Política de Privacidad y Gobernanza

4.1. Dirección Ejecutiva

La Dirección Ejecutiva es responsable de garantizar que Economatica disponga de recursos, políticas y controles adecuados para el cumplimiento de la LGPD y demás normas relacionadas con la protección de datos y la seguridad de la información.

Corresponde a la Dirección Ejecutiva:

• Aprobar esta Política y demás documentos de gobernanza de datos
• Asegurar que el tratamiento de datos personales se realice de acuerdo con los principios legales y éticos de la empresa
• Garantizar el apoyo institucional y los recursos necesarios al Encargado de Protección de Datos (DPO)
• Deliberar sobre incidentes de seguridad relevantes y las medidas correctivas asociadas
• Promover la cultura de protección de datos y privacidad en todos los niveles de la organización

4.2. Comité de Ética / Comité de Privacidad y Protección de Datos ("Comité")

El Comité de Ética es un órgano consultivo y multidisciplinario responsable de apoyar a la Dirección y al DPO en las decisiones relacionadas con la privacidad y la gobernanza de datos.

Atribuciones del Comité:

• Apoyar la implementación y el monitoreo del programa de privacidad y protección de datos
• Analizar situaciones de riesgo alto o crítico relacionadas con el tratamiento de datos personales
• Acompañar y revisar, cuando sea necesario, informes de impacto (DPIA) y evaluaciones de interés legítimo (LIA)
• Apoyar al DPO en la respuesta a incidentes y en la interlocución con la ANPD
• Promover acciones de comunicación, capacitación y concientización sobre buenas prácticas de ética, privacidad y compliance

4.3. Encargado de Protección de Datos (DPO)

El Encargado de Protección de Datos (Data Protection Officer - DPO) es el profesional designado por Economatica para actuar como canal de comunicación entre la empresa, los titulares de los datos y la ANPD.

Atribuciones del DPO:

• Supervisar y coordinar el programa de privacidad y protección de datos de Economatica
• Implementar y revisar controles, procesos y políticas de tratamiento de datos personales
• Garantizar fundamentos legales adecuados para la recopilación y el tratamiento
• Recibir, registrar y responder las solicitudes de los titulares, conforme a los plazos de la LGPD
• Apoyar la actualización del RoPA y la ejecución de DPIA y LIA cuando corresponda
• Apoyar a la Dirección y al Comité en incidentes y comunicaciones a la ANPD
• Promover capacitaciones y campañas internas
• Mantenerse actualizado en cuanto a legislación, reglamentos y buenas prácticas

4.4. Área de Seguridad de la Información

El área de Seguridad de la Información es responsable de implementar y mantener prácticas de protección tecnológica y operativa de los datos personales tratados por Economatica.

Corresponde al área de Seguridad de la Información:

• Desarrollar y revisar políticas, controles y procedimientos de seguridad
• Monitorear y mitigar riesgos de confidencialidad, integridad y disponibilidad
• Apoyar al DPO en la investigación y gestión de incidentes
• Garantizar accesos controlados y auditables
• Promover buenas prácticas y orientar a los colaboradores sobre el uso seguro

4.5. Gerentes de Área

Cada Gerente de Área (Productos, Tecnología, Comercial, Soporte, Especialistas y demás áreas) es responsable de asegurar el cumplimiento de esta Política y de las directrices de privacidad y seguridad en el ámbito de su actuación.

Corresponde a los Gerentes de Área:

• Garantizar un tratamiento ético y en conformidad con la LGPD y esta Política
• Mantener actualizados el RoPA y los plazos de retención
• Comunicar al DPO los nuevos procesos que involucren datos personales antes de su inicio
• Apoyar la elaboración de DPIA/LIA cuando corresponda
• Reportar inmediatamente incidentes o solicitudes de los titulares

4.6. Colaboradores

Todos los colaboradores y prestadores de servicios de Economatica tienen el deber de proteger los datos personales bajo su responsabilidad y de actuar de acuerdo con los principios de esta Política y de la legislación vigente.

Corresponde a cada colaborador:

• Tratar datos personales solo para finalidades legítimas y autorizadas
• Velar por la confidencialidad de la información a la que accede
• Seguir las orientaciones del DPO y de los Gerentes de Área
• Comunicar inmediatamente incidentes, uso indebido o sospecha de violación
• Participar en capacitaciones y campañas de concientización

5.1. Categorías de Datos Recopilados

Economatica trata datos personales y empresariales exclusivamente para fines legítimos, vinculados a la prestación de sus servicios, la relación comercial, las obligaciones legales y la seguridad de la información.

