AVISO.PRIV.INT.PDF.CARBOOX

Política de Dados Fundamental (PDF) Aviso de Privacidade Interno (API) SUMÁRIO 1 Apresentação............................................................................................................................................................................................... 2 2 Dados Que Tratamos ................................................................................................................................................................................... 3 3 Coletando Dados Pessoais............................................................................................................................................................................ 5 4 Utilizando Dados Coletados ......................................................................................................................................................................... 6 5 Outros Dados Que Podemos Coletar ............................................................................................................................................................ 8 6 Finalidade do Tratamento............................................................................................................................................................................ 9 7 Dados Especiais e Sensíveis ........................................................................................................................................................................ 10 7.1 Justificativa ..................................................................................................................................................................................... 10 7.2 Nossas Obrigações como Empregador ............................................................................................................................................. 10 7.3 Consentimento................................................................................................................................................................................ 11 7.4 Dados Públicos ................................................................................................................................................................................ 11 7.5 Cookies............................................................................................................................................................................................ 12 8 Tomada de Decisão Automatizada............................................................................................................................................................. 13 9 Terceiros .................................................................................................................................................................................................... 14 9.1 Por Que Compartilhamos Seus Dados.............................................................................................................................................. 14 9.2 Provedores de Serviço ..................................................................................................................................................................... 15 9.3 Seus Dados Pessoais em Segurança ................................................................................................................................................. 15 10 Transferência Internacional de Dados................................................................................................................................................... 16 11 Segurança dos Dados............................................................................................................................................................................ 17 12 Retenção de Dados ............................................................................................................................................................................... 18 13 Seus Direitos......................................................................................................................................................................................... 19 14 Retirar seu Consentimento.................................................................................................................................................................... 20 15 Consultas, Contatos e Reclamações ...................................................................................................................................................... 21 16 Alterações ............................................................................................................................................................................................ 22

1 Apresentação Nossa organização está fortemente comprometida em garantir a segurança de seus dados pessoais em todos os momentos. Este Aviso de Privacidade, ou simplesmente Aviso, descreve como tratamos, a partir da coleta, seus dados pessoais, durante e após seu relacionamento conosco, conforme a legislação de proteção de dados brasileira e as demais normas aplicáveis. O presente Aviso se aplica também a todos os nossos empregados e contratados, inclusive executivos e ocupantes de cargos de gestão e confiança. Essa aplicação compreende todas essas pessoas, antigas, atuais e futuras, em suas relações de serviço, emprego e trabalho com a CARBOOX. É muito importante que você leia e compreenda este Aviso, e também qualquer outra política ou aviso de privacidade que possamos fornecer em ocasiões específicas quando estamos coletando ou processando dados pessoais sobre você, para que você esteja ciente de como e por que estamos fazendo uso de tais dados. Ao longo deste documento, nos referimos à Lei Geral de Proteção de Dados brasileira, ou LGPD, significando a Lei nº 13.709/18, e para os efeitos deste Aviso a CARBOOX é a controladora dos dados pessoais que tratamos, a menos que indicado de outra forma.

2 Dados Que Tratamos Para os efeitos deste Aviso, os termos “dado” e “dados” e as expressões “dado pessoal” e “dados pessoais” se referem a qualquer elemento que identifique ou possa identificar um indivíduo vivo, uma pessoa física com existência atual. Esses termos e expressões não se aplicam a dados cujos recursos de identificação de uma pessoa foram removidos, como os dados anônimos. Sob este Aviso, tratamos, desde a coleta, certas categorias de dados pessoais, tais como os adiante mencionados: • Certificações técnicas e profissionais; • Data e local de nascimento; • Endereço, telefones e correio eletrônico; • Estado civil e gênero; • Experiência profissional; • Filiação; • Formação profissional; • Habilidades personalizadas; • Identificadores bancários; • Identificadores de crédito; • Identificadores numéricos: CPF, RG, CNH, passaporte, PIS, CTPS, registro profissional, NIS e similares; • Identificadores sociais; • Nacionalidade; • Naturalidade; • Nome e outros dados pessoais de cônjuge e filhos; • Nome; • Profissão; • Redes sociais; • Referências de outros empregadores e contratantes; • Registros e outros dados pessoais de diferentes categorias; e • Telefones.

