Política Corporativa de Privacidade de Dados

Sumário

• Objetivo
• Abrangência
• 1. Termos e Definições
• 2. Responsabilidades pelo Programa de Privacidade
• 2.1 Encarregado
• 2.2 Comitê de Privacidade
• 2.3 Colaboradores
• 2.4 Gestores
• 2.5 Alta Direção
• 3. Descrição da Política
• 3.1 Princípios da Proteção de Dados Pessoais
• 3.2 Classificação Como Agente de Tratamento
• 3.3 Responsabilidade dos Agentes de Tratamento
• 3.4 Direitos dos Titulares dos Dados Pessoais
• 3.5 Atendimento aos Direitos dos Titulares dos Dados
• 3.6 O Tratamento de Dados Pessoais pela 2CX
• 3.7 Mapeamento de Dados Pessoais
• 3.8 Treinamentos
• 3.10 Privacy by Design e Privacy by Default
• 3.10 Retenção e Descarte
• 3.11 Incidentes de Privacidade
• 3.12 Fornecedores
• 4. Segurança da Informação e Monitoramento
• 5. Exceção à Política
• 6. Sanções
• 7. Atualização da Política
• 8. Gestão dos Registros Mantidos com Base neste Documento
• 9. Penalidades
• 10. Validade e Gestão do Documento
• 11. Disposições Finais

Objetivo

Esta Política tem como objetivo principal estabelecer, de forma clara e transparente, os conceitos, responsabilidades e diretrizes do Programa de Privacidade e de Proteção de Dados Pessoais implementado pela 2CX de forma a permitir a observância da LGPD por parte de seus Colaboradores, Fornecedores e Terceiros, bem como evidenciar o comprometimento da 2CX com relação à Proteção de Dados Pessoais dos Titulares

A 2CX adota e implementa controles baseados nas melhores práticas nacionais e internacionais, assegurando a confidencialidade integridade, disponibilidade, rastreabilidade e conformidade de todos os dados tratados, promovendo uma cultura organizacional voltada à proteção e governança da informação.

Abrangência

Essa política aplica-se a todos Colaboradores, Fornecedores, parceiros e quaisquer Terceiros que se relacionem, em algum momento, com a 2CX e que tenham acesso a qualquer Informação, sistema, software, plataforma, aplicativo, computador, rede de computadores, telecomunicação, mensagem ou serviço de informações pertencentes à 2CX, em todas as divisões, subsidiarias, filiais e parcerias onde as leis e regulamentações do governo não se sobreponham a essas políticas e procedimentos.

Aprovações

DATA DE ÁREA COLABORADOR APROVAÇÃO Manoel de Paulo Coelho / Governança de TI 25/11/2024 Analista de Governança - Sênior ELABORADO POR Pedro Boaventura Quintanilha Segurança da Informação Junior / Coordenador de 25/11/2024 Segurança da Informação Gisleide Ferreira / Encarregado Proteção de Dados 25/11/2024 de dados Rogério Cabral / Diretor de APROVADO POR Tecnologia 29/12/2025 Operações

Nº DATA REVISÃO 001 25/11/2024 03/02/2025 002 24/11/2025 29/12/2025

1. Termos e definições

• Controlador: Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao Tratamento de Dados Pessoais.
• DPO: Encarregado de Dados Pessoais — Pessoa indicada pelo Controlador para atuar como canal de comunicação entre o Controlador, os Titulares de Dados Pessoais e a ANPD, responsável por orientar os Colaboradores, funcionários, Fornecedor e os contratados sobre as práticas a serem tomadas em relação à proteção de Dados Pessoais.
• Dado Pessoal: Informação relacionada a pessoa natural identificada ou identificável.
• Dado Pessoal Sensível: Sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
• Empresa: 2CX.
• LGPD: Lei Geral de Proteção de Dados Pessoais, nº 13.709, de 14 de agosto de 2018. Dispõe sobre o Tratamento de Dados Pessoais com a finalidade de proteger os direitos fundamentais de liberdade e de Privacidade e o livre desenvolvimento da personalidade da pessoa natural.
• Fornecedor: Pessoa ou empresa terceira contratada para exercer atividades para a 2CX.
• Informação: É todo e qualquer conteúdo ou dados que tenha valor para a 2CX ou seus clientes. Ela pode ser de uso restrito ou exposta de forma pública para consultas ou manuseio.
• Operador: Pessoa natural ou jurídica, de direito público ou privado, que realiza o Tratamento de Dados Pessoais em nome do Controlador.
• Privacidade: É o direito à inviolabilidade da intimidade, da vida privada, da honra e da imagem das pessoas.
• Risco: Probabilidade da ocorrência de evento danoso, dadas as ameaças e vulnerabilidades presentes em qualquer sistema ou processo.
• Titular dos Dados: Pessoa natural a quem se referem os Dados Pessoais que são objeto de Tratamento.
• Terceiro: Pessoa externa à organização com foco na prestação de algum tipo de serviço.
• Anonimização: Utilização de meios técnicos razoáveis e disponíveis no momento do Tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, à pessoa natural.
• Tratamento: Toda operação realizada com Dados Pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da Informação, modificação, comunicação, transferência, difusão ou extração.
• ANPD: Autoridade Nacional de Proteção de Dados, órgão da administração pública federal, responsável por fiscalizar o cumprimento da LGPD.
• Colaborador: Empregado, contratado, terceirizado, trabalhador temporário, e aqueles contratados por outros para executar trabalhos nas instalações da 2CX.
• Encarregado: Pessoa indicada pelo Controlador e Operador para atuar como canal de comunicação entre o Controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).

