Política de Confidencialidade, Segurança da Informação e LGPD

Objetivo

Contribuir para o aprimoramento da segurança informacional da MONEYBOX CONSULTORIA DE INVESTIMENTOS E TECNOLOGIA LTDA (“MONEYBOX”), visando garantir a proteção, a manutenção da privacidade, integridade, disponibilidade e confidencialidade das informações de sua propriedade e/ou sob sua guarda. Além disso, estabelecer medidas a serem tomadas para identificar e prevenir contingências que possam causar prejuízo para a consecução de suas atividades.

A quem se aplica?

Esta Política de Confidencialidade, Segurança da Informação e LGPD (“Política”) aplica-se a sócios, diretores e funcionários que participem de forma direta das atividades diárias e negócios, representando a MONEYBOX (referidos como “Colaboradores”).

1. Responsabilidades

Os Colaboradores devem atender aos procedimentos estabelecidos nesta Política, informando quaisquer irregularidades ao Diretor de Compliance e PLD, que deverá avaliá-las e submetê-las à análise da Alta Administração, conforme ao caso.

O Diretor de Compliance e PLD deve garantir o atendimento a esta Política, sendo o responsável na MONEYBOX por temas de segurança da informação, confidencialidade e LGPD.

2. Revisão e Atualização

Esta Política deverá ser revisada e atualizada a cada 2 (dois) anos, ou em prazo inferior, se assim necessário por mudanças legais/regulatórias/autorregulatórias.

3. Política de Segurança da Informação

Os seguintes princípios norteiam a segurança da informação na MONEYBOX:

• Confidencialidade: o acesso à informação deve ser obtido somente por pessoas autorizadas, e quando for de fato necessário;
• Disponibilidade: as pessoas autorizadas devem ter acesso à informação sempre que necessário;
• Integridade: a informação deve ser mantida em seu estado original, visando a protegê‐la, na guarda ou transmissão, contra alterações indevidas, intencionais ou acidentais.

As seguintes diretrizes devem ser seguidas por todos os Colaboradores da MONEYBOX:

• As informações confidenciais devem ser tratadas de forma ética e sigilosa, e de acordo com as leis e normas internas vigentes, evitando‐se mau uso e exposição indevida;
• A informação deve ser utilizada apenas para os fins sob os quais foi coletada;
• A concessão de acessos às informações confidenciais deve obedecer ao critério de menor privilégio, no qual os usuários têm acesso somente aos recursos de informação imprescindíveis para o pleno desempenho de suas atividades;
• A identificação de qualquer Colaborador deve ser única, pessoal e intransferível, qualificando‐o como responsável pelas ações realizadas;
• Segregação de instalações, equipamentos e informações comuns, quando aplicável;
• A senha é utilizada como assinatura eletrônica e deve ser mantida secreta, sendo proibido seu compartilhamento.

Qualquer risco ou ocorrência de falha na confidencialidade e na segurança da informação deve ser reportado ao Diretor de Compliance e PLD.

4. Política de Confidencialidade

São consideradas “Informações Confidenciais” aquelas não disponíveis ao público, que:

• Identifiquem dados pessoais ou patrimoniais (da MONEYBOX ou de clientes);
• Sejam objeto de acordo de confidencialidade celebrado com terceiros;
• Identifiquem ações estratégicas – dos negócios da MONEYBOX ou de seus clientes;
• Todas as informações técnicas, jurídicas e financeiras, escritas ou arquivadas eletronicamente, que digam respeito às atividades da MONEYBOX, e que sejam devidamente identificadas como sendo confidenciais, ou que constituam sua propriedade intelectual ou industrial, e não estejam disponíveis, de qualquer outra forma, ao público em geral;
• Sejam assim consideradas em razão de determinação legal, regulamentar e/ou autorregulatória; e que o Colaborador utiliza para autenticação de sua identidade (senhas de acesso ou crachás), que são de uso pessoal e intransferível.

Não caracteriza descumprimento desta Política a divulgação de Informações Confidenciais: (i) mediante prévia autorização do Diretor de Compliance e PLD, (ii) em atendimento a ordens do Poder Judiciário ou autoridade regulatória, administrativa ou legislativa competente, bem como (iii) quando a divulgação se justificar, por força da natureza do contexto da revelação da informação, a advogados, auditores e contrapartes.