La recopilación de datos personales es limitada y ocurre principalmente en contextos corporativos (B2B), involucrando datos de contacto profesional de representantes de clientes, proveedores y socios comerciales. Además, pueden tratarse datos técnicos de uso de las plataformas y datos empresariales necesarios para la ejecución de los contratos.

Cookies y telemetría: Economatica puede utilizar cookies, SDK y herramientas de telemetría para registrar eventos técnicos (ej.: rendimiento, errores, autenticación, seguridad) y mejorar la experiencia en las plataformas. El uso se limita a finalidades estrictamente necesarias, de seguridad y de mejora del servicio.

Menores de edad: Las plataformas y servicios de Economatica no están destinados al público infantil. La empresa no realiza la recopilación intencional de datos de niños y adolescentes.

5.2. Finalidades y Bases Legales para el Tratamiento

Los datos tratados se utilizan para finalidades legítimas, relacionadas con la actividad empresarial. Las operaciones de tratamiento se fundamentan en las bases legales de la LGPD, siendo predominantes:

• Ejecución de contrato (art. 7, V, LGPD): prestación de servicios, soporte técnico, facturación, cobranza y relación comercial
• Cumplimiento de obligación legal o regulatoria (art. 7, II, LGPD): exigencias fiscales, laborales, de seguridad social y regulatorias
• Interés legítimo (art. 7, IX, LGPD): seguridad de la información, mantenimiento de registros, mejora de servicios y comunicación B2B
• Consentimiento (art. 7, I, LGPD): cuando el tratamiento no se encuadre en los supuestos anteriores o involucre comunicaciones opcionales

Ejemplos de finalidades de tratamiento:

• Gestión y ejecución de contratos de prestación de servicios
• Registro y atención de clientes, proveedores y socios comerciales
• Soporte técnico, mantenimiento y monitoreo de las plataformas
• Cumplimiento de obligaciones fiscales, contables y regulatorias
• Control de accesos, logs y registros de seguridad
• Comunicación institucional y relación con clientes corporativos
• Selección y administración de colaboradores y prestadores de servicios

5.3. Requisitos y Principios de Gobernanza en el Tratamiento de Datos

Economatica observa los principios de la LGPD y adopta prácticas proporcionales a su tamaño y a la naturaleza de sus actividades:

• Finalidad: solo para propósitos legítimos, específicos y previamente informados
• Adecuación: compatible con las finalidades informadas y el contexto de la recopilación
• Necesidad: solo se recopilan y tratan los datos estrictamente necesarios
• Transparencia: los titulares son informados sobre el tratamiento y sus derechos
• Seguridad: medidas técnicas y administrativas para la protección contra accesos no autorizados, pérdidas o alteraciones
• Prevención: prácticas para evitar incidentes y minimizar riesgos
• Responsabilización y Rendición de Cuentas: colaboradores y gerentes velan por el cumplimiento de las políticas y la legislación

Además, es deseable que:

• Cada área mantenga actualizado su Registro de Actividades de Tratamiento (RoPA)
• Se elaboren DPIA y LIA siempre que exista un riesgo elevado para el titular o un tratamiento basado en el interés legítimo
• El tratamiento sea documentado y revisado periódicamente por el DPO y por la Dirección Ejecutiva

Economatica realiza esfuerzos razonables para garantizar la exactitud y la actualización de los datos. Siempre que se identifique una desactualización, el titular o el cliente corporativo deberá comunicar las correcciones al DPO/área de relacionamiento.

Cualquier nuevo producto, funcionalidad o cambio relevante de proceso que involucre datos personales debe ser evaluado previamente por el DPO (y por el gerente del área), con la actualización del RoPA y, cuando corresponda, la realización de LIA/DPIA.

5.4. Tratamiento de Datos por Cuenta de Terceros (Economatica como Encargada del Tratamiento)

Cuando actúe como Encargada del Tratamiento de Datos, realizando tratamiento en nombre de clientes o socios institucionales, Economatica seguirá estrictamente las instrucciones del Responsable del Tratamiento, conforme a los contratos vigentes y a la LGPD.

