1. OBJETIVO

A presente política apresenta as diretrizes e princípios que regem o Programa de Privacidade da CM Capital Markets Brasil (CM Capital), os quais são aplicáveis a todos os Tratamentos de Dados Pessoais realizados no contexto das atividades da organização, com o objetivo de atender o disposto na Lei Geral de Proteção de Dados (Lei Federal nº 13.709/2018 – “LGPD”) e demais legislações aplicáveis aos temas de privacidade e proteção de Dados Pessoais.

2. ESCOPO DE APLICAÇÃO

A presente Política de Privacidade e Proteção de Dados Pessoais (“Política”) deve ser observada por todos os Colaboradores que possuam vínculo com a CM Capital, incluindo, mas não se limitando a empregados, administradores, estagiários, jovens aprendizes e terceirizados.

3. DEFINIÇÕES

a) Agentes de Tratamento: Controlador e Operador;

b) ANPD – Autoridade Nacional de Proteção de Dados: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional;

c) Compartilhamento: toda e qualquer forma de comunicação, divulgação, transferência, envio, recebimento e interconexão de Dados Pessoais, inclusive de bancos de dados, com terceiros;

d) Colaborador: todos os empregados e terceiros que, independentemente do modelo de contratação, atuam em nome da CM Capital;

e) Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem compete as decisões referentes ao Tratamento de Dados Pessoais.

f) Dado Pessoal: qualquer informação relativa a uma pessoa natural que possa ser identificada, direta ou indiretamente, independente do meio em que estiver armazenada, como nome, número de documento, dados de localização, identificadores por via eletrônica, data de nascimento, dados financeiros, endereço, telefone etc.

g) Dado Pessoal Sensível: Dado Pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, bem como dado referente à saúde ou à vida sexual, dado genético ou biométrico

h) Encarregado (Data Protection Officer – “DPO”): responsável na CM Capital por atuar como canal de comunicação com a Autoridade Nacional de Proteção de Dados (“ANPD”) e com os Titulares;

i) Incidente de Segurança envolvendo Dados Pessoais envolvendo Dados Pessoais: quaisquer situações acidentais ou ilícitas de perda, destruição, alteração, comunicação ou acesso não autorizado a Dados Pessoais;

j) Legitimate Interests Assessment (“LIA”): documento que consiste na realização de teste de proporcionalidade para avaliar a possibilidade de uso do legítimo interesse como base legal;

k) Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o Tratamento de Dados Pessoais em nome do Controlador;

l) Privacy by Design: metodologia que visa à avaliação de atividades de Tratamento de Dados desde a concepção, ou seja, antes de sua efetiva implementação, permitindo que sejam aplicadas medidas aptas a assegurar a proteção dos Dados Pessoais tratados desde o momento da concepção da atividade;

m) Programa de Privacidade: conjunto de regras que definem papéis e responsabilidades para atendimento das diretrizes referentes aos temas de privacidade e proteção de dados da CM Capital;

n) Relatório de Impacto à Proteção de Dados (RIPD): documento que descreve atividades de Tratamento de Dados Pessoais que possam gerar riscos às liberdades civis e aos direitos fundamentais dos Titulares de Dados, bem como medidas, salvaguardas e mecanismos de mitigação de risco;

o) Titular: pessoa natural a quem os Dados Pessoais se referem;

p) Tratamento: qualquer operação realizada com Dados Pessoais, por meios automatizados ou não automatizados, tais como a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

4. REGRAS GERAIS PARA O TRATAMENTO DE DADOS PESSOAIS

As atividades de Tratamento de Dados Pessoais realizadas pela CM Capital devem respeitar, além da boa-fé, os seguintes princípios previstos pela Lei Geral de Proteção de Dados:

✓ Princípio da finalidade: o Tratamento de Dados Pessoais deve ocorrer para atingir propósitos específicos, determinados e informados aos Titulares, não podendo ser realizado de forma incompatível com estes propósitos ou para finalidades secundárias e não relacionadas ao objetivo original previamente estabelecido.