Em caso de dúvida, o Colaborador deverá consultar previamente o Diretor de Compliance e PLD acerca da possibilidade de compartilhamento da Informação Confidencial.

5. Controles e Obrigações

5.1. Identificação, Classificação e Controle da Informação

O Colaborador que recebe ou prepara uma informação pode, se eventualmente necessário, classificá-la como “Confidencial”. Para tal conclusão, devem ser considerados as questões de natureza legal e regulatória, de estratégia negocial, os riscos do compartilhamento, as necessidades de restrição de acesso e os impactos no caso de utilização indevida das informações.

Caso haja informação de natureza “Confidencial”, o acesso a mesma deve ser restrito e controlado.

Sempre que necessário, contratos de confidencialidade da informação devem ser assinados com terceiros, sob supervisão do Diretor de Compliance e PLD, e, se quando necessário, da assessoria jurídica da MONEYBOX.

A informação deve receber proteção adequada. Em caso de dúvida, o Colaborador deverá consultar o Diretor de Compliance e PLD.

O descarte de Informação Confidencial armazenada em meio físico deve ser efetuado utilizando preferencialmente máquina fragmentadora/trituradora de papéis ou incineradora.

5.2. Gestão de Acessos

Os serviços de rede, internet e correio eletrônico disponíveis na MONEYBOX são de sua propriedade exclusiva, sendo permitido o uso moderado para fins particulares, mediante autorização prévia do Diretor de Compliance e PLD.

A MONEYBOX poderá, a qualquer momento, mediante prévia aprovação do Diretor de Compliance e PLD, e sem obrigação de cientificação prévia:

• inspecionar conteúdo e registrar o tipo de uso dos e-mails feitos pelos usuários;
• disponibilizar esses recursos a terceiros, caso entenda necessário;
• solicitar aos usuários justificativas pelo uso efetuado.

O Diretor de Compliance e PLD pode definir bloqueio a sites caso necessário. O monitoramento pode ser feito sem necessidade de prévia ciência dos Colaboradores.

Os equipamentos, ferramentas e sistemas concedidos aos Colaboradores devem ser configurados com os controles necessários para cumprir os requerimentos de segurança aplicáveis à MONEYBOX.

Apenas os Colaboradores devidamente autorizados terão acesso às dependências e sistemas a que estiverem liberados, bem como aos arquivos, diretórios e/ou pastas na rede da MONEYBOX, mediante segregação física e lógica.

5.3. Gestão de Riscos, Tratamento de Incidentes de Segurança da Informação e Backups

Os riscos e incidentes de segurança da informação devem ser reportados ao Diretor de Compliance e PLD, que adotará as medidas cabíveis.

No caso de vazamento de informação, ou acesso indevido a informação, o Diretor de Compliance e PLD deverá ser imediatamente comunicado, para a tomada das medidas cabíveis.

6. Política de Proteção de Dados Pessoais (LGPD)

A MONEYBOX, no exercício de suas atividades, tem e/ou pode vir a ter acesso a dados pessoais, conforme definidos na Lei n.º 13.709, de 14 de agosto de 2018 (“LGPD”).

O tratamento de tais dados é feito nos estritos limites e finalidades da lei e da regulação aplicável (especialmente, sem limitação, as normas da CVM relativas a cadastro e identificação de clientes e operações), dado que o acesso de que aqui se trata é condição obrigatória para o desempenho das atividades da MONEYBOX junto ao público investidor: assim, seu acesso e tratamento se dá em conformidade com estrutura, escala e ao volume de operações da MONEYBOX, bem como à sensibilidade dos dados tratados.

Os dados pessoais, desta forma, são coletados e armazenados apenas e tão-somente para estrito cumprimento da legislação e regulação aplicável às atividades da MONEYBOX, sendo absolutamente vedada a sua destinação diversa pela MONEYBOX e/ou quaisquer de seus Colaboradores: o seu eventual uso compartilhado com reguladores e autoridades poderá ser realizado somente nos estritos termos e limites das normas vigentes aplicáveis à MONEYBOX, e para estrito cumprimento destas.

