GC PROMOTORA
Última atualização: 10 de Janeiro de 2026
Empresa: ABP REPRESENTAÇÃO LTDA |
Nome Fantasia: GC PROMOTORA |
CNPJ: 36.106.039/0001-35
Endereço: Rua Ituiutaba, nº 340, andar 1, sala 109, Bairro Prado, Belo Horizonte/MG, CEP 30.411-023
Telefone: (31) 3191-2121 |
E-mail: contato@gcpromotora.com.br |
Website: gcpromotora.com.br
Versão: 1.0 |
Data de Vigência: Janeiro de 2026 |
Próxima Revisão: Janeiro de 2027
Elaborado por: Rafhael Bacellar Freitas Silva — Advogado OAB/MA nº 9.486 — Escritório Moreira Bacellar
Revisado e Validado por: Saulo Resende de Souza Almeida — Sócio-Diretor GC Promotora
Esta Política de Gestão de Incidentes e Vazamento de Dados Pessoais estabelece diretrizes, procedimentos e responsabilidades para a identificação, resposta, contenção, investigação e resolução de incidentes de segurança que possam afetar dados pessoais sob responsabilidade da GC PROMOTORA (ABP REPRESENTAÇÃO LTDA).
A política tem como objetivos específicos garantir a proteção adequada dos dados pessoais tratados pela empresa, assegurar o cumprimento das obrigações estabelecidas pela Lei Geral de Proteção de Dados (LGPD) e demais normas aplicáveis, minimizar os impactos de incidentes de segurança sobre os titulares de dados e a organização, estabelecer procedimentos claros e eficazes para resposta a incidentes, e promover a melhoria contínua dos controles de segurança da informação.
Como correspondente bancário e prestadora de serviços de intermediação financeira, a GC PROMOTORA reconhece a criticidade dos dados pessoais sob sua responsabilidade e a necessidade de manter os mais altos padrões de segurança e proteção. Esta política reflete o compromisso da empresa com a transparência, a responsabilidade e a proteção dos direitos fundamentais dos titulares de dados.
Esta política aplica-se a todos os colaboradores, prestadores de serviços, parceiros comerciais, substabelecidos e terceiros que tenham acesso a dados pessoais tratados pela GC PROMOTORA, independentemente da modalidade de contratação ou relacionamento estabelecido.
O escopo abrange todos os tipos de dados pessoais tratados pela empresa, incluindo dados de clientes, parceiros comerciais, colaboradores, fornecedores e demais pessoas físicas que se relacionem com a organização. A política cobre incidentes que possam ocorrer em qualquer ambiente, sistema, processo ou atividade da empresa, incluindo instalações físicas, sistemas informatizados, dispositivos móveis, armazenamento em nuvem, processos manuais e atividades de terceiros contratados.
Estão incluídos no escopo desta política todos os incidentes que possam resultar em acesso não autorizado, alteração, destruição, perda, vazamento ou qualquer forma de tratamento inadequado de dados pessoais, independentemente de sua origem, causa ou magnitude.
Esta política fundamenta-se na Lei Geral de Proteção de Dados (Lei nº 13.709/2018), especialmente nos artigos 46 a 50, que estabelecem as obrigações dos agentes de tratamento em caso de incidentes de segurança. Também se baseia nas normas e orientações emitidas pela Autoridade Nacional de Proteção de Dados (ANPD), nas melhores práticas internacionais de segurança da informação, e nas normas técnicas aplicáveis, incluindo a família ISO/IEC 27000.
A política observa ainda as disposições do Código de Defesa do Consumidor, da Lei do Sigilo Bancário, das normas do Banco Central do Brasil aplicáveis aos correspondentes bancários, e demais regulamentações setoriais pertinentes às atividades da empresa.
Para os fins desta política, aplicam-se as seguintes definições:
Incidente de Segurança: Qualquer evento adverso, confirmado ou sob suspeita, relacionado à segurança da informação que possa comprometer a confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais.
Vazamento de Dados Pessoais: Incidente de segurança que resulte na destruição, perda, alteração, comunicação ou difusão não autorizada ou acidental de dados pessoais transmitidos, conservados ou tratados de outra forma.
