Modelo de política de proteção de dados pessoais em Word

Modelo de política de proteção de dados pessoais em Word

Uma política de proteção de dados pessoais é o documento em que a empresa explica, com as próprias palavras, quais informações das pessoas coleta, para que as usa, quem pode consultá-las, por quanto tempo as mantém e como alguém pode pedir que sejam corrigidas ou retiradas. Ela responde a uma pergunta muito simples: quando uma pessoa entrega um dado à empresa, o que acontece com esse dado depois?

O modelo que você pode baixar nesta página é um arquivo de Word com a estrutura completa dessa política: tabela de controle do documento, objetivo, alcance, definições, princípios, finalidades, direitos do titular, canal para exercê-los, medidas de segurança, encarregados e terceiros, vigência e assinaturas. Chega como um rascunho organizado que você adapta à sua operação; não é um texto para assinar sem ler nem para copiar de outra empresa e trocar o nome.

Ele é usado sobretudo em dois momentos. O primeiro, quando a empresa organiza as suas informações: currículos, contratos, dados de contato de clientes e fornecedores, registros de acesso, listas de preços e de pessoal. O segundo, quando alguém pergunta o que é feito com os seus dados e não existe resposta por escrito. Nos dois casos, o sensato é ter a política aprovada antes de precisar dela, e não redigi-la às pressas enquanto o prazo corre.

Foi pensado para pequenas e médias empresas, depósitos, distribuidoras e áreas de estoque onde circulam dados de funcionários, clientes e fornecedores sem que ninguém tenha definido regras comuns. Também serve a quem precisa responder por essas informações em uma auditoria interna ou para um cliente que exige o documento como requisito de cadastro.

O que a política cobre e o que ela não cobre

A política cobre as regras de fundo: quais informações são coletadas, com que finalidade, quem pode acessá-las, como são protegidas, por quanto tempo são mantidas e como é atendido quem pede a correção ou a retirada dos seus dados. É um documento de referência, por isso não entra no detalhe operacional de cada área.

Não cobre a operação diária, que fica em documentos separados: como as permissões são atribuídas por perfil no sistema, como são feitos os backups, o que é conferido quando alguém sai da empresa e o que se faz diante de um incidente. Também não substitui os avisos entregues a cada pessoa quando os seus dados são coletados para uma finalidade específica, nem os acordos com terceiros que tratam informações em nome da empresa.

E não substitui o seu assessor. A política estabelece compromissos que a empresa precisa conseguir cumprir; se prometer mais do que faz, o documento se torna um problema em vez de uma proteção. Vale redigi-la junto de quem conhece as obrigações aplicáveis e revisá-la sempre que a operação mudar.

Para que serve

• Deixa por escrito quais informações são coletadas e para quê, de modo que ninguém precise responder de memória quando um cliente ou um funcionário pergunta.
• Define quem pode ver cada dado e a partir de qual perfil, o que reduz o acesso informal a listas de clientes, preços, fornecedores e folha de pagamento.
• Estabelece um canal único para a pessoa pedir para conhecer, atualizar, corrigir ou retirar as suas informações, com um responsável identificado e um prazo definido.
• Fixa regras de conservação e eliminação, para que a empresa não guarde informações para sempre por hábito ou por medo de apagar.
• Serve de apoio em auditorias internas, revisões de clientes e processos de cadastro de fornecedores que pedem comprovação documental.
• Dá um marco comum quando entra pessoal novo: a política é entregue e explicada, em vez de cada um improvisar conforme o turno.

O que o modelo inclui

Estas são as seções reais do arquivo, na ordem em que aparecem. A coluna da direita resume o que se escreve em cada uma.

Como preencher, passo a passo

1. Substitua o nome da empresa no cabeçalho e no rodapé, ajuste o código [PD-___] conforme a numeração usada pela sua empresa e apague as notas de instrução do arquivo.
2. Escreva o objetivo em duas ou três linhas: o que é protegido e para quê. Se não couber em três linhas, o objetivo está mal formulado.
3. Delimite o alcance com nomes próprios: unidades, áreas, processos e bases de informação incluídos. O que não for nomeado fica fora da política.
4. Revise a lista de finalidades e apague as que não se aplicam. Se a empresa não faz marketing com dados de clientes, essa finalidade não deve ficar escrita.
5. Ajuste os princípios com exemplos da sua operação: o que significa necessidade quando alguém pede um documento a mais, e o que significa finalidade quando alguém quer reaproveitar uma base para outro fim.
6. Defina o canal de atendimento e o responsável: um e-mail ou formulário visível, com o cargo de quem responde, e não o nome de uma pessoa que pode sair amanhã.
7. Escreva os prazos de conservação e de resposta com valores que a empresa consiga cumprir de verdade; na dúvida, deixe o campo editável e verifique com o seu assessor.
8. Marque na lista de medidas de segurança quais já existem e quais ficam pendentes com data, e descreva como os acessos são concedidos e retirados.
9. Assine, versione e comunique: registre a versão aprovada, publique-a onde o pessoal a encontre e guarde o registro de quem a recebeu.

Os direitos do titular, sem jargão

A parte que gera mais dúvidas é a dos direitos. Esta tabela resume o que cada um significa no dia a dia de um depósito ou de um escritório:

Erros frequentes antes de aprovar

• Copiar a política de outra empresa e deixar o nome da outra: acontece mais do que parece e desqualifica o documento inteiro.
• Listar finalidades que a empresa não executa. Cada finalidade escrita é um compromisso que depois precisa ser explicado.
• Prometer medidas de segurança que não existem, como base de dados criptografada ou backups diários que ninguém configurou.
• Definir um canal de atendimento que na prática ninguém acompanha, ou indicar como responsável uma pessoa que muda a cada trimestre.
• Não deixar rastro da autorização: a política descreve o direito, mas não há evidência de como a permissão foi concedida.
• Deixar o documento sem assinatura, sem versão e sem data, de modo que ninguém sabe se é o vigente ou um rascunho antigo.

Quando vale a pena passar a um sistema

A política diz o que deve acontecer com os dados; o sistema é o que faz isso acontecer sem depender da memória. Enquanto a operação é pequena, com poucas bases e acessos contados, a política em Word e uma pasta organizada podem bastar. O problema aparece quando crescem os usuários, as unidades e os movimentos: as permissões se replicam demais, as listas são exportadas sem controle e ninguém sabe ao certo quem consultou o quê.

Nesse ponto vale ter permissões por perfil, histórico de alterações e registros que mostrem quem fez cada movimento e quando. Uma ferramenta como Kardex Tauro ajuda justamente nessa parte: deixa rastro de movimentos e usuários em vez de depender de planilhas soltas. Ela não substitui a política, mas a torna verificável, e essa é a diferença entre um documento que vai para o arquivo e um documento que se cumpre.

Este modelo é uma orientação geral, não é assessoria jurídica

O modelo é um documento de uso interno, escrito para ajudar a organizar as informações e deixar regras por escrito. Não é assessoria jurídica e não substitui a revisão de um profissional: os compromissos assumidos pela empresa devem corresponder à sua operação real e ao que ela consegue cumprir.

Antes de aprovar e divulgar, revise-o com o seu assessor, ajuste os campos editáveis ao seu caso e confirme os prazos, os canais de atendimento e as medidas de segurança com quem lida com essas informações todos os dias. Uma política que a empresa não consegue cumprir é pior do que não ter política nenhuma.

Este modelo faz parte do índice de modelos de Word, que reúne os 90 agrupados por família.