✓ Princípio da necessidade: o Tratamento de Dados Pessoais deve envolver apenas informações minimamente necessárias para alcance das finalidades informadas aos Titulares. Os Dados Pessoais devem ser armazenados somente pelo tempo necessário para alcance dos objetivos do Tratamento.

✓ Princípio da adequação: as atividades de Tratamento de Dados Pessoais devem observar a compatibilidade entre os propósitos específicos informados aos Titulares e as operações efetivamente realizadas.

✓ Princípio do livre acesso: aos Titulares deverá ser assegurada a consulta facilitada e gratuita quanto à forma e à duração do Tratamento dos seus Dados Pessoais

✓ Princípio da qualidade dos dados: os Dados Pessoais tratados pela CM Capital devem ser mantidos exatos, claros, atualizados e verídicos, garantindo a relevância necessária para alcance das finalidades específicas do Tratamento.

✓ Princípio da transparência: deve ser assegurada aos Titulares a disponibilização de informações claras, precisas e facilmente acessíveis sobre a realização do Tratamento, observados os segredos comercial e industrial.

✓ Princípio da segurança: devem ser adotadas medidas técnicas e administrativas aptas a proteger os Dados Pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

✓ Princípio da prevenção: devem ser implementadas medidas aptas a prevenir a ocorrência de danos aos Titulares que possam decorrer do Tratamento de Dados Pessoais e/ou descumprimento da legislação aplicável sobre privacidade e proteção de dados.

✓ Princípio da não discriminação: as atividades de Tratamento de Dados Pessoais não devem ser realizadas para fins discriminatórios, ilícitos ou abusivos.

✓ Princípio da responsabilização e prestação de contas: a CM Capital deverá armazenar evidências de conformidade das operações de Tratamento de Dados Pessoais e as respectivas medidas tomadas para adequar tais atividades às normas relativas à privacidade e proteção de Dados Pessoais, comprovando a eficácia e eficiência de tais medidas.

5. PAPÉIS E RESPONSABILIDADES

5.1. Comitê de Privacidade e Proteção de Dados

O Comitê de Privacidade e Proteção de Dados atua estrategicamente no desenvolvimento e acompanhamento da evolução do Programa de Privacidade da CM Capital, sendo composto pelo Encarregado e por representantes fixos das seguintes áreas:

i. Diretor Superintendente

ii. Diretor de Risco e Compliance

iii. Diretor de Desenvolvimento

O Encarregado participará do Comitê, preparando pautas e realizando as convocações. Ainda, o Comitê poderá, desde que necessário, requerer apoio das demais áreas (“participantes pontuais”) para deliberação sobre temas diversos. Compete ao Comitê de Risco de Privacidade:

a) Deliberar e tomar decisões estratégicas sobre o Programa de Privacidade;

b) Zelar pelo cumprimento das diretrizes desta Política e demais normas internas da CM Capital relativas ao tema de privacidade e proteção de dados;

c) Aprovar políticas e normas internas que abordam os temas de privacidade e proteção de dados;

d) Dirimir conflitos decorrentes das regras delimitadas nesta Política e em demais normas internas da CM Capital relativas ao tema de privacidade e proteção de dados;

e) Definir, com apoio do Encarregado e dos Departamentos Jurídico e de Compliance, o posicionamento da CM Capital perante Autoridades e Órgãos regulatórios competentes, incluindo, mas não se limitando a Autoridade Nacional de Proteção de Dados (ANPD);

f) Atuar em casos de ocorrência de Incidentes de Segurança envolvendo Dados Pessoais envolvendo Dados Pessoais, conforme definido na Política de Segurança Cibernética da CM Capital;

g) Deliberar e aprovas as metas de monitoramento de efetividade do Programa de Privacidade da CM Capital;

h) Monitorar, conjuntamente com o Encarregado, o Programa de Privacidade, de acordo com as métricas definidas.

