Protocolo para o Tratamento de Dados - Brasil

Versão 1

Esse Protocolo para o Tratamento de Dados (“Protocolo”) demonstra o modo em que a Willis Towers Watson Brasil encara os dados pessoais em nome de seus clientes, consumidores e licenciados (“Clientes”).

O Protocolo faz parte dos outros contratos vigentes entre a Willis Towers Watson Brasil e Clientes, que se referem expressamente a ele (“Contrato”). O Protocolo abrange termos que são definidos na Lei Geral de Proteção de Dados Pessoais – “LGPD” – Lei 13.709/18 - portanto, as definições estabelecidas na LGPD devem ser aplicadas.

Tratamento de Dados Pessoais

No que diz respeito ao tratamento de dados pessoais pela Willis Towers Watson Brasil em nome do cliente (ver Anexo 1), a Willis Towers Watson Brasil cumprirá com os seguintes requisitos:

Limitações do uso: a Willis Towers Watson Brasil somente tratará os dados pessoais para fornecer os serviços competentes, com a definição exata e clara de uma finalidade específica, como instruído por escrito pelo Cliente periodicamente, ou como obrigado pela lei.

Confidencialidade: a Willis Towers Watson Brasil armazenará dados em confidencialidade e exigirá que seus funcionários tratem os dados pessoais visando protegê-los de acordo com as exigências desse Protocolo, de modo que haverá um controle do nível de acesso aos dados pessoais.

Programa de Segurança da Informação: a Willis Towers Watson Brasil manterá um programa de segurança da informação, com seus devidos padrões e exigências mínimas, por escrito que conterá medidas administrativas, técnicas e físicas apropriadas de segurança para proteger os dados pessoais contra previstas ameaças e riscos para a sua segurança, confidencialidade ou integridade.

Assistência: a Willis Towers Watson Brasil irá:

1. Considerar a natureza do tratamento e, na medida do possível, implementará medidas técnicas e organizacionais para assistir os Clientes para satisfazer a sua obrigação de responder a qualquer exigência de indivíduos exercendo seus direitos no artigo 18 da LGPD;
2. Considerando a natureza do tratamento e da informação disponível à Willis Towers Watson Brasil, assistirá o Cliente de acordo com as obrigações do Cliente para implementar medidas apropriadas de segurança, para notificar violações de dados pessoais para as autoridades supervisórias e para conduzir relatórios de impacto de proteção de dados pessoais e recorrer às autoridades supervisórias em relação ao relatório de impacto de proteção de dados quando requisitado;
3. Tornar disponível ao Cliente toda a informação razoável, de modo claro e preciso, que o Cliente requisitar para o assistir, demonstrando que as obrigações estabelecidas no Capítulo VI da LGPD relacionadas com a nomeação do operador foram atendidas e levadas em consideração e colabora para as auditorias conduzidas pelo Cliente ou outro auditor nomeado pelo Cliente.

A Willis Towers Watson Brasil possivelmente cobrará uma taxa razoável por toda essa assistência supracitada, salvo quando a assistência tenha sido exigida diretamente como um resultado das ações e omissões da própria Willis Towers Watson Brasil. Neste caso, a assistência será uma despesa da própria Willis Towers Watson Brasil. O Cliente deve fornecer à Willis Towers Watson Brasil com trinta (30) dias de antecedência qualquer solicitação de auditoria; pode não se engajar na auditoria o que comprometeria as obrigações de confidencialidade para quaisquer outros clientes e consumidores da Willis Towers Watson Brasil e, se quiser nomear um outro auditor para assumir a auditoria, deve assegurar que o auditor participe de um termo de confidencialidade com a Willis Towers Watson Brasil na forma em que a Willis Towers Watson Brasil requerer.

Incidente de Segurança. A Willis Towers Watson Brasil notificará em até 03 (três) dias úteis o Cliente sempre que a Willis Towers Watson Brasil razoavelmente acreditar que houve uma violação na segurança que levou a uma acidental ou ilícita destruição, perda alteração, divulgação ou acesso não autorizado aos dados pessoais tratados pela Willis Towers Watson Brasil no contexto deste Protocolo. Depois de notificar, a Willis Towers Watson Brasil investigará o Incidente de Segurança, tomará as providências necessárias para eliminar ou conter o impacto do Incidente de Segurança e manter o Cliente informado sobre o status do Incidente de Segurança.

