Política de Segurança da Informação e Proteção de Dados

Art. 1º. A presente Política de Segurança da Informação e Proteção de Dados Pessoais tem como objetivo estabelecer diretrizes, normas e responsabilidades para assegurar a confidencialidade, integridade, disponibilidade, autenticidade e conformidade das informações tratadas pela Green Forest Projetos e Serviços Ambientais Ltda., bem como garantir o tratamento adequado de dados pessoais, em observância à Lei Geral de Proteção de Dados Pessoais – LGPD (Lei nº 13.709/2018), às orientações da Autoridade Nacional de Proteção de Dados – ANPD e às boas práticas de segurança da informação.

Art. 2º. Esta Política se aplica a todos os colaboradores, estagiários, aprendizes, prestadores de serviço, terceiros, fornecedores, consultores, parceiros comerciais, participantes de projetos e demais pessoas físicas ou jurídicas que, direta ou indiretamente, tenham acesso a dados pessoais, informações institucionais, sistemas, documentos, equipamentos ou recursos tecnológicos da Green Forest.

Art. 3º. Para fins desta Política, consideram-se ativos de informação todos os dados, documentos, relatórios técnicos, imagens, sistemas, softwares, equipamentos, senhas, credenciais, meios de armazenamento, redes de comunicação e bases de dados vinculados à empresa, incluindo dados pessoais, dados pessoais sensíveis, dados de clientes, colaboradores, terceiros, fornecedores e demais titulares.

Art. 4º. A segurança da informação deve ser garantida mediante a adoção de práticas que preservem:

• A confidencialidade, limitando o acesso à informação apenas a pessoas autorizadas e mediante necessidade comprovada.
• A integridade, assegurando que a informação não seja alterada, excluída ou manipulada de forma indevida.
• A disponibilidade, garantindo que a informação esteja acessível quando necessária à execução das atividades autorizadas.
• A autenticidade, permitindo a identificação segura de usuários, registros e operações realizadas.
• A conformidade, assegurando o atendimento à legislação aplicável, às normas internas, aos contratos firmados e às boas práticas de governança, privacidade e segurança da informação.

Art. 5º. A PSI da Green Forest observará os princípios da LGPD, especialmente finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas, devendo o tratamento de dados pessoais ocorrer apenas para propósitos legítimos, específicos, explícitos e informados ao titular, com adoção de medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas.

Art. 5º-A. O tratamento de dados pessoais deverá estar vinculado a uma base legal adequada, incluindo, quando aplicável, cumprimento de obrigação legal ou regulatória, execução de contrato, exercício regular de direitos, legítimo interesse, proteção da vida, tutela da saúde ou consentimento do titular, devendo ser mantidos registros mínimos das operações de tratamento relevantes.

Art. 5º-B. A coleta, o uso, o armazenamento, o compartilhamento, a retenção e a eliminação de dados pessoais deverão observar o princípio da minimização, mantendo-se apenas os dados necessários ao cumprimento das finalidades institucionais, contratuais, legais ou regulatórias da empresa.

Art. 6º. A Diretoria da empresa é responsável por:

• Aprovar e revisar periodicamente esta Política.
• Garantir a alocação de recursos para implementação de ações de segurança.
• Apoiar a conscientização dos colaboradores sobre segurança da informação.
• Assegurar que decisões estratégicas, contratações, projetos e novas ferramentas tecnológicas considerem requisitos de privacidade e segurança desde a concepção.
• Designar, quando aplicável, responsável interno ou encarregado pelo apoio às atividades de proteção de dados pessoais e atendimento aos titulares.

Art. 6º-A. O responsável interno ou encarregado pela proteção de dados pessoais, quando designado, deverá apoiar a empresa na orientação de colaboradores e terceiros, no recebimento e encaminhamento de solicitações de titulares, no acompanhamento de incidentes envolvendo dados pessoais e na interlocução com a Diretoria, a Assessoria Jurídica e a área de TI.

Art. 7º. O Núcleo de Tecnologia da Informação (TI) é responsável por:

• Gerenciar o controle de acesso aos sistemas e ativos digitais da empresa.
• Implementar soluções de segurança, como firewalls, antivírus, VPNs e backup automatizado.
• Monitorar e registrar logs de acesso e atividades críticas.
• Prevenir, detectar e responder a incidentes de segurança da informação.
• Atualizar regularmente os sistemas e softwares utilizados.
• Aplicar controles de acesso baseados no princípio do menor privilégio, com revisão periódica de permissões.
• Apoiar a implementação de autenticação segura, políticas de senha, criptografia, backups, registro de logs, gestão de vulnerabilidades e proteção contra softwares maliciosos.
• Revogar ou bloquear acessos imediatamente em casos de desligamento, alteração de função, término contratual ou suspeita de uso indevido.