O Comitê de Risco de Privacidade deve se reunir com periodicidade semestral. O Comitê poderá se reunir de forma extraordinária, desde que apresentada justificativa prévia.

5.2. Encarregado pelo Tratamento de Dados (DPO)

Compete ao Encarregado:

a) Garantir o contínuo monitoramento do cenário regulatório sobre os temas de privacidade e proteção de dados;

b) Avaliar novas atividades de Tratamento de Dados Pessoais comunicadas pelas áreas de negócio, gerenciando a aplicação de avaliações de Privacy by Design e a elaboração de Relatórios de Impacto à Proteção de Dados;

c) Coordenar o desenvolvimento de Relatórios de Impacto à Proteção de Dados em conjunto com as áreas responsáveis pela atividade, acompanhando os riscos residuais e implementação das medidas mitigatórias;

d) Atuar em caso de ocorrência de Incidentes de Segurança envolvendo Dados Pessoais envolvendo Dados Pessoais, conforme previsto na Política de Segurança Cibernética da CM Capital;

e) Avaliar e responder solicitações de Titulares recepcionadas pela CM Capital;

f) Manter atualizado o registro de atividades de Tratamento de Dados Pessoais e definir a base legal aplicável para cada atividade, bem como a necessidade de elaboração de Relatórios de Impacto à Proteção de Dados e Legitimate Interests Assessment (LIA);

g) Zelar pela difusão do tema de privacidade e proteção de dados por toda a empresa, propondo medidas internas de conscientização e de transparência;

h) Auxiliar o Departamento Jurídico na definição de estratégias contratuais e elaboração de cláusulas de privacidade e proteção de dados;

i) Zelar pela transparência das atividades de Tratamento de Dados Pessoais realizadas pela CM Capital;

j) Propor métricas e indicadores para monitoramento da evolução do Programa de Privacidade da CM Capital;

k) Monitorar o Programa de Privacidade da CM Capital, propondo eventuais complementações e melhorias.

5.3. Facilitadores de Privacidade

Compete aos Facilitadores:

a) Distribuir comunicações e deliberações do Encarregado e do Comitê de Privacidade e Proteção de Dados às suas respectivas áreas;

b) Atuar como ponto de contato para casos de dúvidas/esclarecimentos sobre o tema de privacidade e proteção de dados, incluindo atendimento de solicitação de Titulares, Incidentes de Segurança envolvendo Dados Pessoais envolvendo Dados Pessoais e contratações de terceiros;

c) Auxiliar na disseminação da cultura de privacidade, bem como na organização e condução de treinamentos sobre o Programa de Privacidade, voltados às suas respectivas áreas;

d) Monitorar a necessidade de realização de avaliações de risco e elaboração de Relatórios de Impacto à Proteção de Dados para atividades desenvolvidas na CM Capital, informando o Encarregado;

e) Monitorar a proposição de novas atividades de Tratamento de Dados Pessoais, comunicando o Encarregado; e

f) Auxiliar na coleta de evidências sobre a aplicação e conformidade das regras do Programa de Privacidade em suas respectivas áreas.

5.4. Departamento de Recursos Humanos

Compete ao Departamento de Recursos Humanos:

a) Colaborar com o Encarregado no atendimento às requisições de exercício de direitos dos Titulares formuladas por Colaboradores;

b) Auxiliar, mediante solicitação, na definição e organização de estratégias de conscientização interna sobre privacidade e proteção de Dados Pessoais destinadas aos Colaboradores.

5.5. Departamento Jurídico

Compete ao Departamento Jurídico:

a) Garantir a inclusão de cláusulas contratuais referentes aos temas de privacidade e proteção de dados, nos contratos ou acordos celebrados com terceiros;

b) Atuar, em conjunto com as demais áreas necessárias, em Incidentes de Segurança envolvendo Dados Pessoais envolvendo Dados Pessoais conforme definido na Política de Segurança Cibernética da CM Capital.