Pode ser que, sob circunstâncias específicas, tenhamos que tratar, desde a coleta, dados pessoais de categorias especiais, cuja sensibilidade requer um nível mais alto de proteção. Eles incluem, por exemplo, os seguintes elementos: • Biometria; • Condenações criminais e delitos em geral; • Elementos de saúde, incluindo condição médica e registro de doenças; • Elementos sobre raça ou etnia, crenças religiosas e orientação sexual; • Filiação sindical; e • Identificadores genéticos.

3 Coletando Dados Pessoais Coletamos dados pessoais, inclusive sobre empregados, trabalhadores e contratados, de variados modos e junto a diferentes fontes, tais como: • Agências e especialistas em carreira e emprego; • Bancos de dados públicos; • Currículos que nos são enviados; • Diretamente dos titulares; • Processos de inscrição para vagas disponíveis; • Processos de seleção e recrutamento; • Verificadores de antecedentes; e • Verificadores de referência de crédito. Tratamos, desde a coleta, dados pessoais inclusive durante as atividades relacionadas ao trabalho e enquanto você trabalha para nós ou de acordo com a duração de seu contrato conosco.

4 Utilizando Dados Coletados Nossa empresa está constantemente comprometida em só utilizar os dados pessoais que trata como a legislação de proteção de dados pessoais nos permite ou autoriza, e mesmo assim debaixo de uma finalidade específica, estabelecida em cada tratamento pela pessoa responsável pelo processo, e de uma base legal, dentre as previstas nos artigos 7º e 11 da Lei Geral de Proteção de Dados. A finalidade do tratamento dos dados pessoais pode variar muito, conforme o contexto e as circunstâncias de cada evento, mas, geralmente, compreende: • Atender a interesses legítimos (nossos ou de terceiros); • Cumprir uma obrigação legal ou regulamentar; • Executar o contrato que temos com você; • Fornecer referências sob pedido de atuais ou ex-empregados; • Garantir uma gestão eficaz de RH e negócios; • Manter e promover igualdade no local de trabalho; • Manter registros e dados de contato precisos e atualizados (como detalhes de quem contatar em caso de emergência) e registros de direitos contratuais e estatutários; • Obter assessoria em saúde ocupacional, inclusive quanto a deveres sobre pessoas com deficiência e em condição previdencial especial; • Operar e manter registro do desempenho dos empregados e processos relacionados, para planejar o desenvolvimento de carreira e gestão da força de trabalho; • Operar e manter um registro de outros tipos de licença (maternidade, paternidade, adoção e parental), garantir cumprimento dos deveres em relação à licença e que os empregados estejam recebendo seu salário e outros benefícios a que têm direito; • Operar e manter um registro de procedimentos de gestão de ausência, para permitir a gestão efetiva da força de trabalho e garantir que os empregados estejam recebendo seu salário e outros benefícios a que têm direito; • Operar e manter um registro de processos disciplinares e de reclamação, para garantir uma conduta aceitável no ambiente de trabalho; e • Responder e ter defesa contra reivindicações legais e judiciais.

A base legal para que utilizamos para tratar seus dados também pode variar conforme a categoria deles e a finalidade do tratamento, mas, em resumo, incluem: • Atendimento a interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; • Consentimento; • Cumprimento de obrigação legal ou regulatória; • Execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados; • Exercício regular de direitos em processo judicial, administrativo ou arbitral; • Proteção da vida ou da incolumidade física do titular ou de terceiro; • Proteção do crédito; • Realização de estudos por órgão de pesquisa; ou • Tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Isso quer dizer que não tratamos seus dados pessoais, inclusive retendo, armazenando ou transferindo, a menos que tenhamos uma razão apropriada para fazê-lo.

