Política Corporativa da Crawford & Company. Privacidade e proteção global de dados

Política Corporativa da Crawford & Company

Privacidade e proteção global de dados

1.

Objetivos

É política da Crawford & Company e de suas afiliadas (“Crawford”) estar em conformidade com todas as leis vigentes sobre privacidade e proteção de dados. Este documento define as regras comerciais

fundamentais que permitem a Crawford, como uma organização, a estar em conformidade com os regulamentos associados com estas leis e refletir a importância que a Crawford dá a ganhar e manter a confiança de seus funcionários, clientes, requerentes e outras partes que compartilhem informações identificáveis pessoalmente (personally identifiable information - “PII”) conosco. Geralmente, a Crawford se empenha em proteger as PII de divulgação ou uso não autorizados. Com este fim, a Crawford assegura que coleta, usa, retem, divulga e descarta as PII em conformidade com os princípios de privacidade estabelecidos nos Princípios de privacidade geralmente aceitos (Generally Accepted Privacy Principles - “GAPP”), que refletem as práticas justas de informação reconhecidas internacionalmente incluídas nas leis e regulações de privacidade e proteção de dados de diversas jurisdições em todo o mundo.

2.

Histórico

2.1 A privacidade de dados geralmente é definida como os direitos e obrigações de indivíduos e

organizações em relação à coleta, uso, divulgação e descarte de PII. As PII são informações registradas em qualquer forma ou formato que podem ser usadas para, especificamente, identificar um indivíduo titular dos dados.

2.2 Manter a privacidade das PII é uma parte fundamental da administração e responsabilidade

corporativas. Isso é um imperativo comercial fundamental já que os sistemas e processos da Crawford se tornam cada vez mais complexos e sofisticados. Devido a esta complexidade e sofisticação, a Crawford está coletando quantidades crescentes de PII que são cada vez mais vulneráveis a uma variedade de riscos, incluindo perda, mau uso, acesso não autorizado e divulgação não autorizada.

2.3 Essas vulnerabilidades cada vez maiores suscitam preocupações para a Crawford, seus clientes e

para os titulares de dados. Como muitas organizações, a Crawford busca atingir um equilíbrio entre a proteção das PII e a coleta, uso e divulgação das PII que facilitam os processos comerciais. Ao mesmo tempo, os titulares de dados estão muito preocupados com suas PII e estão especialmente preocupados com roubo de identidade, que pode resultar do acesso não autorizado ou inapropriado às PII, particularmente informações financeiras ou médicas. Em suma, a falha em promulgar e seguir procedimentos e políticas de privacidade adequadas pode causar dano à reputação, marca ou relacionamentos comerciais da Crawford, pode criar responsabilidade legal e sanções regulatórias, e pode resultar na falta de confiança de funcionários, clientes ou requerentes. Por fim, essas consequências podem resultar na perda de negócios, inclusive na perda de receita e participação de mercado.

2.4 Para ajudar a estar em conformidade com uma ampla variedade de leis e regulações internacionais,

URN DPPOL001 Versão: 0.1

princípios de privacidade GAPP que estão fundamentados em conceitos chave de leis, diretrizes e regulações internacionais, nacionais e locais significativas, bem como em práticas comerciais seguidas por organizações em todo mundo. Isso permite que a Crawford trate dos desafios significantes de forma proativa para estabelecer e manter seu programa de privacidade, para gerenciar os riscos de privacidade em múltiplas jurisdições.

2.5 Segue uma lista dos princípios de Privacidade e proteção de dados que a Crawford adotará:

2.5.1. Limitações na coleta, uso, retenção, divulgação e descarte de PII

2.5.1.1. Aviso e consentimento: A Crawford coletará e processará as PII de maneira

justa e de acordo com as leis e, quando apropriado, mediante conhecimento e consentimento do titular dos dados. Quando apropriado, a Crawford fornecerá avisos sobre seus procedimentos e políticas de privacidade, identificará o propósito para qual as PII são coletadas, usadas, retidas e divulgadas, e obterá o consentimento implícito ou explícito com respeito à coleta, uso e divulgação das PII. O tipo de aviso ou consentimento exigido dependerá do contexto e das circunstâncias, da confidencialidade das PII, das expectativas razoáveis do titular dos dados e dos requisitos legais.

2.5.1.2. Proporção e propósitos da coleta: A Crawford coletará PII somente para

propósitos legítimos, limitados e específicos. As PII coletadas serão relevantes, adequadas e não desmedidas em relação aos propósitos para os quais forem coletadas ou em relação aos quais o titular dos dados posteriormente der o seu consentimento.

2.5.1.3. Limitações no uso, retenção e descarte: A Crawford não processará PII de

maneira inconsistente com os propósitos para os quais foram originalmente coletadas sem antes obter o consentimento do titular dos dados e, quando apropriado, a Crawford limitará o uso das PII aos propósitos identificados no aviso e para os quais o indivíduo forneceu consentimento implícito ou explícito. A Crawford não usará PII para fins de marketing direto sem o consentimento implícito ou expresso do titular dos dados, dependendo das circunstâncias e dos requerimentos legais. A Crawford não tomará decisões com base somente no processamento automatizado de PII exceto conforme permitido por lei. A Crawford não manterá PII de maneira a permitir a identificação do titular dos dados por mais tempo que o necessário para os propósitos para os quais foram coletadas ou para os quais o titular dos dados tenha dado o seu consentimento, exceto para propósitos legítimos permitidos por lei, como o cumprimento de regulamentos ou para cumprir solicitações do cliente. A Crawford descartará apropriadamente a informação quando ela não for mais necessária para cumprir os propósitos para os quais foi coletada ou para os quais o titular dos dados consentiu.