5.6. Departamento de Tecnologia da Informação

Compete ao Departamento de Tecnologia da Informação:

a) Garantir a observância a mecanismos de segurança da informação estabelecidos, monitorando de forma contínua e proativa os riscos e defesas previamente estabelecidos;

b) Auxiliar o Encarregado no atendimento de demandas decorrentes de solicitações realizadas por Titulares de dados em relação a seus direitos, quando aplicável;

c) Realizar avaliações e checagens periódicas de efetividade dos mecanismos de segurança implementados internamente para proteção de Dados Pessoais, sistemas e funcionalidades; e

d) Atuar, em conjunto com as demais áreas necessárias, em Incidentes de Segurança envolvendo Dados Pessoais envolvendo Dados Pessoais conforme definido.

5.7. Departamento de Compliance

Compete ao Departamento de Compliance:

a) Garantir o armazenamento de documentos e evidências de conformidade, conforme previsto nesta Política;

b) Auxiliar o Encarregado no atendimento de demandas decorrentes de solicitações realizadas por Titulares de dados em relação a seus direitos, quando aplicável.

5.8. Demais departamentos

São responsabilidades de todos os Colaboradores da CM Capital:

a) Cumprir as políticas e normas internas relacionadas à privacidade e proteção de Dados Pessoais;

b) Prestar o suporte necessário ao Encarregado, quando solicitado, inclusive fornecendo informações para apoio ao registro de operações envolvendo Dados Pessoais, atendimento de solicitações de Titulares e Incidentes de Segurança envolvendo Dados Pessoais envolvendo Dados Pessoais;

c) Comunicar o Encarregado sobre novas atividades que envolvam o Tratamento de Dados Pessoais para avaliar a necessidade de adoção de medidas específicas;

a) Reportar ao Encarregado eventuais descumprimentos das diretrizes contidas nesta Política, bem como em demais políticas, procedimentos e normas internas referentes aos temas de privacidade e proteção de dados.

6. ROTINAS DO PROGRAMA DE PRIVACIDADE

6.1. Registro das Atividades de Tratamento de Dados Pessoais

Toda atividade de Tratamento de Dados Pessoais realizada em nome da CM Capital deve ser devidamente registrada, inventariada e arquivada. O registro deve conter, no mínimo, as seguintes informações:

a) Indicação da área responsável pelo Tratamento;

b) Finalidade do Tratamento;

c) Categorias dos Dados Pessoais envolvidos;

d) Origem dos Dados Pessoais;

e) Existência de Compartilhamento dos Dados Pessoais;

f) Existência de transferência internacional;

g) Local de armazenamento dos Dados Pessoais;

h) Sistemas utilizados durante o Tratamento de Dados Pessoais;

i) Prazo de armazenamento do Dados Pessoais; e

j) Medidas de segurança aplicadas na atividade de Tratamento.

O registro deve ser constantemente atualizado pelo Encarregado, com revisão mínima a cada 1 (um) ano ou a qualquer momento, em razão de alterações substanciais nos fluxos das atividades de Tratamento, em decorrência de alterações normativas quanto ao tema ou devido à inclusão de um novo fluxo.

6.2. Treinamentos e conscientização

O Programa de Privacidade conta com planos de treinamentos e ações transversais de promoção de cultura sobre os temas de privacidade e proteção de dados, assegurando a difusão dos temas em todas as áreas da organização. É dever de todo Colaborador participar das atividades de treinamento e promoção da cultura interna de privacidade e proteção de dados que lhe forem designados, o que pode envolver:

a) Treinamentos gerais sobre privacidade e proteção de dados para todas as áreas (ex.: workshops coletivos);

b) Treinamentos específicos sobre políticas e procedimentos referentes à privacidade e proteção de dados, envolvendo somente equipes que atuam na situação em concreto (ex: simulação da ocorrência de Incidente de Segurança envolvendo Dados Pessoais para aplicação da Política de Segurança Cibernética da CM Capital);

c) Dinâmicas diversas que assegurem a difusão do tema (ex.: pílulas de conteúdo, infográficos, vídeos etc.);

d) Treinamentos de onboarding, abordando as principais regras do Programa de Privacidade da CM Capital com novos Colaboradores.

