Resumidamente, esta Política visa demonstrar o comprometimento da UNISAÚDEMS em:
a) Proteger os direitos dos colaboradores, credenciados, prestadores/fornecedores de serviços e parceiros;
b) Adotar processos e regras que assegurem o cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção de dados pessoais;
c) Promover a transparência na forma em que a UNISAÚDEMS trata dados pessoais; e
d) Proteger a UNISAÚDEMS, bem como seus colaboradores, credenciados, prestadores/fornecedores de serviços e parceiros de riscos de incidentes de segurança que envolvam dados pessoais.
A UNISAÚDEMS considera que garantir o tratamento de dados pessoais realizado de forma legítima e em conformidade com as legislações vigentes é importantíssimo para o sucesso de suas atividades, bem como para resguardar sua imagem e credibilidade perante colaboradores, clientes, fornecedores, parceiros, público em geral e a Autoridade Nacional de Proteção de Dados (ANPD).
Esta Política também deverá ser observada por todos os integrantes da UNISAÚDEMS, sendo estabelecida como base cultural e procedimental em relação à proteção de dados e privacidade.
Havendo conflito entre as disposições desta Política e a legislação de proteção de dados aplicável, esta última prevalecerá.

Glossário
Política: Esta Política de Privacidade e Proteção de Dados.
UNISAÚDEMS: Caixa de Assistência à Saúde dos Servidores Públicos do Estado de Mato Grosso do Sul - UNISAÚDEMS.
LGPD: Lei nº 13.709/18 "Lei Geral de Proteção de Dados".
Dados Pessoais: Qualquer informação relativa a uma pessoa singular identificada ou identificável ("Titular"). É considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrônica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, econômica, cultural ou social dessa pessoa.
Dados Pessoais Sensíveis: Qualquer dado pessoal que diga respeito a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, bem como dado referente à saúde ou à vida sexual, dado genético ou biométrico.
Anonimização: Processo por meio do qual o dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, considerados os meios técnicos razoáveis e disponíveis no momento do tratamento.
Encarregado(a) de Dados: Pessoa responsável pela Proteção de Dados Pessoais na UNISAÚDEMS e pela comunicação com a ANPD e com os titulares, podendo também ser referenciado por Encarregado e contatável através do e-mail: protecaodedados@unisaudems.org.br.
Titular de Dados: Pessoa a quem os dados pessoais se referem, podendo também ser referenciado por Titular.
Tratamento: Qualquer operação efetuada sobre dados pessoais, por meios automatizados ou não automatizados, tais como a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.
Controlador(a): Pessoa a quem competem as decisões sobre o tratamento dos dados pessoais.
Operador(a): Pessoa que realiza o tratamento de dados pessoais em nome do(a) controlador(a).
ANPD: Autoridade Nacional de Proteção de Dados.
Comitê: Comitê Permanente de Segurança da Informação, Privacidade de Dados e Imagem.
Incidentes de Privacidade: Incidentes podem ser definidos como qualquer falha na observância dos pontos descritos nesta Política, que podem gerar risco de dano aos titulares de dados pessoais. Comunicações serão recebidas pelo Encarregado, que verificará o ocorrido.

4. Abrangência e distribuição
Esta Política se aplica à UNISAÚDEMS, bem como a todos os colaboradores que em algum momento possam ter contato com dados pessoais tratados pela, ou em nome da UNISAÚDEMS, em especial quando:
- A operação de tratamento tenha sido ou almeja ser realizada dentro do território nacional;
- A atividade de tratamento objetivar a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados dentro do território nacional; e
- Os dados pessoais objetos do tratamento tenham sido coletados dentro do território nacional.
Políticas adicionais podem ser criadas em casos específicos, principalmente se exigido por lei ou regulamento. Todos devem ter acesso a esta política, não sendo admitido o desconhecimento de seu conteúdo para justificar violações ou descumprimento das diretrizes estabelecidas.

5. Autoridade e responsabilidade

6. Diretrizes
A UNISAÚDEMS cuidará para que todas as atividades de tratamento de dados pessoais estejam em conformidade com os 10 (dez) princípios trazidos pela legislação sobre privacidade e proteção de dados.