O tratamento e armazenamento dos dados pessoais recebidos durará pelo tempo em que perdurar o relacionamento entre a MONEYBOX e o(s) titular(es) dos dados pessoais, sempre respeitando simultaneamente o prazo determinado pelas normas vigentes a elas aplicáveis.

As informações de contato e responsáveis da MONEYBOX a esse respeito encontram-se em seu website, cabendo ao Diretor de Compliance e PLD supervisionar Colaboradores e zelar pelo tratamento de tais dados, sempre resguardados os direitos do titular contemplados no art. 18 da LGPD, quais sejam:

• confirmação, para o titular dos dados pessoais, da existência do tratamento destes;
• acesso aos seus dados em poder da MONEYBOX;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto na LGPD;
• portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial;
• eliminação dos dados pessoais tratados com o consentimento do titular (exceto, nos termos do art. 16 da LGPD, nas hipóteses de (a) cumprimento de obrigação legal ou regulatória pela MONEYBOX, (b) transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos na LGPD, ou (c) uso exclusivo da MONEYBOX, vedado seu acesso por terceiro, e desde que anonimizados os dados);
• informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;
• informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• revogação do consentimento.

Nas hipóteses em que o consentimento para o tratamento de dados pessoais for necessário, se houver mudanças da finalidade para o tratamento de dados pessoais não compatíveis com o consentimento original, a MONEYBOX deverá informar previamente o titular sobre as mudanças de finalidade, podendo o titular revogar o consentimento, caso discorde das alterações.

O término do tratamento de dados pessoais ocorrerá nas seguintes hipóteses:

• verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada;
• fim do período de tratamento;
• comunicação do titular, inclusive no exercício de seu direito de revogação do consentimento; ou
• determinação da autoridade nacional, quando houver violação ao disposto na LGPD.

7. Política de Segregação de Atividades

O bom uso de instalações, equipamentos e informações comuns é obrigatório para todos os funcionários.

As áreas de negócios possuem controle de acesso para garantir segurança e segregação física da área responsável pela consultoria de valores mobiliários, e, de demais áreas (ou empresas do grupo) que exerçam - ou que venham a exercer - negócios ou atividades que possam ser considerados conflituosos.

Em atendimento ao Art. 21 da Resolução CVM n° 19, caso a MONEYBOX venha um dia a exercer outras atividades, ela o fará adotando procedimentos relativos: (i) à segregação das atividades, com o objetivo de demonstrar a total separação entre a área responsável pela atividade de consultoria e as das demais atividades exercidas; (ii) confidencialidade, definindo as regras de sigilo e conduta adotadas, com detalhamento das exigências cabíveis, no mínimo, para os seus sócios, administradores, Colaboradores e empregados.

Nos casos aplicáveis, a segregação física, funcional e virtual pode ser monitorada pela área de Compliance mediante a verificação periódica da lista de pessoas com acesso às áreas segregadas, diretórios etc.

Todas as boas práticas aplicáveis a Segurança de Informação devem ser observadas, garantindo a confidencialidade de informação de clientes, da instituição, de parceiros de negócios, fornecedores, Colaboradores, etc.

Como regra geral, os Colaboradores detentores de Informações Confidenciais, em função de seu cargo ou função, devem estabelecer barreiras de acesso a dados e informações pelos demais Colaboradores cujo acesso seja dispensável.

Essas barreiras servem para atender diversos propósitos, incluindo a conformidade com leis e regulamentos que governam o tratamento e a utilização de certos tipos de informações, evitar situações que possam suscitar um potencial conflito de interesses e coibir má utilização de dados e/ou informações.

Esta norma é parte integrante das normas que guiam as relações entre a MONEYBOX e seus Colaboradores, os quais, ao assinar o termo específico do Código de Ética e Conduta Profissional da MONEYBOX CONSULTORIA DE INVESTIMENTOS E TECNOLOGIA LTDA, concordam absolutamente com as suas diretrizes nela fixadas. A desobediência a qualquer uma das normas aqui expostas é tida como infração contratual, sujeita o seu autor às sanções cabíveis.