LGPD e tratamento de dados

1. Papéis: quem é controlador e quem é operador

A Lei nº 13.709/2018 distingue dois papéis. O controlador (art. 5º, VI) toma as decisões sobre o tratamento; o operador (art. 5º, VII) realiza o tratamento em nome dele.

Na relação com a Worpen, isso significa:

A consequência prática mais importante: a empresa cliente decide quais dados entram na plataforma, por quanto tempo ficam e quem tem acesso. A Worpen executa e registra.

2. Contrato de operador

O contrato de prestação de serviço inclui cláusulas de proteção de dados que atendem ao art. 39 da Lei nº 13.709/2018, prevendo, entre outros pontos:

• tratamento restrito às instruções da controladora e à finalidade do contrato;
• obrigação de confidencialidade estendida a empregados e subcontratados;
• autorização prévia para subcontratação, com lista de operadores atual e disponível;
• apoio à controladora no atendimento a pedidos de titulares e a requisições da ANPD;
• comunicação de incidente em até 24 horas do conhecimento;
• eliminação ou devolução dos dados ao término do contrato, à escolha da controladora.

A minuta pode ser solicitada antes da contratação por contato@worpen.com.br, para análise do seu jurídico.

3. Princípio da necessidade na prática

O art. 6º, III, da Lei nº 13.709/2018 exige que o tratamento se limite ao mínimo necessário. Duas decisões de produto derivam diretamente disso:

A verificação pública mostra apenas o nome. Quem confere um certificado precisa saber se aquele documento é autêntico, não quem é a pessoa. Por isso a página pública exibe nome, curso, carga horária, nota, data e situação — e nunca CPF, e-mail, telefone ou unidade.

O CPF é opcional. Ele só é solicitado quando a empresa opta por autenticação sem e-mail corporativo, cenário comum em operação de loja e de chão de fábrica. Não sendo esse o caso, o campo permanece vazio.

4. Medidas de segurança

As medidas técnicas e administrativas do art. 46 estão descritas na Política de Privacidade. Os pontos que costumam ser objeto de questionário de fornecedor:

• Isolamento por cliente. Cada empresa tem instalação e banco de dados próprios. Não existe coluna de identificação de empresa a ser filtrada em consulta — o isolamento é físico, o que elimina a classe de falha em que uma condição esquecida expõe dado de um cliente a outro.
• Registro imutável. A trilha de auditoria não possui interface de edição para nenhum perfil, inclusive administrador.
• Sem dependência de terceiros no navegador. Fontes, ícones e gráficos são servidos pela própria instalação. Nenhuma requisição sai para domínio de terceiro durante o uso, o que significa que nenhum terceiro observa a navegação dos seus colaboradores.
• Retenção configurável. Prazos de auditoria e de registro podem ser ajustados em contrato conforme a política da controladora.

5. Incidentes de segurança

Havendo incidente que possa acarretar risco ou dano relevante, a Worpen comunica a controladora em até 24 (vinte e quatro) horas do conhecimento do fato, informando: natureza do incidente, dados afetados, número aproximado de titulares, medidas adotadas e recomendações.

A comunicação à Autoridade Nacional de Proteção de Dados e aos titulares, quando cabível, é atribuição da controladora (art. 48), e a Worpen fornece o material técnico necessário.

6. Documentação para o seu jurídico

Estão disponíveis mediante solicitação:

• minuta do contrato com as cláusulas de proteção de dados;
• relação atualizada de suboperadores e respectivas finalidades;
• descrição técnica das medidas de segurança;
• informações para elaboração de relatório de impacto (RIPD) pela controladora;
• procedimento de resposta a incidente.

Pedidos por contato@worpen.com.br, com resposta em até 5 (cinco) dias úteis.

Dúvidas sobre este documento: contato@worpen.com.br. Worpen, CNPJ 00.000.000/0001-00, Av. Paulista, 1000 — conj. 100, São Paulo/SP, CEP 01310-100.