1. Objetivo

Esta Prática estabelece as diretrizes, os princípios e as responsabilidades que orientam o tratamento de dados pessoais pela MONTCALM, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais, LGPD), com a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD) e com as melhores práticas de governança em privacidade.

O objetivo é assegurar que todo dado pessoal sob responsabilidade da MONTCALM seja tratado de forma lícita, transparente, segura e limitada ao necessário, protegendo os titulares e reduzindo riscos jurídicos, regulatórios, contratuais e reputacionais.

2. Abrangência

Aplica-se a todos os administradores, empregados, estagiários, aprendizes e prestadores de serviço da MONTCALM, em todas as unidades, escritórios, canteiros de obras e frentes de trabalho, bem como a qualquer terceiro que trate dados pessoais em nome da MONTCALM, na condição de operador.

Abrange todo tratamento de dados pessoais realizado em meio físico ou digital, incluindo sistemas corporativos, correio eletrônico, aplicativos de mensagens usados a serviço da MONTCALM, planilhas, arquivos e documentos em papel.

3. Referências normativas

• Lei nº 13.709/2018 (LGPD) e suas alterações.
• Lei nº 12.965/2014 (Marco Civil da Internet) e Decreto nº 8.771/2016.
• Resolução CD/ANPD nº 15/2024 (Regulamento de Comunicação de Incidente de Segurança).
• Resolução CD/ANPD nº 19/2024 (Regulamento de Transferências Internacionais de Dados).
• Resolução CD/ANPD nº 18/2024 (atuação do Encarregado pelo Tratamento de Dados Pessoais).
• Práticas internas de Segurança da Informação, Código de Conduta e Programa de Integridade da MONTCALM.

4. Definições essenciais

• Dado pessoal: qualquer informação relacionada a pessoa natural identificada ou identificável, como nome, CPF, e-mail, imagem, geolocalização e registros de acesso.
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião Prática, saúde, vida sexual, dado genético ou biométrico. Exige proteção reforçada.
• Tratamento: toda operação com dados pessoais, como coleta, uso, acesso, armazenamento, compartilhamento e eliminação.
• Controlador: quem decide sobre as finalidades e os meios do tratamento. Em regra, a MONTCALM atua como controladora.
• Operador: quem trata dados em nome do controlador, como fornecedores de sistemas, folha de pagamento e medicina ocupacional.
• Encarregado: pessoa indicada para atuar como canal entre a MONTCALM, os titulares e a ANPD (DPO).

5. Princípios

Todo tratamento de dados pessoais na MONTCALM deve observar, cumulativamente, os princípios do art. 6 da LGPD: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas.

Na prática, isso significa três regras de bolso obrigatórias: só coletar o dado que a atividade realmente exige, só usar o dado para a finalidade informada e só manter o dado pelo tempo necessário.

6. Titulares, dados e finalidades

A MONTCALM trata dados pessoais das seguintes categorias de titulares, para as finalidades indicadas a seguir, de forma exemplificativa. O detalhamento completo consta do Registro das Operações de Tratamento (ROPA), mantido pelo Encarregado.

Categoria de titular	Exemplos de dados tratados	Finalidades principais
Empregados e ex-empregados	Dados cadastrais, documentos, dados bancários, dados de saúde ocupacional, biometria de ponto, imagens de CFTV, dados de dependentes	Gestão do contrato de trabalho, folha, benefícios, saúde e segurança do trabalho, cumprimento de obrigações legais e regulatórias
Candidatos	Currículo, dados de contato, histórico profissional e acadêmico, resultados de avaliações	Processos de recrutamento e seleção e formação de banco de talentos
Clientes, fornecedores e parceiros (contatos)	Nome, cargo, e-mail e telefone corporativos, dados constantes de contratos e propostas	Negociação, celebração e execução de contratos, gestão contratual, faturamento, compliance e due diligence de integridade
Terceiros e prestadores alocados em obras	Dados de identificação, ASO e integração de segurança, certificações, controle de acesso	Controle de acesso a canteiros e unidades, segurança do trabalho, exigências contratuais de clientes
Visitantes	Nome, documento de identificação, imagens de CFTV, registros de acesso	Segurança patrimonial e controle de acesso às instalações

7. Bases legais

Nenhum tratamento pode ocorrer sem enquadramento prévio em uma das hipóteses legais dos arts. 7 e 11 da LGPD. O consentimento não é a regra: na maior parte das operações da MONTCALM, as bases adequadas são a obrigação legal, a execução de contrato e o legítimo interesse.

Base legal (art. 7 e art. 11 da LGPD)	Aplicação típica na MONTCALM
Cumprimento de obrigação legal ou regulatória	Obrigações trabalhistas, previdenciárias, fiscais, eSocial, normas regulamentadoras de saúde e segurança do trabalho
Execução de contrato ou de procedimentos preliminares	Gestão da relação de emprego, contratos com clientes e fornecedores, propostas comerciais
Legítimo interesse	Segurança patrimonial, CFTV, prevenção a fraudes, gestão administrativa interna, comunicação institucional, sempre precedido de teste de legítimo interesse documentado
Exercício regular de direitos	Defesa em processos judiciais, administrativos e arbitrais, gestão de claims e disputas contratuais
Proteção da vida e tutela da saúde	Atendimentos de emergência, medicina ocupacional, gestão de acidentes de trabalho
Consentimento	Hipóteses residuais em que nenhuma outra base se aplica, como uso de imagem em materiais institucionais, sempre de forma destacada, específica e revogável

8. Dados pessoais sensíveis

Dados sensíveis, em especial dados de saúde ocupacional e biometria, somente podem ser tratados nas hipóteses do art. 11 da LGPD, com acesso restrito aos profissionais estritamente necessários, controles de segurança reforçados e vedação absoluta de uso para finalidade discriminatória.

