Modelo de política de proteção de dados pessoais em Word (download grátis)

Modelo de política de proteção de dados pessoais em Word (download grátis)

Uma política de proteção de dados pessoais é o documento em que a empresa explica, com as próprias palavras, quais informações das pessoas coleta, para que as usa, quem pode consultá-las, por quanto tempo as mantém e como alguém pode pedir que sejam corrigidas ou retiradas. Ela responde a uma pergunta muito simples: quando uma pessoa entrega um dado à empresa, o que acontece com esse dado depois?

O modelo que você pode baixar nesta página é um arquivo de Word com a estrutura completa dessa política: tabela de controle do documento, objetivo, alcance, definições, princípios, finalidades, direitos do titular, canal para exercê-los, medidas de segurança, encarregados e terceiros, vigência e assinaturas. Chega como um rascunho organizado que você adapta à sua operação; não é um texto para assinar sem ler nem para copiar de outra empresa e trocar o nome.

Ele é usado sobretudo em dois momentos. O primeiro, quando a empresa organiza as suas informações: currículos, contratos, dados de contato de clientes e fornecedores, registros de acesso, listas de preços e de pessoal. O segundo, quando alguém pergunta o que é feito com os seus dados e não existe resposta por escrito. Nos dois casos, o sensato é ter a política aprovada antes de precisar dela, e não redigi-la às pressas enquanto o prazo corre.

Foi pensado para pequenas e médias empresas, depósitos, distribuidoras e áreas de estoque onde circulam dados de funcionários, clientes e fornecedores sem que ninguém tenha definido regras comuns. Também serve a quem precisa responder por essas informações em uma auditoria interna ou para um cliente que exige o documento como requisito de cadastro.

O que a política cobre e o que ela não cobre

A política cobre as regras de fundo: quais informações são coletadas, com que finalidade, quem pode acessá-las, como são protegidas, por quanto tempo são mantidas e como é atendido quem pede a correção ou a retirada dos seus dados. É um documento de referência, por isso não entra no detalhe operacional de cada área.

Não cobre a operação diária, que fica em documentos separados: como as permissões são atribuídas por perfil no sistema, como são feitos os backups, o que é conferido quando alguém sai da empresa e o que se faz diante de um incidente. Também não substitui os avisos entregues a cada pessoa quando os seus dados são coletados para uma finalidade específica, nem os acordos com terceiros que tratam informações em nome da empresa.

E não substitui o seu assessor. A política estabelece compromissos que a empresa precisa conseguir cumprir; se prometer mais do que faz, o documento se torna um problema em vez de uma proteção. Vale redigi-la junto de quem conhece as obrigações aplicáveis e revisá-la sempre que a operação mudar.

Para que serve

• Deixa por escrito quais informações são coletadas e para quê, de modo que ninguém precise responder de memória quando um cliente ou um funcionário pergunta.
• Define quem pode ver cada dado e a partir de qual perfil, o que reduz o acesso informal a listas de clientes, preços, fornecedores e folha de pagamento.
• Estabelece um canal único para a pessoa pedir para conhecer, atualizar, corrigir ou retirar as suas informações, com um responsável identificado e um prazo definido.
• Fixa regras de conservação e eliminação, para que a empresa não guarde informações para sempre por hábito ou por medo de apagar.
• Serve de apoio em auditorias internas, revisões de clientes e processos de cadastro de fornecedores que pedem comprovação documental.
• Dá um marco comum quando entra pessoal novo: a política é entregue e explicada, em vez de cada um improvisar conforme o turno.

O que o modelo inclui

Estas são as seções reais do arquivo, na ordem em que aparecem. A coluna da direita resume o que se escreve em cada uma.

Como preencher, passo a passo

1. Substitua o nome da empresa no cabeçalho e no rodapé, ajuste o código [PD-___] conforme a numeração usada pela sua empresa e apague as notas de instrução do arquivo.
2. Escreva o objetivo em duas ou três linhas: o que é protegido e para quê. Se não couber em três linhas, o objetivo está mal formulado.
3. Delimite o alcance com nomes próprios: unidades, áreas, processos e bases de informação incluídos. O que não for nomeado fica fora da política.
4. Revise a lista de finalidades e apague as que não se aplicam. Se a empresa não faz marketing com dados de clientes, essa finalidade não deve ficar escrita.
5. Ajuste os princípios com exemplos da sua operação: o que significa necessidade quando alguém pede um documento a mais, e o que significa finalidade quando alguém quer reaproveitar uma base para outro fim.
6. Defina o canal de atendimento e o responsável: um e-mail ou formulário visível, com o cargo de quem responde, e não o nome de uma pessoa que pode sair amanhã.
7. Escreva os prazos de conservação e de resposta com valores que a empresa consiga cumprir de verdade; na dúvida, deixe o campo editável e verifique com o seu assessor.
8. Marque na lista de medidas de segurança quais já existem e quais ficam pendentes com data, e descreva como os acessos são concedidos e retirados.
9. Assine, versione e comunique: registre a versão aprovada, publique-a onde o pessoal a encontre e guarde o registro de quem a recebeu.

Os direitos do titular, sem jargão

A parte que gera mais dúvidas é a dos direitos. Esta tabela resume o que cada um significa no dia a dia de um depósito ou de um escritório:

Erros frequentes antes de aprovar

• Copiar a política de outra empresa e deixar o nome da outra: acontece mais do que parece e desqualifica o documento inteiro.
• Listar finalidades que a empresa não executa. Cada finalidade escrita é um compromisso que depois precisa ser explicado.
• Prometer medidas de segurança que não existem, como base de dados criptografada ou backups diários que ninguém configurou.
• Definir um canal de atendimento que na prática ninguém acompanha, ou indicar como responsável uma pessoa que muda a cada trimestre.
• Não deixar rastro da autorização: a política descreve o direito, mas não há evidência de como a permissão foi concedida.
• Deixar o documento sem assinatura, sem versão e sem data, de modo que ninguém sabe se é o vigente ou um rascunho antigo.

Quando vale a pena passar a um sistema

A política diz o que deve acontecer com os dados; o sistema é o que faz isso acontecer sem depender da memória. Enquanto a operação é pequena, com poucas bases e acessos contados, a política em Word e uma pasta organizada podem bastar. O problema aparece quando crescem os usuários, as unidades e os movimentos: as permissões se replicam demais, as listas são exportadas sem controle e ninguém sabe ao certo quem consultou o quê.

Nesse ponto vale ter permissões por perfil, histórico de alterações e registros que mostrem quem fez cada movimento e quando. Uma ferramenta como Kardex Tauro ajuda justamente nessa parte: deixa rastro de movimentos e usuários em vez de depender de planilhas soltas. Ela não substitui a política, mas a torna verificável, e essa é a diferença entre um documento que vai para o arquivo e um documento que se cumpre.

Este modelo é uma orientação geral, não é assessoria jurídica

O modelo é um documento de uso interno, escrito para ajudar a organizar as informações e deixar regras por escrito. Não é assessoria jurídica e não substitui a revisão de um profissional: os compromissos assumidos pela empresa devem corresponder à sua operação real e ao que ela consegue cumprir.

Antes de aprovar e divulgar, revise-o com o seu assessor, ajuste os campos editáveis ao seu caso e confirme os prazos, os canais de atendimento e as medidas de segurança com quem lida com essas informações todos os dias. Uma política que a empresa não consegue cumprir é pior do que não ter política nenhuma.