Política de Segurança da Informação e Privacidade

Esta Política de Segurança da Informação e Privacidade é adotada pela:

R COMPANY MARKETING E VENDAS LTDA - ROYAL
CNPJ: 43.656.674/0001-51
Av. Marechal Castelo Branco, 170, Sala 14
Bairro Universitário - Lages/SC
CEP 88509-900
E-mail: financeiro@royalmarketingdigital.com
Telefone: (49) 9 9158-9508

A ROYAL adota medidas administrativas, organizacionais e técnicas destinadas a proteger as informações tratadas no exercício de suas atividades contra acessos não autorizados e contra situações acidentais ou ilícitas de destruição, perda, alteração, divulgação, indisponibilidade ou uso inadequado.

Esta Política aplica-se aos sócios, empregados, prestadores de serviços, parceiros e demais pessoas autorizadas a utilizar sistemas, contas, dispositivos ou informações sob responsabilidade da ROYAL.

As medidas adotadas consideram a natureza das informações, a finalidade do tratamento, o contexto das operações e os riscos envolvidos.

Dependendo da atividade realizada, a ROYAL poderá atuar:

• Como controladora, quando tomar decisões sobre o tratamento de dados relacionados às suas próprias atividades administrativas, comerciais, contratuais, financeiras ou institucionais; ou
• Como operadora, quando tratar dados pessoais em nome e de acordo com as instruções de seus clientes contratantes.

Quando atuar como operadora, a ROYAL tratará os dados exclusivamente para as finalidades previstas em contrato e segundo as instruções documentadas do cliente, ressalvadas as obrigações legais aplicáveis.

A ROYAL orienta suas atividades pelos princípios da finalidade, adequação, necessidade, transparência, segurança, prevenção, não discriminação e responsabilização.

Buscamos limitar a coleta, o acesso, o armazenamento e o compartilhamento de informações ao mínimo necessário para a execução dos serviços, o cumprimento de obrigações legais e contratuais e o exercício regular de direitos.

Dados pessoais sensíveis não devem ser solicitados, armazenados ou compartilhados sem necessidade, finalidade legítima e autorização adequada.

O acesso a informações, sistemas e documentos é concedido conforme a função exercida e a necessidade de cada integrante da equipe.

Entre as medidas adotadas estão:

• utilização de contas individuais e identificáveis;
• concessão de acesso segundo o princípio do menor privilégio;
• limitação de pastas, páginas, projetos e documentos a pessoas autorizadas;
• proibição do compartilhamento indevido de senhas e credenciais;
• uso de autenticação em múltiplos fatores quando disponível e tecnicamente aplicável;
• revisão e remoção de acessos quando houver alteração de função ou encerramento do vínculo;
• bloqueio ou revogação de contas corporativas em caso de desligamento;
• restrição de compartilhamento externo de arquivos e documentos.

Cada usuário é responsável por proteger suas credenciais e comunicar imediatamente qualquer suspeita de acesso indevido.

6.1. Google Workspace

A ROYAL utiliza o Google Workspace como ambiente corporativo para e-mails, documentos, arquivos, agendas, reuniões e colaboração entre integrantes autorizados da equipe.

Os documentos corporativos devem ser armazenados, sempre que aplicável, em contas institucionais administradas pela ROYAL, evitando-se o uso de contas pessoais para atividades profissionais.

Segundo a documentação oficial do Google, os dados do Google Workspace são protegidos por criptografia durante a transmissão e enquanto armazenados na infraestrutura do fornecedor, além de controles administrativos e recursos de prevenção contra ameaças.

6.2. Notion

A ROYAL utiliza o Notion para gestão de tarefas, projetos, rotinas, calendários editoriais, documentação operacional e acompanhamento de fluxos de trabalho.

Os acessos são concedidos conforme o projeto e a responsabilidade de cada profissional, podendo ser restringidos a espaços, páginas ou equipes específicas.

Informações confidenciais devem ser disponibilizadas apenas a pessoas que necessitem delas para executar suas atividades. Senhas, credenciais bancárias e informações desnecessárias para a gestão dos projetos não devem ser registradas em páginas abertas ou compartilhadas amplamente.

