Política de privacidade da UniEx

Esta Política de Privacidade tem como objetivo tornar público o tratamento de dados pessoais realizado no âmbito da UniEx (Universidade Executiva), plataforma de e-learning da Executiva Inteligência em Terceiros, incluindo quais dados pessoais são tratados, suas finalidades e bases legais aplicáveis, onde e por quanto tempo os dados são armazenados, com quem são compartilhados, bem como os direitos dos titulares e os canais disponíveis para seu exercício.

A UniEx é a universidade corporativa da Executiva Inteligência em Terceiros: uma plataforma de e-learning na qual os clientes da Executiva disponibilizam cursos, integrações, treinamentos, capacitações e avaliações para seus colaboradores, próprios ou terceirizados.

A operação da plataforma (criação e parametrização de cursos, prazos, obrigatoriedade, nota mínima, número de tentativas e demais configurações) é realizada pela Executiva, conforme as necessidades e instruções de cada cliente. O conteúdo e as regras dos cursos são definidos pelo cliente. O participante (titular dos dados) acessa a plataforma diretamente, realiza os cursos e avaliações e pode obter certificados, disponibilizados para download.

Determinados usuários do cliente podem possuir acesso de visualização, para consulta de notas, acompanhamento e exportação de relatórios.

Caso tenha qualquer dúvida sobre o conteúdo desta Política, entre em contato conosco diretamente pelo e-mail: lgpd@executiva.com.br.

Dado pessoal é qualquer dado que permita identificar (de forma direta ou indireta) uma pessoa física. Nome, RG, CPF, data de nascimento, endereço, foto, sexo, IP de um dispositivo, entre outros.

Quando um dado pessoal permite, além de identificar um indivíduo, revelar sua origem racial, convicção religiosa, identidade e/ou preferência sexual, filiação partidária e/ou sindical, estado de saúde, ou que contenha dados biométricos ou genéticos, este é considerado um dado pessoal sensível. As imagens faciais utilizadas para verificação de identidade no módulo de Reconhecimento Facial constituem dados biométricos e, portanto, dados pessoais sensíveis.

No âmbito da UniEx, o tratamento de dados pessoais dos participantes é realizado pela Executiva na qualidade de operadora, por conta e sob as instruções de cada cliente contratante, a quem cabe o papel de controlador. A definição das finalidades específicas, das bases legais e dos prazos de retenção aplicáveis a cada curso é atribuição do controlador, no exercício de seu poder de decisão sobre o tratamento, formalizada por meio da parametrização de privacidade realizada junto à Executiva.

As finalidades variam conforme os cursos que cada cliente habilita. A Executiva, como detentora de conhecimento técnico sobre o tema, entende e sugere a seus controladores que os tratamentos realizados na UniEx comumente se enquadram nas seguintes finalidades:

• Integração (onboarding) de colaboradores terceirizados ou próprios;

• Treinamentos obrigatórios de segurança e saúde no trabalho (SST/NRs), com registro e comprovação de sua realização;

• Capacitações técnicas e desenvolvimento profissional;

• Ações de engajamento, cultura e vivência organizacional;

• Gestão de conta e acesso à plataforma;

• Verificação de identidade e controle de presença por reconhecimento facial, quando o módulo estiver contratado e habilitado no curso.

Em todas as hipóteses, o enquadramento sugerido constitui orientação da Executiva, sujeita à avaliação e à confirmação do controlador, que permanece responsável por determinar e documentar a finalidade e a base legal adequadas ao seu contexto.

O exercício de direitos pelo titular e o esclarecimento sobre as finalidades e bases legais do tratamento devem ser dirigidos ao respectivo controlador; a Executiva, quando acionada, atua de forma cooperativa, encaminhando a solicitação ao cliente responsável e prestando o apoio operacional cabível.

O tratamento de dados pessoais e de dados pessoais sensíveis na UniEx ocorre de acordo com as hipóteses legais previstas nos artigos 7º e 11 da LGPD, conforme definição do controlador (cliente). A Executiva entende e sugere os enquadramentos a seguir, que permanecem sujeitos à avaliação e confirmação de cada controlador.

Para os dados pessoais comuns (Art. 7º):

• Cumprimento de obrigação legal ou regulatória pelo controlador (Art. 7º, II) – típico dos treinamentos obrigatórios por norma, como as NRs;

• Atendimento aos interesses legítimos do controlador ou de terceiro (Art. 7º, IX) – típico de integrações gerais, capacitações técnicas, ações de engajamento e gestão de conta.

Para os dados pessoais sensíveis (Art. 11) – dados biométricos do módulo de Reconhecimento Facial:

• Garantia da prevenção à fraude e da segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos (Art. 11, II, “g”).

Ressalva-se que as hipóteses do Art. 7º – inclusive a execução de contrato e o legítimo interesse – não se aplicam a dados pessoais sensíveis, cujo tratamento observa exclusivamente as hipóteses do Art. 11 da LGPD.

Os dados descritos nesta seção são, em regra, dados pessoais comuns. Os dados biométricos do módulo de Reconhecimento Facial, expressamente sinalizados, constituem dados pessoais sensíveis, nos termos do Art. 5º, II da LGPD.

