melhoria contínua da gestão de proteção de dados pessoais por meio da fixação e revisão sistemática de objetivos de privacidade e proteção de dados pessoais em todos os níveis da organização.

COMPETÊNCIAS, RESPONSABILIDADES E PAPÉIS INSTITUCIONAIS
7.1. DIRETORIA 

7.1.1. A Diretoria é responsável pela tomada de decisões e aprovação de estratégias gerais da FRISABOR sobre proteção de dados pessoais, sendo de sua incumbência:

Disponibilizar os recursos necessários para uma efetiva gestão de proteção de dados pessoais no FRISABOR;

Assegurar que as atividades de processamento de dados pessoais sejam executadas em conformidade com a Política de Privacidade e Proteção de Dados por seus colaboradores, estagiários, prestadores de serviço, terceirizados e/ou parceiros de negócio;

Analisar e aprovar as políticas e normas relacionadas à proteção de dados pessoais.

7.2. COMITÊ GESTOR DE PROTEÇÃO DE DADOS PESSOAIS (CGPDP) 

7.2.1. O Comitê Gestor Proteção de Dados Pessoais tem a responsabilidade de manter vivo os trabalhos iniciados com o Comitê de Implementação, apoiando o Encarregado de Dados nas suas tarefas e favorecendo a propagação da cultura de proteção de dado pessoais em todos os departamentos e setores da FRISABOR. 

7.2.2. Este Comitê é composto por, pelo menos, um(a) representante da diretoria e um membro, coordenador ou sênior, das áreas de Tecnologia da Informação/Segurança da Informação, Recursos Humanos, Segurança do Trabalho. O Comitê também contará com a participação do Encarregado de Proteção de Dados/DPO a ser nomeado pela FRISABOR.

7.2.3. É responsabilidade do CGPDP:

Analisar, revisar e propor para aprovação pela Diretoria Executiva de políticas e normas relacionadas à proteção de dados pessoais;

Auxiliar na promoção e divulgação da PGPDP, inclusive organizando treinamentos para melhorar os conhecimentos técnicos e aumentar a conscientização de todos os colaboradores a respeito da proteção de dados pessoais dos titulares de dados pessoais (internos e externos); 

Auxiliar os departamentos de negócios no cumprimento de suas obrigações de proteção de dados pessoais.

7.3. ENCARREGADO(A) DE PROTEÇÃO DE DADOS PESSOAIS

7.3.1. É responsabilidade do(a) Encarregado(a) de Proteção de Dados Pessoais:

Aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

Receber comunicações da Autoridade Nacional de Proteção de Dados (ANPD) e adotar providências;

Orientar os empregados, estagiário, terceirizados, prestadores de serviço e parceiros de negócio do FRISABOR a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;

Executar as demais atribuições determinadas pelo FRISABOR ou estabelecidas em normas complementares, inclusive as que venham a ser estabelecidas pela ANPD;

Coletar subsídios para identificar as atividades de tratamento, analisar os riscos envolvidos e orientar a equipe interna sobre estes riscos (inclusive prestando aconselhamento na elaboração do Relatório de Impacto à Proteção de Dados – RIPD) e verificar se as atividades de tratamento estão em conformidade com a legislação aplicável e a PGPDP;

Prestar subsídios para a Diretoria do FRISABOR e formular sugestões das medidas necessárias para mitigar os riscos identificados nas atividades de tratamento;

Integrar o CGPDP e recomendar melhorias contínuas para o cumprimento da PGPDP;

Acompanhar a gestão de violações de dados pessoais, recomendar ações e apoiar a implantação das medidas corretivas para mitigar os riscos.

7.4. EQUIPE DE SEGURANÇA DA INFORMAÇÃO

7.4.1. O time de Segurança da Informação fica responsável por:

Revisar, periodicamente, as políticas, normas e procedimentos de Segurança da Informação a fim de que estejam em conformidade com as diretrizes estabelecidas na PGPDP;

Assegurar que todos os sistemas, serviços e equipamentos utilizados para armazenar dados pessoais atendam os padrões de segurança aceitáveis;

Efetuar investigações e varreduras regulares para assegurar que hardwares e softwares de segurança do FRISABOR estão funcionando corretamente, objetivado garantir a confidencialidade, a integridade e a disponibilidade dos dados pessoais;

Adotar as ações necessária para o tratamento de violações de segurança de dados pessoais, assegurando sua detecção, contenção, eliminação e recuperação dentro de um prazo razoável;

Auxiliar o FRISABOR (controlador) na comunicação à ANPD e ao(s) titular(es) de dados pessoais em casos de ocorrência de violação de segurança que possam acarretar risco ou dano relevante ao(s) titular(es);

Comunicar ao DPO toda e qualquer alteração, ajustes ou mudança sobre as medidas de segurança (técnicas ou administrativas).

