Política de Privacidade

01 Conceitos básicos: o que você precisa saber para compreender esta Política

A fim de descomplicar a sua leitura deste documento, apresentamos algumas definições úteis para sua interpretação, conforme a disposição da Lei nº 13.709/18, também conhecida como Lei Geral de Proteção de Dados, LGPD:

Dado Pessoal

É uma informação relacionada a uma pessoa física e que seja capaz de identificar a pessoa ou tornar possível a sua identificação. São exemplos: nome, CPF, telefone, e-mail, etc.

Dado Pessoal Sensível Atenção

É uma categoria especial de Dado Pessoal que, por sua natureza, exige proteção reforçada, nos termos do Art. 5º, II, da LGPD. Inclui, entre outros, dado referente à origem racial ou étnica, convicção religiosa, opinião política, dado referente à saúde ou à vida sexual, e dado genético ou biométrico.

Tratamento

É toda forma de uso que podemos fazer dos seus Dados Pessoais, incluindo, mas não se limitando às seguintes atividades: coleta, armazenamento, consulta, uso, compartilhamento, transmissão, classificação, reprodução, exclusão e avaliação.

Titular

É você, a pessoa física a quem os Dados Pessoais se referem.

Controlador

É quem toma as decisões referentes ao tratamento de Dados Pessoais e determina suas finalidades. No contexto do Prisma Collab, a empresa cliente contratante da Prisma atua como Controladora dos dados biométricos de seus próprios usuários.

Operador

É quem realiza o tratamento de Dados Pessoais em nome do Controlador, seguindo suas instruções. A Gryfo e a Amazon Web Services (AWS) atuam como Operadoras no contexto do reconhecimento facial descrito nesta Política.

SeniorX Platform

Plataforma da Senior Sistemas, que centraliza o acesso às aplicações em um único lugar, facilitando a gestão das operações das empresas. Para o uso do aplicativo Prisma Inventário é necessário ter o acesso prévio à SeniorX Platform.

Gryfo / Plataforma de Reconhecimento Facial e Biometria

Empresa contratada pela Prisma para viabilizar o recurso de reconhecimento facial disponível em determinados pontos de execução do Prisma Collab.

Importante Este processamento não utiliza o recurso nativo de Face ID (TrueDepth API) do sistema operacional da Apple, que realiza o reconhecimento inteiramente de forma local, no próprio dispositivo, sem envio de dados a servidores externos. A solução da Gryfo, ao contrário, envolve o processamento dos dados biométricos em ambiente de nuvem contratado, conforme detalhado nas Seções 2, 3, 4, 5 e 6 desta Política.

Vetorização facial

Procedimento técnico pelo qual a imagem de um rosto é transformada em um vetor numérico (uma representação criptográfica e matemática), eliminando a necessidade de armazenamento ou uso da imagem original para as validações do dia a dia.

02 Como coletamos os dados pessoais?

Em função da maneira como o aplicativo Prisma Inventário foi construído, não há coleta de nenhum dado pessoal por parte da Prisma Softwares de Gestão.

Já para o aplicativo Prisma Gestão de Mercadorias há a coleta da latitude e longitude caso esteja sendo feito o rastreamento dos envios.

Para o aplicativo Prisma Collab, em determinados pontos de execução do aplicativo, é coletada a imagem facial do usuário para fins de reconhecimento facial e autenticação. Esclarecemos que:

• Esse reconhecimento não é realizado por meio do FaceID nativo da Apple (TrueDepth API), que processa os dados exclusivamente no dispositivo do usuário;
• O reconhecimento é realizado por meio de uma biblioteca/plataforma contratada de um terceiro especializado, a Gryfo, que processa a imagem em ambiente de nuvem, conforme detalhado nas seções seguintes;
• A imagem capturada é convertida em um vetor numérico (vetorização facial) logo após o processamento pela rede neural da Gryfo, e a imagem original é, via de regra, eliminada da base de dados imediatamente após esse processamento (ver Seção 5).

Informamos, ainda, que a coleta de dados poderá ser realizada via terceiros quando permitido pela legislação.

03 Que tipos de dados pessoais a Prisma trata e por quê?

Listamos abaixo as situações em que nós podemos tratar seus dados pessoais no contexto da sua relação com a gente:

Sobre o tratamento de biometria facial (Prisma Collab)

Por se tratar de dado pessoal sensível, o tratamento da biometria facial observa exigências legais reforçadas da LGPD. Detalhamos abaixo as práticas específicas adotadas:

• O uso da biometria baseia-se em um procedimento técnico de anonimização e vetorização facial. Quando a imagem de um rosto é inserida, a plataforma da Gryfo a transforma em um vetor numérico, sendo exclusivamente este vetor utilizado para as validações de identidade no dia a dia;
• Esse processamento é unidirecional e irreversível: o vetor gerado não revela as características físicas do rosto do Titular, sendo impossível aplicar engenharia reversa para recriar a imagem original;
• Os dados capturados não são utilizados para nenhuma outra finalidade comercial estranha à execução do contrato firmado entre a Prisma e a Gryfo.