2. RESPONSABILIDADES PELO PROGRAMA DE PRIVACIDADE

2.1. Encarregado

Compete ao Encarregado:

• Aceitar reclamações e comunicações dos Titulares, prestar esclarecimentos e adotar providências, sendo o ponto de contato dos Titulares dos dados no que diz respeito ao Tratamento dos seus Dados Pessoais;
• Receber comunicações da ANPD e adotar providências, sendo o ponto de contato e cooperando com a autoridade;
• Orientar os Colaboradores e os contratados da Empresa a respeito das práticas a serem tomadas em relação à proteção de Dados Pessoais;
• Executar as atribuições determinadas pela Empresa, em especial:
• Gerenciar o Programa de Privacidade de Proteção de Dados Pessoais, conforme entendimento prévio com o Comitê de Privacidade e a Alta Administração, requisitando aos gestores a adoção de medidas que julgar necessárias;
• Produzir diretivas locais de proteção de dados e Privacidade, regras e padrões a serem usados pelos Colaboradores;
• Aconselhar a administração sobre a alocação de responsabilidades internas para apoiar a conformidade contínua com a LGPD, especialmente

com relação à atribuição de responsabilidades de segurança da informação;

• Desenvolver e promover programas de conscientização de proteção de dados e Privacidade;
• Garantir que todos os gestores estejam completamente cientes de suas próprias responsabilidades relacionadas à Proteção de Dados e Privacidade;
• Monitorar periodicamente o nível de maturidade e conformidade das ações de proteção de dados e Privacidade de sistemas e processos internos, emitindo avisos após estas revisões. Analisar criticamente, em intervalos periódicos, o progresso dos planos de melhoria resultantes em conjunto com os gestores envolvidos;
• Analisar criticamente os incidentes de segurança e Privacidade mais significativos e gerenciar e/ou acompanhar as ações relacionadas à solução destes incidentes. Qualquer incidente de segurança e Privacidade deve resultar em uma análise realizada sob a autoridade do Encarregado;
• Acompanhar o sistema de ações corretivas e preventivas do Programa de Privacidade de Proteção de Dados Pessoais;
• Efetuar a gestão dos Riscos sobre os Tratamentos de Dados Pessoais e providenciar sempre que necessário o relatório de impacto à proteção de Dados Pessoais com a devida apuração dos Riscos envolvidos. Submeter os Riscos à apreciação do Comitê de Privacidade;
• Alertar a Alta Direção, conforme apropriado, acerca de quaisquer questões que sejam potenciais fatores de Riscos para a proteção adequada de Dados Pessoais dentro da Empresa.

2.2. Comitê de Privacidade

Grupo multidisciplinar composto por profissionais das áreas de Capital Humano, Administrativo Financeiro, Desenvolvimento, Marketing, Comercial, Operações, Governança e Segurança da Informação, com objetivo de apoiar

• Encarregado na gestão do Programa de Privacidade e de Proteção de Dados Pessoais e deliberar sobre assuntos relacionados à Privacidade e proteção de Dados Pessoais, tendo como principais responsabilidades:
• Assessorar o Encarregado, realizando todas as diligências que forem por ele solicitadas e mantendo-o informado acerca de suas atividades ordinárias.
• Avaliar e aprovar as diretivas locais de proteção de dados e Privacidade, regras e padrões a serem usados pelos Colaboradores, conforme proposta do Encarregado;
• Sugerir e acompanhar a implantação normativa, inclusive de boas práticas e de governança;
• Fiscalizar as atividades de Tratamento de Dados Pessoais;
• Garantir a comunicação adequada do programa de Privacidade a todos os Colaboradores e Terceiros envolvidos no Tratamento de Dados Pessoais;
• Avaliar e definir todas as ações relacionadas a Riscos existentes nos processos de Tratamento de Dados Pessoais e exigir/solicitar a elaboração de relatórios de impacto à proteção de Dados Pessoais, se necessário;
• Fiscalizar e tomar decisões relacionadas às atividades de Tratamentos que possam envolver Risco ou dano ao Titular de Dados ou a 2CX;
• Recomendar sobre medidas disciplinares, sanções e penalidades, quando aplicável;
• Auxiliar no processo de gestão de incidente da 2CX no que tange à tomada de decisões, à avaliação de impacto e às lições aprendidas;
• Propor ações voltadas ao aperfeiçoamento contínuo do Programa de Proteção de Dados Pessoais, das salvaguardas e medidas de prevenção de Riscos.