Art. 8º. Os colaboradores são responsáveis por:

• Utilizar os sistemas, ferramentas e dados de forma ética e profissional.
• Manter sigilo sobre qualquer informação estratégica da empresa ou de clientes.
• Informar imediatamente à TI qualquer atividade suspeita, falha ou incidente de segurança.
• Não compartilhar senhas nem utilizar logins de terceiros.
• Zelar pela integridade de arquivos, equipamentos e sistemas disponibilizados.
• Tratar dados pessoais apenas quando necessário ao desempenho de suas atividades e conforme as orientações internas.
• Não coletar, armazenar, compartilhar, imprimir, fotografar ou encaminhar dados pessoais, documentos, imagens, relatórios ou informações sigilosas sem autorização e finalidade legítima.
• Comunicar imediatamente qualquer perda, acesso indevido, envio equivocado, vazamento, suspeita de fraude, phishing ou incidente envolvendo dados pessoais ou ativos de informação.

Art. 9º. É proibido:

Art. 10. Todos os documentos, dados, bases, relatórios, imagens, metodologias, registros, credenciais e informações produzidos, recebidos ou tratados durante a vigência do vínculo com a empresa são de propriedade ou responsabilidade da Green Forest, de seus clientes ou parceiros, conforme o caso, devendo ser preservados mesmo após o desligamento, término contratual ou encerramento da relação comercial.

Art. 11. O uso de redes públicas ou compartilhadas para acessar sistemas internos da Green Forest deve ocorrer, obrigatoriamente, por meio de conexão segura (VPN) e dispositivos autorizados.

Art. 11-A. O compartilhamento de informações com terceiros, fornecedores, parceiros comerciais, órgãos públicos, clientes ou consultores deverá ocorrer somente quando houver necessidade, finalidade legítima, base legal aplicável, autorização interna e, quando pertinente, previsão contratual de confidencialidade, proteção de dados, segurança da informação e responsabilidade pelo tratamento.

Art. 12. Os dados pessoais, dados pessoais sensíveis, dados técnicos e informações de clientes, colaboradores, estagiários, aprendizes, terceiros, fornecedores e parceiros somente poderão ser acessados, tratados ou compartilhados por pessoas autorizadas, exclusivamente para finalidades legítimas, específicas e compatíveis com as atividades institucionais, contratuais, legais ou regulatórias da Green Forest.

Art. 13. É vedado o armazenamento de dados pessoais, documentos de clientes, informações técnicas, imagens, contratos, relatórios ou bases de dados em dispositivos pessoais, pen drives, e-mails particulares, aplicativos de mensagem pessoais ou sistemas de nuvem não homologados pela empresa, salvo autorização formal, justificada e previamente aprovada pela Diretoria ou área responsável, observadas as diretrizes de segurança da informação, proteção de dados pessoais e o procedimento BYOD, quando aplicável.

Art. 13-A. Quando a empresa permitir, de forma habitual ou excepcional, o uso de equipamentos pessoais para atividades de trabalho, incluindo celulares, tablets, computadores, aplicativos de comunicação, WhatsApp, registros fotográficos, GPS, coleta de dados em campo ou acesso a redes, e-mails e sistemas corporativos, deverá ser adotado procedimento específico de BYOD (Bring Your Own Device, ou traga seu próprio dispositivo), com autorização formal, registro dos usuários e equipamentos autorizados, finalidade de uso, prazo de validade, responsabilidades do usuário, requisitos mínimos de segurança e possibilidade de auditoria ou revogação do acesso.

Art. 13-B. A autorização para uso de dispositivo pessoal não implica transferência de propriedade, obrigação de fornecimento ou permissão irrestrita de uso, devendo o usuário manter o equipamento protegido por senha, bloqueio automático, atualização de sistema, antivírus ou mecanismos equivalentes, separação entre arquivos pessoais e corporativos sempre que possível, proibição de compartilhamento do aparelho com terceiros para fins de acesso às informações da empresa e comunicação imediata em caso de perda, furto, roubo, dano, acesso indevido ou suspeita de comprometimento.

Art. 14. Qualquer solicitação de titular de dados, cliente, colaborador, terceiro ou representante legal relacionada a acesso, confirmação de tratamento, correção, atualização, portabilidade, anonimização, bloqueio, eliminação, revogação de consentimento ou informações sobre compartilhamento deverá ser registrada e encaminhada ao responsável interno, à Diretoria, à Assessoria Jurídica ou ao setor competente, para avaliação e resposta adequada.

Art. 14-A. A retenção de dados pessoais deverá observar prazos legais, regulatórios, contratuais ou necessários à defesa de direitos da empresa, devendo os dados ser eliminados, anonimizados ou arquivados de forma segura quando encerrada a finalidade do tratamento, salvo hipótese legal que autorize sua conservação.