04 Com quem a Empresa compartilha os seus dados pessoais?

Nós operamos em parceria com uma série de outras organizações para viabilizar as nossas atividades. Além disso, como prestamos um serviço de utilidade pública, temos o dever de transmitir algumas informações a autoridades policiais e governamentais, nos termos da lei. Descrevemos, a seguir, algumas situações em que podemos compartilhar os dados pessoais coletados:

• Empresa Senior Sistemas — apenas o necessário para uso da Plataforma SeniorX;
• Autoridades em geral — para cumprimento de determinação legal ou regulatória;
• Terceiros — para fins de controle e prevenção de fraude;
• Empresa Gryfo — como Operadora responsável pelo processamento do reconhecimento facial e biometria do Prisma Collab, limitado ao estritamente necessário para a prestação do serviço;
• Empresa Amazon Web Services (AWS) — subcontratada pela Gryfo como Agente Operador responsável pela hospedagem da plataforma de reconhecimento facial e pelo armazenamento em nuvem. A AWS é certificada internacionalmente em normas de segurança como ISO/IEC 27001, SOC 2 e SOC 3.

Reforçamos que, a partir do momento em que os dados são recebidos por esses terceiros, eles assumem a responsabilidade pelo tratamento e segurança das informações, sendo expressamente proibidos de utilizá-los para qualquer outra finalidade. Exigimos contratualmente que todos os parceiros e fornecedores adotem medidas técnicas e administrativas adequadas para a proteção dessas informações.

05 Armazenamento de dados pessoais

A Prisma possui uma política de retenção de dados pessoais alinhada com a lei aplicável. Os seus dados serão armazenados somente pelo período necessário para o atendimento da finalidade para a qual foram coletados, principalmente para a execução do contrato, salvo se houver qualquer outra razão para sua manutenção, como, por exemplo, cumprimento de obrigações legais, regulatórias, contratuais e exercício regular de direito.

Sempre realizamos uma análise técnica para determinar o período de retenção adequado para cada tipo de dado pessoal coletado, considerando sua natureza, necessidade de coleta e finalidade para qual ele será tratado, bem como eventuais necessidades de retenção para o cumprimento de obrigações ou o resguardo de direitos.

Nos demais casos, iremos proceder à exclusão de nossas bases ou realizar a anonimização, ocasião em que você não poderá mais ser identificado.

Retenção específica da biometria facial (Prisma Collab)

• O tempo de retenção dos dados biométricos inseridos pela empresa cliente (que atua como Controladora dos dados) é definido pela própria empresa cliente, para fins de auditoria e monitoramento de serviços;
• Para fins de execução do contrato e proteção jurídica, as informações podem ser retidas pela Gryfo durante a vigência do contrato e por um período adicional de 5 a 6 anos após o encerramento do vínculo, visando o resguardo regular de direitos;
• Exclusão imediata pós-processamento: a rotina do sistema prevê que todos os dados originais (como a foto) inseridos pelo usuário sejam eliminados da base de dados tão logo sejam processados pela rede neural. Após esse momento, restam apenas os dados anonimizados e os vetores faciais irreversíveis, que passam a integrar a inteligência da própria rede neural. Em situações específicas, quando a imagem original for mantida a pedido do Controlador, ela permanecerá armazenada de forma segura e fortemente criptografada;
• Exclusão por cancelamento ou fim da finalidade: havendo o término da finalidade ou solicitação do usuário, os dados atrelados diretamente a ele são deletados permanentemente por métodos seguros e irremediáveis. O cancelamento de um cadastro, no entanto, não implica a eliminação das imagens que já foram convertidas em vetores e diluídas no treinamento da inteligência artificial, visto que esses dados se tornam irrecuperáveis, irreversíveis e não possuem mais capacidade de reidentificar o Titular original.

06 Como protegemos os seus dados pessoais?

Nossa responsabilidade é cuidar dos seus dados pessoais e utilizá-los somente para as finalidades descritas nesta Política. Para garantir a sua privacidade e a proteção dos seus dados pessoais, a Prisma adota todas as medidas técnicas e organizacionais para a proteção de seus dados. Para tanto, advertimos que não solicitaremos a sua senha, exceto quando você fizer login nos canais oficiais, e que você é responsável por manter em sigilo a senha de acesso na plataforma.

Medidas específicas para a biometria facial (Prisma Collab)

07 Direitos do titular

Os dados pessoais são seus e a lei brasileira, através da Lei Geral de Proteção de Dados – LGPD e demais legislações, lhe garante uma série de direitos relacionados a eles. Nós estamos comprometidos com o cumprimento desses direitos e vamos, na sequência, explicar quais são esses direitos e como você pode exercê-los:

Confirmação e acesso

Você pode solicitar à Empresa a confirmação sobre a existência de tratamento dos seus Dados Pessoais para que, em caso positivo, você possa acessá-los, inclusive por meio de solicitação de cópias dos registros que temos sobre você.

Correção

Você pode solicitar a correção dos seus Dados Pessoais caso estes estejam incompletos, inexatos ou desatualizados.