Dados Pessoais: Informação relacionada a pessoa natural identificada ou identificável, conforme definição da LGPD.
Dados Pessoais Sensíveis: Dados pessoais sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual, dados genéticos ou biométricos.
Titular de Dados: Pessoa natural a quem se referem os dados pessoais que são objeto de tratamento.
Controlador: Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.
Operador: Pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.
Encarregado (DPO): Pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD.
ANPD: Autoridade Nacional de Proteção de Dados, órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD.
A GC PROMOTORA estabelece uma estrutura de governança clara e bem definida para a gestão de incidentes de dados pessoais, assegurando que todas as responsabilidades sejam adequadamente distribuídas e que exista coordenação efetiva entre as diferentes áreas da empresa.
A estrutura de governança é composta pela Alta Direção, que tem a responsabilidade final pela proteção de dados pessoais e pela resposta a incidentes, definindo as diretrizes estratégicas e aprovando recursos necessários para a implementação desta política. O Encarregado de Proteção de Dados (DPO) atua como ponto focal para questões relacionadas à proteção de dados, coordenando a resposta a incidentes e servindo como canal de comunicação com a ANPD e titulares de dados.
O Comitê de Resposta a Incidentes é formado por representantes das áreas de TI, Jurídico, Compliance, Operações e Comunicação, sendo responsável pela coordenação das ações de resposta a incidentes. Os Gestores de Área são responsáveis pela implementação das medidas de proteção em suas respectivas áreas e pela comunicação imediata de incidentes identificados.
Alta Direção: A Alta Direção da GC PROMOTORA tem a responsabilidade de aprovar e revisar periodicamente esta política, garantir a disponibilização de recursos adequados para sua implementação, definir o apetite a risco da organização em relação à proteção de dados, e tomar decisões estratégicas em casos de incidentes de alta criticidade. Também compete à Alta Direção aprovar comunicações externas relacionadas a incidentes graves e garantir que a cultura de proteção de dados seja disseminada em toda a organização.
Encarregado de Proteção de Dados (DPO): O DPO é responsável por coordenar a resposta a incidentes de dados pessoais, servir como ponto de contato com a ANPD e titulares de dados, avaliar a necessidade de notificação de incidentes às autoridades competentes, e monitorar o cumprimento desta política. Também compete ao DPO orientar colaboradores sobre questões de proteção de dados, participar da investigação de incidentes, e elaborar relatórios sobre incidentes para a Alta Direção.
Comitê de Resposta a Incidentes: O Comitê é responsável por coordenar as ações de resposta a incidentes, definir as prioridades de contenção e recuperação, avaliar o impacto dos incidentes sobre os titulares de dados e a organização, e decidir sobre as medidas de comunicação necessárias. O Comitê também deve documentar todas as ações tomadas durante a resposta a incidentes e propor melhorias nos procedimentos de segurança.
Área de Tecnologia da Informação: A área de TI é responsável pela detecção técnica de incidentes através de sistemas de monitoramento, implementação de medidas de contenção técnica, preservação de evidências digitais, e execução de procedimentos de recuperação de sistemas. Também compete à área de TI manter atualizados os sistemas de segurança, realizar análises forenses quando necessário, e implementar melhorias técnicas identificadas após incidentes.
Área Jurídica: A área jurídica é responsável por avaliar as implicações legais dos incidentes, orientar sobre obrigações de notificação e comunicação, elaborar comunicações oficiais para autoridades e titulares de dados, e coordenar eventuais ações judiciais relacionadas a incidentes. Também compete à área jurídica avaliar contratos com terceiros em caso de incidentes envolvendo prestadores de serviços.
Área de Compliance: A área de compliance é responsável por verificar o cumprimento dos procedimentos estabelecidos nesta política, avaliar a conformidade das ações de resposta com as normas aplicáveis, elaborar relatórios de conformidade, e propor ajustes nos procedimentos internos. Também compete à área de compliance monitorar mudanças na legislação que possam impactar os procedimentos de resposta a incidentes.
