Resolução Consun nº 15/2025

RESOLUÇÃO Nº 15/CONSUN/2025

Aprova o encaminhamento da matéria "Política de Privacidade e Proteção de Dados da Fundeste e suas mantidas" para deliberação junto à Fundeste.

O Presidente do Conselho Universitário da Universidade Comunitária da Região de Chapecó (Unochapecó), Prof. Claudio Alcides Jacoski, no uso de suas atribuições estatutárias, RESOLVE:

Art. 1º Aprovar o encaminhamento da matéria "Política de Privacidade e Proteção de Dados da Fundeste e suas mantidas" para deliberação junto à Fundeste, nos termos do parecer nº 032/C.GESTOR/2025, ata nº 002/CONSUN/2025 e documento em anexo.

Art. 2º Esta Resolução entra em vigor na data de sua publicação.

Publique-se.

Chapecó - SC, 30 de maio de 2025.

ANEXO RESOLUÇÃO Nº 015/CONSUN/2025 DE 30 DE MAIO DE 2025

POLÍTICA DE PRIVACIDADE E PROTEÇÃO DE DADOS DA FUNDESTE E SUAS MANTIDAS

1. DISPOSIÇÕES GERAIS

1.1 Esta Política Interna de Proteção de Dados Pessoais estabelece princípios, diretrizes e regras para as operações de tratamento de dados pessoais realizadas no âmbito da Fundação Universitária do Desenvolvimento do Oeste - Fundeste, pessoa jurídica de direito privado, inscrita no CNPJ sob nº 82.804.642/0001-08, estabelecida na Servidão Anjo da Guarda, 295-D, bairro Efapi, no município de Chapecó, estado de Santa Catarina, abrangendo suas mantidas Universidade Comunitária da Região de Chapecó - Unochapecó, instituição de educação superior, credenciada pela Portaria MEC nº 1.327, de 12 de julho de 2019, publicada no Diário Oficial da União - DOU nº 135, de 16 de julho de 2019,

Seção 1, página 21 retificada pela Nota Técnica nº 114 /2020/CGCIES/DIREG/SERES/MEC, de 24 de setembro de 2020 Instituto Goio-En, pessoa jurídica de direito privado, inscrita no CNPJ nº 82.804.642/0002-99, com sede na Estrada Nossa Senhora das Graças, S/N, Interior, Águas de Chapecó/SC, CEP 89.883-000 e Colégio Unochapecó, pessoa jurídica de direito privado, inscrita no CNPJ nº 82.804.642/0006-12, com sede na Servidão Anjo da Guarda, nº 295-D, Efapi, Chapecó/SC, CEP 89.809-503.

1.2 As disposições desta Política Interna de Proteção de Dados Pessoais aplicam-se a todos os empregados, estagiários, aprendizes, monitores, técnicos administrativos, professores e terceirizados que mantenham relação institucional com a Fundeste.

1.3 São objetivos desta Política:

a) assegurar e reforçar o cumprimento da legislação de proteção de dados pessoais e da sua respectiva regulamentação nos processos internos da Fundeste e suas mantidas;

b) promover a transparência, responsabilização e prestação de contas em relação ao tratamento de dados pessoais realizado pela Fundeste e suas mantidas; e

c) incentivar a adoção de boas práticas de proteção de dados pessoais na Fundeste e suas mantidas.

2. DEFINIÇÕES

2.1 Para facilitar a compreensão desta Política e de outros documentos relacionados à proteção de dados, apresentam-se algumas definições: TERMO DEFINIÇÃO

Dado Pessoal É toda e qualquer informação relacionada a uma pessoa natural capaz de identificá-la ou tornar possível a sua identificação, ainda que de maneira indireta. São exemplos de dados pessoais: Nome, CPF, telefone celular, e-mail, endereço, etc.

Dado Pessoal Sensível Dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

Agentes de tratamento Pessoa natural ou jurídica, de direito público ou privado, que realiza atividade de tratamento de dados não excepcionada pela LGPD. A depender da forma como se relaciona com os dados, o agente de tratamento pode ser considerado controlador ou operador.

Controlador É o agente de tratamento que define as "regras do jogo" do tratamento de dados, a quem competem as decisões referentes ao tratamento de dados pessoais. É quem decide como, por que, por quanto tempo, com quem compartilha e para que utilizar os dados pessoais.

Operador É o agente de tratamento que executa determinada(s) atividade(s) de tratamento de dados, conforme determinação do controlador.