Art. 14-B. O tratamento de dados pessoais sensíveis, incluindo informações de saúde, biometria, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou dados referentes à vida sexual, deverá ocorrer apenas quando indispensável, mediante base legal adequada, controle de acesso restrito, registro de finalidade e medidas reforçadas de segurança.

Art. 15. São considerados incidentes de segurança da informação e proteção de dados, entre outros: vazamento, acesso não autorizado, perda, furto ou roubo de dispositivos, envio indevido de informações, indisponibilidade de sistemas, alteração ou exclusão não autorizada de dados, phishing, malware, ransomware, uso indevido de credenciais, falhas de backup e qualquer situação acidental ou ilícita que possa comprometer dados pessoais ou ativos de informação.

Art. 16. Todos os abrangidos por esta Política devem reportar imediatamente qualquer incidente, suspeita de incidente, vulnerabilidade, perda de equipamento, acesso indevido ou tratamento irregular de dados ao setor de TI, à Diretoria, ao responsável interno ou ao canal definido pela empresa, ainda que não haja confirmação de dano.

Art. 17. A empresa manterá plano de resposta a incidentes, com definição de responsáveis, procedimentos de contenção, mitigação, investigação, preservação de evidências, avaliação de riscos aos titulares, registro documental, comunicação interna e, quando aplicável, comunicação à ANPD, aos titulares afetados, clientes, parceiros ou autoridades competentes.

Art. 17-A. A análise de incidentes deverá considerar a natureza dos dados envolvidos, a quantidade de titulares afetados, as medidas de segurança existentes, a possibilidade de dano relevante, o impacto operacional, jurídico, financeiro e reputacional, bem como as providências adotadas para contenção e prevenção de recorrência.

Art. 18. Todos os colaboradores, estagiários, aprendizes, prestadores de serviço e terceiros que tenham acesso a informações ou sistemas da Green Forest deverão receber, no início de suas atividades e periodicamente, orientações ou treinamentos sobre segurança da informação, LGPD, confidencialidade, uso adequado de sistemas, prevenção a golpes digitais, proteção de dados pessoais e resposta a incidentes.

Art. 19. O não cumprimento desta Política poderá acarretar medidas educativas, advertências, restrição de acesso, sanções administrativas, disciplinares, contratuais, civis e legais, conforme a gravidade da infração, o dano causado, a reincidência, o vínculo existente e a legislação aplicável, incluindo a LGPD, a CLT, contratos firmados e normas internas da empresa.

Art. 20. A presente Política entra em vigor na data de sua aprovação pela Diretoria da Green Forest e deverá ser revisada anualmente ou sempre que houver alteração relevante na legislação, nas orientações da ANPD, nos processos internos, nos sistemas utilizados, nos riscos identificados ou na estrutura organizacional da empresa.

Art. 21. Os casos omissos serão resolvidos pela Diretoria, com apoio da Assessoria Jurídica, do setor de TI, do responsável interno ou encarregado de proteção de dados, quando aplicável, observando-se a LGPD, as normas internas, os contratos firmados e as melhores práticas de governança, privacidade e segurança da informação.

O objetivo é garantir a continuidade das operações, a proteção de dados pessoais e a recuperação segura das informações em caso de perda de dados, falha de sistema, ataque cibernético, incidente de segurança, desastre ou indisponibilidade de recursos tecnológicos.

Backup. A frequência é diária para dados ativos, documentos críticos, bases com dados pessoais, sistemas e e-mails institucionais, e semanal para arquivos históricos, observada a criticidade da informação e os prazos de retenção aplicáveis. O local é backup criptografado em ambiente seguro, com controle de acesso, cópia remota em nuvem institucional homologada e segregação adequada para reduzir riscos de perda, indisponibilidade ou comprometimento simultâneo. O responsável é a área de TI.

Testes de restauração. Há realização trimestral de simulações de restauração de backup, com testes documentados em relatório técnico.

Plano de contingência. Em caso de falha grave ou incidente relevante, como ransomware, vazamento de dados, pane de sistema, perda de equipamento, acesso indevido ou indisponibilidade crítica, será ativado procedimento emergencial:

• Notificação da Diretoria e do Jurídico.
• Isolamento da rede afetada.
• Avaliação dos dados pessoais e informações afetadas, incluindo titulares envolvidos, sistemas impactados, riscos e medidas de contenção.
• Ativação de backup, restauração segura dos dados e verificação de integridade das informações.
• Comunicação a clientes, titulares, parceiros, ANPD ou autoridades competentes quando aplicável, após avaliação da Diretoria, Jurídico, TI e responsável interno.
• Registro completo do incidente, das evidências, das decisões tomadas, das comunicações realizadas e das medidas preventivas adotadas para evitar recorrência.