Gestores de Área: Os gestores são responsáveis por garantir que suas equipes conheçam e cumpram os procedimentos estabelecidos nesta política, comunicar imediatamente incidentes identificados em suas áreas, implementar medidas de contenção inicial quando necessário, e colaborar com as investigações de incidentes. Também devem garantir que os colaboradores de suas áreas recebam treinamento adequado sobre proteção de dados.
Colaboradores: Todos os colaboradores são responsáveis por conhecer e cumprir os procedimentos estabelecidos nesta política, comunicar imediatamente qualquer incidente ou suspeita de incidente identificado, colaborar com investigações e ações de resposta, e participar dos treinamentos sobre proteção de dados oferecidos pela empresa.
O Comitê de Resposta a Incidentes da GC PROMOTORA é composto por representantes das seguintes áreas: Encarregado de Proteção de Dados (coordenador), Tecnologia da Informação, Área Jurídica, Compliance, Operações, e Comunicação. O Comitê pode ser expandido com outros membros conforme a natureza específica do incidente.
O Comitê tem como responsabilidades principais coordenar todas as ações de resposta a incidentes de dados pessoais, definir as prioridades de ação com base na criticidade do incidente, tomar decisões sobre contenção, investigação e recuperação, avaliar a necessidade de comunicação a autoridades e titulares, e documentar todas as ações realizadas durante a resposta ao incidente.
O acionamento do Comitê deve ocorrer imediatamente após a identificação de qualquer incidente classificado como médio ou alto impacto, ou quando houver dúvidas sobre a classificação do incidente. Para incidentes de baixo impacto, o DPO pode coordenar a resposta diretamente, informando posteriormente o Comitê sobre as ações tomadas.
A GC PROMOTORA mantém programa contínuo de treinamento e capacitação sobre proteção de dados pessoais e gestão de incidentes, abrangendo todos os colaboradores, parceiros e terceiros que tenham acesso a dados pessoais.
O programa de treinamento inclui conceitos básicos sobre proteção de dados e LGPD, identificação e comunicação de incidentes, procedimentos de resposta a incidentes, medidas de segurança da informação, e responsabilidades individuais na proteção de dados. Os treinamentos são realizados no momento da admissão, anualmente para todos os colaboradores, e sempre que houver atualizações significativas nos procedimentos.
Para membros do Comitê de Resposta a Incidentes, são oferecidos treinamentos especializados sobre investigação de incidentes, análise forense, comunicação de crise, e aspectos legais da proteção de dados. A eficácia dos treinamentos é avaliada através de testes de conhecimento e simulações de incidentes.
A GC PROMOTORA classifica os incidentes de dados pessoais nas seguintes categorias principais:
Acesso Não Autorizado: Situações em que pessoas não autorizadas obtêm acesso a dados pessoais, incluindo invasões de sistemas, uso indevido de credenciais, acesso físico não autorizado a documentos ou sistemas, e visualização de dados por colaboradores sem necessidade de conhecimento.
Vazamento de Dados: Divulgação não autorizada de dados pessoais para terceiros, incluindo envio de informações para destinatários incorretos, publicação acidental de dados em websites ou redes sociais, perda de dispositivos contendo dados pessoais, e compartilhamento inadequado de informações.
Alteração Não Autorizada: Modificação indevida de dados pessoais, incluindo alterações maliciosas realizadas por invasores, modificações acidentais por colaboradores, corrupção de dados por falhas de sistema, e alterações não autorizadas em bases de dados.
Destruição ou Perda de Dados: Eliminação ou perda de dados pessoais, incluindo exclusão acidental ou maliciosa de arquivos, falhas de hardware que resultem em perda de dados, destruição física de documentos ou dispositivos, e perda de dados por desastres naturais ou sinistros.
Indisponibilidade de Dados: Situações em que dados pessoais se tornam inacessíveis para uso legítimo, incluindo falhas de sistemas que impeçam acesso a dados, ataques de ransomware, problemas de conectividade que afetem sistemas em nuvem, e bloqueios de acesso por problemas técnicos.