Tratamento Qualquer atividade realizada com Dados Pessoais, em meio físico ou digital, pode ser considerada como tratamento, como por exemplo: a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração, etc.

Titular de Dados É toda pessoa natural a quem os Dados Pessoais se referem.

Encarregado Pessoa física ou jurídica (interna ou externa) indicada pelo controlador e operador para, dentre outras funções, atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).

Base Legal Bases legais são hipóteses que autorizam o tratamento dos dados pessoais. Estão indicadas nos artigos 7º, 11 e 14 da LGPD.

Autoridade Nacional de Proteção de Dados (ANPD) Autarquia federal de natureza especial responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional.

Finalidade Propósito do tratamento; para que os dados pessoais são tratados. As finalidades devem ser legítimas, específicas, explícitas e informadas ao titular de dados.

Anonimização Utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo.

Bloqueio Suspensão temporária de qualquer operação de tratamento, mediante guarda do dado pessoal ou do banco de dados.

Eliminação Exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado.

Transferência internacional de dados Transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro.

Uso compartilhado de dados Comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados.

Lei Geral de Proteção de Dados Pessoais (LGPD) Lei Federal nº 13.709 /08, denominada como Lei Geral de Proteção de Dados Pessoais (LGPD), que regulamenta no Brasil o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural. Pode ser acessada na íntegra por meio do seguinte link: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/113709.htm

3. RESPONSABILIDADES E ATRIBUIÇÕES

Todos os profissionais que trabalham na Fundeste desempenham um papel central na concretização da proteção de dados, detendo a responsabilidade de garantir o tratamento adequado dos dados pessoais a que tiverem acesso, nos termos da legislação aplicável em vigor e desta Política. Desta forma, cada um deve, no desempenho de suas atividades funcionais, realizar o tratamento adequado dos dados pessoais, participar das ações educativas fomentadas pela Fundeste e submeter-se aos mecanismos internos de supervisão e de mitigação de riscos implementados.

3.1 Encarregado(a) ou Data Protection Officer

O(a) Encarregado(a) de Proteção de Dados (DPO) atua como intermediário entre a Fundeste e suas mantidas, as autoridades reguladoras e os titulares dos dados, sendo responsável por receber e tratar reclamações, fornecer informações e orientar colaboradores sobre proteção de dados.

O(a) Encarregado(a) também é responsável por supervisionar e monitorar, de forma imparcial e independente, o programa de governança em privacidade e proteção de dados da Fundeste, bem como garantir que a Fundeste e suas mantidas estejam em conformidade com a LGPD e demais normativas aplicáveis. As atribuições mínimas estão previstas no artigo 41 da LGPD, abrangendo, além dessas obrigações, quaisquer outras funções definidas pela Fundeste e estabelecidas na Portaria de nomeação.

Além disso, o(a) Encarregado(a) de Proteção de Dados da Fundeste, a ser designado por Portaria específica, deverá atuar com ética, integridade e autonomia, reportando-se diretamente à gestão, a fim de assegurar uma condução imparcial na identificação e mitigação dos riscos à privacidade.

3.2 Comitê de Privacidade e Proteção de Dados Pessoais

Para garantir que o(a) Encarregado(a)/DPO tenha os recursos necessários ao desempenho de suas funções, a Fundeste institui o Comitê de Privacidade e Proteção de Dados Pessoais. Esse Comitê auxiliará na implementação e sustentação do programa de governança em privacidade, promovendo a cultura de proteção de dados e contribuindo para decisões estratégicas.

O Comitê de Privacidade e Proteção de Dados Pessoais será composto por representantes nomeados por Portaria específica, de forma multidisciplinar, assegurando a adequada interlocução do tema na Fundeste.

3.3 Demais responsáveis (Gerências, Diretorias, Setores, etc)

São responsáveis pelo uso das informações em conformidade com os processos de prevenção, monitoramento, resposta a incidentes e remediação, garantindo a segurança da informação e a privacidade dos dados pessoais tratados pela Fundeste. Todas essas áreas atuam em conjunto com o(a) Encarregado(a) e o Comitê para assegurar a conformidade com a LGPD e demais normas aplicáveis.

3.4 Responsabilidades e critérios de atualização do Registro das Operações de Tratamento de Dados Pessoais e do Aviso de Privacidade e Proteção de Dados

O Registro das Operações de Tratamento de Dados Pessoais (RoPA) é uma ferramenta essencial para a gestão de riscos e prestação de contas à autoridade supervisora. Ele serve de base para o Aviso de Privacidade e Proteção de Dados, garantindo transparência aos titulares, conforme exigido pela LGPD.