6.1 Princípios norteadores da proteção de dados pessoais

Mais informações sobre os princípios norteadores da proteção de dados pessoais poderão ser encontradas na Lei Federal nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais (LGPD).

6.2 Bases legais para o tratamento de dados pessoais
Para que uma atividade de tratamento promovida pela UNISAÚDEMS seja considerada legítima e adequada à LGPD, ela deve estar acomodada em uma das hipóteses abaixo:

Observação: O Legítimo Interesse e o Consentimento são bases legais que exigem uma série de cuidados e medidas especiais, antes e durante o curso do tratamento de dados pessoais. Exigindo que os princípios da transparência, responsabilização e prestação de contas, previstos nos incisos VI e X do art. 6° da LGPD, encontrem especial ressonância quando das suas utilizações para o tratamento de dados.
Mais informações sobre as bases legais para o tratamento de dados pessoais e sensíveis poderão ser encontradas na Lei Federal nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais (LGPD).

6.3 Programa de privacidade
Para que o programa de privacidade da UNISAÚDEMS se mostre efetivo e produza resultados positivos, é importante que os pilares e procedimentos abaixo sejam constantemente observados durante as operações de tratamento de dados pessoais.

6.3.1 Gestão e governança
É importante que todos os pontos dessa Política sejam observados por todos aqueles descritos no item 4 acima (abrangência e distribuição). Além disso, é importante que esta observância e o cumprimento de todas as obrigações da lei sejam bem definidos, documentados e registrados.
Visando essa organização, a UNISAÚDEMS deverá seguir os pontos a seguir, na estruturação e operação de sua estrutura de governança em privacidade e proteção de dados.

6.3.1.1.1 Comitê
O Comitê deve se reunir trimestralmente e/ou extraordinariamente, quando necessário para apresentação e acompanhamento do programa de privacidade. Este deve ser composto por integrantes de áreas-chave da UNISAÚDEMS, capazes de deliberar e decidir sobre assuntos relacionados à privacidade e proteção de dados, incluindo representantes dos departamentos: jurídico, tecnologia da informação e encarregado de proteção de dados.
Adicionalmente, podem ser chamados, para deliberação de assuntos específicos, representantes dos departamentos envolvidos em atividades de tratamento de dados pessoais.
Os objetivos do Comitê são, principalmente, garantir a comunicação do programa de privacidade, e discutir e tomar decisões sobre novas atividades de tratamento, com base nos riscos levantados através de Relatórios de Impacto à Proteção de Dados Pessoais, conforme descrito na Resolução Normativa nº 010/CA/2022 que instituiu o Comitê.
Adicionalmente, o Comitê deverá sempre ser envolvido para tomar decisões a respeito de atividades de tratamento que envolvem riscos avaliados como altos. Caso o risco seja considerado muito alto, a decisão deverá ser dirigida ao Conselho de Administração da UNISAÚDEMS.

6.3.1.1.2 Encarregado de Proteção de Dados
O Encarregado de Proteção de Dados deve possuir conhecimentos jurídicos e técnicos relacionados à proteção de dados pessoais e experiência na área que sejam proporcionais ao nível de complexidade e sensibilidade das operações de tratamento de dados pessoais que a UNISAÚDEMS realiza.
O Encarregado de Proteção de Dados deve gozar de um grau razoável de independência do restante da administração, de modo a lhe permitir assegurar os direitos dos titulares de dados cujos dados pessoais são tratados. Suas funções não devem incluir atividades ou responsabilidades que possam conflitar com a responsabilidade da UNISAÚDEMS para com os titulares de dados pessoais.
A atuação do Encarregado de Proteção de Dados deve garantir a conformidade da UNISAÚDEMS em relação às leis e demais normas de privacidade e proteção de dados aplicáveis aos seus negócios, através do programa de privacidade. As suas principais atividades e atribuições são mais bem detalhadas no Regimento do Comitê de Privacidade.
Cabe ao Encarregado a decisão, em casos de risco baixo a moderado, sobre as atividades de tratamento de dados pessoais conduzidas pela UNISAÚDEMS. Caso o risco seja considerado alto, a decisão deverá ser escalada ao Comitê.
Por fim, o Encarregado deve auxiliar a esclarecer dúvidas e orientar demais membros da UNISAÚDEMS, durante a execução de suas atividades, quando envolverem operações de tratamento de dados pessoais.