9. Compartilhamento de dados

O compartilhamento de dados pessoais com terceiros somente é permitido quando houver base legal, finalidade legítima e, no caso de operadores, contrato escrito com cláusulas de proteção de dados que estabeleçam, no mínimo: limitação de finalidade, confidencialidade, medidas de segurança, dever de comunicação de incidentes, regras de subcontratação e obrigações de devolução ou eliminação ao término do contrato.

É vedada a venda de dados pessoais e qualquer compartilhamento para finalidade estranha à relação que justificou a coleta.

10. Transferência internacional

A transferência de dados pessoais para fora do Brasil, inclusive por meio de sistemas em nuvem hospedados no exterior, somente pode ocorrer nas hipóteses do art. 33 da LGPD e conforme a Resolução CD/ANPD nº 19/2024, preferencialmente mediante cláusulas contratuais padrão aprovadas pela ANPD ou destino com nível adequado de proteção reconhecido. Novas contratações de sistemas com hospedagem no exterior devem ser previamente avaliadas pelo Encarregado.

11. Direitos dos titulares

Todo titular pode exercer, gratuitamente, os direitos do art. 18 da LGPD, entre eles: confirmação da existência de tratamento, acesso aos dados, correção, anonimização ou eliminação de dados desnecessários, portabilidade, informação sobre compartilhamentos, revogação do consentimento e revisão de decisões automatizadas.

Canal de atendimento: as solicitações devem ser dirigidas ao Encarregado pelo e-mail: privacidade@montcalm.com.br.

A MONTCALM responderá em até 15 dias, prorrogáveis mediante justificativa, após verificação da identidade do solicitante.

Nenhuma área pode responder diretamente a uma solicitação de titular ou a um ofício da ANPD sem prévia orientação do Encarregado.

12. Retenção e descarte

Os dados pessoais devem ser mantidos apenas pelo período necessário ao cumprimento da finalidade, observados os prazos legais de guarda, em especial trabalhistas, previdenciários e fiscais, e os prazos prescricionais para o exercício regular de direitos. Encerrados os prazos, os dados devem ser eliminados de forma segura ou anonimizados, conforme a Tabela de Temporalidade anexa ao ROPA.

13. Segurança da informação

A MONTCALM adota medidas técnicas e administrativas proporcionais ao risco, incluindo controle de acesso por perfil e necessidade de conhecimento, criptografia e proteção de credenciais, gestão de dispositivos, trilhas de auditoria, cópias de segurança e descarte seguro de mídias e documentos físicos, conforme a Prática de Segurança da Informação.

É proibido armazenar dados pessoais de titulares em contas, dispositivos ou aplicativos particulares, bem como extrair bases de dados corporativas sem autorização formal.

14. Gestão de incidentes de segurança

Incidente de segurança é qualquer evento que comprometa a confidencialidade, a integridade ou a disponibilidade de dados pessoais, como vazamento, acesso indevido, perda de equipamento ou ataque cibernético.

• Todo colaborador que identificar ou suspeitar de um incidente deve comunicá-lo imediatamente ao Encarregado, sem juízo prévio de gravidade.
• O Encarregado conduzirá a avaliação de risco e, quando o incidente puder acarretar risco ou dano relevante aos titulares, comunicará a ANPD e os titulares no prazo de 3 dias úteis, conforme a Resolução CD/ANPD nº 15/2024.
• Todos os incidentes, comunicáveis ou não, devem ser registrados internamente com a análise que fundamentou a decisão.

15. Encarregado pelo tratamento de dados (DPO)

O Encarregado é formalmente designado por ato da Diretoria, com identidade e contato divulgados de forma clara no site da MONTCALM.

16. Papéis e responsabilidades

• Diretoria Executiva: aprova esta Prática, provê recursos e patrocina o programa de privacidade.
• Encarregado (DPO): orienta, monitora, mantém a documentação de conformidade e responde por titulares e ANPD.
• Gestores de área: mapeiam seus tratamentos, aplicam esta Prática em seus processos e submetem novos usos de dados à avaliação prévia do Encarregado.
• Tecnologia da Informação: implementa os controles técnicos e apoia a resposta a incidentes.
• Todos os colaboradores: tratam dados pessoais somente conforme esta Prática e reportam incidentes e situações de dúvida.

17. Treinamento e conscientização

Todos os colaboradores devem concluir treinamento em privacidade e proteção de dados na integração e em ciclos periódicos de reciclagem, com conteúdo reforçado para áreas de maior exposição.

18. Violações e medidas disciplinares

O descumprimento desta Prática sujeita o infrator às medidas disciplinares cabíveis, de advertência a rescisão por justa causa, sem prejuízo da responsabilização civil e criminal e, no caso de terceiros, das sanções contratuais aplicáveis.

19. Gestão desta Prática

Esta Prática entra em vigor na data de sua aprovação, revoga disposições internas em contrário e será revisada a cada 2 anos ou sempre que houver alteração legislativa, regulatória ou organizacional relevante. A gestão do documento é de responsabilidade do Encarregado, com aprovação da Diretoria Executiva.