De acordo com a documentação oficial do Notion, os dados são protegidos com criptografia AES-256 em repouso e TLS 1.2 ou superior durante a transmissão.

Sempre que tecnicamente aplicável, a ROYAL utiliza serviços que empregam conexões seguras e mecanismos de criptografia para proteger dados durante sua transmissão e armazenamento.

Informações confidenciais não devem ser enviadas por canais públicos, contas pessoais, links abertos ou meios que não ofereçam controle adequado de acesso.

Quando houver compartilhamento externo de documentos, devem ser utilizados recursos como restrição por usuário, exigência de autenticação, prazo de validade do acesso ou revogação posterior, quando disponíveis.

A adoção de criptografia reduz riscos de exposição, mas não elimina integralmente a possibilidade de incidentes ou falhas de segurança.

Os equipamentos e sistemas utilizados nas atividades da ROYAL devem ser protegidos por medidas compatíveis com os riscos envolvidos, incluindo, conforme aplicável:

• senha ou outro mecanismo de bloqueio de tela;
• atualização periódica do sistema operacional;
• atualização de navegadores, aplicativos, extensões e ferramentas;
• instalação de correções de segurança disponibilizadas pelos fornecedores;
• utilização de proteção contra softwares maliciosos;
• proibição de instalação de programas de origem desconhecida;
• cuidado no uso de redes públicas;
• bloqueio do equipamento quando não estiver em uso;
• comunicação imediata em caso de perda, furto ou comprometimento do dispositivo.

A ROYAL busca manter seus sistemas, sites, plugins e aplicações atualizados, priorizando a correção de vulnerabilidades que possam afetar a confidencialidade, integridade ou disponibilidade das informações.

A ROYAL poderá utilizar fornecedores de tecnologia, hospedagem, comunicação, armazenamento, produtividade, pagamentos ou gestão de projetos para apoiar suas operações.

A contratação desses fornecedores considera, sempre que possível:

• reputação e confiabilidade do serviço;
• medidas de segurança oferecidas;
• controles de acesso;
• políticas de privacidade;
• termos contratuais;
• continuidade do serviço;
• possibilidade de exclusão ou devolução das informações.

O acesso concedido a fornecedores será limitado ao necessário para a prestação do serviço contratado.

Alguns fornecedores tecnológicos utilizados pela ROYAL possuem infraestrutura, empresas afiliadas ou servidores localizados em outros países.

Nessas situações, poderá ocorrer armazenamento, processamento ou transferência internacional de informações, observadas as medidas contratuais, técnicas e organizacionais aplicáveis e os requisitos da legislação brasileira de proteção de dados.

Integrantes da equipe, prestadores e parceiros que tenham acesso a informações confidenciais devem utilizá-las exclusivamente para a execução de suas atividades.

É proibido:

• acessar informações sem necessidade profissional;
• copiar bases, documentos ou arquivos para uso particular;
• encaminhar informações a pessoas não autorizadas;
• manter documentos corporativos após o encerramento do vínculo;
• utilizar informações de clientes em portfólio, cases ou apresentações sem autorização;
• compartilhar credenciais de contas, plataformas ou ferramentas.

As obrigações de confidencialidade permanecem aplicáveis mesmo após o término da relação profissional ou contratual.

As informações serão mantidas pelo período necessário para:

• execução dos serviços;
• cumprimento de contratos;
• atendimento a obrigações legais e regulatórias;
• exercício regular de direitos;
• prevenção a fraudes;
• defesa em processos administrativos, arbitrais ou judiciais.

Encerrada a finalidade e inexistindo obrigação de conservação, os dados poderão ser eliminados, anonimizados, devolvidos ao cliente ou mantidos de forma segura pelo prazo legal aplicável.

Quando a ROYAL atuar como operadora, a devolução, conservação ou exclusão dos dados observará o contrato e as instruções do cliente controlador.

A ROYAL mantém procedimento para identificação, registro, avaliação e tratamento de suspeitas ou incidentes de segurança.