Os dados cadastrais do participante são reaproveitados de seu cadastro no SG3, conforme descrito na Política de Privacidade do SG3, e compreendem:

• Nome completo

• E-mail

• CPF (utilizado como identificador/login)

• Cliente (tomador) ao qual está vinculado

• Fotografia do rosto (proveniente do cadastro no SG3)

• Credenciais de autenticação e perfil de acesso

• Matrículas e inscrições em cursos

• Progresso, tentativas e tempo de realização

• Notas e resultados de avaliações

• Status de conclusão e aprovação

• Certificados emitidos

• Interações realizadas na plataforma, quando habilitadas nas atividades do curso

• Imagens faciais capturadas periodicamente pela webcam durante a realização de cursos com o módulo habilitado

• Fotografia de perfil utilizada como referência de comparação (nesse uso, tratada como dado biométrico)

• Resultado da verificação de identidade (confirmada ou não confirmada), com data e hora

• Logs de acesso e uso da plataforma

• Dados técnicos básicos (ex.: IP, sessão, cookies)

• Indicadores de participação, conclusão e aproveitamento

• Relatórios consolidados disponibilizados ao controlador

O Reconhecimento Facial é um módulo adicional da UniEx, contratado à parte pelo cliente e habilitado exclusivamente nos cursos por ele definidos. Sua finalidade é verificar a identidade do participante e confirmar sua presença durante a realização de cursos, treinamentos e avaliações, prevenindo fraudes e garantindo a validade das capacitações e certificações realizadas na plataforma.
Como funciona:

• O cliente (controlador) habilita o módulo apenas nos cursos desejados;
  Antes do início, o participante é informado sobre a utilização da webcam e sobre o tratamento de seus dados biométricos;

• Durante a realização do curso, o sistema verifica continuamente a presença de um rosto em frente à câmera;

• Imagens são capturadas periodicamente por meio de plugin de proctoring executado no próprio ambiente da UniEx (solução de código aberto; os dados não são enviados ao desenvolvedor do plugin);

• A primeira imagem capturada é validada automaticamente, por comparação com a fotografia de perfil existente no cadastro do SG3, por meio do serviço Amazon Rekognition;

• As duas imagens são enviadas ao serviço exclusivamente para a comparação pontual; o serviço não armazena as imagens nem cria ou retém modelos ou vetores biométricos (não há uso de coleções);

• As demais imagens capturadas são auditadas por revisores humanos, colaboradores da própria Executiva.

Retenção: as imagens capturadas são armazenadas em ambiente seguro de nuvem, com prazo de retenção próprio, definido por política de ciclo de vida do armazenamento e independente do prazo de retenção do curso, findo o qual são eliminadas automaticamente. O registro do resultado da verificação (identidade confirmada ou não, data e hora) acompanha o prazo de retenção definido pelo controlador para o curso correspondente.

Por envolver dado pessoal sensível, o tratamento ampara-se na hipótese do Art. 11, II, “g” da LGPD (prevenção à fraude e segurança do titular em processos de identificação e autenticação em sistemas eletrônicos), conforme definição do controlador, a quem cabe manter o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) correspondente.

A UniEx realiza decisões automatizadas que podem afetar o participante, nos termos do Art. 20 da LGPD, em duas situações principais:

• Correção automática de avaliações: as notas são atribuídas automaticamente,
  com base no gabarito e na pontuação parametrizados conforme definição do cliente (controlador).
  A revisão dessas correções pode ser solicitada ao gestor ou ao cliente responsável pelo curso,
  que definiu os critérios de avaliação;

• Verificação de identidade por reconhecimento facial (quando contratada e habilitada):
  a confirmação de presença é realizada de forma automatizada e, nos casos não confirmados,
  submetida a validação complementar por revisores humanos, colaboradores da própria Executiva.
  A não confirmação da identidade implica a reprovação no curso,
  sendo assegurado ao titular solicitar a revisão da decisão pelos canais indicados na seção de Direitos do Titular.

• Pelo reaproveitamento dos dados cadastrais existentes no SG3;

• Pelo uso da plataforma (realização de cursos, avaliações e interações);

• Pela captura de imagens via webcam, exclusivamente nos cursos com o módulo de Reconhecimento Facial habilitado.

Os dados cadastrais dos participantes da UniEx são provenientes do cadastro realizado no SG3, e os resultados de treinamentos podem retroalimentar os registros de conformidade mantidos naquele sistema, conforme parametrização do cliente. O tratamento ocorre de forma integrada, respeitando as finalidades específicas de cada solução e as bases legais aplicáveis. A Política de Privacidade do SG3 complementa as informações aqui previstas e está disponível em: https://www.executiva.com.br/portal-de-privacidade/

Para a prestação do serviço, a Executiva utiliza ferramentas e fornecedores que tratam dados pessoais por sua conta e ordem, na condição de suboperadores: tratam os dados exclusivamente para as finalidades e conforme as instruções da Executiva, sob contrato que prevê garantias de proteção de dados e segurança da informação, sem utilizá-los para finalidades próprias.

