Documento Interno de Governança em Privacidade Documento interno do Grupo Oz, representado por Oz Earth Participações S.A., sociedade anônima fechada inscrita no CNPJ sob o nº 29.775.965/0001-38, com sede na Rua Sader Macul, nº 96, Itaim Bibi, São Paulo/SP, CEP 04.542-090, que estabelece o processo de prevenção, detecção, resposta, registro e comunicação de incidentes de segurança envolvendo dados pessoais tratados no âmbito do Oz Marketplace. Este Plano observa o art. 48 da Lei nº 13.709/2018 (LGPD) e a Resolução CD/ANPD nº 15, de 24 de abril de 2024, que aprovou o Regulamento de Comunicação de Incidente de Segurança, e integra o programa de governança em privacidade do Grupo Oz previsto no art. 50 da LGPD.
1.1. Mitigar ou reverter os prejuízos decorrentes de incidentes de segurança, assegurar a responsabilização e a prestação de contas, promover boas práticas de governança, prevenção e segurança e fortalecer a cultura de proteção de dados no Grupo Oz.
2.1. Incidente de segurança: evento adverso confirmado que afete a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais. 2.2. Risco ou dano relevante: situação em que o incidente possa afetar significativamente interesses e direitos fundamentais dos titulares e, cumulativamente, envolver pelo menos uma das categorias previstas na regulamentação, tais como dados sensíveis, dados de crianças e adolescentes, dados financeiros, dados de autenticação em sistemas, dados protegidos por sigilo legal ou contratual e dados tratados em larga escala.
3.1. Este Plano aplica-se a todas as áreas, colaboradores, estagiários, prestadores de serviços e parceiros do Grupo Oz que tratem dados pessoais no âmbito do Oz Marketplace, inclusive operadores contratados. 3.2. Os contratos com operadores deverão prever a obrigação de comunicar incidentes ao Grupo Oz imediatamente e em prazo não superior a 24 (vinte e quatro) horas do conhecimento, bem como o dever de cooperação nas apurações.
4.1. O Encarregado (DPO) [nome do Encarregado] coordena a resposta a incidentes, sendo responsável pela interlocução com a ANPD e com os titulares. 4.2. O Comitê de Resposta a Incidentes é composto por representantes de Segurança da Informação, Tecnologia, Jurídico, Comunicação, Atendimento e das áreas de negócio afetadas, e é convocado pelo Encarregado. 4.3. Compete à Segurança da Informação e à Tecnologia a contenção técnica, a preservação de evidências e a análise de causa-raiz; ao Jurídico, a avaliação de riscos legais e regulatórios e o suporte às comunicações; à Comunicação, a definição das mensagens institucionais; e ao Atendimento, o preparo dos canais para o contato com titulares.
5.1. O Grupo Oz manterá inventário de operações de tratamento, políticas de segurança da informação, controle de acessos, gestão de vulnerabilidades, rotinas de backup e testes de recuperação, além de treinamento periódico de colaboradores. 5.2. Serão realizados exercícios simulados de resposta a incidentes com periodicidade mínima anual, cujos resultados subsidiarão a revisão deste Plano.
6.1. Qualquer colaborador, prestador ou parceiro que identifique ou suspeite de incidente deve comunicar imediatamente o Encarregado pelo canal interno, sem tentar, por conta própria, investigar ou remediar o evento de modo que possa comprometer evidências. 6.2. Recebida a comunicação, o Encarregado abrirá registro do evento, com data e hora do conhecimento, e acionará o Comitê conforme a criticidade preliminar.
7.1. Serão adotadas medidas imediatas de contenção, tais como isolamento de sistemas, revogação de credenciais, bloqueio de acessos e interrupção de fluxos de dados comprometidos. 7.2. Após a contenção, procede-se à erradicação da causa e à recuperação segura dos ambientes, com validação da integridade dos dados e dos sistemas antes do retorno à operação. 7.3. As evidências serão preservadas de forma íntegra e rastreável, para fins de apuração, de eventual responsabilização e de atendimento a requisições de autoridades.