6.3.1.2 Registro de operações de tratamento de dados pessoais
A UNISAÚDEMS manterá um registro de todas as suas operações de tratamento de dados pessoais, contendo, no mínimo, as seguintes informações sobre cada operação, registradas no documento Data Mapping/Matriz de Dados Pessoais:
I. Descrição do fluxo da informação em cada etapa de seu ciclo de vida (coleta, armazenamento, uso, compartilhamento – e neste caso, a finalidade para transferência – e descarte);
II. Base legal para tratamento;
III. Tipos de dados pessoais coletados;
IV. Finalidade para o qual o dado é tratado;
V. Local lógico (nuvem, servidor, laptop etc.) e geográfico onde o dado é tratado;
VI. Período de retenção do dado;
VII. Área responsável pelo dado; e
VIII. Volume aproximado de registros existentes.
Cada gestor/líder de processo será responsável por manter o registro atualizado, bem como atribuir responsáveis para cada atividade registrada.

6.3.1.3 Treinamentos
Todos os membros da UNISAÚDEMS que estejam envolvidos nas atividades de tratamento de dados pessoais deverão receber treinamentos periódicos, decididos pelo Comitê e organizado pelo Encarregado, especificamente sobre:
I. Conceitos gerais de Privacidade e Proteção de Dados, incluindo a apresentação desta política e de materiais de estudo sobre os princípios da LGPD; e
II. Conceitos específicos de Privacidade e Proteção de Dados, aplicados às atividades de cada área.
O treinamento referido no item "I" acima deverá fazer parte do procedimento de integração dos colaboradores da UNISAÚDEMS.

6.3.2 Transparência
Todas as operações envolvendo atividades de tratamento de dados pessoais de Titulares deverão observar a Política de Privacidade, Aviso de Privacidade e Cookies, Manual de Proteção de Dados, e demais documentos referentes a aplicação e instrução sobre a LGPD, disponíveis na Intranet/site da UNISAÚDEMS.
Além disso, no caso da UNISAÚDEMS promover a atividade que envolve o tratamento de dados pessoais de formas que excepcionalmente não se enquadram no respectivo Aviso de Privacidade, e caso, em razão disso, o respectivo documento não contenha informações claras e suficientes sobre os pontos elencados abaixo, aplicáveis a esta atividade, será necessária a apresentação de aviso específico para complementação das informações fornecidas ao titular, devendo ser validado pelo Encarregado e disponibilizado antes que os dados pessoais sejam efetivamente tratados:
- Escopo da atividade;
- Quais os dados envolvidos na atividade;
- Finalidade da atividade de tratamento;
- Forma e duração do tratamento;
- Descrição da forma de coleta, utilização, armazenagem e descarte das informações;
- Informações sobre os agentes de tratamento envolvidos na atividade; e
- A eventual existência de decisões automatizadas incorporadas na atividade.

6.3.3 Consentimento
O consentimento somente poderá embasar atividades de tratamento de dados pessoais em casos excepcionais. Nestes casos, o Encarregado deverá ser consultado para confirmar quanto à exigência de consentimento para a atividade, e a impossibilidade de seu enquadramento em outras bases legais, bem como revisar a forma de coleta do consentimento, se aplicável, que deverá observar os pontos a seguir:
- Manifestação livre: O titular deve fornecer o consentimento de maneira livre, sem que seja obrigado para tanto, por exemplo, usufruir do serviço/produto relacionado;
- Manifestação granular: O titular forneceu a sua autorização (consentimento) para que fosse realizado o tratamento em situações específicas e determinadas;
- Manifestação informada: O titular teve acesso ao aviso de privacidade correspondente à atividade na qual foi sujeitado, antes do fornecimento de sua autorização, garantindo possuir plena ciência da finalidade e dos limites da atividade de tratamento realizada;
- Manifestação inequívoca: O titular forneceu os seus dados pessoais, sem qualquer dúvida ou questionamento quanto aos limites da atividade.
Ainda, para garantir que o consentimento foi coletado de maneira correta, possibilitando inclusive a demonstração deste fator tanto ao próprio titular como para a Autoridade Nacional de Dados Pessoais, bem como para garantir ao titular o direito à revogação do consentimento, a UNISAÚDEMS realizará a documentação, o armazenamento e a gestão da autorização concedida, por meio de controle técnico e específico de gestão de consentimento.