6.3. Relatório de Impacto à Proteção de Dados

O Relatório de Impacto à Proteção de Dados (RIPD) é elaborado sempre que identificada possibilidade de produção de risco aos direitos e liberdades dos Titulares de Dados em razão da atividade de Tratamento. O preenchimento do RIPD é de responsabilidade do Encarregado e deve ocorrer por meio de modelo contendo:

(i) a descrição da atividade de Tratamento;

(ii) a identificação e avaliação de riscos à privacidade;

(iii) as medidas, salvaguardas e mecanismos de mitigação de risco adotados; e

(iv) o parecer final sobre a atividade.

Quando necessário, o Encarregado poderá atribuir tarefas às áreas da CM Capital envolvidas na atividade, como o fornecimento de informações e/ou a implementação de medidas mitigadoras, se necessário. O Encarregado verificará eventual necessidade de acionamento do Comitê de Privacidade e Proteção de Dados para deliberação quanto ao risco apontado. Após o desenvolvimento do relatório e a implementação das medidas mitigadoras apontadas, o Departamento de Compliance deve armazenar o documento. Sem prejuízo da avaliação contextual acerca da necessidade de desenvolvimento de RIPD, a elaboração deste documento será obrigatória sempre que identificados, ao menos, um critério geral de risco e um critério específico, conforme tabela abaixo:

	Critério	Exemplos
1º Passo: identificação da presença de 1 (um) critério geral de risco	Tratamento em larga escala	Tratamento envolvendo número significativo de Titulares, considerando-se, ainda, o volume de dados envolvidos, bem como a duração, a frequência e a extensão geográfica da atividade
	Tratamento que possa afetar significativamente interesses e direitos dos Titulares	Criação de perfis dos Titulares, bem como atividades de classificação, avaliação e/ou pontuação; Atividades que possam resultar em restrição ou impedimento de acesso a serviços e/ou exercício de direitos.
2º passo: identificação da presença de 1 (um) critério específico de risco	Vigilância ou controle de zonas acessíveis ao público	Atividades que envolvem monitoramento de Titulares, como uso de CCTV
	Tratamento automatizado	Atividades que envolvem Tratamento de Dados Pessoais realizado sem participação humana.
	Uso de tecnologias emergentes ou inovadores	Atividades que envolvem uso ou desenvolvimento de sistemas de inteligência artificial.
	Tratamento de dados sensíveis ou de crianças, adolescentes e idosos	Atividades envolvendo Titulares menores de idade (0 a 18 anos) ou com idade igual ou superior a 60 anos.

6.4. Privacy by Design

Todo novo projeto ou atividade de Tratamento de Dados Pessoais realizada pela CM Capital deve ser submetido à avaliação de Privacy by Design, antes de seu efetivo início ou implementação. A avaliação de Privacy by Design seguirá regras definidas em procedimento específico. É dever de todos os Colaboradores monitorar e informar o Encarregado sobre qualquer nova atividade ou iniciativa que envolva o Tratamento de Dados Pessoais, permitindo que este realize a avaliação de Privacy by Design de acordo com os critérios apresentados em procedimento específico. Após avaliação, o Encarregado opinará consultivamente acerca:

i. da possibilidade de prosseguimento da atividade;

ii. da necessidade de avaliação da atividade pelo Comitê de Privacidade e Proteção de Dados;

iii. da necessidade de realização de ajustes para conformidade da atividade; ou

iv. da necessidade de imediata interrupção e reformulação da atividade.