2.3. Colaboradores

• Conhecer e seguir todas as políticas e procedimentos pertencentes ao Programa de Privacidade de Proteção de Dados Pessoais;
• Estar cientes dos métodos, processos e parâmetros aplicados na 2CX para proteção de dados e Privacidade;
• Conhecer e aplicar a Lei Geral de Proteção de Dados (LGPD);
• Todos os Colaboradores têm a responsabilidade de cuidar pela Privacidade e proteção dos ativos e Dados Pessoais a que tiverem acesso;
• Fiscalizar o cumprimento da presente Política por parte de Terceiros que tenham acesso aos Dados Pessoais tratados pela 2CX;
• Recomendar melhorias no Programa de Privacidade de Proteção de Dados Pessoais para melhoria do mesmo;
• Identificar qualquer incidente de segurança e reportá-lo ao seu gestor ou a área de TI da 2CX

2.4. Gestores

• Garantir a disseminação do conhecimento sobre proteção de dados e Privacidade sob sua responsabilidade, para seus comandados, incentivando a participação em treinamentos internos ou externos;
• Comunicar ao DPO sempre que houver alguma alteração nos processos de sua responsabilidade, para manter atualizado o Mapeamento de Dados Pessoais;
• Implantar e monitorar a eficácia de procedimentos, instruções de trabalho e documentos quanto a proteção de Dados Pessoais e Privacidade;
• Planejar a adoção de procedimentos do Programa de Privacidade de Proteção de Dados Pessoais e monitorar sua eficácia;
• Garantir a contínua eficácia dos controles implantados de proteção de dados e Privacidade, para satisfazer os requisitos do Programa de Privacidade de Proteção de Dados Pessoais.

2.5. Alta Direção

• Garantir o atendimento dos requisitos das políticas e dos objetivos do Programa de Privacidade de Proteção de Dados Pessoais;
• Designar o DPO;
• Aprovar as iniciativas para a melhoria contínua do sistema;
• Prover recursos para a gestão, operação e monitoramento adequado das atividades do Programa de Privacidade de Proteção de Dados Pessoais;
• Suportar perante toda a organização as iniciativas das áreas críticas envolvidas no Tratamento de Dados Pessoais;
• Garantir a contínua manutenção dessa política e desdobramento dos respectivos objetivos;
• Garantir a contínua análise e realimentação dos resultados de gestão de Riscos ao Programa de Privacidade de Proteção de Dados Pessoais;
• Faz parte do comprometimento da Alta Administração com relação ao Programa de Proteção de Dados e Privacidade, a destinação de orçamento para a aquisição de recursos para a melhoria do sistema de Governança de Dados Pessoais e alcance dos objetivos do Programa de Privacidade de Proteção de Dados Pessoais.

3. DESCRIÇÃO DA POLÍTICA

Com essa política, a 2CX busca orientar seus colaboradores, fornecedores, parceiros e clientes sobre o correto Tratamento de Dados Pessoais focando na proteção dessas informações e na Privacidade de seus Titulares. O Titular do Dado é o ponto focal dessas orientações, o objetivo desta política é que seus direitos sejam respeitados, conforme regulamentações vigentes e aplicáveis.

O Programa de Privacidade de Proteção de Dados Pessoais orienta a todos sobre o correto comportamento voltado para os requisitos legais apresentados na LGPD, bem como as melhores práticas nacionais e internacionais, sempre considerando as limitações legais e as estratégias de negócios da 2CX.

Todos os processos da 2CX, sejam estes manuais ou automáticos, que envolvam o Tratamento de Dados Pessoais em qualquer base de dados, sejam eles dados novos ou já existentes, devem estar aderentes a esta política, inclusive aqueles processos que envolvam a contratação de prestadores de serviços.

Para o cumprimento dos objetivos do Programa de Privacidade de Proteção de Dados Pessoais, estratégias e tempos acordados, seguem abaixo premissas a serem consideradas nas operações de tratamento de dados pessoais:

3.1. Princípios da Proteção de Dados Pessoais

As atividades de Tratamento de Dados Pessoais deverão se basear na boa-fé e, também, nos princípios dispostos na LGPD. Portanto, o Tratamento de Dados Pessoais realizado pela 2CX deverá ser orientado pelos princípios descritos na tabela abaixo, a fim de demonstrar, de forma clara e transparente, a adoção de medidas eficazes e capazes de comprovar o cumprimento das normas de Privacidade e Proteção de Dados Pessoais.

Princípio Detalhes

O princípio da finalidade é uma garantia para os Titulares de Dados Pessoais da realização do Tratamento para propósitos legítimos, específicos, explícitos e informados ao Titular, sem possibilidade de Tratamento posterior de forma incompatível com essas finalidades. Os Finalidade Dados Pessoais devem ser tratados de acordo com o propósito definido antes da coleta da Informação. Tratamentos secundários relacionados aos Dados Pessoais coletados para um propósito específico poderão ocorrer sempre que existir uma base legal que comprove e registre a legalidade do Tratamento da Informação pessoal. O princípio da adequação assegura ao Titular a compatibilidade do Adequação Tratamento com as finalidades informadas ao Titular, de acordo com o contexto do Tratamento.