5 Outros Dados Que Podemos Coletar Pode ser que, em algumas situações e sob certas circunstâncias, precisemos coletar certos dados específicos sobre você, geralmente para nos ajudar a confirmar sua identidade e garantir seu direito de acessar dados pessoais em nossa empresa, caso você se torne nosso empregado ou contratado. Essa, na verdade, é mais uma das medidas de segurança apropriadas para garantir que os dados pessoais não sejam divulgados a uma pessoa que não tenha o direito de acessá-los. Se você não fornecer certos elementos quando solicitado, podemos não ser capazes de executar o contrato que firmamos com você e também podemos ser impedidos de cumprir fielmente nossas obrigações legais e regulamentares (como garantir a saúde e a segurança de nossos trabalhadores).

6 Finalidade do Tratamento Quando tratamos seus dados pessoais, já a partir da coleta temos sempre uma finalidade específica, objetiva e justificada, autorizada ou não proibida pela legislação. Nós só trataremos seus dados, em geral, para essa finalidade, a menos que, de maneira séria e responsável, consideremos razoavelmente que precisamos utilizá-los por outra razão e essa razão é minimamente compatível com a finalidade original. Mas, se precisarmos usar seus dados pessoais para um propósito não relacionado, vamos notificá-lo e explicaremos a finalidade e a base legal que nos permitem fazê-lo. Por favor, note que, em alguns casos, a legislação ou o contexto pode permitir que nossa organização trate seus dados pessoais sem um conhecimento ou consentimento seu, onde isso for exigido ou possível. Mesmo assim, seus dados só são tratados sob estritos protocolos de segurança e confiabilidade, com finalidade específica e base legal legítima.

7 Dados Especiais e Sensíveis 7.1 Justificativa Em determinados casos, tratamos, inclusive coletando e armazenando, dados pessoais de categorias especiais, ou particularmente sensíveis, o que pode ocorrer nas seguintes hipóteses: • Debaixo de seu consentimento; • Em processos de identificação e autenticação de cadastro em sistemas eletrônicos; • Exercício regular de direitos; • Garantia da prevenção à fraude e à segurança em seu favor; • Para proteger sua vida ou incolumidade física, ou de um terceiro; • Para que cumpramos uma obrigação legal ou regulatória nossa; • Quando é necessário avaliar sua capacidade de trabalho por motivos de saúde, sujeito a salvaguardas de confidencialidade adequadas; • Quando houver interesse público; • Realização de estudos por órgão de pesquisa; ou • Tutela de saúde. 7.2 Nossas Obrigações como Empregador Nós tratamos seus dados pessoais de categorias especiais, ou particularmente sensíveis, com a máxima cautela e responsabilidade, sem avançar nossos limites, seja como controlador (quem toma as decisões sobre o tratamento de dados pessoais na organização), seja como empregador. Esses dados podem ser tratados por nós para avaliar, por exemplo, a necessidade de um afastamento por doença ou por motivos familiares de bastante seriedade, sua aptidão para certo trabalho, viabilidade de adequações no local de trabalho e monitoramento de igualdade de oportunidades, sempre de acordo com a legislação vigente e com nossas políticas internas.