Os incidentes são classificados em três níveis de criticidade:
Criticidade Baixa: Incidentes que afetam um número limitado de titulares (até 100 pessoas), envolvem dados pessoais não sensíveis, têm baixo potencial de causar danos aos titulares, podem ser contidos rapidamente, e não requerem notificação imediata à ANPD. Exemplos incluem envio de e-mail para destinatário incorreto com dados básicos, acesso não autorizado a dados não sensíveis por colaborador interno, e perda de documento físico com informações limitadas.
Criticidade Média: Incidentes que afetam um número moderado de titulares (101 a 1.000 pessoas), podem envolver dados pessoais sensíveis em quantidade limitada, têm potencial moderado de causar danos aos titulares, requerem ações de contenção mais complexas, e podem necessitar notificação à ANPD dependendo das circunstâncias. Exemplos incluem acesso não autorizado a sistema com dados de clientes, vazamento de dados por falha de segurança em website, e perda de dispositivo móvel com dados pessoais criptografados.
Criticidade Alta: Incidentes que afetam grande número de titulares (mais de 1.000 pessoas), envolvem dados pessoais sensíveis em grande quantidade, têm alto potencial de causar danos significativos aos titulares, requerem ações de contenção urgentes e complexas, e obrigatoriamente necessitam notificação à ANPD e comunicação aos titulares. Exemplos incluem invasão de sistema com acesso a base completa de clientes, vazamento massivo de dados por ataque cibernético, e perda de backup contendo dados sensíveis não criptografados.
A classificação dos incidentes considera os seguintes critérios:
Número de Titulares Afetados: Quantidade de pessoas cujos dados pessoais foram comprometidos pelo incidente, considerando tanto titulares diretamente identificados quanto aqueles potencialmente afetados.
Tipo de Dados Envolvidos: Natureza dos dados pessoais comprometidos, diferenciando entre dados pessoais comuns e dados pessoais sensíveis, e considerando a sensibilidade específica das informações.
Potencial de Dano: Avaliação do risco de danos aos titulares, considerando possibilidade de discriminação, constrangimento, danos financeiros, riscos à segurança física, e outros prejuízos potenciais.
Extensão do Comprometimento: Amplitude do incidente em termos de sistemas afetados, período de exposição, número de terceiros envolvidos, e complexidade da contenção necessária.
Contexto e Circunstâncias: Consideração de fatores específicos como intencionalidade do incidente, vulnerabilidades exploradas, medidas de segurança existentes, e capacidade de recuperação.
A GC PROMOTORA utiliza matriz de impacto e probabilidade para avaliar os riscos associados a diferentes tipos de incidentes e orientar as ações de resposta e prevenção.
Impacto Alto: Incidentes que podem resultar em danos significativos aos titulares, prejuízos financeiros substanciais para a empresa, danos graves à reputação, sanções regulatórias severas, ou interrupção prolongada das operações.
Impacto Médio: Incidentes que podem causar danos moderados aos titulares, prejuízos financeiros limitados, danos controláveis à reputação, sanções regulatórias moderadas, ou interrupção temporária das operações.
Impacto Baixo: Incidentes que causam danos mínimos aos titulares, prejuízos financeiros insignificantes, impacto limitado na reputação, baixo risco de sanções, ou interrupção mínima das operações.
A probabilidade é avaliada considerando fatores como vulnerabilidades conhecidas, eficácia dos controles existentes, histórico de incidentes similares, ameaças identificadas, e mudanças no ambiente de risco.
A GC PROMOTORA implementa sistema abrangente de monitoramento contínuo para detecção proativa de incidentes de segurança que possam afetar dados pessoais. O monitoramento abrange sistemas informatizados, redes de comunicação, aplicações, bases de dados, e ambientes físicos onde dados pessoais são armazenados ou processados.
O sistema de monitoramento inclui ferramentas automatizadas de detecção de intrusão, análise de logs de sistema, monitoramento de tráfego de rede, verificação de integridade de arquivos, e alertas de segurança. Estas ferramentas são configuradas para identificar padrões anômalos, tentativas de acesso não autorizado, modificações não autorizadas em dados, e outras atividades suspeitas.
O monitoramento é realizado 24 horas por dia, 7 dias por semana, com alertas automáticos para situações que requerem atenção imediata. Os logs de monitoramento são preservados por período adequado para permitir investigações posteriores e análises de tendências de segurança.
