POLÍTICA DE CONFIDENCIALIDADE

1. Objetivo

Esta política tem como finalidade estabelecer diretrizes, controles e responsabilidades para o uso e compartilhamento de informações confidenciais no âmbito das atividades da Lopti, seja na condução de atividades profissionais, contratos e/ou quaisquer negócios jurídicos firmados ou que pretendam firmar com a Lopti.
É esperado, pela Alta Direção da Lopti, que cada profissional assuma responsabilidade pela integridade da empresa, mediante o cumprimento desta Política.

2. Área de aplicação

Unidade/Localidade: esta política aplica-se a todas as unidades da Lopti.

3. Elegibilidade

Esta política destina-se a todos os profissionais da Lopti.

4. Referências

• Lei Geral de Proteção de Dados (LGPD – Lei nº 13.709/2018).
• Marco Civil da Internet (Lei nº 12.965/2014).

5. Definições

a) Informação Confidencial: Toda e qualquer informação, dado, documento, projeto, relatório, contrato, minuta contratual, correspondência, especificação técnica ou material, independentemente do formato — escrito, oral, eletrônico, visual, digital ou qualquer outro meio — que não seja de conhecimento público e que tenha sido divulgada, transmitida, acessada ou de qualquer forma disponibilizada à Lopti ou por ela a terceiros autorizados.
Essa definição inclui, mas não se limita a, informações de natureza financeira, contábil, jurídica, estratégica, técnica, operacional, comercial, econômica, de marketing, engenharia, programação, desenvolvimento de produtos, arquitetura de sistemas, fluxos de processos, modelos de negócios, planos de expansão, negociações em andamento, dados de clientes, fornecedores e parceiros, bem como quaisquer outros conhecimentos, métodos, procedimentos, fórmulas, códigos-fonte, algoritmos, bancos de dados e know-how, seja de caráter técnico ou não técnico.
b) Parte Reveladora: Pessoa física ou jurídica que disponibiliza ou compartilha a Informação Confidencial com outra parte, seja direta ou indiretamente.
c) Parte Receptora: Pessoa física ou jurídica que recebe, acessa ou toma conhecimento da Informação Confidencial fornecida pela Parte Reveladora.
d) Acordo de Confidencialidade (NDA): Documento jurídico firmado entre as partes com o objetivo de proteger as Informações Confidenciais compartilhadas, estabelecendo direitos, deveres e penalidades.
e) Dado Pessoal: Informação relacionada à pessoa natural identificada ou identificável, conforme definido na Lei Geral de Proteção de Dados (LGPD).
f) Dado Sensível: Informação relacionada à origem racial ou étnica, convicções religiosas, opinião política, dados genéticos, biométricos, saúde ou orientação sexual.

6. Diretrizes Específicas

Os princípios gerais descritos nesta política devem ser desdobrados em outras políticas, normas e procedimentos adequados para garantir sua correta execução, além de controles e monitoramentos necessários.

6.1 Classificação da Informação

A classificação da informação é essencial para garantir o nível adequado de proteção e controle de acesso. Todas as informações produzidas, recebidas ou armazenadas pela Lopti devem ser classificadas conforme sua sensibilidade e impacto potencial em caso de divulgação indevida:

• Pública: Informações que podem ser divulgadas livremente ao público, sem prejuízo à empresa, como conteúdos institucionais, materiais promocionais já publicados ou documentos legalmente exigidos para divulgação pública.
• Uso Interno (Restrita): Informações destinadas apenas ao uso dos colaboradores e prestadores de serviço autorizados, cujo vazamento pode causar impactos operacionais ou comprometer processos internos. Exemplo: políticas internas, instruções de trabalho, cronogramas de projeto.
• Confidencial: Informações cujo acesso deve ser estritamente limitado, e cuja divulgação não autorizada pode gerar prejuízos estratégicos, financeiros ou legais à empresa. Inclui, mas não se limita a contratos, dados de clientes, especificações técnicas de software, estratégias de negócios e informações comerciais.
• Altamente Confidencial (Crítica): Informações de altíssimo valor estratégico, operacional ou tecnológico que, se divulgadas, podem comprometer seriamente a continuidade ou vantagem competitiva da empresa. Exemplo: código-fonte proprietário, algoritmos exclusivos, estratégias de aquisição e fusão, dados financeiros não divulgados.

Toda informação deve ser rotulada de acordo com sua classificação, e os sistemas da empresa devem possibilitar a aplicação dessa categorização no armazenamento e controle de acesso.

6.2 Tratamento das Informações Confidenciais

• Princípio do menor privilégio: O acesso deve ser concedido somente às pessoas estritamente necessárias à execução de uma determinada tarefa ou função.
• Segregação de ambientes: Informações confidenciais devem ser tratadas em ambientes segregados e seguros, como servidores internos com autenticação multifator, redes VPN e repositórios criptografados.
• Controle de acesso: Os acessos devem ser monitorados, rastreados e periodicamente revistos. Toda concessão ou revogação de acesso deve ser documentada.
• Sigilo verbal: Discussões envolvendo informações confidenciais devem ocorrer em ambientes controlados, evitando exposições em locais públicos, como salas compartilhadas, corredores, transporte público ou redes sociais.
• Mobilidade: Informações confidenciais não devem ser acessadas ou transportadas por dispositivos não autorizados. Caso haja necessidade de uso remoto, devem ser seguidas as diretrizes de segurança da informação para trabalho externo (ex: VPN, autenticação segura, dispositivos gerenciados).
• Compartilhamento com terceiros: Qualquer compartilhamento externo deve ser autorizado por escrito, precedido da assinatura de um Acordo de Confidencialidade (NDA) e limitado apenas ao necessário.