O(A) Encarregado(a) é responsável por gerenciar e revisar esses documentos periodicamente, caso uma atividade de tratamento represente alto risco aos direitos dos titulares, ou ocorra a publicação de novas diretrizes pela ANPD, além de aprová-los sempre que necessário. Cada setor deve atualizar suas informações no RoPA e informar qualquer mudança relevante ao(à) Encarregado(a).

Sempre que houver modificações no RoPA, os Avisos de Privacidade deverão ser atualizados e divulgados de forma acessível, notificando os titulares das mudanças pelo meio mais eficaz.

4. DO TRATAMENTO DE DADOS

4.1 A Fundeste e suas mantidas realizam o tratamento de dados pessoais em conformidade com a LGPD, garantindo a guarda e o compartilhamento apenas nos casos permitidos por lei. Qualquer uso para finalidades não relacionadas aos serviços prestados ou administrativos depende de consentimento formal do titular ou seu representante legal.

4.2 O tratamento de dados segue rigorosamente esta Política de Proteção de Dados, observando princípios legais e boas práticas, como:

a) Realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;

b) Compatibilidade do tratamento com as finalidades informadas ao titular no Aviso de Privacidade e Proteção de Dados e, ainda, nos termos de consentimento - quando esta for a base legal aplicável, de acordo com o contexto do tratamento;

c) Limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados. A Fundeste deve coletar a menor quantidade de dados pessoais possível. Se os dados pessoais forem coletados de terceiros, a Encarregada deve garantir que os dados pessoais são coletados legalmente;

d) Adoção de mecanismos para garantia da exatidão, completude, relevância e atualização dos dados dos titulares, incluindo, mas não se limitando, à realização de procedimento anual de atualização de dados pessoais cadastrais;

e) Garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos de negócio e respeitados os direitos de terceiros;

f) Tratamento com a confidencialidade necessária e a utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão,

considerando a estrutura, a escala e o volume das operações da Fundeste, bem como à sensibilidade dos dados tratados; e

g) Adoção de medidas capazes de prevenir a ocorrência de danos em virtude do tratamento de dados pessoais, aplicando-se, inclusive e sempre que possível, técnicas de anonimização ou pseudonimização dos dados pessoais, para reduzir os riscos aos titulares de dados.

4.3 Em nenhuma hipótese poderá ocorrer:

a) Tratamento de dados pessoais para fins discriminatórios ilícitos ou abusivos;

b) Armazenamento de dados pessoais por período de tempo maior do que o necessário para o cumprimento da finalidade para a qual os dados foram coletados;

c) Transferência de dados pessoais para organismos internacionais ou países que não possuam um grau de proteção de dados pessoais adequado, salvo naqueles casos dispostos no artigo 33, inciso II, da LGPD;

d) Tratamento inconsistente com as informações contidas no RoPA ou no Aviso de Privacidade e Proteção de Dados;

e) Falta de transparência em geral, uma vez que deve ser garantido ao titular de dados a prestação de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento;

f) Tratamento de má-fé;

g) Vazamento de dados pessoais ou tratamento sem a confidencialidade necessária;

h) Desrespeito às medidas técnicas e administrativas de segurança da informação previstas nas políticas da Fundeste, em leis ou regulamentos, tais como, mas não se limitando ao compartilhamento não autorizado de dados pessoais com terceiros por qualquer meio ou forma, divulgação ou compartilhamento de credenciais ou senhas de acesso a sistemas e bancos de dados, realização de cópias físicas ou digitais não autorizadas que contenham dados pessoais, destruição de dados pessoais fora dos prazos de retenção estabelecidos em política específica, alteração, comunicação ou difusão de dados pessoais em desacordo com as políticas da Fundeste, desvio de finalidade no uso de dados pessoais, dentre outras situações que podem caracterizar um incidente de segurança envolvendo dados pessoais.

4.2 Os colaboradores devem sempre garantir a legitimidade do tratamento e baseá-lo em uma hipótese legal adequada, conforme abaixo:

a) Consentimento do titular de dados pessoais, recebido por escrito ou por outro meio que demonstre a manifestação de vontade do titular;

b) Cumprimento de obrigação legal ou regulatória;

c) Execução de contrato ou procedimentos preliminares relacionados a contrato do qual seja parte o titular;

d) Exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei de Arbitragem;

e) Proteção da vida ou da incolumidade física do titular de dados pessoais ou de terceiros;

f) Tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;

g) Realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;

h) Atendimento do interesse legítimo do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; e/ou

i) Proteção do crédito.