7.3 Consentimento Em regra, não demandamos seu consentimento para tratarmos seus dados pessoais, ou seus dados de categorias especiais, ou particularmente sensíveis, especialmente para finalidades que, frente à legislação, não dependem expressamente de consentimento, o que inclui, por exemplo, o cumprimento de nossas obrigações legais ou regulatórias ou exercício de direitos específicos no campo do Direito do Trabalho ou do Direito Previdenciário. Todavia, em circunstâncias limitadas, podemos abordá-lo para obter seu consentimento por escrito para nos permitir tratar certos dados pessoais seus, como certas categorias de dados de extrema sensibilidade. Se o fizermos, forneceremos detalhes completos dos dados pessoais que gostaríamos e da finalidade pela qual precisamos deles, para que você possa considerar cuidadosamente se deseja consentir. Mas esteja ciente de que não é uma condição do seu contrato conosco que você concorde com qualquer pedido de consentimento que façamos. 7.4 Dados Públicos Em alguns casos, podemos tratar dados pessoais de domínio público, seja porque você mesmo os disponibilizou, seja porque a legislação os tornou de livre consulta. Nesses casos, não demandamos seu consentimento, mas tomaremos todas as medidas razoáveis para tratar esses dados em respeito às normas da legislação de proteção de dados pessoais que vigorem no Brasil, em especial a LGPD.

7.5 Cookies Cookies são pequenos arquivos que podem ser baixados diretamente em seu dispositivo quando você acessa, usa ou navega por uma página na Internet, inclusive a nossa. Eles permitem que o site reconheça seu dispositivo e armazene elementos sobre suas preferências ou sobre o histórico de navegação. Além disso, facilitam a navegação, aumentam a facilidade de uso de sites e aplicativos e ajudam a identificar as seções mais populares do site visitado. Dados pessoais podem ser salvos em cookies, desde que você tenha concordado com isso quando configurou seu navegador. Isso pode facilitar o acesso online seguro para que você não precise inserir seu ID de usuário e senha a cada visita. Quando você acessa uma determinada página, inclusive a nossa, e continua a navegar por ela, entende-se que aceita o uso de cookies. Mas você pode revogar essa aceitação a todo instante ou gerenciar os cookies que são utilizados em cada site. Se e quando usamos cookies, o fazemos para registrar as preferências de nossos usuários e nos permitir otimizar o design de nosso site. Isso nos dá a chance de fornecer um conteúdo mais adequado às necessidades dos usuários e, com isso, melhorar nossos serviços, produtos e relacionamentos. Se você optar por não aceitar cookies, você ainda pode acessar e usar nosso site. Você pode impedir que cookies sejam armazenados em seu dispositivo, configurando seu navegador para isso, ou excluir os cookies que já estejam no seu dispositivo. Mas, se você optar por não aceitar cookies estritamente necessários para os serviços fornecidos por nosso site, isso pode resultar em uma disponibilidade reduzida desses serviços. Para saber mais sobre cookies, incluindo sobre quais foram definidos e como gerenciá-los ou excluí-los, visite www.aboutcookies.org ou www.allaboutcookies.org.

8 Tomada de Decisão Automatizada A tomada de decisão automatizada se dá quando um sistema eletrônico usa certos dados pessoais para uma decisão sem intervenção humana. Podemos usar a tomada de decisões automatizadas de forma limitada, nas seguintes circunstâncias: • Notificamos você da decisão, mas você tem 21 dias para pedir uma reconsideração; • Se necessário para executar o contrato que temos com você e medidas apropriadas estão em vigor para salvaguardar seus direitos; ou • Em contextos limitados, sob seu consentimento explícito por escrito, com medidas apropriadas em vigor para salvaguardar seus direitos. Ao tomarmos uma decisão automatizada com base em dados pessoais particularmente sensíveis, precisamos justificá-la por um interesse público; caso contrário, vamos pedir seu consentimento explícito por escrito, sob medidas apropriadas para salvaguardar seus direitos. Você não está sujeito a decisões que terão um impacto significativo sobre você baseadas apenas na tomada de decisões automatizadas, a menos que tenhamos uma finalidade legítima e uma base legal para isso, e desde que você seja notificado desse fato.