6.3.4 Segurança
Para garantir a segurança dos dados pessoais tratados no exercício de suas atividades e evitar a ocorrência de acessos indevidos ou não autorizados, perda, destruição ou qualquer outra ação que comprometa a integridade, disponibilidade ou confidencialidade dessas informações, a UNISAÚDEMS manterá procedimentos e ferramentas implementadas, os quais seguem os mais altos padrões das normas técnicas de segurança da informação.
O Comitê, o Encarregado e as áreas responsáveis de segurança da informação da UNISAÚDEMS deverão trabalhar em conjunto para manter todos os dados pessoais tratados sempre seguros, maximizando a prevenção a exposições, vazamentos e acesso indevido.
A UNISAÚDEMS possui procedimento para casos de ocorrência de incidentes envolvendo dados pessoais, que pode ser encontrado e consultado por meio da Intranet > Diretório de Arquivos > Comitê de Segurança > Formulário Interno para Notificação de Incidentes de Segurança da Informação.
Para garantir que as medidas de segurança implementadas pela UNISAÚDEMS se mantenham sempre atualizadas e em consonância com as melhores práticas e ferramentas disponíveis atualmente no mercado, estes documentos passam por revisões periódicas, identificando e corrigindo eventuais falhas.

6.3.5 Coleta, uso, armazenamento e descarte de dados
Todas as atividades de tratamento de dados pessoais promovidas pela UNISAÚDEMS deverão ocorrer em respeito a todos os pilares deste documento, estando sempre atribuídas a uma base legal específica, conforme termos do item 6.2 acima (bases legais para o tratamento de dados pessoais).

6.3.5.1 Coleta de dados pessoais
O procedimento de coleta de dados pessoais deverá ser restrito àqueles essenciais para o cumprimento da finalidade primária determinada e informada ao titular dos dados, sempre observando a necessidade de manter atualizados os dados coletados.
Sempre que a coleta for feita em pontos ativos (onde os titulares fornecem seus próprios dados), os titulares dos dados pessoais deverão ser informados, antes da coleta, de todos os detalhes sobre a atividade de tratamento, nos termos do item 6.3.2 acima (Transparência).
Dados pessoais somente poderão ser coletados em pontos passivos (através de acesso a bases públicas/privadas de dados, por exemplo) se tais bases forem notoriamente fidedignas (atribuídas a órgãos ou entidades públicas e oficiais), se existir um contrato entre o provedor da base e a UNISAÚDEMS, ou mediante expressa autorização do Encarregado ou do Comitê.
Dados fornecidos por terceiros somente poderão ser recebidos mediante celebração de contrato que inclua a cláusula de privacidade robusta o suficiente, conforme orientações do departamento jurídico e do Encarregado, que deverão verificar a idoneidade de todos os terceiros que fornecem dados à UNISAÚDEMS. Nestes casos, os dados pessoais deverão possuir uma descrição completa do seu ciclo de vida, antes da realização do compartilhamento, garantindo que, em nenhuma destas etapas, tenha ocorrido qualquer forma de tratamento ilícito ou inadequado.

6.3.5.2 Uso de dados pessoais
A utilização dos dados pessoais deverá estar limitada à expectativa que o titular dos dados possuía quando da realização da coleta das informações (inclusive se a coleta foi realizada por terceiros), sendo que, na eventual hipótese de necessidade de alteração da finalidade previamente informada ao titular, este deverá ser novamente informado sobre as intenções da UNISAÚDEMS, avaliando a necessidade de qualquer adequação.
O mesmo dado jamais poderá ser utilizado para outra finalidade, exceto com a ciência/expectativa do titular.