2.5.1.4. Divulgação: A Crawford divulgará PII a terceiros apenas para os propósitos

identificados no aviso e, quando solicitado, com o consentimento explícito ou implícito do indivíduo, a menos que requerimentos legais obriguem a divulgação independentemente de a Crawford ter obtido o consentimento. A Crawford tomará as medidas necessárias, mediante contrato ou outra forma, para fornecer proteção adequada às PII que são divulgadas a terceiros.

2.5.1.5. Transferências de dados transfronteiriças: A Crawford tomará as medidas

2.5.2. Gerenciamento de PII

2.5.2.1. Gerenciamento: A Crawford definirá, documentará, comunicará e atribuirá

responsabilidade pelas políticas e procedimentos de privacidade, incluindo a atribuição de pessoal dentro da Crawford responsável pelo cumprimento das leis de proteção de dados, políticas e procedimentos associados .

2.5.2.2. Qualidade: A Crawford tomará as medidas necessárias para assegurar que as

PII sejam precisas e confiáveis para o uso pretendido e mantidas atualizadas quando necessário para o uso pretendido.

2.5.2.3. Acesso: A Crawford manterá os procedimentos para fornecer aos titulares de

dados o acesso apropriado às suas PII para revisão e, quando apropriado, um meio efetivo de as corrigir ou excluir.

2.5.2.4. Segurança de PII: A Crawford implementará medidas razoáveis de segurança

administrativa, física e técnica para proteger as PII de acesso, uso, destruição acidental, modificação ou divulgação não autorizados. A Crawford fornecerá um nível de segurança apropriado em relação aos riscos e confidencialidade das PII. 2.5.3. Responsabilidade e aplicação

2.5.3.1. Monitoramento e aplicação: A Crawford monitorará o cumprimento de suas

políticas e procedimentos de privacidade usando controles internos para verificar o cumprimento das leis de privacidade e proteção de dados e das políticas e procedimentos da Crawford.

2.5.3.2. Processo de reclamação: A Crawford fornecerá um processo justo para

investigar e resolver reclamações e objeções relacionadas com a privacidade e tomará medidas apropriadas para comunicar tal processo aos titulares de dados.

URN DPPOL001 Versão: 0.1

3.

Abrangência

3.1 Esta política se aplica a todos os funcionários da Crawford (incluindo funcionários por contrato) e

abrange todas as PII processadas pela Crawford, quer se relacionem a um titular dos dados interno ou externo, não importando onde sejam processadas.

4.

Definições

4.1 “Titular dos dados” geralmente significa uma pessoa física que pode ser identificada

individualmente, direta ou indiretamente, especialmente por consulta a um número de identificação, incluindo o número de previdência social, ou a um ou mais fatores específicos referentes à sua identidade física, psicológica, mental, econômica, cultural ou social. Observe, entretanto, que em determinados países, por exemplo, a Suíça e a Itália, o termo “titular dos dados” pode também se referir a pessoas jurídicas.

4.2 “Informações identificáveis pessoalmente (PII)” são qualquer informação gravada em qualquer

forma ou formato relacionada a um titular dos dados identificado ou identificável.

4.3 “Processo” ou “Processamento” significa fazer qualquer coisa com as PII, quer seja ou não por

meio eletrônico, como coletar, gravar, organizar, armazenar, adaptar, alterar, resgatar, consultar, usar, divulgar, transmitir, distribuir, acessar ou fornecer acesso, combinar, eliminar ou destruir PII.

4.4 “Afiliada” é qualquer entidade que seja controlada, direta ou indiretamente, pela Crawford.

5.

Abordagem

5.1 O Escritório de privacidade da Crawford revisará cada princípio GAPP e determinará se a criação

de um procedimento global detalhado para implementar os princípios é necessário e/ou possível.

5.2 Responsabilidade

5.2.1. Diretor de privacidade das Américas: Redige e mantém as determinações dos Procedimentos de privacidade e responde às questões sobre as práticas de privacidade da Crawford nas Américas. Fornece informações relacionadas às atividades de monitoramento e auditoria periódicas para a Auditoria interna.

5.2.2. Gerente de privacidade EMEA/AP: Redige e mantém as determinações EMEA/AP dos Procedimentos de privacidade e responde às questões sobre as práticas de privacidade da Crawford na EMEA/AP. Fornece informações relacionadas às atividades de monitoramento e auditoria periódicas para a Auditoria interna.

5.2.3. Auditoria interna: Implementa as atividade de monitoramento e auditoria periódicas para avaliar o cumprimento das políticas e procedimentos de proteção de dados e privacidade. 5.2.4. Pessoal de operações: Funcionários e fornecedores que interagem com os titulares dos

dados que compreenderão e cumprirão essa política.

Propriedade e controle

Detalhes do documento

Nº de Referência Única

(Unique Reference No -

URN)

DPPOL001 – Política de privacidade e proteção global de dados

Categoria

Versão

Estado

Data de emissão

Data de vencimento

História

Versão Autor Datado Estado Detalhes/Motivo da

revisão

Propriedade intelectual

Este documento é marcado pela “Crawford & Company”. A Crawford and Company declara

seus direitos de propriedade intelectual relativos a esse documento.

Esse documento não pode ser copiado ou replicado parcialmente ou completamente, ou alterado de qualquer forma, ou divulgado fora da Crawford sem a permissão expressa do patrocinador ou do autor. Caso um indivíduo, organização ou empresa esteja em posse deste documento, eles não poderão provocar ou permitir que o documento ou qualquer conteúdo nele seja passado a terceiros sem autorização expressa do patrocinador ou do autor.

Abrangência geográfica deste documento

Essa política se aplica a todas as operações da Crawford. Público

Público alvo Métodos de distribuição pretendidos Data

proposta Funcionários e fornecedores da