En estas situaciones:

• El tratamiento se limita a las finalidades definidas por el Responsable del Tratamiento
• Se observan las mismas medidas de seguridad y confidencialidad adoptadas internamente
• Se prohíbe el uso de los datos para cualquier propósito propio de Economatica
• Los incidentes de seguridad se comunican al Responsable del Tratamiento y al DPO inmediatamente

6.1. Uso Compartido de Datos

Economatica podrá compartir datos personales y empresariales con terceros solo cuando exista una base legal y una finalidad legítima, asegurando un tratamiento bajo los mismos estándares de seguridad y confidencialidad adoptados internamente.

El uso compartido podrá darse:

• Con proveedores y socios técnicos (operación, alojamiento, soporte, infraestructura y mantenimiento)
• Con autoridades gubernamentales y regulatorias cuando lo exija la ley (ej.: CVM, BACEN, Receita Federal y ANPD)
• Con firmas de abogados o de contabilidad, o consultores externos (ejercicio regular de derechos, auditorías y obligaciones legales)
• En operaciones comerciales o societarias específicas, con garantías contractuales adecuadas
• Con clientes institucionales, cuando Economatica actúe como Encargada del Tratamiento, obedeciendo las instrucciones del Responsable del Tratamiento

Economatica no comercializa datos personales y adopta cláusulas contractuales y debida diligencia para asegurar que los terceros observen los estándares éticos y legales.

Subencargados: Cuando los terceros contratados involucren subencargados, estos deberán cumplir las mismas obligaciones de seguridad, confidencialidad, retención y descarte previstas en esta Política y en el contrato, permaneciendo Economatica responsable de la supervisión.

6.2. Transferencia Internacional de Datos

Economatica podrá realizar transferencias internacionales de datos, especialmente cuando utilice servicios de almacenamiento en la nube o herramientas de proveedores extranjeros (por ejemplo, alojamiento y seguridad).

Estas transferencias ocurrirán solamente cuando:

• El país de destino ofrezca un nivel de protección compatible con la LGPD, o
• Existan cláusulas contractuales específicas, garantías adicionales o consentimiento del titular, conforme lo exija la legislación

Economatica exige a proveedores y socios internacionales salvaguardas contractuales que aseguren la protección adecuada de los datos transferidos.

6.3. Derechos de los Titulares de los Datos

Respetamos y garantizamos a los titulares de datos personales el ejercicio de los derechos previstos en la LGPD. Los titulares pueden, en cualquier momento y mediante solicitud al DPO, ejercer los siguientes derechos:

Canal y plazo de respuesta: Las solicitudes deben enviarse al Encargado de Protección de Datos (DPO) al correo electrónico incidente@economatica.com.br. Economatica confirmará la recepción de inmediato y responderá en un plazo de hasta 15 (quince) días calendario, pudiendo solicitar información adicional para la verificación de identidad.

7.1. Seguridad de la Información

Economatica adopta medidas técnicas y administrativas proporcionales a su tamaño y complejidad para proteger los datos personales y empresariales contra accesos no autorizados, pérdidas, alteraciones o divulgaciones indebidas.

Principales prácticas y controles:

• Infraestructura segura, con servidores dedicados y proveedores de nube certificados (ISO 27001, SOC 2)
• Cifrado en tránsito (SSL/TLS) y, cuando corresponda, en reposo
• Control de acceso individualizado, autenticación por usuario y logs
• Backups automáticos diarios en entornos redundantes
• Monitoreo continuo de integridad y disponibilidad
• Actualizaciones y correcciones de seguridad periódicas
• Gestión de permisos y revisiones periódicas de acceso
• Capacitaciones internas sobre seguridad, phishing y buenas prácticas digitales

Los colaboradores y prestadores de servicios tienen responsabilidad directa sobre la protección de la información y deben seguir las orientaciones del DPO y del área de Tecnología de la Información en cuanto al uso seguro de sistemas, dispositivos y contraseñas.

7.2. Procedimiento en Caso de Incidentes de Seguridad

Economatica mantiene un Procedimiento de Respuesta a Incidentes, con etapas para casos de violación real o presunta de datos personales, empresariales o de sistemas.

En cualquier situación (ej.: acceso no autorizado, pérdida, filtración o eliminación accidental), el colaborador o prestador debe notificar inmediatamente al DPO por el canal oficial.