4.3 Se a atividade de tratamento envolver dados pessoais sensíveis, ou seja, dados pessoais sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural, o colaborador deverá se assegurar de que, além do cumprimento dos princípios da LGPD, conta com base legal apropriada que autoriza o tratamento de referidos dados sensíveis, conforme as hipóteses contidas na lei brasileira.

4.4 Na hipótese de ocorrer o tratamento de dados de crianças, como por exemplo, em processos de concessão de bolsas, pesquisas acadêmicas, cumprimento de obrigações legais e no tratamento de dados de alunos adolescentes da Unochapecó e do Colégio Unochapecó, a instituição seguirá a LGPD, o ECA e outras normas pertinentes, sempre visando o interesse do menor.

4.5 Além disso, em atividades de extensão, serviços clínicos e atendimento comunitário, dados de crianças, adolescentes, idosos e pessoas com deficiência podem ser tratados, garantindo inclusão e acesso facilitado às informações e direitos, conforme a legislação aplicável.

5. RETENÇÃO DOS DADOS PESSOAIS

5.1 A Fundeste possui um Manual de Gestão Arquivística que, juntamente com a Política de Guarda e Descarte de Dados Pessoais, estabelece procedimentos, prazos de retenção, formas de armazenamento e descarte seguro de documentos, inclusive aqueles que contém dados pessoais. Sendo assim, todos deverão realizar as atividades necessárias para garantir o cumprimento destas políticas.

6. COMPARTILHAMENTO E TRANSFERÊNCIA INTERNACIONAL DE DADOS

6.1 Para cumprir suas finalidades, a Fundeste e suas mantidas podem compartilhar dados de forma legítima com órgãos públicos e agentes privados, seguindo os procedimentos estabelecidos na Política de Gestão de Riscos de Terceiros.

6.2 Como controladora de dados, a Fundeste e suas mantidas possuem responsabilidade solidária com fornecedores que realizam o tratamento de dados pessoais. Desta forma, deve garantir que terceiros, sejam controladores conjuntos ou operadores, sigam as instruções fornecidas e cumpram as normas de proteção de dados, especialmente a LGPD.

6.3 As atividades que podem envolver a transferência internacional de dados, como no caso de fornecedores de tecnologia, prestadores de serviços e instituições parceiras no exterior devem submeter-se à legislação local aplicável.

6.4 Antes de qualquer compartilhamento ou transferência internacional, é essencial consultar o(a) encarregado(a) para garantir a conformidade com o artigo 33 da LGPD. Além disso, todas as medidas e salvaguardas necessárias devem ser adotadas para mitigar riscos e proteger os dados pessoais.

7. SEGURANÇA DA INFORMAÇÃO

7.1 A proteção dos dados pessoais tratados pela Fundeste e suas mantidas deve ser garantida por meio de medidas de segurança da informação, tanto técnicas quanto administrativas, que devem ser seguidas por todos.

7.2 É responsabilidade de cada colaborador assegurar a proteção dos dados contra ameaças internas e externas, prevenindo incidentes e adotando as diretrizes estabelecidas nas políticas institucionais:

a) Política de Segurança da Informação; e

b) Regulamento da Utilização da Rede de Tecnologia da Informação da Unochapecó;

7.3 O cumprimento dessas diretrizes é essencial para garantir a integridade, a confidencialidade e a disponibilidade dos dados pessoais, minimizando riscos e assegurando a conformidade com as normas de proteção de dados.

7.4 A adesão às políticas institucionais reforça o compromisso da Fundeste com a segurança da informação e a privacidade dos titulares de dados.

8. REPORTE DE SUSPEITAS DE VIOLAÇÃO DESTA POLÍTICA E INCIDENTES COM VIOLAÇÃO DE DADOS PESSOAIS

8.1 Todos os colaboradores da Fundeste devem relatar imediatamente qualquer suspeita de violação desta Política, incluindo incidentes que comprometam a segurança dos dados pessoais, como destruição, perda, alteração, divulgação não autorizada ou acesso indevido.

8.2 Caso um colaborador identifique ou suspeite de uma violação, deve notificar o(a) Encarregado(a)/DPO pelo e-mail lgpd@unochapeco.edu.br, conforme as diretrizes do Plano de Resposta a Incidentes com Violação de Dados Pessoais. A notificação deve conter, no mínimo:

a) Nome e departamento do colaborador;

b) Local do incidente (ex.: SAP, e-mail, arquivo físico);

c) Forma como foi descoberto;

d) Data e horário do incidente;

e) Outras informações relevantes identificadas.