O princípio da necessidade é complementar aos princípios da finalidade e da adequação. Além de ter um propósito específico e compatível com as finalidades, o Tratamento dos Dados Pessoais deve ser limitado ao mínimo necessário para o desenvolvimento das atividades de Tratamento. Logo, os Dados Pessoais coletados pela Empresa não serão excessivos, mas, sim, proporcionais às finalidades e Necessidade compatíveis com o desenvolvimento das atividades de Tratamento realizadas. Dados Pessoais que não são mais necessários, deverão ser excluídos após a expiração de períodos legais ou término de processos de negócio. Os Dados Pessoais tratados poderão ser mantidos, ainda que não mais necessários para as atividades desenvolvidas pela Empresa, caso de acordo com o Titular ou Controlador. O Princípio do livre acesso visa a assegurar ao Titular dos Dados Pessoais a consulta facilitada e gratuita acerca da forma e duração dos Tratamentos, bem como sobre a integralidade de seus Dados Pessoais. As informações sobre o Tratamento, disponibilizadas pela 2CX, Livre Acesso deverão dispor sobre: (i) a finalidade específica; (ii) a forma e duração; (iii) a identificação do Controlador; (iv) o contato do Controlador; (v) o uso compartilhado de informações e a respectiva finalidade; (vi) as responsabilidades de cada parte que realiza o Tratamento de Dados Pessoais; (vii) os direitos do Titular. É assegurado aos Titulares a exatidão, clareza, relevância e atualização dos Dados Pessoais, de acordo com a necessidade e para o cumprimento da finalidade de seu Tratamento. Portanto, a atualização de dados é fundamental para que a finalidade do Tratamento se Qualidade dos Dados cumpra. É garantido ao Titular os meios adequados para corrigir e atualizar seus Dados Pessoais, assegurando que só sejam tratados aqueles relevantes e necessários à persecução das atividades da organização e da finalidade previamente acordada. O princípio da transparência garante ao Titular informações claras e precisas sobre o Tratamento de Dados Pessoais realizado e, além disso, Transparência confere ao Titular informações acerca dos respectivos agentes de Tratamento com os quais se relaciona, observados os segredos comercial e industrial. O Princípio da segurança requer que sejam adotadas medidas técnicas e administrativas aptas a proteger os Dados Pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda Segurança alteração, comunicação ou difusão. Devem ser aplicadas políticas e procedimentos que buscam minimizar ou eliminar Risco ou vulnerabilidade que possa, de alguma forma, comprometer a confidencialidade, integridade e disponibilidade dos Dados Pessoais.

O Princípio da Prevenção garante a adoção de medidas que visam a Prevenção prevenir e proteger as informações pessoais de eventuais danos que possam vir a ocorrer, em virtude do Tratamento de Dados Pessoais. Conforme o Princípio da não discriminação é impossível a realização de Tratamento de Dados Pessoais para fins discriminatórios ilícitos ou Não Discriminação abusivos. Todo Tratamento de Dados Pessoais deve ser feito com respeito aos direitos humanos, à dignidade da pessoa humana e ao exercício da cidadania de todas as pessoas naturais. O princípio da Responsabilidade exige a demonstração, pelo agente de Tratamento, da adoção das medidas eficazes e capazes de demonstrar Responsabilidade e a observância e o cumprimento das normas de proteção de Dados Prestação de Contas Pessoais e, inclusive, da eficácia dessas medidas. O Agente de (Accountability) Tratamento deve desenvolver medidas para criação de evidências documentais e organizacionais que comprovem a adoção de tais medidas.

3.2. Classificação Como Agente de Tratamento

A 2CX no âmbito dos Tratamentos de Dados Pessoais que realiza, a depender da situação, poderá ser considerada como Controladora ou Operadora de Dados Pessoais. Portanto, somente será considerada como Controladora quando tomar decisões referentes às atividades de Tratamento, com poder de decisão sobre as finalidades e os elementos essenciais de Tratamento. Isto é, quando a 2CX coletar Dados Pessoais dos Titulares e identificar as finalidades, os propósitos e os meios para o Tratamento de Dados Pessoais ela será considerada como Controladora.

Por outro lado, a 2CX poderá ser considerada como Operadora de Dados Pessoais quando seguir instruções de uma outra empresa (cliente), sobre as atividades de Tratamento de Dados Pessoais ou quando receber Dados Pessoais de um terceiro que a coletou e determinou as finalidades do Tratamento.

ATIVIDADES DO CONTROLADOR ATIVIDADES DO OPERADOR Determinar as finalidades e tomar decisões Realizar o Tratamento segundo instruções referentes ao Tratamento de Dados fornecidas pelo Controlador. Pessoais. Indicar DPO. Obter o consentimento válido, quando este for a base legal para o Tratamento de Dados Pessoais, por escrito ou por outro meio que demonstre a manifestação de vontade do Titular. Fornecer informações relativas ao Tratamento e informar ao Titular dos Dados

sobre alteração em relação à finalidade, forma e duração do Tratamento, identificação do Controlador ou sobre o uso compartilhado dos Dados Pessoais. Realizar a avaliação de legítimo interesse para garantir, de forma transparente, que o Tratamento de Dados Pessoais é realizado com base nas disposições legais. Deve fornecer orientações ao Operador com relação ao Tratamento e proteção dos Dados Pessoais compartilhados, e verificar a observância de suas próprias instruções e das normas de proteção de dados. Garantir o direito dos Titulares dos Dados. Comprovar, quando solicitado, perante o Titular dos Dados o cumprimento das normas legais pertinentes à proteção de dados quando estes forem transferidos para terceiros. Manter registro das operações de Tratamento e das atividades que envolvem Dados Pessoais. Adotar medidas de segurança, técnicas e administrativas aptas a proteger os Dados Pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de Tratamento inadequado ou ilícito Comunicar, em prazo razoável, à Comunicar o Controlador, em prazo razoável, Autoridade Nacional e ao Titular dos Dados sobre a ocorrência de incidente de segurança a ocorrência de incidente de segurança que que possa acarretar Risco ou dano relevante possa lhe acarretar Risco ou dano relevante. aos Titulares dos Dados

3.3. Responsabilidade dos Agentes de Tratamento

O Controlador ou o Operador que, em razão do exercício de atividade de Tratamento de Dados Pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de Dados Pessoais, é obrigado a repará-lo.

