Política de Privacidade e Proteção de Dados Pessoais

The Soil Company Ltda

1. Identificação e objetivo

Esta Política estabelece como a The Soil Company trata dados pessoais, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados – LGPD).

O objetivo é garantir que todo tratamento de dados pessoais pela empresa seja lícito, transparente, seguro e limitado ao necessário para suas finalidades.

2. Abrangência e definições

Esta Política se aplica a sócios, colaboradores, estagiários, prestadores de serviço e subcontratados da empresa, e a todo dado pessoal tratado em meio físico ou digital.

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico.
• Titular: pessoa natural a quem os dados se referem.
• Controlador: quem toma as decisões sobre o tratamento.
• Operador: quem trata dados em nome do controlador.
• Encarregado (DPO): pessoa indicada como canal de comunicação entre a empresa, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD).
• Incidente de segurança: evento que comprometa a confidencialidade, integridade ou disponibilidade de dados pessoais.

3. Papéis da empresa no tratamento

A empresa atua como controladora dos dados de sua própria gestão e como operadora dos dados recebidos de clientes contratantes.

• Como controladora: dados de colaboradores, sócios, fornecedores, contatos comerciais e usuários de seus canais.
• Como operadora: dados fornecidos por clientes, como o Itaú Unibanco S.A. e demais Empresas Itaú, para a prestação de serviços de consultoria técnica e emissão de laudos, inclusive por meio de plataforma própria em modelo white label.

Na condição de operadora, a empresa:

1. Trata os dados exclusivamente para executar o objeto do contrato e conforme as instruções do cliente.
2. Não reproduz, compartilha ou utiliza os dados para outras finalidades sem autorização prévia e por escrito do cliente.
3. Mantém os dados do cliente segregados dos dados próprios e dos demais clientes, com controles de acesso separados.
4. Armazena e processa os dados, inclusive backups, apenas nos territórios autorizados pelo cliente.
5. Ao término do contrato ou quando solicitado, devolve os dados ao cliente e elimina as cópias, comprovando a eliminação quando requerido.
6. Não subcontrata o tratamento sem autorização prévia do cliente e exige dos subcontratados as mesmas obrigações desta Política.

4. Dados tratados, finalidades e bases legais

A empresa coleta apenas os dados necessários para cada finalidade e não trata dados pessoais sensíveis no curso normal de suas atividades.

Qualquer nova finalidade é avaliada antes do início do tratamento e registrada no mapeamento de dados da empresa.

5. Compartilhamento e armazenamento

A empresa não vende nem cede dados pessoais. O compartilhamento ocorre apenas quando necessário à finalidade, a obrigação legal ou por ordem de autoridade competente.

• Prestadores de tecnologia: hospedagem, e-mail e ferramentas de trabalho, contratados com cláusulas de confidencialidade e proteção de dados.
• Contabilidade e assessoria jurídica: para cumprimento de obrigações legais e fiscais.
• Autoridades públicas: quando exigido por lei ou decisão judicial.

Local de armazenamento: os dados são armazenados no Google, em servidores localizados nos Estados Unidos. Dados de clientes como o Itaú são armazenados somente nos territórios autorizados pelo cliente. Havendo transferência internacional, ela observa os arts. 33 a 36 da LGPD.

6. Segurança da informação

A empresa adota medidas técnicas e administrativas para proteger os dados contra acessos não autorizados, perda, alteração ou divulgação indevida, conforme o art. 46 da LGPD.

• Acesso aos dados restrito aos profissionais que precisam deles para o trabalho, com usuário individual e senha.
• Autenticação em dois fatores nos sistemas e e-mails corporativos.
• Comunicação com a plataforma por conexão criptografada (HTTPS).
• Backups diários e protegidos.
• Revogação imediata de acessos no desligamento de colaboradores ou fim de contratos.
• Termo de confidencialidade assinado por colaboradores e prestadores com acesso a dados.
• Atualização regular de sistemas, antivírus e correções de segurança.
• Registro de acessos (logs) na plataforma.

As práticas seguem como referência padrões de mercado, como a ISO/IEC 27001, na medida compatível com o porte da empresa.

7. Retenção e eliminação

Os dados são mantidos apenas pelo tempo necessário à finalidade ou ao cumprimento de obrigações legais, e eliminados de forma segura em seguida.

• Dados de clientes contratantes: pelo prazo do contrato; ao término, devolvidos e eliminados conforme instrução do cliente.
• Dados trabalhistas e fiscais: pelos prazos exigidos pela legislação.
• Contatos comerciais: até o pedido de exclusão do titular ou o fim do relacionamento.

A eliminação abrange cópias e backups, e documentos físicos são descartados de forma que impeça sua leitura.

8. Direitos dos titulares e atendimento

O titular pode exercer os direitos do art. 18 da LGPD pelo canal do Encarregado (seção 10), com resposta em até 15 dias.

Direitos garantidos: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários; portabilidade; informação sobre compartilhamentos; revogação do consentimento, quando for a base legal.

Procedimento de atendimento:

1. O pedido é recebido pelo e-mail do Encarregado e registrado com data.
2. A identidade do solicitante é confirmada antes de qualquer resposta.
3. Se o pedido envolver dados tratados em nome de um cliente (como o Itaú), o cliente é comunicado em até 2 dias úteis e a resposta segue as orientações dele.
4. A resposta é enviada ao titular em até 15 dias, e o atendimento fica registrado.

9. Resposta a incidentes de segurança

Todo incidente com dados pessoais é comunicado ao Encarregado imediatamente e tratado conforme as etapas abaixo.

1. Contenção: isolar o problema, bloquear acessos indevidos e preservar evidências.
2. Avaliação: identificar quais dados e titulares foram afetados e o risco envolvido.
3. Comunicação ao cliente: se envolver dados de cliente contratante (como o Itaú), comunicar o cliente imediatamente, sem aguardar a conclusão da apuração.
4. Comunicação à ANPD e aos titulares: quando houver risco ou dano relevante, no prazo da Resolução CD/ANPD nº 15/2024, observadas as regras para agentes de pequeno porte.
5. Correção e registro: aplicar as correções, registrar o incidente e as medidas adotadas, e revisar controles para evitar repetição.

10. Encarregado pelo tratamento de dados (DPO)

A empresa nomeia como Encarregado Leonardo Souza Martins de Pontes, Coordenador Geral, contato: leonardo.pontes@thesoilcompany.com.br.

Compete ao Encarregado:

• Receber reclamações e pedidos de titulares e dar resposta.
• Receber comunicações da ANPD e adotar as providências.
• Orientar colaboradores e prestadores sobre as práticas de proteção de dados.
• Coordenar a resposta a incidentes e a comunicação com clientes contratantes.
• Manter atualizado o mapeamento das operações de tratamento.

11. Treinamento, revisão e vigência

Esta Política entra em vigor na data de sua aprovação e é revisada pelo menos uma vez por ano ou quando houver mudança relevante na legislação ou nas atividades da empresa.

• Todos os colaboradores e prestadores com acesso a dados pessoais recebem esta Política e assinam termo de ciência.
• A empresa realiza treinamento sobre LGPD e segurança da informação na admissão e anualmente, com registro de participação.
• O descumprimento desta Política sujeita o responsável às medidas disciplinares e contratuais cabíveis.

Aprovada em Londrina/PR por Carlos Eduardo de Castro Almeida (Representante legal) e Leonardo Souza Martins de Pontes (Encarregado pelo tratamento de dados).