9 Terceiros Talvez tenhamos que compartilhar seus dados pessoais com terceiros, incluindo outras empresas conosco relacionadas por um negócio ou interesse comum, provedores de serviço, processadores, fornecedores de bens, serviços e benefícios e outras entidades similares. Mas, em qualquer caso, exigimos que esses terceiros ou declarem que implementaram políticas de privacidade com grau de proteção similar ao de nossas políticas, ou se comprometam a tratar os dados compartilhados sob nossas instruções ou se responsabilizem por adotar, nesse contexto, as políticas que temos em vigor. Também exigimos que os terceiros compartilhados respeitem a segurança de seus dados pessoais, os trate de acordo com a legislação e não os recompartilhe com outros terceiros. 9.1 Por Que Compartilhamos Seus Dados Compartilhamos seus dados pessoais somente quando há um propósito legítimo e uma base legal estabelecida, mas especialmente dentro dos seguintes contextos: • No caso de ordem judicial; • No caso de determinação de agente regulador ou de controle; • Para aprimorar nossos controles e registros, inclusive de privacidade; • Para obrigações trabalhistas, previdenciais, fiscais e tributárias, entre outras; • Para viabilizar a defesa de nossos direitos ou prerrogativas; • Quando necessário em razão do contrato que temos com você; • Quando necessário para administrar sua relação de emprego ou trabalho conosco; • Se exigido pela legislação; • Se exigido por um regulamento em vigor; • Se não houver uma proibição específica de compartilhamento; ou • Se houver uma permissão em vigor.

9.2 Provedores de Serviço O compartilhamento de seus dados pessoais com terceiros está sempre vinculado a uma necessidade e a uma base legal, e pode alcançar qualquer terceiro, inclusive agentes e provedores de serviço em geral, prestadores de atividades terceirizadas e empresas vinculadas à CARBOOX por um negócio ou um interesse comum, inclusive as que integram o mesmo grupo ou que participem da CARBOOX. 9.3 Seus Dados Pessoais em Segurança Nossos provedores de serviços terceirizados e outras entidades vinculadas à CARBOOX são obrigados a tomar medidas de segurança técnicas e administrativas apropriadas para proteger os dados pessoais que recebem de nós em compartilhamento, de acordo com nossas políticas. Não permitimos ou concordamos que nossos provedores de serviços de terceiros usem os dados pessoais que com eles são compartilhados para seus próprios fins. Nós apenas permitimos que eles tratem seus dados pessoais para finalidades específicas e de acordo com nossas instruções.

10 Transferência Internacional de Dados Como regra, o tratamento de seus dados pessoais ocorre no Brasil, mas pode ser que, em algumas circunstâncias, transfiramos seus dados a outros países. No entanto, tomaremos todas as medidas razoáveis para que essa transferência ocorra apenas para nações com um nível justo, adequado e apreciável de proteção de dados pessoais, em simetria com a legislação brasileira. De qualquer maneira, a CARBOOX avalia, antes de qualquer transferência de dados, se o país receptor tem demonstrado alinhamento com as normas legais, especialmente europeias, e com as boas práticas em tratamento de dados pessoais, e se não tem contra si nenhuma restrição ou inadequação, tendo em vista os padrões mundialmente aceitos e praticados.

11 Segurança dos Dados Instauramos medidas técnicas e administrativa de segurança apropriadas para evitar que seus dados pessoais sejam perdidos, indevidamente utilizados ou acessados acidentalmente de forma não autorizada, alterados ou divulgados. Além disso, limitamos o acesso aos dados apenas aos empregados da CARBOOX e àqueles que precisam acessar esses dados, em razão de seu cargo ou função, pelo que apenas eles estão aptos para tratar seus dados pessoais, e mesmo assim sob um dever expresso de confidencialidade e nossas instruções e orientações gerais. Temos procedimentos para lidar com quaisquer suspeitas de incidente de segurança de dados pessoais, e notificaremos você e qualquer regulador aplicável de uma suspeita de incidente no local em que somos legalmente obrigados a fazê-lo.