A atuação do Encarregado no âmbito da avaliação de Privacy by Design é consultiva, de modo que a área responsável pelo desenvolvimento da atividade envolvendo o Tratamento de Dados Pessoais é responsável por assumir os riscos decorrentes do projeto, bem como por tomar as decisões acerca de eventual interrupção, reformulação da iniciativa e adoção dos planos de ação indicados.

6.5. Atendimento a Requisições de Titulares

A CM Capital assegura a possibilidade de exercício dos direitos dos Titulares em atividades que atua como Controladora. Os direitos dos Titulares são elencados a seguir:

a) Confirmação do Tratamento: o Titular poderá solicitar a confirmação de Tratamento de seus Dados Pessoais por parte da CM Capital.

b) Acesso aos Dados Pessoais: o Titular poderá solicitar acesso a Dados Pessoais que a CM Capital possui e utiliza sobre ele(a).

c) Correção ou atualização dos Dados Pessoais: caso os Dados Pessoais estejam incorretos, imprecisos ou desatualizados, o Titular poderá solicitar a correção ou mesmo promovê-la através da atualização de seu cadastro, quando aplicável.

d) Anonimização, bloqueio ou eliminação: caso Tratados de forma excessiva, desnecessária ou em desconformidade com a LGPD, o Titular poderá solicitar a anonimização, o bloqueio ou a eliminação de seus Dados Pessoais.

e) Portabilidade: o Titular poderá solicitar a portabilidade de seus Dados Pessoais para outro Agente de Tratamento, conforme disciplinado em regulamentação a ser publicada pela ANPD.

f) Exclusão de dados Tratados com consentimento: quando tratados com o seu consentimento, o Titular poderá requerer a exclusão de seus Dados Pessoais.

g) Revogação do consentimento: quando o Tratamento ocorrer mediante consentimento do Titular, este poderá revogar sua autorização a qualquer tempo de forma facilitada.

h) Oposição ao Tratamento: se o Tratamento de Dados Pessoais não seguir as regras previstas na LGPD, o Titular poderá se opor à realização desta atividade.

i) Revisão das decisões automatizadas: o Titular poderá solicitar a revisão de decisões tomadas unicamente com base no Tratamento automatizado de seus Dados Pessoais, desde que referidas decisões afetem os seus interesses e/ou solicitar informações sobre os critérios adotados para a tomada dessa decisão;

j) Informações sobre o compartilhamento: o Titular poderá solicitar o fornecimento de informações específicas sobre o compartilhamento de seus Dados Pessoais com terceiros.

Somente o Titular dos Dados Pessoais ou o seu representante legal, mediante comprovação, podem requerer o exercício de direitos sobre seus dados. O recebimento de requisições será operacionalizado por meio do canal de comunicação disponibilizado no Aviso de Privacidade da CM Capital. Ao receber as requisições de Titulares, por intermédio dos Facilitadores de Privacidade, o Encarregado deverá: Caso sejam recepcionadas requisições de Titulares relacionadas ao Tratamento de seus Dados Pessoais em outros canais, o Colaborador que recepcionar deve encaminhá-la imediatamente ao Encarregado por meio do canal indicado.

i. Avaliar se a CM Capital atua como Controladora dos Dados Pessoais do Titular solicitante;

ii. Validar o processo de confirmação de identidade do Titular solicitante, quando aplicável;

iii. Encaminhar e-mail confirmando o recebimento da requisição;

iv. Avaliar a requisição recepcionada, considerando, inclusive, os limites técnicos razoáveis e os limites legais para atendimento das solicitações;

v. Determinar a necessidade de envolvimento de demais áreas da CM Capital para fins de processamento e/ou atendimento da solicitação recebida;

vi. Elaborar resposta ao Titular e finalizar o processo de atendimento;

Todas as requisições de Titulares serão registradas e arquivadas pelo Departamento de Compliance.

6.6. Resposta a Incidentes de Segurança envolvendo Dados Pessoais

Em qualquer hipótese de suspeita ou confirmação de Incidentes, deverão ser observadas as diretrizes previstas no Plano de Respostas a Incidentes previsto pela Política de Segurança Cibernética. Suspeitas ou confirmações da ocorrência de Incidentes de Segurança envolvendo Dados Pessoais envolvendo Dados Pessoais devem ser imediatamente comunicadas por meio do canal [email protected].