7.5. USUÁRIOS DA INFORMAÇÃO

7.5.1. Os Usuários da Informação (cujo conceito se encontra nos “Termos e Definições” desta política) ficam responsáveis por:

Ler, conhecer e cumprir integralmente os termos da presente Política de Privacidade e Proteção de Dados-PPDP, bem como as demais normas e procedimentos de proteção de dados pessoais aplicáveis;

Informar ao CGPDP qualquer evento que viole esta Política ou possa acarretar risco à segurança das informações ou dos recursos computacionais da FRISABOR;

Assinar o “Termo de Uso dos Sistemas de Informação” da FRISABOR, confirmando o seu aceite integral às disposições da Política Geral de Segurança da Informação (PGSI), bem como das demais normas e procedimentos de segurança e proteção aos dados pessoais, comprometendo-se com o seu cumprimento;

Responder pela inobservância da PPDP, normas e procedimentos pertinentes ao tratamento de dados pessoais, conforme definido no item “sanções”.

SANÇÕES
8.1. A não observância, ainda que por mera omissão ou tentativa não consumada, desta política ou de normas e procedimentos de segurança e proteção de dados pessoais instituídos pela FRISABOR estão sujeitas a penalidades que incluem, a depender da gravidade da infração, advertência verbal, advertência por escrito, suspensão não remunerada e a rescisão contratual por justa causa.

8.2. A aplicação de sanções será realizada conforme a análise da Diretoria Executiva, juntamente com o Comitê Gestor de Proteção de Dados Pessoais, quando cabível, levando-se em consideração a gravidade da infração, a sua consequência, a recorrência e as hipóteses previstas no artigo 482 da Consolidação das Leis do Trabalho, 

8.3. No caso de terceiros contratados ou prestadores de serviço, a Diretoria deve analisar a ocorrência e deliberar sobre a efetivação das sanções e punições conforme termos contratualmente previstos.

8.4. Nas hipóteses de violações que impliquem atividades ilegais ou que possam incorrer em riscos aos titulares de dados pessoais e/ou danos à imagem da FRISABOR, o infrator será responsabilizado (civil e criminalmente) pelos prejuízos, cabendo aplicação das medidas legais pertinentes sem prejuízo dos termos descritos acima.

SITUAÇÕES NÃO TRATADAS NESTA POLÍTICA
9.1. Caberá a Diretoria Executiva avaliar os casos omissos para posterior deliberação. 

TERMOS E DEFINIÇÕES

a. Autoridade Nacional de Proteção de Dados: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da Lei Geral de Proteção de Dados Pessoais (LGPD – Lei nº 13.709/2018) em todo território nacional.

b. Comitê Gestor de Proteção de Dados Pessoais (CGPDP): equipe de trabalho multidisciplinar permanente, escolhida pela diretoria do FRISABOR, que tem por objetivo cuidar dos assuntos relacionados à proteção de dados pessoais na organização.

c. Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.

d. Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.

e. Dado Pessoal: informação relacionada a pessoa natural identificada ou identificável.

f. Dado Pessoal Sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

g. Eliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado.

h. Encarregado de Proteção de Dados Pessoais:  pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD).

i. Incidente de Segurança da Informação: evento ou conjunto de eventos indesejados ou inesperados de segurança da informação que tenha/tenham probabilidade significativa de afetar os serviços prestados e ameacem a segurança das informações.

j. Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.

k. Risco de Segurança: efeito da incerteza sobre os objetivos de segurança da informação da Instituição.

l. Segurança da Informação: a preservação das propriedades de confidencialidade, integridade e disponibilidade das informações durante todo o seu ciclo de vida na Instituição.

m. Titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento.

n. Tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

o.Usuário da Informação: empregados com vínculo empregatício de qualquer área/setor, prestadores de serviço terceirizados, alocados no FRISABOR, assim como outros indivíduos ou organizações devidamente autorizadas a utilizar qualquer ativo de informação do Instituto para o desempenho de suas atividades profissionais.

p. Violação de dados pessoais: circunstância em que os dados pessoais são tratados violando um ou mais requisitos relevantes de segurança e proteção da privacidade.

REVISÕES
11.1. A presente política é revisada com periodicidade anual ou, sempre que necessário, conforme o entendimento do Comitê Gestor de Proteção de Dados Pessoais. A última revisão deste documento ocorreu em 17 de fevereiro de 2025.

DOCUMENTOS DE REFERÊNCIA

a) Lei Geral de Proteção de Dados Pessoais (LGPD), Lei n.º 13.709, de 14 de agosto de 2018, que dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.

b) ABNT NBR ISO/IEC 27701. Menciona os requisitos e fornece as diretrizes para o estabelecimento, implementação, manutenção e melhoria contínua de um Sistema de Gestão de Privacidade da Informação (SGPI) na forma de uma extensão das NBR ISO/IEC27001 e NBR ISO/IEC27002 para a gestão da privacidade dentro do contexto da organização.

c) Termo de Uso.