O Operador responde solidariamente pelos danos causados pelo Tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do Controlador, hipótese em que o Operador se equipara ao Controlador. Os Controladores que estiverem diretamente envolvidos no Tratamento do qual decorreram danos ao Titular dos dados respondem solidariamente.

Os agentes de Tratamento só não serão responsabilizados quando provarem:

• Que não realizaram o Tratamento de Dados Pessoais que lhes é atribuído;
• Que, embora tenham realizado o Tratamento de Dados Pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados; ou
• Que o dano é decorrente de culpa exclusiva do Titular dos dados ou de Terceiros. Nas operações de negócios em que a 2CX aporta sua expertise e atua com responsabilidade e independência definindo estratégias mais adequadas para prestar seus serviços, ela poderá ser considerada como Controlador, atraindo para si as responsabilidades e obrigações desse agente de Tratamento.

3.4. Direitos dos Titulares dos Dados Pessoais

A 2CX tem como valor garantir ao Titular de Dados Pessoais a preservação dos seus direitos, elencados na Lei Geral de Proteção de Dados Pessoais.

O Titular de Dados Pessoais poderá requerer, expressamente e sem custo, os seguintes direitos:

• Confirmação da existência do Tratamento - Confirmar se a Empresa, trata ou não os Dados Pessoais;
• Acesso aos dados – Uma vez confirmado o Tratamento, o Titular pode solicitar acesso aos Dados Pessoais e receber cópia de todos os Dados Pessoais coletados e armazenados;
• Correção dos dados incompletos, inexatos ou desatualizados - Respeitando as limitações por exigência legal, os dados poderão ser corrigidos;
• Anonimização, bloqueio ou eliminação dos dados desnecessários, excessivos ou tratados ilicitamente:
• Anonimização – Descaracterização da Informação de forma que garanta a não identificação do Titular, quando viável;
• Bloqueio – Solicitar o bloqueio da Empresa aos dados tratados desde que não haja limitação legal;
• Eliminação dos dados desnecessários ou tratados ilicitamente - Quando existirem dados desnecessários à finalidade original do Tratamento ou tratados de forma ilícita (por exemplo: obtidos sem a autorização ou conhecimento do respectivo titular), o Titular pode solicitar sua eliminação, desde que não haja limitação legal;
• Portabilidade dos Dados Pessoais a outro Fornecedor de serviço ou produto – Ainda depende de regulamentação da ANPD acerca de como executar a portabilidade;
• Eliminação dos Dados Pessoais tratados com o consentimento do Titular dos Dados – desde que não haja limitação legal;
• Informação das entidades com as quais o Controlador compartilhou seus Dados Pessoais – Ser informado quando existir o compartilhamento dos Dados Pessoais com Terceiros;
• Não Consentimento – Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• Revogação do consentimento – O Titular dos Dados pode informar a qualquer momento revogar o consentimento anteriormente dado para o Tratamento.

3.5. Atendimento aos Direitos dos Titulares dos Dados

O DPO é o responsável pelo atendimento que se referem aos direitos assegurados na lei e nesta Política. Sendo assim, os Titulares dos Dados devem comunicar ao DPO por escrito, as dúvidas ou solicitações.

Essa comunicação pode ser feita ao e-mail

• dpo@2cx.com.br

3.6. O Tratamento de Dados Pessoais pela 2CX

De acordo com os requisitos da LGPD, todo Dado Pessoal deve ser tratado de forma adequada à finalidade para o qual foi coletado.

Sendo a 2CX uma Empresa prestadora de serviços, o Tratamento de Dados Pessoais dos representantes de seus clientes é realizado para a finalidade de execução de contrato ou procedimentos preliminares relacionados ao contrato de prestação de serviços.

Já os Dados Pessoais e Dados Pessoais Sensíveis de Colaboradores são tratados para a finalidade de execução do Contrato de Trabalho ou do Contrato de Prestação de Serviços, incluindo, no primeiro caso, todas as atribuições da atividade, tais como, mas não se limitando a processamento de folha de pagamento, concessão de benefícios, realização de exames ocupacionais de admissão, demissão etc. São tratados ainda Dados Pessoais para finalidade de contratação de prestadores de serviço, tais como a qualificação dos representantes das partes (pessoas jurídicas) ou do profissional autônomo (pessoa natural).

De uma maneira geral, a 2CX não realiza Tratamento de Dados Sensíveis, mas em alguns processos da área de Capital Humano (Recrutamento e Seleção, Admissão e Ponto), Segurança da Informação há o uso da Biometria para controle de acesso.