A empresa mantém múltiplos canais para recebimento de comunicações sobre incidentes de dados pessoais, garantindo que qualquer pessoa possa reportar situações suspeitas ou confirmadas de forma rápida e eficaz.
O processo de identificação de incidentes envolve análise cuidadosa de alertas, comunicações e observações para determinar se constituem efetivamente incidentes de dados pessoais que requerem ação sob esta política.
A identificação considera fatores como natureza do evento reportado, tipos de dados potencialmente afetados, número de titulares envolvidos, causa provável do incidente, e evidências disponíveis. Situações ambíguas são tratadas como incidentes potenciais até que investigação preliminar determine o contrário.
Todos os colaboradores são treinados para reconhecer sinais de possíveis incidentes, incluindo comportamentos anômalos de sistemas, comunicações suspeitas, tentativas de acesso não autorizado, e situações que possam indicar comprometimento de dados pessoais.
Todo incidente identificado ou suspeito é imediatamente registrado em sistema específico de gestão de incidentes, contendo informações básicas necessárias para início da resposta. O registro inicial inclui data e hora da identificação, pessoa que identificou o incidente, descrição preliminar do evento, sistemas ou processos potencialmente afetados, e classificação inicial de criticidade.
O registro é atualizado continuamente durante todo o processo de resposta ao incidente, mantendo histórico completo de todas as ações realizadas, decisões tomadas, e evidências coletadas. O sistema de registro garante rastreabilidade completa e facilita a elaboração de relatórios posteriores.
Imediatamente após a identificação de um incidente de dados pessoais, é acionada a equipe de resposta apropriada conforme a classificação de criticidade. Para incidentes de alta criticidade, o Comitê de Resposta a Incidentes é convocado em caráter de urgência, com todos os membros sendo notificados em até 30 minutos.
Para incidentes de média criticidade, o DPO coordena a resposta inicial e convoca membros específicos do Comitê conforme necessário. Incidentes de baixa criticidade são tratados pelo DPO em coordenação com as áreas diretamente envolvidas.
O acionamento inclui comunicação imediata sobre a natureza do incidente, classificação preliminar, ações iniciais necessárias, e convocação para reunião de coordenação. Todos os membros da equipe de resposta devem confirmar o recebimento da comunicação e sua disponibilidade para participar das ações de resposta.
As ações de contenção têm prioridade absoluta e devem ser iniciadas imediatamente após a identificação do incidente, visando interromper ou limitar o comprometimento adicional de dados pessoais.
As medidas de contenção são implementadas de forma coordenada para evitar agravamento do incidente ou criação de novos riscos. Todas as ações de contenção são documentadas detalhadamente para posterior análise e melhoria dos procedimentos.
Paralelamente às ações de contenção, é realizada avaliação detalhada do impacto do incidente sobre os titulares de dados, a organização e terceiros envolvidos. Esta avaliação orienta as decisões sobre comunicação, notificação e medidas de mitigação adicionais.
A avaliação considera o número exato de titulares afetados, tipos específicos de dados pessoais comprometidos, período de exposição dos dados, possibilidade de uso indevido das informações, riscos de danos aos titulares, impacto nas operações da empresa, e potenciais consequências legais e regulatórias.
A avaliação é atualizada continuamente conforme novas informações são descobertas durante a investigação, permitindo ajustes nas estratégias de resposta e comunicação.
A investigação do incidente busca determinar sua causa raiz, extensão completa do comprometimento, responsabilidades envolvidas, e medidas necessárias para prevenir recorrências. A investigação é conduzida por equipe técnica qualificada, com apoio de especialistas externos quando necessário.
Toda a investigação é conduzida preservando a cadeia de custódia das evidências e mantendo a confidencialidade das informações. Os resultados da investigação são documentados em relatório detalhado que serve de base para ações corretivas e preventivas.
Após a contenção e investigação, são implementadas medidas para erradicar completamente as causas do incidente e recuperar a operação normal dos sistemas e processos afetados.
A recuperação é realizada de forma gradual e controlada, com testes extensivos antes do restabelecimento completo das operações. Todas as ações de erradicação e recuperação são documentadas e validadas pela equipe técnica.