Devolução ou Descarte. É possível que o Cliente instrua a Willis Towers Watson Brasil a devolver ou deletar os dados pessoais ao final do período durante o qual Willis Towers Watson Brasil irá tratar este dado pessoal do Cliente, como especificado no Anexo 1.

Subcontratante

O cliente entende que a Willis Towers Watson Brasil pode vir a utilizar subcontratantes para fornecer os serviços ao abrigo do Contrato. Estes serão listados e acordados no Contrato específico com o Cliente se aplicável. A Willis Towers Watson Brasil deve permanecer primariamente responsável pelo desempenho das suas obrigações sob este Protocolo e deve garantir que seus acordos com o subcontratante são, pelo menos, tão restritivos quanto este Protocolo. A Willis Towers Watson Brasil pode alterar ou adicionar subcontratantes de tempo em tempo ao notificar adequadamente, por escrito, o Cliente, para que o Cliente possa expressar objeções, em fundamentos razoáveis, à proposta de alteração.

Dados anonimizados e pseudonimizados

O Cliente reconhece que os serviços incluem a pseudonimização e a anonimização para a finalidade de relatar agregados e (tendências) pesquisas, e concorda que a Willis Towers Watson Brasil pode vir a utilizar dados pseudonimizados e anonimizados para o seu próprio propósito de negócio, e a Willis Towers Watson Brasil consentirá com todas as leis aplicáveis de proteção de dados em respeito ao tratamento.

Transferência de dados

O Cliente confirma que a Willis Towers Watson Brasil pode vir a transferir dados pessoais a seus afiliados e subcontratantes internos e externos para fora do Brasil para a finalidade de suporte e back-up. A Willis Towers Watson Brasil estabeleceu medidas de segurança para proteger os dados pessoais transferidos para países externos, incluindo contratos adequados de proteção.

Anexo 1 – Descrição do tratamento de dados pessoais

Toda as atividades de tratamento (inclusive coleta, organização e análise de dados pessoais) como adequadamente solicitado para facilitar ou oferecer suporte às provisões dos serviços descritas no Contrato.

A Willis Towers Watson Brasil tratará os dados pessoais durante o período em que disponibilizar os serviços para o Cliente e manterá os dados pessoais armazenados após o término pelo tempo que for necessário para legitimar a finalidade do negócio. A Willis Towers Watson Brasil garantirá que o tratamento de armazenamento dos dados pessoais, o qual deve ter um período de retenção definido, esteja em conformidade com a sua finalidade específica.

O titular dos dados pessoais pode incluir indivíduos citados em qualquer política ou plano a respeito do qual a Willis Towers Watson Brasil está obrigada a providenciar seus serviços e/ou indivíduos que são beneficiários, ou tenham reclamado, ou estejam envolvidos, em qualquer política ou plano. Os titulares mais recorrentes incluirão: (1) empregados, contratantes ou outros funcionários do Cliente (“Funcionários”) e/ou os membros de suas famílias, representantes ou outros conectados com os Funcionários; (2) antigos, atuais ou potenciais clientes do Cliente, e/ou seus empregados ou outros indivíduos conectados com eles, e/ou os membros de sua família, representantes ou outros conectados com eles; e/ou (3) antigos, atuais ou potenciais requerentes ou reclamantes em conexão com políticas de seguro, e/ou os membros de sua família, representantes ou outros conectados com eles.

Os serviços abrigados neste Contrato podem envolver o tratamento dos seguintes tipos de dados pessoais:

• Nomes e informações de contato;
• Informações demográficas (gênero, idade, data de nascimento, estado civil, nacionalidade, educação/currículo de trabalho, qualificações acadêmicas e profissionais, detalhes empregatícios, hobbies, composição da família e dependentes);
• Documentos de identificação pessoal e relacionados a informações como números de passaporte e números de identificação de funcionários;
• Dados bancários e financeiros como número de conta bancária e informações de transações, se contiverem informações que identifiquem as pessoas;
• Registro de comunicações e filmagem CCTV; e

Os dados pessoais tratados pela Willis Towers Watson Brasil podem incluir a categoria dos dados sensíveis:

• dado pessoal sobre origem racial ou étnica,
• convicção religiosa,
• opinião política,
• filiação a sindicato ou a organização de caráter religioso, filosófico ou político,
• dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.