Suboperadores:

Amazon AWS

• Papel: suboperadora (infraestrutura de nuvem e serviço de comparação facial Amazon Rekognition, quando o módulo estiver habilitado);

• Finalidade: hospedagem e armazenamento dos dados em infraestrutura de nuvem, sem acesso ao conteúdo para finalidades próprias do provedor, e processamento das comparações faciais do módulo de Reconhecimento Facial;

• Dados: todos os dados pessoais previstos nesta Política, na medida em que armazenados na plataforma; imagens faciais, no âmbito do módulo de Reconhecimento Facial;

• CNPJ: 23.412.247/0001-10;

• Transferência internacional: ocorre — os dados são hospedados na região Norte da Virgínia (Estados Unidos). Ver Seção “Transferência internacional de dados”.

O acesso do cliente (controlador) a notas, indicadores e relatórios de seus próprios colaboradores não constitui compartilhamento com terceiro: trata-se do acesso do controlador aos dados tratados em seu nome.

A relação de suboperadores é revisada periodicamente; novos suboperadores são contratados sob as mesmas garantias contratuais de proteção de dados.

Os prazos de retenção são definidos pelo controlador (cliente), por curso e por finalidade, de acordo com suas necessidades e obrigações específicas, e são parametrizados na plataforma pela Executiva. Ao término do prazo definido, os dados vinculados são sinalizados e submetidos ao fluxo de exclusão da plataforma.

Os dados de conta e cadastro do participante são vinculados ao seu cadastro no SG3 e seguem o prazo de retenção aplicável àquele sistema, conforme a Política de Privacidade do SG3.

Os certificados baixados pelo participante permanecem em seu poder e não são afetados pela exclusão dos dados na plataforma.

O titular pode exercer os direitos previstos no Art. 18 da LGPD, incluindo:

• Confirmação da existência de tratamento

• Acesso aos dados

• Correção de dados

• Eliminação, anonimização ou bloqueio

• Revisão de decisões automatizadas (Art. 20), inclusive quanto à verificação por reconhecimento facial

Para atendimento às solicitações, poderá ser necessária a apresentação de documentos oficiais para comprovação da identidade do titular e/ou de seu representante legal, inclusive mediante procuração. As decisões sobre finalidades, bases legais e prazos cabem ao controlador, ao qual as solicitações pertinentes serão encaminhadas.

O canal de atendimento é: https://www.executiva.com.br/formulario-de-privacidade/ ou lgpd@executiva.com.br.

Os dados tratados na UniEx são armazenados em infraestrutura de nuvem localizada nos Estados Unidos (região Norte da Virgínia), o que caracteriza transferência internacional de dados, nos termos do Art. 33 da LGPD.

Nossas transferências internacionais estão respaldadas no disposto no Art. 33 da LGPD, em especial no Item II, alínea “d”, por meio da adoção de selos, certificados e códigos de conduta regularmente emitidos.

Essas transferências estão respaldadas principalmente na utilização de provedores de serviços que adotam padrões internacionais reconhecidos de segurança da informação e privacidade de dados. Garantimos que os fornecedores responsáveis pelo armazenamento de dados em ambiente internacional possuem certificações e comprovações formais de conformidade, emitidas por organismos independentes, incluindo, entre outras, ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, PCI DSS e SOC 2 e 3, as quais são renovadas periodicamente.

Como salvaguarda técnica adicional, a Executiva adota criptografia dos dados em trânsito e em repouso, sob o modelo de responsabilidade compartilhada do provedor de nuvem, de forma que o conteúdo armazenado permaneça ilegível a terceiros não autorizados.

A UniEx pode utilizar recursos tecnológicos baseados em inteligência artificial, em especial no módulo de Reconhecimento Facial, no qual a comparação de imagens é realizada por serviço especializado de visão computacional (Amazon Rekognition).

Nas situações em que essas funcionalidades possam impactar o titular – como a confirmação de presença e a validade da certificação – a Executiva adota medidas para garantir a possibilidade de revisão das análises realizadas, conforme descrito na seção de Decisões automatizadas e revisão humana.

A UniEx destina-se, em regra, a colaboradores maiores de 18 anos. Quando houver participantes adolescentes – como jovens aprendizes -, o tratamento de seus dados pessoais observará o melhor interesse do menor, nos termos do Art. 14 da LGPD, conforme instruções do controlador.

A plataforma utiliza cookies essenciais ao seu funcionamento – como o cookie de sessão, necessário à autenticação e à navegação – e cookies funcionais de conveniência, como o de memorização do usuário no acesso. Cookies de análise, quando utilizados, destinam-se à melhoria da experiência e do desempenho da plataforma.

• Não existe relação contratual direta entre a Executiva e os participantes da UniEx, salvo casos específicos, por intermédio do cliente em comum;

• A Executiva atua como operadora de dados, sob instruções do controlador;

• O acesso à plataforma é restrito às partes autorizadas.

Esta Política poderá ser atualizada a qualquer momento para refletir mudanças tecnológicas, operacionais ou legais.