A comunicação interna sobre incidentes de dados pessoais segue protocolo estruturado para garantir que todas as partes interessadas sejam informadas adequadamente, mantendo a confidencialidade necessária e evitando pânico ou especulações.
A notificação à Autoridade Nacional de Proteção de Dados segue rigorosamente os prazos e requisitos estabelecidos pela LGPD, sendo realizada sempre que o incidente apresentar risco relevante aos direitos e liberdades dos titulares.
Avaliação de Necessidade: A decisão sobre notificação é tomada pelo DPO em consulta com a área jurídica, considerando critérios como número de titulares afetados, tipos de dados envolvidos, potencial de dano, e circunstâncias específicas do incidente.
Prazo de Notificação: Quando necessária, a notificação é realizada em prazo razoável, preferencialmente em até 72 horas após a tomada de conhecimento do incidente, conforme orientações da ANPD.
Conteúdo da Notificação: A notificação inclui descrição detalhada do incidente, dados pessoais afetados, número de titulares envolvidos, medidas de contenção adotadas, avaliação de riscos, e ações planejadas para mitigação dos impactos.
Acompanhamento: Após a notificação inicial, são fornecidas informações adicionais conforme solicitado pela ANPD, incluindo resultados da investigação, medidas corretivas implementadas, e ações preventivas adotadas.
A comunicação aos titulares de dados afetados é realizada quando o incidente apresentar alto risco para seus direitos e liberdades, ou quando exigida pela ANPD, seguindo princípios de transparência, clareza e tempestividade.
Critérios para Comunicação: A decisão considera fatores como probabilidade de danos aos titulares, tipos de dados comprometidos, possibilidade de uso indevido das informações, eficácia das medidas de proteção implementadas, e orientações da ANPD.
Conteúdo da Comunicação: A comunicação inclui descrição clara e acessível do incidente, tipos de dados pessoais afetados, medidas adotadas para contenção e mitigação, orientações sobre ações que os titulares podem tomar para se proteger, e canais de contato para esclarecimentos.
Meios de Comunicação: A comunicação é realizada através dos meios mais eficazes disponíveis, incluindo e-mail, correspondência física, SMS, publicação no website da empresa, ou outros canais apropriados conforme o perfil dos titulares afetados.
Suporte aos Titulares: É disponibilizado canal específico para esclarecimentos e suporte aos titulares afetados, com equipe treinada para responder questões e orientar sobre medidas de proteção.
Quando o incidente envolve terceiros como fornecedores, parceiros comerciais, instituições financeiras ou outros prestadores de serviços, a comunicação é realizada de forma coordenada para garantir ações conjuntas de contenção e mitigação.
A comunicação a terceiros inclui informações necessárias para que possam avaliar impactos em suas próprias operações, implementar medidas de proteção adequadas, e colaborar com as ações de resposta ao incidente.
A comunicação com mídia e público em geral é coordenada exclusivamente pela área de Comunicação da empresa, em estreita colaboração com a área jurídica e a Alta Direção. Nenhum colaborador está autorizado a fornecer informações sobre incidentes a jornalistas ou representantes da mídia sem autorização expressa.
Quando necessária, a comunicação externa foca em demonstrar transparência, responsabilidade e compromisso com a proteção de dados, evitando especulações e fornecendo informações factuais sobre as medidas adotadas para proteção dos titulares.
Todos os incidentes de dados pessoais são registrados em sistema específico de gestão, mantendo histórico completo e detalhado de cada evento. O registro inclui informações sobre identificação do incidente, classificação de criticidade, dados pessoais afetados, ações de resposta realizadas, e resultados obtidos.
O sistema de registro permite rastreabilidade completa de todas as atividades relacionadas ao incidente, facilitando auditorias, análises de tendências, e elaboração de relatórios para autoridades competentes. Os registros são mantidos por período mínimo de 5 anos ou conforme exigido pela legislação aplicável.
Todas as evidências coletadas durante a investigação de incidentes são adequadamente documentadas e preservadas, seguindo procedimentos que garantem sua integridade e admissibilidade em eventuais processos legais.