6.3.5.3 Armazenamento de dados pessoais
O armazenamento de dados pessoais deverá ser realizado pelo tempo mínimo necessário para atendimento da finalidade pretendida e cumprimento de eventuais obrigações legais que regulam determinada atividade de tratamento.
Sendo cumprida a finalidade e observados os prazos legais de necessária retenção da informação, os dados deverão ser descartados.
Alternativamente, como para fins estatísticos e de pesquisa, dados pessoais poderão passar por procedimento de anonimização permanente, validado pelo Encarregado.

6.3.5.4 Tratamento de dados pessoais sensíveis
A legislação de proteção de dados pessoais classifica alguns tipos de dados pessoais como dados sensíveis, dada a capacidade que possuem de gerar discriminação ao titular destas informações.
A LGPD classifica as seguintes informações como dados pessoais sensíveis: a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando relacionados a um indivíduo.
Em regra, a UNISAÚDEMS não trata dados sensíveis para suas operações, utilizando-os apenas para finalidades internas. Não obstante e em todo caso, para que as atividades de tratamento de dados pessoais sensíveis sejam consideradas lícitas e legítimas, se faz necessário o enquadramento destas atividades em uma das bases legais previstas pela LGPD, nos termos do item 6.2 acima (Bases legais para o tratamento de dados pessoais).
Adicionalmente, dados sensíveis deverão receber a máxima prioridade na segurança, nos termos das Política de Privacidade vigentes.

6.3.5.5 Tratamento de dados pessoais de crianças e adolescentes
Da mesma forma, o tratamento de dados pessoais de "crianças" e "adolescentes" deve ser situação excepcionalíssima. Nestes casos remotos, ele somente deverá ser realizado:
- Visando o melhor interesse de tais indivíduos, ou seja, com a finalidade de beneficiá-los, ainda que de forma indireta;
- De forma clara e compreensível, de modo que informações destinadas a este público deverão ser prestadas de modo claro, acessível, consideradas as condições físico-motoras, perceptivas, sensoriais, intelectuais e mentais dos destinatários, com o uso de recursos audiovisuais, quando adequado.
Quando do tratamento dos dados de "crianças", deverá, necessariamente, haver a coleta do consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal, mantendo públicas as informações sobre o tipo de dados coletados, a forma de utilização e as garantias dos demais direitos dos titulares assegurados pela lei.

6.3.5.6 Relatório de impacto à proteção de dados pessoais
Os relatórios de impacto à proteção de dados pessoais são documentos que contêm a descrição dos processos que envolvem o tratamento de dados pessoais que, por sua natureza, são passíveis de gerar riscos às liberdades civis e individuais dos titulares dos dados pessoais. A elaboração deste documento será exigível em especial quando:
- Da realização de operações de tratamento de dados pessoais sensíveis;
- Da realização e condução de operações que, por sua natureza, realizem o tratamento de dados críticos, passíveis de gerar altos riscos aos titulares de dados pessoais em caso de ocorrência de incidentes envolvendo tais informações; e
- A operação de tratamento de dados pessoais que estiver amparada na base legal do interesse legítimo.
Em caso de necessidade de elaboração deste documento, a obrigatoriedade primária de elaboração será do gestor da área responsável pela operação, tendo o Encarregado pela proteção de dados pessoais da UNISAÚDEMS o papel primordial de avaliar o documento preparado por este gestor e elaborar um parecer final sobre a atividade de tratamento.
Ainda, o Encarregado da UNISAÚDEMS disponibilizará um modelo específico a ser seguido, o qual, dentre outras coisas, conterá: (i) a descrição dos tipos de dados coletados; (ii) a metodologia utilizada para a coleta e para a garantia da segurança das informações; e (iii) a análise do controlador com relação a medidas salvaguardas e mecanismos de mitigação de risco adotados.
Via de regra, tais documentos não deverão ser publicados ou disponibilizados, contudo, poderão ser objeto de requisição da Autoridade Nacional de Proteção de Dados Pessoais, a qualquer tempo.