Etapas del protocolo interno:

• Identificación y contención: evaluación inicial, aislamiento del origen y prevención de la propagación
• Análisis y registro: investigación de causas, impacto, categorías de datos afectados y medidas correctivas
• Comunicación: notificación a la Dirección y, si corresponde, a la ANPD y a los titulares, según el riesgo y los requisitos legales
• Corrección y mitigación: acciones correctivas y prevención de recurrencia
• Documentación y aprendizaje: registro detallado, lecciones aprendidas y mejoras en los controles

El incumplimiento de las orientaciones de seguridad o la omisión en la comunicación de incidentes podrá dar lugar a medidas disciplinarias, según la gravedad.

8.1. Retención de los Datos

Esta sección define directrices internas para la retención, el almacenamiento y el descarte seguro de datos personales y empresariales, conforme a las buenas prácticas de gobernanza y protección de datos adoptadas por Economatica.

Los datos deben conservarse solo durante el tiempo necesario para las finalidades para las que fueron recopilados, o durante el plazo exigido por obligaciones legales, regulatorias o contractuales.

La retención podrá ocurrir:

• Mientras dure la relación contractual con clientes, proveedores o socios comerciales
• Mientras el acceso a la plataforma esté activo
• Durante el plazo de prescripción para la defensa de derechos (art. 205 del Código Civil, hasta 10 años)
• Por los plazos legales y fiscales (ej.: documentos contables y tributarios, 5 años)
• En formato anonimizado, cuando la eliminación total no sea técnicamente posible o exista interés legítimo en datos estadísticos/históricos

Los datos personales de colaboradores y candidatos siguen los plazos legales laborales, de seguridad social y de custodia documental definidos por la legislación.

8.2. Plazos de Retención por Categoría de Datos

8.3. Descarte y Eliminación de Datos

Finalizado el plazo de retención aplicable, los datos deben ser eliminados o anonimizados de forma segura, conforme a estándares técnicos que impidan su reconstrucción o reidentificación.

Orientaciones:

• La eliminación es realizada por el área de Tecnología de la Información, bajo la supervisión del DPO
• Los sistemas, las bases de datos y los backups deben incluirse en el proceso
• Cuando corresponda, los datos serán anonimizados, preservando información estadística o agregada
• Los documentos físicos deben ser triturados y descartados adecuadamente
• Las operaciones de descarte deben registrarse (fecha, responsable y tipo de dato eliminado)

8.4. Datos Compartidos con Terceros

Los terceros y encargados del tratamiento que tratan datos en nombre de Economatica deben seguir las mismas reglas de retención y descarte descritas en esta Política, formalizadas mediante cláusulas contractuales específicas.

Garantías contractuales típicas:

• Eliminación o devolución de los datos al término del contrato
• Comprobación del descarte seguro, cuando se solicite
• Confidencialidad y no utilización para otras finalidades

8.5. Revisión Periódica

El DPO, con el apoyo de la Dirección Ejecutiva, realizará una revisión anual de los plazos de retención y de los procedimientos de descarte, para mantener la alineación con las exigencias legales y con la realidad operativa de la empresa.

9.1. Canal de Privacidad e Incidentes

Para dudas sobre el tratamiento de datos personales, el ejercicio de los derechos de los titulares o la comunicación de incidentes de seguridad, el contacto oficial con el DPO debe realizarse por correo electrónico: incidente@economatica.com.br.

9.2. Modificaciones y Vigencia

Esta Política entra en vigor en la fecha de su aprobación por la Dirección Ejecutiva y podrá ser actualizada en cualquier momento, mediante la publicación de la nueva versión. Economatica mantendrá visible en el documento la fecha de la última actualización y comunicará los cambios relevantes cuando sea necesario.

9.3. Prevalencia Contractual

En caso de conflicto entre esta Política y términos contractuales específicos celebrados con clientes o socios comerciales, prevalecerán los términos contractuales, siempre que sean compatibles con la LGPD y demás normas aplicables.

9.4. Cumplimiento y Consecuencias

El incumplimiento de esta Política podrá sujetar al infractor a medidas disciplinarias y demás medidas legales y contractuales que correspondan.

9.5. Revisión Periódica

La Política será revisada al menos anualmente (o siempre que haya un cambio normativo relevante), bajo la coordinación del DPO, con la aprobación de la Dirección Ejecutiva.