A documentação inclui logs de sistema, capturas de tela, imagens forenses, depoimentos de envolvidos, análises técnicas, e quaisquer outros elementos que possam ser relevantes para compreensão completa do incidente.
Para cada incidente são elaborados relatórios detalhados contendo análise completa do evento, ações realizadas, lições aprendidas, e recomendações para melhoria. Os relatórios são utilizados para comunicação com autoridades, análise de tendências, e aprimoramento contínuo dos procedimentos de segurança.
Toda a documentação relacionada a incidentes é arquivada de forma segura e organizada, com controles de acesso apropriados e procedimentos de retenção que atendem às exigências legais e regulamentares aplicáveis.
Após a resolução de cada incidente, é realizada sessão de lições aprendidas envolvendo todos os participantes da resposta, visando identificar pontos de melhoria nos procedimentos, controles de segurança, e capacidades de resposta da organização.
As lições aprendidas são transformadas em ações concretas de melhoria, incluindo atualizações em políticas e procedimentos, implementação de novos controles de segurança, aprimoramento de sistemas de monitoramento, e desenvolvimento de capacidades adicionais.
Os procedimentos de resposta a incidentes são regularmente atualizados com base na experiência obtida, mudanças na legislação, evolução das ameaças, e melhores práticas identificadas no mercado.
Quando identificadas deficiências de conhecimento ou habilidades durante a resposta a incidentes, são desenvolvidos treinamentos específicos para preencher essas lacunas e fortalecer as capacidades da equipe.
A GC PROMOTORA implementa conjunto abrangente de medidas preventivas para reduzir a probabilidade de ocorrência de incidentes de dados pessoais, incluindo controles técnicos, administrativos e físicos apropriados ao nível de risco das atividades.
É mantido programa contínuo de identificação e correção de vulnerabilidades em sistemas, aplicações e processos, incluindo avaliações regulares de segurança, testes de penetração, e análises de código.
São realizados testes regulares dos procedimentos de resposta a incidentes através de simulações e exercícios práticos, permitindo identificar deficiências e aprimorar as capacidades de resposta da equipe.
Todos os sistemas e aplicações são mantidos atualizados com as últimas correções de segurança, seguindo procedimentos estruturados de gestão de patches e atualizações.
Esta política entra em vigor na data de sua aprovação e permanece válida até sua substituição ou revogação. A política é revisada anualmente ou sempre que houver mudanças significativas na legislação, nos processos da empresa, ou no ambiente de ameaças.
O descumprimento desta política pode resultar em medidas disciplinares conforme a gravidade da infração, incluindo advertência, suspensão, ou rescisão do contrato de trabalho. Para terceiros, o descumprimento pode resultar em rescisão contratual e outras medidas legais cabíveis.
Emergência 24h: (31) 3191-2121
E-mail de Segurança: contato@gcpromotora.com.br
Encarregado de Proteção de Dados: contato@gcpromotora.com.br
Endereço: Rua Ituiutaba, nº 340, andar 1, sala 109, Bairro Prado, Belo Horizonte/MG, CEP 30.411-023
Esta política pode ser complementada por procedimentos operacionais detalhados, formulários específicos, e outros documentos técnicos que detalhem aspectos específicos da gestão de incidentes de dados pessoais.
11.1. Esta Política é revisada anualmente, com o objetivo de garantir sua conformidade com as legislações aplicáveis, acompanhar as evoluções tecnológicas e atender às necessidades operacionais da empresa.
11.2. A presente versão, identificada como 1.0 (Janeiro/2026), foi elaborada por Rafhael Bacellar Freitas Silva e revisada e validada por Saulo Resende de Souza Almeida, reafirmando o compromisso da GC PROMOTORA com a clareza, a transparência e a proteção dos direitos dos titulares de dados.
Data de Aprovação: Janeiro de 2026 | Próxima Revisão: Janeiro de 2027 | Aprovado por: Alta Direção da GC PROMOTORA
Esta política foi elaborada em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) e demais normas aplicáveis, refletindo o compromisso da GC PROMOTORA com a proteção de dados pessoais e a transparência em suas operações.