8.3 A comunicação rápida e precisa de incidentes é essencial para minimizar impactos e garantir a adoção das medidas corretivas adequadas. O compromisso com a segurança dos dados pessoais reforça a responsabilidade da Fundeste na proteção das informações e no cumprimento das normas de privacidade e segurança.

9. DIREITOS DOS TITULARES

9.1 Como controladora de dados, a Fundeste assegura aos titulares o exercício dos direitos previstos na LGPD, incluindo:

a) Confirmação do tratamento e acesso aos dados pessoais, conforme o art. 19 da LGPD;

b) Correção de dados incompletos, inexatos ou desatualizados;

c) Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a legislação;

d) Portabilidade dos dados pessoais, para o titular ou para terceiro;

e) Eliminação de dados tratados com consentimento, salvo obrigação legal de retenção;

f) Informação sobre entidades públicas ou privadas com as quais os dados foram compartilhados;

g) Esclarecimento sobre a opção de não fornecer consentimento e suas consequências;

h) Revogação do consentimento, nos termos do

§ 5º do art. 8º. da LGPD;

i) Explicação a respeito dos critérios e dos procedimentos utilizados para a tomada de decisão automatizada;

j) Revisão de decisões automatizadas que impactem interesses do titular;

k) Oposição ao tratamento de dados em casos de descumprimento da LGPD;

l) Peticionamento à Autoridade Nacional de Proteção de Dados (ANPD) em caso de tratamento irregular.

9.2 Os direitos podem ser exercidos pelos canais de comunicação da Fundeste, disponíveis no site da Unochapecó.

9.3 A resposta a essas solicitações é de competência exclusiva do(a) Encarregado(a)/DPO. Caso um colaborador receba indevidamente uma requisição, deve encaminhá-la imediatamente para lgpd@unochapeco.edu.br, pois alguns direitos podem ter restrições legais.

10. COMPROMISSO COM A TRANSPARÊNCIA PERANTE OS TITULARES

10.1 Além das regras de tratamento de dados pessoais, a Fundeste tem o compromisso com a ética e a transparência na relação com os titulares dos dados.

10.2 Para cada atividade de tratamento, aplicam-se os seguintes avisos:

a) Alunos, clientes, parceiros de negócios, fornecedores, visitantes e terceiros: Aviso de Privacidade e Proteção de Dados;

b) Candidatos a vagas de emprego e interessados: Aviso de Privacidade e Proteção de Dados para Candidatos;

c) Colaboradores: Aviso de Privacidade e Proteção de Dados para Colaboradores; 10.3 Esses avisos fornecem informações claras e acessíveis sobre:

a) Finalidade específica do tratamento;

b) Forma e duração do tratamento,

considerando segredos de negócio;

c) Ponto de contato da Fundeste e suas mantidas;

d) Possível compartilhamento de dados, com respectivas finalidades e responsabilidades;

e) Direitos dos titulares de dados pessoais.

10.4 A relação dos documentos de proteção de dados e privacidade está disponível no site www.unochapeco.edu.br/lgpd

11. MEDIDAS DISCIPLINARES

11.1 Todos os colaboradores da Fundeste e suas mantidas são responsáveis por garantir que a coleta, o armazenamento e o tratamento de dados pessoais sejam realizados de forma adequada. Nenhum colaborador está autorizado a adotar políticas, procedimentos ou regras que contrariem esta Política sem a aprovação do(a) Encarregado(a)/DPO.

11.2 Esta Política é complementada por documentos, diretrizes e fluxos específicos sobre o tratamento de dados pessoais na Fundeste, devendo ser integralmente observada.

11.3 O descumprimento das disposições aqui previstas pode resultar em medidas disciplinares, na forma prevista nos ordenamentos jurídicos da Fundeste e/ou suas mantidas, além de possíveis ações judiciais contra o infrator.

12. DISPOSIÇÕES TRANSITÓRIAS E FINAIS

12.1 A Fundeste reserva-se o direito a modificar esta Política de Privacidade a qualquer tempo.

12.2 Esta Política entra em vigor na data de sua assinatura, revogando-se as disposições em contrário.

Chapecó, maio de 2025.

Atos que alteram, regulamentam ou revogam esta Resolução Consun:

Nenhum Ato.

Atos que são alterados, regulamentados ou revogados por esta Resolução Consun:

Nenhum Ato.