Além dessas duas categorias de dados pessoais, a LGPD confere um tratamento especial aos dados de Crianças e Adolescentes, assim considerados os dados pessoais e dados sensíveis relacionados a crianças de até doze anos de idade incompletos, e adolescente

entre doze e dezoito anos de idade, conforme lei nº 8069, de 13 de julho de 1990, Art. 2°. Com esses dados a 2CX eventualmente realiza o Tratamento de tais Informações nos processos de Admissão e Benefícios, para prover benefícios de seguro saúde e cadastramento dos dependentes para a receita federal. Destaque-se que, conforme determinado pela LGPD, a coleta de informações relacionadas à criança e adolescente, será sempre realizada através de uma autorização formal de pelo menos um dos pais ou responsável legal através do consentimento informado e documentado.

Além disso, a 2CX poderá compartilhar os Dados Pessoais e Dados Pessoais Sensíveis dos Titulares acima descritos com Terceiros, como por exemplo, provedores de sistemas, provedores de benefícios, Fornecedores ou prestadores de serviços, bem como autoridades das esferas federal, estaduais e municipais, no âmbito do Executivo, do Legislativo e do Judiciário, e, ainda, entidades de classe, para cumprir com obrigações legais, regulamentares e judiciais, sempre respeitando a legislação vigente, os direitos e liberdades individuais dos Titulares.

A 2CX também pode tratar Dados Pessoais de indivíduos que, mediante fornecimento de consentimento, entrem em contato em seus Sites oficiais.

Caso haja a necessidade de Tratamento desses Dados Pessoais para uma nova finalidade, a mesma deve ser consultada e aprovada pelo Encarregado, que providenciará a correta descrição dessa operação em documento próprio e enquadramento da base legal adequada.

A 2CX orienta seus funcionários a tratarem os Dados Pessoais mínimos necessários para a prestação de serviços de qualidade e eficiência a nossos clientes, sem deixar de considerar os direitos e liberdades dos Titulares.

3.7. Mapeamento de Dados Pessoais

A 2CX mantém uma lista de registro sobre os tipos de dados pessoais tratados pela empresa, contendo as seguintes informações:

• Área de Empresa – Área onde é executado o tratamento;
• Processo – Nome do processo da área;
• Subprocesso – Processo secundário ao Processo;
• Descrição do Processo – Descrever com detalhes o processo e subprocesso;
• Tipo de Dado – Identificar se é Dado Pessoal ou Sensível, e, ainda, se é pertinente à criança ou adolescente;
• Categoria de Dados Pessoais – Descrição dos tipos de dados, p. ex.: nome, CPF, endereço;
• Finalidade do Tratamento – Por qual motivo é feito o tratamento;
• Ações de Tratamento – Descrever a ação praticadas, p. ex.: coleta, armazenamento etc.;
• Meio – Identificar se o dado é digital, físico ou híbrido;
• Estado do Dado – Descrever o estado do dado, p. ex. Anonimizado, Criptografado, Arquivo em texto claro, Sem Criptografia, indefinido ou não aplicável.
• Sistemas envolvidos – Descrever os sistemas são utilizados no tratamento;
• Infraestrutura– Identificar o local de armazenamento físico e digital dos dados;
• Pessoa responsável pelo processo – Identificação do responsável pelo processo;
• Compartilhamento com áreas ou pessoas internas – Identificação das pessoas ou área com as quais os dados são compartilhados;
• Compartilhamento externo (outro controlador) – Identificar a entidade externa com a qual é compartilhado os dados pessoais;
• Agente de tratamento – Identificar se o tratamento é realizado pelo Controlador ou Operador;
• Base Legal – Informar a base legal usada para o tratamento;
• Detalhe da Base Legal – Motivar a escolha da base legal;
• Categoria do Titular – Qual tipo de titular no processo, p. ex. Colaborador, cliente etc.;
• Período de Retenção – Informar o período recomendado para a retenção dos dados pessoais;
• Justificativa da Retenção – O porquê do período de retenção;
• Recomendações – Qualquer recomendação focando a melhoria ou eliminação de qualquer risco identificado sobre o tratamento. Esse documento deverá ser mantido atualizado com todos os Tratamentos de Dados Pessoais, bem como deve refletir qualquer alteração nos processos internos que tratam Dados Pessoais, na busca de garantir o atendimento aos requisitos da LGPD.

É responsabilidade de todos na Empresa adequar esse registro aos processos atualizados sobre cada Tratamento executado, visando ao fornecimento de uma gestão completa de todos os Riscos atribuídos a esses Tratamentos

3.8. Treinamentos

A 2CX determina que todos os Colaboradores sejam periodicamente treinados e capacitados para conhecer o Programa de Privacidade de Proteção de Dados Pessoais, alinhados as boas práticas de segurança da Informação e Privacidade.

Faz-se necessário que todos tenham conhecimento sobre as regras e controles definidos e aplicados para garantir a Privacidade e proteção de Dados Pessoais, mas especificamente, e no mínimo, sobre:

• Conceitos gerais de Privacidade e Proteção de Dados
• A apresentação desta política e de materiais de estudo prático sobre os princípios da LGPD;
• Conceitos específicos de Privacidade e Proteção de Dados, aplicados às atividades de cada área. O Processo de integração de novos Colaboradores deve garantir que estes recebam o treinamento necessário sobre os itens acima descritos para exercer suas funções na Empresa.

Todos os Colaboradores devem se comprometer a participar dos treinamentos, workshops, encontros e capacitações propostos pela Empresa, para a ampliação da cultura de proteção de Dados Pessoais na 2CX

Além disso, Colaboradores cujas funções exigem o Tratamento regular de Dados Pessoais, bem como, os responsáveis pela implementação desta Política, têm o dever de participar de treinamentos adicionais para ajudá-los a entender suas obrigações e responsabilidades.