6.3 Compartilhamento

• Autorização prévia: Nenhuma informação confidencial pode ser compartilhada com terceiros sem autorização expressa da Diretoria, área jurídica ou responsável pela segurança da informação.
• Formalização por NDA: O compartilhamento com terceiros (clientes, fornecedores, parceiros, prestadores de serviço) deve ser condicionado à assinatura de um Acordo de Confidencialidade (NDA), com cláusulas específicas sobre escopo, vigência, penalidades e obrigação de devolução ou destruição dos dados ao final da relação.
• Compartilhamento interno: Mesmo entre áreas internas da empresa, o compartilhamento deve respeitar os níveis de classificação da informação e ser feito apenas com os envolvidos diretamente nas atividades relacionadas.
• Mídias e canais permitidos: O envio de informações confidenciais deve ocorrer somente por canais autorizados e seguros, como e-mail corporativo com criptografia, plataformas internas homologadas ou sistemas com controle de permissão.
• Registro de compartilhamento: Toda ação de compartilhamento externo relevante deve ser registrada, incluindo a data, responsável, conteúdo envolvido e o motivo do compartilhamento.

6.4 Armazenamento e Descarte

A proteção da informação confidencial depende do armazenamento correto e do descarte seguro de documentos e arquivos sensíveis. As diretrizes são as seguintes:

• Registro de compartilhamento: Toda ação de compartilhamento externo relevante deve ser registrada, incluindo a data, responsável, conteúdo envolvido e o motivo do compartilhamento.

Armazenamento físico:

• Documentos impressos classificados como confidenciais devem ser armazenados em armários com chave ou salas de acesso restrito.
• O acesso deve ser restrito a pessoas autorizadas, com controle de entrada e saída.

Armazenamento digital:

• Os arquivos devem ser armazenados exclusivamente em sistemas corporativos autorizados, com backups automáticos e criptografia de dados em repouso e em trânsito.
• O uso de pendrives, HDs externos ou serviços de nuvem não corporativos (como Google Drive pessoal, Dropbox, etc.) é estritamente proibido.

Controle de versões e logs:

• Informações confidenciais devem ter controle de versão e histórico de alterações, garantindo rastreabilidade e auditoria.
• Acesso a esses documentos deve ser registrado e monitorado.

Descarte físico:

• Documentos confidenciais devem ser destruídos por meio de fragmentadoras ou por serviços certificados de destruição segura.
• O descarte comum (lixo, reciclagem) é terminantemente proibido para esse tipo de material.

Descarte digital:

• Arquivos digitais confidenciais devem ser excluídos de forma segura, com sobrescrita ou por ferramentas de exclusão permanente.
• Dados armazenados em equipamentos devolvidos (como notebooks e servidores) devem ser previamente apagados de forma definitiva.

7. Procedimento e Matriz de Responsabilidades

7.1 Matriz de Responsabilidades

Área / Cargo	Responsabilidade / Autoridade
Profissional	a. Cumprir integralmente com todos os termos desta Política de Confidencialidade e dos Acordos de Confidencialidade assinados; b. Garantir que todas as informações confidenciais às quais tenha acesso sejam armazenadas, utilizadas e compartilhadas de forma segura, restrita e conforme diretrizes internas; c. Evitar o vazamento de divulgação, cópia ou uso indevido de informações confidenciais, mesmo após o término do vínculo com as empresas; d. Adotar boas práticas de segurança da informação, incluindo senhas fortes, cuidado com dispositivos móveis e uso de canais seguros; e. Participar de treinamentos e ações de conscientização promovidos pela Lopti sobre confidencialidade, proteção de dados e segurança da informação; f. Solicitar autorização formal antes de qualquer compartilhamento de informações com terceiros, mesmo que dentro da Lopti.
Liderança	a. Avaliar as dúvidas e questionamentos dos profissionais, prestando os esclarecimentos necessários para eliminar qualquer incerteza sobre a Política de Confidencialidade; b. Garantir o cumprimento da Política de Confidencialidade; c. Supervisionar e validar o controle de acesso às informações confidenciais sob sua responsabilidade; d. Aprovar ou recusar solicitações de acesso a informações classificadas, com base no princípio do menor privilégio; e. Atuar prontamente em caso de incidentes, conduzindo ou auxiliando nas apurações internas, quando necessário; f. Garantir que informações confidenciais de projetos ou processos sob sua gestão estejam devidamente classificadas, protegidas e com acesso restrito.
Departamento Jurídico	a. Elaborar, revisar e validar os contratos e Acordos de Confidencialidade (NDAs); b. Orientar sobre os riscos legais relacionados à exposição indevida de informações confidenciais; c. Apoiar na tomada de medidas legais cabíveis em caso de violação desta política.

8. Atualizações e Informações desta Política

Situações específicas que não estejam contempladas ou que apresentem conflitos com esta Política devem ser tratadas pela Lopti, notify@lopti.ai, sendo as decisões devidamente justificadas, documentadas e aprovadas pelas partes envolvidas.
A Lopti se reserva ao direito de alterar os termos desta Política a qualquer tempo, sendo dever do interessado manter-se atualizado.
Toda e qualquer alteração será comunicada via e-mail e entrará em vigor no prazo de 15 dias da divulgação.