8.1. O Comitê avaliará se o incidente pode acarretar risco ou dano relevante aos titulares, considerando a natureza e a categoria dos dados afetados, o volume, a quantidade de titulares, a facilidade de identificação, a existência de medidas de proteção, como criptografia, e as consequências prováveis. 8.2. A decisão de comunicar ou de não comunicar, bem como a respectiva fundamentação, será formalmente registrada, ainda que se conclua pela ausência de risco relevante.
9.1. Configurado risco ou dano relevante, a comunicação à ANPD e aos titulares afetados será realizada no prazo de 3 (três) dias úteis, contados do conhecimento, pelo controlador, de que o incidente afetou dados pessoais, ressalvada a existência de prazo diverso em legislação específica. 9.2. Para os agentes de tratamento de pequeno porte, comprovada essa condição mediante declaração, os prazos de comunicação são contados em dobro. 9.3. A comunicação deverá conter, no mínimo: a descrição do incidente e a sua causa; a natureza e a categoria dos dados afetados; o número de titulares afetados, com destaque para os titulares de dados sensíveis e de crianças e adolescentes; o número total de titulares cujos dados são tratados nas atividades afetadas; as medidas técnicas e de segurança adotadas antes e após o incidente; os riscos e os impactos aos titulares; e as medidas de mitigação, com a respectiva justificativa em caso de demora. 9.4. A comunicação aos titulares será feita de forma clara, em linguagem acessível e por meio adequado ao contato mantido, informando os riscos, as medidas adotadas e as recomendações de proteção, bem como o canal do Encarregado para esclarecimentos. 9.5. Informações complementares poderão ser prestadas à ANPD em prazo adicional, quando não disponíveis no momento da comunicação inicial, mediante justificativa.
10.1. Todos os incidentes, comunicados ou não à ANPD e aos titulares, serão registrados e mantidos pelo prazo mínimo de 5 (cinco) anos, contados da data do registro. 10.2. O registro conterá, no mínimo: a data do incidente e a de seu conhecimento; a descrição geral das circunstâncias; os dados e os titulares afetados; os riscos identificados; as medidas adotadas; e, quando for o caso, os motivos da não comunicação.
11.1. Concluídas as providências, o Encarregado formalizará o encerramento do incidente, com relatório de causa-raiz e plano de ação corretivo, cujos prazos e responsáveis serão monitorados até a implementação.
12.1. A avaliação combina a probabilidade de ocorrência (baixa, média ou alta) e o impacto sobre os titulares e sobre a organização (baixo, médio ou alto), resultando na classificação do risco em baixo, moderado, alto ou crítico, com a definição de prioridade, de responsáveis e de prazos de tratamento. 12.2. Riscos classificados como altos ou críticos ensejam o acionamento imediato do Comitê, a avaliação prioritária quanto à comunicação obrigatória e a comunicação à alta administração. 12.3. Entre os riscos monitorados no Oz Marketplace, destacam-se: acesso não autorizado a documentos de KYC e a dados biométricos; vazamento ou exposição de dados de pagamento; exposição indevida da base de compradores ou de sellers; comprometimento de credenciais administrativas; falha ou incidente em fornecedor que atue como operador; erro de configuração em ambiente de nuvem; envio de comunicação a destinatário incorreto; e perda de disponibilidade por ataque de ransomware. 12.4. A matriz detalhada, com a classificação de cada risco, os controles existentes e os planos de tratamento, será mantida em anexo controlado, sob responsabilidade do Encarregado, e revisada com periodicidade mínima anual.
13.1. Este Plano será revisado com periodicidade mínima anual ou sempre que houver alteração normativa relevante, mudança significativa nas operações de tratamento ou ocorrência de incidente que evidencie a necessidade de ajuste. Documento de circulação interna e restrita, cuja divulgação a terceiros depende de autorização do Encarregado ([dpo@oz.inc]).