3.10 Privacy by Design e Privacy by Default

Todos os sistemas da 2CX devem ter como premissa a Privacidade como requisito obrigatório, dessa forma todo o processo de criação e aquisição de sistemas e ferramentas tecnológicas devem determinar e adotar controles e medidas para prevenir a ocorrência de danos aos Titulares, e deve focar na Proteção dos Dados Pessoais nos seus Tratamentos.

É mandatório que todos os projetos de novos sistemas e produtos, desde a sua concepção até o momento da entrega, considerem e assegurem a Privacidade e Proteção dos Dados Pessoais. A seguir, a 2CX informa os princípios relacionados a Privacy by Design que deverão ser considerados:

• Proativo, não reativo e não corretivo – Deve antecipar e prevenir situações que comprometam a Privacidade antes que ela aconteça e nunca depois do ocorrido;
• Privacidade como padrão – Todas as iniciativas devem utilizar o nível mais alto de proteção à Privacidade como princípio padrão;
• Privacidade incorporada ao design – Deve ser incorporado na arquitetura de sistemas de TI, práticas de negócio e produtos e serviços, fazendo parte dos projetos como disciplina;
• Funcionalidade total – Garantia da Privacidade dos Dados Pessoais, sem comprometer as funcionalidades ou objetivos do produto ou serviço;
• Segurança de ponta a ponta – Proteção durante todo o ciclo de vida dos Dados Pessoais;
• Visibilidade e transparência – Garantia de transparência nos Tratamentos de Dados Pessoais, com geração de avisos adequados à finalidade dos Tratamentos;
• Respeito pela Privacidade do usuário – Foco nos interesses dos Titulares dos Dados, visando a garantia da Privacidade dos Dados Pessoais. Estas práticas envolvem, mas não se limitam, às seguintes medidas:
• Realizar a uma Análise de Impacto de Privacidade, sempre que necessário;
• Assegurar as práticas de Segurança da Informação, em especial em escopos que incluam Dados Pessoais;
• Empreender os melhores esforços para adequar seus processos para proteção de Dados Pessoais;
• Alertar sobre situações de Risco em produtos e serviços que possam propiciar incidentes de violação de dados;
• Considerar adoção de indicadores, métricas e demais recursos para monitoramento;
• Implementar registros de processamento de Dados Pessoais, como trilhas de auditoria, em especial para os casos de: inclusão, alteração e exclusão destes dados, para fins de fiscalização ou apuração de responsabilidades em investigações sobre violação de Dados Pessoais;
• Adotar práticas de desenvolvimento seguro e análises de vulnerabilidades, quando se tratar de sistemas e demais soluções tecnológicas.

3.10 Retenção e Descarte

A LGPD determina a exclusão dos Dados Pessoais nas seguintes hipóteses:

• Verificação de que a finalidade foi alcançada ou de que os Dados Pessoais deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada;
• Fim do período determinado para o Tratamento dos Dados Pessoais;
• Solicitação do Titular, inclusive no exercício de seu direito de revogação do consentimento, resguardado o interesse público; ou
• Determinação da ANPD, quando houver violação ao disposto na LGPD. Dessa forma, em observância ao princípio da necessidade, todos os responsáveis pelos processos que envolvam Tratamentos de Dados Pessoais devem manter esses Dados Pessoais armazenados pelo período estritamente necessário, de acordo com a finalidade estipulada para o Tratamento.

A 2CX por meio do mapa de dados - item 5.7. Mapeamento de Dados Pessoais desse documento, apresenta para cada processo e subprocesso as recomendações acerca do período legal, conforme descrito no campo “Período de retenção”.

Quando do vencimento do período de retenção, a recomendação é efetuar o descarte ou a Anonimização desses dados no período definido. Porém, poderá haver situações de exceção em que isso poderá não acontecer, por exemplo, devido a requisição de Autoridades Públicas e a sanção de leis ou publicação de regulamentações específicas no decorrer do processo.

Nos casos em que os Dados Pessoais forem compartilhados com Terceiros, é necessária a adequada celebração de contrato escrito, com instruções claras acerca do Tratamento a ser conferido aos Dados Pessoais compartilhados, no qual deverá constar ainda a obrigação deste Terceiro em realizar a exclusão dos Dados de suas bases, conforme solicitado pelo Titular, e imediatamente após comunicação da 2CX. Todos os responsáveis pelos processos que envolvam Tratamentos de Dados Pessoais devem manter esses Dados Pessoais armazenados pelo menor período possível necessário ao Tratamento, de acordo com suas finalidades estipuladas.

3.11. Incidentes de Privacidade

Todo ou qualquer evento que possa estar em desacordo com os pontos apresentados nesta política pode ser considerado incidente de Privacidade. Esses incidentes podem causar danos aos Titulares de Dados Pessoais ou violação da Privacidade. Todas as ações necessárias para a condução do Tratamento desses incidentes estão descritas no documento “Plano de Resposta e Tratamento de Incidentes” de forma organizada, com indicações das ações necessárias para minimizar os impactos e danos desses incidentes. De qualquer forma, qualquer falha identificada por nossos Colaboradores, deve ser imediatamente comunicada ao DPO por meio do e-mail dpo@2cx.com.br relatando a ocorrência com o máximo possível de informações, permitindo que o plano seja ativado e os responsáveis pelo Tratamento do incidente sejam acionados imediatamente e ações de comunicação sejam feitas de acordo com as definições do plano.