6.3.6 Direitos dos titulares
Em toda atividade de tratamento de dados pessoais, a UNISAÚDEMS deverá buscar garantir os direitos dos titulares abaixo. Em todos os casos, a identidade dos titulares requerentes deverá ser verificada e o atendimento deverá ocorrer sob a orientação do Encarregado.
A UNISAÚDEMS possui um canal aberto para recebimento de requisições de exercício dos direitos dos titulares, disponível por meio do endereço eletrônico: protecaodedados@unisaudems.org.br. Este canal está disponível para beneficiários, colaboradores, credenciados, parceiros ou terceiros que possuam dados pessoais sob o escopo de tratamento.
Eventual decisão de recusa no atendimento às requisições de titulares deverá ser validada pelo Encarregado.

6.3.6.1 Direito à informação e ao acesso
Ao titular, mediante sua expressa requisição, é garantido o direito de confirmação da existência de tratamento de seus dados pessoais. A UNISAÚDEMS utilizará meios eficazes, cuja gestão e operacionalização será supervisionada pelo Encarregado, para fornecer cópia dos dados pessoais, mediante requisição do titular, por meio eletrônico no site da UNISAÚDEMS (https://unisaudems.org.br/lgpd/direitos-do-titulares-de-dados), seguro e idôneo para esse fim ou sob forma impressa.
Se em formato simplificado, o conjunto de dados deve ser entregue imediatamente. Se exigido de forma completa, deverá ser fornecido no prazo de até 15 (quinze) dias, contado da data do requerimento do titular contendo as informações que seguem: Inexistência de registro; origem dos dados; critérios utilizados; e finalidade do tratamento.
Para os casos em que o tratamento tiver como origem o consentimento do titular ou contrato celebrado com o titular, este poderá solicitar cópia eletrônica integral de seus dados pessoais em formato que permita a sua utilização subsequente, inclusive em outras operações de tratamento.

6.3.6.2 Direito à retificação
O titular terá o direito de obter, a qualquer momento e mediante requisição, a correção de seus dados pessoais, quando incompletos, inexatos ou desatualizados.

6.3.6.3 Direito à exclusão, anonimização e bloqueio dos dados pessoais
O titular terá o direito de obter, a qualquer momento e mediante requisição, a eliminação, a anonimização ou o bloqueio de seus dados pessoais, quando as informações objeto de requisição se mostrarem excessivas, ou o tratamento dado pelo controlador estiver em desconformidade com as determinações da LGPD.
Em hipótese de ocorrência de requisições de eliminação de dados pessoais, a UNISAÚDEMS, considerando que nenhum direito possui caráter absoluto, deverá verificar se o tratamento dos dados objeto de requisição se justifica em algumas das hipóteses abaixo, caso em que a solicitação e, por consequência, o direito do titular dos dados não deverá prevalecer:
- Cumprimento de obrigação legal ou regulatória;
- Estudo por órgão de pesquisa;
- Transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos em lei; ou
- Uso exclusivo do Controlador, vedado seu acesso por terceiros, e desde que os dados sejam mantidos anonimizados.

6.3.6.4 Direito à oposição
É garantido ao titular o direito de, a qualquer momento e mediante requisição, opor-se ao tratamento de seus dados pessoais, quando a base legal que originou o tratamento não for o consentimento. Neste mesmo sentido, este direito só será garantido e exercível quando a UNISAÚDEMS deixar de observar e cumprir algumas das disposições trazidas na legislação que trata sobre o tema.

6.3.6.5 Direito à portabilidade
O titular tem direito de, a qualquer momento e mediante requisição, solicitar a portabilidade dos seus dados pessoais a outro fornecedor de serviço ou produto. Para tal, recomendamos que os dados pessoais do titular requerente sejam desvinculados de dados de outros titulares, e fornecidos em formato Interoperável, tal como XLS, CSV ou JSON.

6.3.6.6 Direitos atrelados ao consentimento
O titular tem direito de, a qualquer momento e mediante requisição, solicitar informação sobre a possibilidade de não fornecer consentimento e as consequências de sua negativa, bem como de revogar o consentimento anteriormente fornecido.