6.7. Gestão de Terceiros

O compartilhamento de Dados Pessoais com terceiros ocorrerá apenas quando estritamente necessários para alcançar finalidade(s) lícita(s) e concreta(s). Previamente à contratação de terceiros, o Departamento Jurídico realizará avaliação das medidas adotadas pelos terceiros para fins de atendimento da LGPD e de demais legislações aplicáveis sobre privacidade e proteção de Dados Pessoais. A gestão de terceiros na CM Capital ocorre a partir das seguintes etapas:

6.7.1. Avaliação Prévia

Avaliação do fornecedor com relação ao atendimento dos requisitos mínimos de conformidade com a LGPD pelo terceiro, de modo que o Encarregado avalie, previamente à contratação, os riscos decorrentes e as respectivas medidas indicadas para mitigação.

6.7.2. Formalização da contratação

Formalização da contratação do terceiro através da adoção de cláusulas que enderecem o tema de privacidade e proteção de Dados Pessoais.

6.7.3. Monitoramento

A depender do risco assumido pela CM Capital em razão da contratação, será realizado acompanhamento das atividades do terceiro para avaliar a efetividade das medidas e controles demonstrados na avaliação prévia e assumidos na formalização do contrato.

6.8. Monitoramento do Programa de Privacidade

O Encarregado é responsável por definir e aplicar métricas de acompanhamento e eficácia do Programa de Privacidade da CM Capital, que serão aprovadas pelo Comitê de Privacidade e Proteção de Dados. A medição deve ser realizada periodicamente, em recorrência não superior a 12 (doze) meses. Conforme os resultados obtidos ao término do processo de monitoramento, o Encarregado, quando necessário, desenvolverá plano de ação para atualização dos controles, recomendando medidas necessárias para endereçamento de eventuais riscos e fragilidades identificadas.

7. PENALIDADES EM CASO DE DESCUMPRIMENTO

As violações, mesmo que por omissão, das regras estabelecidas através desta Política serão passíveis de penalidades a serem avaliadas a partir das políticas internas e disposições legais e contratuais aplicáveis em cada caso.

8. VIGÊNCIA

Este documento entrará em vigor na data de sua publicação, quando será feita a comunicação de seu teor a todos os Colaboradores, estando revogadas todas e quaisquer disposições anteriores em contrário.

9. INFORMAÇÕES DE CONTATO

As dúvidas referentes às regras determinadas nesta Política ou sobre o Programa de Privacidade da CM Capital e suas rotinas estabelecidas deverão ser encaminhadas por meio do canal [email protected]. A presente Política deve ser atualizada anualmente ou em período inferior, mediante justificativa e aprovação do Comitê de Risco de Privacidade.

10. ATUALIZAÇÃO

Deverá ser verificada a necessidade de atualização da Política, pelo Encarregado, com periodicidade mínima anual ou a qualquer tempo, mediante justificativa.

11. CONTROLES DE REVISÕES

Data	Alteração	Responsável
22/03/2022	Inclusão da tabela de controle de revisão, alteração dos itens 3; 6 ; 6.5 ; 6.7	Pedro Sanches (Prado Vidigal Advogados – DPO), Carlos Mauricio
15/06/2023	Alterado itens 3; 4; 5 ; 5.1; 5.2; 5.4; ;6.1; 6.2; 6.3; 6.4;6.7; 7 e 8	Carolina Giovanini (Prado Vidigal Advogados – DPO), Carlos Mauricio
novembro/2024	Alteração dos itens 1; 2; 3; 4; 5; 6 para fins de atualização, exclusão CM Capital DTVM e Alteração para o novo layout	Carolina Giovanini (Prado Vidigal Advogados – DPO), Carlos Mauricio