3.12. Fornecedores

Para garantir boas práticas na gestão da Privacidade e proteção de dados, os Fornecedores também necessitam executar todos os requisitos apresentados nesta política. Nenhum serviço que envolva tratamento de Dados Pessoais oferecido à 2CX pode ser iniciado sem que os contratos sejam assinados, devendo estes conter as cláusulas de proteção de dados e Privacidade, estabelecendo deveres e obrigações envolvendo a temática de Privacidade e segurança dos dados, e atestando o compromisso dos Terceiros com as legislações de proteção de Dados Pessoais aplicáveis. Os contratos que envolvam Tratamento de Dados Pessoais deverão ser revisados e submetidos à aprovação do Jurídico e do DPO antes de serem firmados com Terceiros. No processo de avaliação dos Fornecedores é recomendado que sejam apresentadas evidências sobre quais ações foram tomadas pelos Fornecedores para se adequarem aos requisitos exigidos pela LGPD. Deve existir um processo de validação contínua dos Fornecedores que irão operar Dados Pessoais em nome da 2CX, para garantir que todos os requisitos de proteção de dados e Privacidade descritos nesta política estejam adequados aos serviços ou produtos contratados.

4. SEGURANÇA DA INFORMAÇÃO E MONITORAMENTO

Tendo em vista o compromisso da 2CX em zelar pelo Tratamento adequado de Dados Pessoais para fins legítimos que possam ser objeto de suas atividades, a Empresa realiza monitoramento de suas instalações e recursos corporativos, assim entendidos as contas de e-mails, o acesso à Internet, à sistemas, softwares, aplicativos, equipamentos, entre outros recursos disponibilizados para que o Colaborador possa desempenhar suas funções. O e-mail corporativo é sua ferramenta de trabalho e, portanto, poderá ser rastreado, monitorado, gravado e/ou inspecionado, com objetivo de evitar Riscos decorrentes de ataques externos e do mau uso da ferramenta. Os Colaboradores deverão utilizar os recursos de acesso à internet apenas para assuntos corporativos, sendo vedada a utilização para fins particulares, inclusive o acesso às redes sociais. Para preservar esses recursos, a 2CX se reserva o direito de controlar e monitorar seus conteúdos e formas de utilização.

5. EXCEÇÃO À POLÍTICA

A solicitação de exceções a essa Política será avaliada pelo DPO e será reportada por escrito à alta direção da 2CX, onde serão avaliadas as exceções conforme as justificativas de negócio fornecidas pelo solicitante e definido o adequado.

6. SANÇÕES

O Colaborador que tomar conhecimento do descumprimento de alguma das regras desta Política tem o dever de informar tal infração ao Encarregado (DPO) ou seu gestor direto. Ademais, o descumprimento das regras e diretrizes impostas neste documento poderá ser considerado falta grave, passível de aplicação de sanções disciplinares, sem prejuízo das medidas judiciais cabíveis.

7. ATUALIZAÇÃO DA POLÍTICA

Esta Política está sujeita a revisões anuais, podendo ser revisada em periodicidade menor, caso necessário, em decorrência de alterações na regulamentação e/ou legislação aplicável ou, ainda, para refletir alterações nos procedimentos internos da organização. A versão atualizada desta política será publicada na rede interna da 2CX e deverá ser de conhecimento de todos os Colaboradores e prestadores de serviço da companhia

8. Gestão dos registros mantidos com base neste documento

• Nome do registro: 2CXPLT-013 — Política Corporativa de Privacidade de Dados.
• Local de armazenamento: Sharepoint.
• Responsável pelo armazenamento: Gestor de Tecnologia e Segurança da Informação.
• Controle para proteção do registro: Somente o Gestor de Tecnologia e Segurança da Informação pode alterar o documento.
• Tempo de retenção: 01 ano(s).

9. PENALIDADES

O descumprimento das regras, normas e diretrizes impostas neste documento será avaliado em conjunto pelas áreas de Tecnologia e Segurança da Informação, Recursos Humanos e gestor envolvido, podendo ser considerado falta grave e passível de aplicação de medidas disciplinares previstas na política de recursos humanos. O colaborador que presenciar o descumprimento das regras, normas e diretrizes impostas neste documento tem o dever de denunciar tal infração.

10. VALIDADE E GESTÃO DO DOCUMENTO

Este documento é válido a partir de 29/12/2025.

O proprietário do documento é o Gestor de Tecnologia e Segurança da Informação, que deve verificar e, se necessário, revisar o documento pelo menos uma vez por ano.

Ao avaliar a eficácia e a adequação deste documento, os seguintes critérios devem ser considerados:

• Inclusão, alteração ou remoção de diretrizes de privacidade de dados;
• Quantidade e teor dos incidentes de segurança da informação relacionados a atividades e serviços de privacidade de dados.

11. DISPOSIÇÕES FINAIS

Os casos não previstos ou omissos neste documento deverão ser encaminhados para a área de tecnologia e segurança da informação da 2CX.