Contract

O presente Manual do Operador tem por objetivo estabelecer as diretrizes e procedimentos de segurança, destinado aos parceiros comerciais e fornecedores da BB SEGURIDADE e de suas controladas, BB SEGUROS PARTICIPAÇÕES S.A. e BB CORRETORA DE SEGUROS E

ADMINISTRADORA DE BENS S.A., que, em conjunto, serão denominadas aqui como “BB SEGURIDADE”, para garantir a confidencialidade, integridade e disponibilidade dos Dados Pessoais de clientes, parceiros e colaboradores da BB SEGURIDADE.

Aplicam-se a este Manual todas as disposições da Política de Privacidade da BB SEGURIDADE, que pode ser acessada no endereço eletrônico: xxxx://xxx.xxxxxxxxxxxxxx.xxx.xx/xx/xxxxxxxxxx- corporativa/politica-de-privacidade.

Estas boas práticas se aplicam a todos os Dados Pessoais tratados pela BB SEGURIDADE ou em seu nome, e devem ser observadas por todos os Agentes de Tratamento envolvidos em cada operação.

Conceitos

Para fins desse Manual do Operador são considerados os seguintes conceitos: Agentes de Tratamento: o controlador e o operador;

Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de Dados Pessoais;

Encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);

Hipótese de tratamento: uma das hipóteses previstas na Lei Geral de Proteção de Dados para o tratamento de dados pessoais;

Incidentes: quaisquer acessos não autorizados, perdas, deleções, ou exposições indevidas ou acidentais dos Dados Pessoais tratados em razão do relacionamento mantido com a BB SEGURIDADE;

Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de Dados Pessoais em nome do controlador.

Finalidade

Os Dados Pessoais tratados pela BB SEGURIDADE ou em seu nome, devem ser utilizados, exclusivamente, para a finalidade definida no respectivo instrumento firmado entre as partes, sendo expressamente vedada sua utilização para atividades diversas ou para interesse próprio.

Confidencialidade

Os Dados Pessoais são confidenciais, sendo expressamente vedado seu tratamento, inclusive sua transmissão, distribuição, comunicação, transferência, difusão ou extração, por qualquer forma ou meio, que não para as finalidades necessárias para a execução do objeto do contrato firmado com a BB SEGURIDADE.

Medidas de Segurança

Os Agentes de Tratamento deverão adotar procedimentos necessários para garantir, no mínimo, as medidas de segurança elencadas abaixo, quando houver o tratamento de Dados Pessoais em seus arquivos físicos, sistemas, plataformas, aplicações, entre outras:

a) Aplicar pseudonimização e/ou criptografia;

b) Assegurar resiliência das tecnologias para manter a confidencialidade, integridade e disponibilidade dos Dados Pessoais;

c) Utilizar tecnologias para segurança, proteção e privacidade dos Dados Pessoais;

d) Não permitir tratamento de Dados Pessoais diferente do propósito acordado; e

e) Monitorar o tratamento de Dados Pessoais e armazenar evidências.

Armazenamento em Espaços Físicos

Os Agentes de Tratamento devem armazenar os documentos e demais arquivos físicos que contenham Dados Pessoais tratados pela BB SEGURIDADE ou em seu nome, em locais de acesso restrito a pessoas que necessitem tratá-los para a execução das atividades contratadas.

Auditoria

A BB SEGURIDADE se reserva o direito de verificar, a qualquer momento, a conformidade com as medidas e controles de segurança exigidos neste documento, inclusive por meio de auditorias e testes de segurança em relação a sistemas de informação, comunicações, arquivos, etc., mesmo quando todas as atividades, ou parte delas, são realizadas nas instalações e/ou com os recursos da BB SEGURIDADE, mediante notificação ao Operador, com 48 (quarenta e oito) horas de antecedência.

Os procedimentos descritos acima podem ser conduzidos pela BB SEGURIDADE ou por terceiros por ela indicados.

Transferência Internacional de Dados

Os Dados Pessoais não podem ser transferidos para um país terceiro ou organização internacional sem prévia e expressa autorização da BB SEGURIDADE. A transferência deve ocorrer, preferencialmente, para países que proporcionem grau de proteção de dados adequados aos da LGPD.

Compartilhamento de Dados

Caso os Agentes de Tratamento necessitem compartilhar os Dados Pessoais com terceiros para executar as atividades estabelecidas no contrato firmado com a BB SEGURIDADE, devem exigir destes as mesmas condições, obrigações e medidas de segurança que lhe foram exigidas, permanecendo responsáveis por todas as ações e omissões, como se as tivessem realizado. Além disso, devem informar à BB SEGURIDADE quem são os terceiros com quem realizam o referido compartilhamento de dados, quais dados são compartilhados e para qual finalidade.

Registro das Atividades

Os Agentes de Tratamento devem manter atualizados os registros das operações de tratamento de Dados Pessoais realizadas pela BB SEGURIDADE ou em seu nome, os quais devem conter a categoria dos dados tratados, os sujeitos envolvidos na atividade, a finalidade e a hipótese de tratamento para cada uma das atividades realizadas e período em que os Dados Pessoais ficarão armazenados, se necessário, após o cumprimento de sua atividade.

Gerenciamento de Incidentes

Em caso de incidentes, o Agente deve notificar a BB SEGURIDADE, por meio de seu Encarregado, em até 24 (vinte e quatro) horas, do momento em que tomar conhecimento do incidente, por meio do endereço eletrônico xxxxxxxxxxx@xxxxx.xxx.xx.

A notificação deve conter: (i) data e hora do incidente; (ii) data e hora da sua ciência; (iii) motivo na demora na comunicação, se o caso; (iv) descrição dos Dados Pessoais afetados pelo incidente;

(v) número de usuários afetados e, se possível, as informações dos titulares envolvidos; (vi) descrição das possíveis consequências do incidente, considerando, inclusive, as hipóteses destes Dados Pessoais se tornarem públicos, para avaliação de seus impactos e riscos, bem como as medidas de segurança utilizadas, tais como, mas sem se limitar, a pseudonimização e/ou criptografia nos Dados Pessoais afetados pelo incidente; e (vii) medidas que serão adotadas para reverter ou mitigar os efeitos dos prejuízos.

As medidas a serem adotadas serão avaliadas de acordo com o caso concreto.

Devolução e Eliminação dos Dados

Ao término do relacionamento contratual, independentemente do motivo, ou quando a BB SEGURIDADE solicitar, o Operador deve devolver todos os Dados Pessoais tratados em razão do contrato celebrado e realizar a eliminação de forma segura e definitiva destes de sua base de dados e de eventuais backups, devendo apresentar evidências técnicas desse procedimento para a BB SEGURIDADE.

Sem prejuízo do disposto acima, o Operador pode manter os Dados Pessoais, exclusivamente, para cumprir obrigações legais e/ou regulatórias ou para exercício regular de direitos em processo judicial ou administrativo e, após esse determinado período de manutenção, deve eliminá-los de forma segura e definitiva. Faz-se necessário o compartilhamento dos conhecimentos técnicos, permitindo a interoperabilidade da migração dos Dados Pessoais para outro ambiente e/ou a entrega adequada destes.

Plano de Continuidade de Negócios

Os Agentes de Tratamento devem adotar procedimentos necessários para garantir a continuidade dos produtos e serviços em momentos de interrupções e de crises prolongadas.