Anonimização, bloqueio ou eliminação

Você pode solicitar (a) a anonimização dos seus Dados Pessoais, de forma que eles não possam mais ser relacionados a você e, portanto, deixem de ser Dados Pessoais; (b) o bloqueio dos seus Dados Pessoais, suspendendo temporariamente a possibilidade de os tratarmos para certas finalidades; e (c) a eliminação dos seus Dados Pessoais, caso em que deveremos apagar todos os seus Dados Pessoais sem possibilidade de reversão.

Limitação técnica — biometria Uma vez que a imagem original já tenha sido convertida em vetor irreversível e diluída no treinamento da rede neural, não é tecnicamente possível excluir ou reidentificar esse vetor específico, embora ele não possa mais ser associado a você, pois foi anonimizado no processo.

Portabilidade

Você pode solicitar que a Empresa forneça os seus Dados Pessoais em formato estruturado e interoperável visando à sua transferência para um terceiro, desde que essa transferência não viole a propriedade intelectual ou segredo de negócios da Empresa.

Informações a respeito do compartilhamento

Você tem o direito de saber quais são as entidades públicas e privadas com as quais a Empresa realiza uso compartilhado dos seus Dados Pessoais. Manteremos, na Seção 4 desta Política, uma indicação das nossas relações com terceiros que podem envolver o compartilhamento de Dados Pessoais. Em todo caso, se você tiver dúvidas ou quiser mais detalhes, você tem o direito de nos solicitar essas informações. A depender do caso, podemos limitar as informações fornecidas a você caso a sua divulgação possa violar a propriedade intelectual ou segredo de negócios da Empresa.

Informação sobre a possibilidade de não consentir

Você tem o direito de receber informações claras e completas sobre a possibilidade e as consequências de não fornecer consentimento, quando ele for solicitado pela Empresa. O seu consentimento, quando necessário, deve ser livre e informado. Portanto, sempre que pedirmos seu consentimento, você será livre para negá-lo – nesses casos, é possível que alguns serviços, incluindo funcionalidades do Prisma Collab que dependam de reconhecimento facial, não possam ser prestados.

Revogação do consentimento

Caso você tenha consentido com alguma finalidade de tratamento dos seus Dados Pessoais, você pode sempre optar por retirar o seu consentimento. No entanto, isso não afetará a legalidade de qualquer tratamento realizado anteriormente à revogação. Se você retirar o seu consentimento, é possível que fiquemos impossibilitados de lhe prestar certos serviços, mas iremos avisá-lo quando isso ocorrer.

Oposição

A lei autoriza o tratamento de Dados Pessoais mesmo sem o seu consentimento ou um contrato conosco, como ocorre no caso do reconhecimento facial fundamentado no Art. 11, II, "g", da LGPD (prevenção à fraude e segurança do Titular). Nessas situações, somente trataremos seus Dados Pessoais se tivermos motivos legítimos para tanto. Caso você não concorde com alguma finalidade de tratamento dos seus Dados Pessoais, você poderá apresentar oposição, solicitando a sua interrupção.

Avisos importantes

Para sua segurança, sempre que você apresentar uma requisição para exercer seus direitos, a Empresa poderá solicitar algumas informações e/ou documentos complementares para que possamos comprovar a sua identidade, buscando impedir fraudes. Fazemos isso para garantir a segurança e a privacidade de todos.

Em alguns casos, a Empresa pode ter motivos legítimos para deixar de atender a uma solicitação de exercício de direitos. Essas situações incluem, por exemplo, casos em que uma revelação de informações específicas poderia violar direitos de propriedade intelectual ou segredos de negócio da Empresa ou de terceiros, bem como casos em que pedidos de exclusão de dados não possam ser atendidos em razão da existência de obrigação da Empresa (ou de suas Operadoras) de reter dados, seja para cumprir obrigações legais, regulatórias ou para possibilitar a defesa da Empresa ou de terceiros em disputas de qualquer natureza.

Ainda, algumas solicitações podem não ser respondidas de forma imediata, mas a Empresa se compromete a responder todas as requisições em um prazo razoável e sempre em conformidade com a legislação aplicável.

Caso você tenha alguma dúvida sobre essas questões ou sobre como você pode exercer seus direitos, fique à vontade para entrar em contato conosco por meio dos canais informados na Seção 8 desta Política.

08 Canal de comunicação

Se você acredita que seus dados pessoais foram tratados de maneira incompatível com esta Política ou com as suas escolhas quanto Titular dos seus dados pessoais, ou, ainda, caso tenha dúvidas, comentários ou sugestões relacionadas a este Aviso de Privacidade, solicitamos que seja realizado contato diretamente com nosso Encarregado de Dados (DPO), através do endereço de e-mail lgpd@prismainformatica.com.br.

09 Atualização do aviso de privacidade

Como estamos sempre buscando melhorar nossos serviços e a forma como operamos, o presente Aviso de Privacidade poderá ser atualizado a qualquer tempo pela Prisma para refletir as melhorias realizadas. Desta forma, recomendamos a visita periódica desta página para que você tenha conhecimento sobre as modificações efetivadas.