12 Retenção de Dados Só retemos seus dados pessoais pelo tempo necessário para cumprir a finalidade sob a qual foram coletados, o que inclui a satisfação de obrigações legais (como as fiscais, tributárias, trabalhistas, previdenciais e outras), contábeis, de auditoria de governança e de conformidade legal. Outros detalhes sobre nossas práticas de retenção de dados pessoais estão disponíveis em nossa Política de Retenção de Dados Pessoais, em vigor. Quanto ao estabelecimento do período de retenção adequado para dados pessoais, nós consideramos, além dos critérios legais, a quantidade, natureza e sensibilidade dos dados, o risco potencial de danos causados pelo uso ou divulgação não autorizados desses dados, as finalidades sob as quais tratamos tais dados e se podemos alcançar essas finalidades por outros meios ou requisitos legais.

13 Seus Direitos É extremamente importante que os dados pessoais que temos sobre você sejam precisos e atualizados, em seu próprio benefício, e por isso pedimos que se lembre de que a LGPD prevê que manter esses dados atualizados e solicitar qualquer ajuste ou correção necessária é responsabilidade sua, dentro de sua condição de titular dos dados. Dessa maneira, pedimos a você que fale conosco sempre que seus dados pessoais, mesmo em parte, forem alterados durante seu contrato de emprego ou de trabalho conosco. Sob certas condições legais, você tem direito, quanto a seus dados, de: • Confirmar a existência de tratamento; • Entrar em contato conosco a qualquer momento; • Obter a portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa; • Obter esclarecimentos quanto a entidades públicas e privadas com as quais seus dados foram compartilhados; • Pedir a correção de dados incompletos, inexatos ou desatualizados; • Pedir a eliminação dos dados pessoais tratados sob consentimento do titular, exceto nos casos do artigo 16 da LGPD; • Pedir anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto na LGPD; • Revogar seu consentimento. • Ser esclarecido sobre a possibilidade de negar consentimento para tratamento de seus dados e das consequências dessa negativa; e • Ter acesso aos dados e obter cópia deles. Embora nem sempre previsto expressamente na legislação, recomendamos a você que, se quiser exercer qualquer dos direitos acima mencionados, o faça por escrito, para que evidências materiais de seu pedido e de nossa resposta fiquem registrados e possam, caso necessário, ser rastreados. Qualquer requisição escrita sua pode ser encaminhada ao endereço eletrônico específico na CARBOOX: [email protected].

14 Retirar seu Consentimento Se, nas circunstâncias em que isso ocorrer, dentro das condições deste Aviso, estivermos tratando seus dados pessoais sob seu explícito consentimento, você tem direito, se não apresentarmos outra base legal para a continuidade do tratamento, de retirar seu consentimento para esse tratamento a qualquer instante, mas ordinariamente por escrito. A retirada de seu consentimento pode ser encaminhada ao endereço eletrônico definido pela CARBOOX: [email protected].

15 Consultas, Contatos e Reclamações Se você tiver alguma dúvida sobre este Aviso ou sobre como lidamos com seus dados, entre em contato conosco no endereço [email protected]. Você também pode fazer contato com nosso DPO, a qualquer momento: Ø DPO: Sr. (...) Ø Endereço: (...) Ø Telefones: (...) Ø E-mail: (...) Ø Horários: (...) Além disso, você sempre tem direito de fazer uma reclamação à Autoridade Nacional de Proteção de Dados (ANPD), acessando HTTPS://WWW.GOV.BR/ANPD/PT-BR/CANAIS_ATENDIMENTO/FALE- CONOSCO.

16 Alterações Podemos alterar este Aviso a qualquer momento, inclusive para atualizá-lo (por exemplo, no caso de a legislação brasileira mudar), mas sempre forneceremos a você outra via desse documento se fizermos atualizações substanciais. Justamente por isso, recomendamos que você verifique este documento regularmente para manter-se atualizado.