O processo poderá compreender as seguintes etapas:

• recebimento e registro da ocorrência;
• análise inicial e classificação do incidente;
• contenção do acesso ou da vulnerabilidade;
• preservação de registros e evidências relevantes;
• identificação das informações e pessoas potencialmente afetadas;
• avaliação dos riscos e possíveis consequências;
• adoção de medidas corretivas e de mitigação;
• comunicação às partes responsáveis;
• acompanhamento até a normalização;
• documentação das providências e dos aprendizados.

Qualquer integrante da equipe que identificar perda de dispositivo, envio indevido, acesso suspeito, vazamento, exclusão acidental, indisponibilidade relevante, fraude ou comprometimento de conta deverá comunicar a ROYAL imediatamente.

Quando a ROYAL atuar como operadora e identificar incidente envolvendo dados tratados em nome de um cliente, comunicará o controlador sem demora injustificada, apresentando as informações disponíveis e cooperando com a investigação e a adoção de medidas de contenção.

Quando a ROYAL atuar como controladora, avaliará a natureza do incidente, as categorias e a quantidade de dados envolvidos, os titulares afetados, as medidas de proteção existentes e os possíveis riscos ou danos.

Caso o incidente possa acarretar risco ou dano relevante aos titulares, a ROYAL realizará as comunicações exigidas à Autoridade Nacional de Proteção de Dados e aos titulares afetados, observando os prazos e requisitos legais aplicáveis.

O regulamento vigente estabelece prazo de três dias úteis para a comunicação do controlador à ANPD e aos titulares nos incidentes sujeitos a notificação. Caso as informações ainda estejam incompletas, a comunicação poderá ser complementada de maneira fundamentada, conforme o procedimento regulatório. Operadores devem informar o controlador sem demora injustificada.

A comunicação aos titulares, quando necessária, deverá utilizar linguagem clara e poderá informar:

• a natureza do incidente;
• as categorias de dados afetados;
• os riscos relacionados;
• as medidas de segurança existentes;
• as providências adotadas para contenção e mitigação;
• as recomendações aos titulares;
• o canal para esclarecimentos.

A ROYAL utiliza recursos de armazenamento em nuvem, histórico de versões, recuperação de arquivos e demais funcionalidades disponibilizadas pelos fornecedores contratados para reduzir riscos de perda ou indisponibilidade.

Quando necessário, serão adotadas medidas de contingência para restabelecer acessos, substituir credenciais, recuperar documentos ou manter a continuidade das atividades essenciais.

A ROYAL orienta sua equipe sobre:

• proteção de credenciais;
• identificação de phishing e mensagens suspeitas;
• uso adequado das ferramentas corporativas;
• compartilhamento seguro de documentos;
• proteção de dados pessoais;
• confidencialidade de informações de clientes;
• comunicação de incidentes;
• cuidados no uso de ferramentas de inteligência artificial.

Informações confidenciais, dados pessoais ou documentos de clientes não devem ser inseridos em ferramentas de inteligência artificial sem autorização, necessidade profissional e verificação das condições de privacidade aplicáveis.

A segurança da informação depende da atuação conjunta da ROYAL, de sua equipe, dos clientes e dos fornecedores tecnológicos.

Nenhum sistema é totalmente imune a falhas, indisponibilidades, ataques ou ações indevidas. A ROYAL compromete-se a adotar medidas razoáveis e proporcionais aos riscos, avaliar ocorrências e aprimorar continuamente seus controles.

Dúvidas, solicitações relacionadas à privacidade ou comunicações sobre suspeitas de incidentes podem ser encaminhadas para:

E-mail: financeiro@royalmarketingdigital.com
Assunto: Privacidade e Segurança da Informação
Telefone: (49) 9 9158-9508

Para facilitar a análise, recomenda-se informar a descrição da ocorrência, a data aproximada, os sistemas ou documentos envolvidos e um meio de contato para retorno.

Esta Política poderá ser atualizada para refletir alterações legais, regulatórias, contratuais, tecnológicas ou operacionais.

A versão vigente será disponibilizada no site da ROYAL, com indicação da data de sua última atualização.