6.3.7 Compartilhamento de dados pessoais com terceiros
Na hipótese de a UNISAÚDEMS objetivar a transferência ou o compartilhamento de dados pessoais para terceiros ("operadores"), para a prestação de um serviço específico ou atendimento de uma demanda pontual, a UNISAÚDEMS deverá, necessariamente, celebrar instrumentos contratuais robustos, capazes de garantir a integridade e a confiabilidade das informações compartilhadas, bem como o respeito às normas específicas relativas à privacidade e proteção de dados pessoais, com a utilização do banco cláusulas-padrão, que deverá ser anualmente validado e revisado pelo Encarregado, e aplicado seguindo o Procedimento de Contratos da UNISAÚDEMS, bem como a seguinte matriz:

6.3.7.1 Transferência internacional de dados pessoais
Na hipótese de transferência de dados pessoais para países estrangeiros, a UNISAÚDEMS deverá adotar uma das salvaguardas a seguir, necessárias para garantir a integridade, a disponibilidade e a confidencialidade dos dados pessoais, conforme regulações da Autoridade Nacional de Proteção de Dados:
- Caso os dados pessoais sejam transferidos para países com níveis de proteção de dados pessoais considerado como adequado pela ANPD;
- Quando a UNISAÚDEMS fornecer salvaguardas adequadas, no formato de: (i) cláusulas contratuais específicas para determinada transferência; (ii) cláusulas-padrão contratuais; (iii) normas corporativas globais; e (iv) selos, certificados e códigos de conduta regularmente emitidos;
- Caso coletado o consentimento específico do titular de dados pessoais;
- Quando exigido por Lei para a tutela da saúde e demais circunstâncias específicas; ou
- Quando expressamente autorizado pela Autoridade Nacional de Dados Pessoais.

6.4 Responsabilidades
Para que a presente Política produza os efeitos pretendidos, é de grande importância que todos os colaboradores, gestores, diretores, credenciados, prestadores de serviços, dentre outros, observem as disposições contidas neste documento, levando em consideração que os atos de quaisquer colaboradores da UNISAÚDEMS poderão repercutir para a UNISAÚDEMS como um todo, produzindo efeitos de magnitudes não previsíveis.
Assim, com o apoio dos responsáveis descritos no item 6.3.1.1 acima, para a garantia do cumprimento das normas de privacidade e proteção de dados pessoais, os pontos a seguir devem ser observados por todos, sem prejuízo dos demais pontos desta política:
- Os colaboradores possuem como dever primário o de garantir a integridade, disponibilidade e confidencialidade dos dados pessoais tratados no exercício de sua função;
- O tratamento dos dados pessoais deverá, necessariamente, observar as finalidades propostas, não permitido o tratamento incompatível, excessivo ou para finalidades diversas, sem que haja a expressa autorização da UNISAÚDEMS, o qual previamente validou esta nova finalidade com o Titular das informações;
- O colaborador deverá se utilizar do mínimo de informações necessárias para o cumprimento das finalidades pretendidas e regular exercício de suas funções;
- Os dados pessoais tratados no exercício da função deverão necessariamente ser armazenados em local seguro e oficialmente aprovados pela UNISAÚDEMS, sendo vedado o armazenamento não autorizado em ambientes próprios, como notebooks ou área de trabalho de computadores;
- Os dados pessoais tratados no exercício da função não poderão ser apagados, deletados ou anonimizados, sem que haja comando direto da UNISAÚDEMS para tanto;
- Os dados pessoais tratados no exercício da função, como regra, não poderão ser enviados para endereços de e-mail pessoal ou dispositivos remotos como pen drives.
Feitas as recomendações básicas necessárias, todos os colaboradores e terceiros terão à disposição o atendimento do Encarregado de Proteção de Dados Pessoais da UNISAÚDEMS.

7. Documentos relacionados

Conselho de Administração da Caixa de Assistência à Saúde dos Servidores Públicos do Estado de Mato Grosso do Sul - UNISAÚDEMS
Revisão Março 2024.