1. OBJETIVO
Apresentar diretrizes para a privacidade e proteção de dados pessoais, demostrando o comprometimento da
Unimed Vale do Sinos em proteger os direitos dos titulares de dados.

2. ABRANGÊNCIA
Aplica-se todos os colaboradores, cooperados, corpo clínico, prestadores, fornecedores e demais parceiros que
possuem acesso aos dados pessoais tratados pela, ou em nome da Unimed Vale do Sinos.

3. DEFINIÇÕES
• Anonimização: processo por meio do qual o dado perde a possibilidade de associação, direta ou indireta, a
um indivíduo, considerados os meios técnicos razoáveis e disponíveis no momento do tratamento;
• ANPD: Agência Nacional de Proteção de Dados;
• Controlador: pessoa a quem competem às decisões sobre o tratamento dos dados pessoais;
• Dados pessoais sensíveis: qualquer dado pessoal que diga respeito a origem racial ou étnica, convicção
religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, bem
como dado referente à saúde ou à vida sexual, dado genético ou biométrico;
• Dados pessoais: qualquer informação relativa a uma pessoa singular identificada ou identificável (Titular). É
considerada identificável uma pessoa singular que possa ser identificada. Direta ou indiretamente, em
especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados
de localização, identificadores por via eletrônica ou a um ou mais elementos específicos da identidade física,
fisiológica, genética, mental, econômica, cultural ou social dessa pessoa;
• DPO: Data Protection Officer, pessoa responsável pela proteção de dados pessoais e pela comunicação com
a ANPD e com os titulares;
• LGPD: Lei Geral de Proteção de Dados Pessoais;
• Operador: pessoa que realiza o tratamento de dados pessoais em nome do controlador;
• Titular: pessoa a quem os dados pessoais se referem; e
• Tratamento: qualquer operação efetuada sobre dados pessoais, por meios automatizados ou não
automatizados, tais como coleta, produção, recepção, classificação, utilização, acesso, reprodução,
transmissão, distribuição, processamento, arquivamento, eliminação, avaliação ou controle da informação,
modificação, comunicação, transferência, difusão ou extração.

4. CONTROLE
Nº de Incidentes de Violação de Dados Pessoais.
5. DOCUMENTOS COMPLEMENTARES
• Lei Federal nº 13.709, de 14 de agosto de 2018 – Lei Geral de Proteção de Dados Pessoais – LGPD;
• Norma Derivada nº 015/2019 – Sobre a Política Nacional de Proteção de Dados Pessoais do Sistema Unimed;
• Norma Derivada nº 02 - Política Estadual de Proteção de Dados Pessoais.

6. DESENVOLVIMENTO DO ASSUNTO
Esta Política faz parte do Programa de Compliance da Unimed Vale do Sinos. Qualquer exceção às diretrizes desta
Política deve ser aprovada por escrito pela área de Gestão de Riscos e Compliance.
A Unimed Vale do Sinos considera que garantir o tratamento de dados pessoais realizado de forma legítima e em
conformidade é de extrema importância para sucesso de suas atividades, bem como para resguardar sua imagem
e credibilidade perante cooperados, colaboradores, clientes, parceiros, sociedade e ANPD.

7. PRINCÍPIOS
Para que todas as atividades de tratamento de dados pessoais estejam em conformidade com os dez princípios
trazidos pela legislação sobre privacidade e proteção de dados, os mesmos são considerados princípios:
• Boa-fé: todas as operações de tratamento deverão ser pautadas em boas intenções, na moral e bons
costumes aceitos pela sociedade;
• Finalidade e adequação: o tratamento de dados pessoais deve se limitar aos propósitos legítimos,
específicos, explícitos e informados ao Titular, e somente deve ocorrer de formas compatíveis com estas
finalidades. Dados pessoais não podem ser coletados/obtidos para uma finalidade, e depois utilizados para
outra. Todos os usos de um dado devem ser compatíveis com o motivo original da coleta/obtenção;
• Necessidade: a coleta e utilização de dados pessoais deve ser limitada ao mínimo necessário para o
cumprimento das finalidades pretendidas e expostas ao titular, garantindo também, que tais informações
sejam armazenadas pelo menor tempo possível/necessário;
• Livre acesso e qualidade dos dados: aos titulares deve ser garantida a consulta facilitada e gratuita quanto a
forma e duração do tratamento e integralidade de seus dados pessoais, estando assegurada a exatidão,
clareza, relevância e atualização destes;
• Transparência: são garantidas aos titulares dos dados informações claras, precisas e facilmente acessáveis
sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial
e industrial;
• Segurança e prevenção: a segurança e confidencialidade dos dados pessoais devem ser garantidas por meio
de medidas técnicas e organizacionais, a fim de prevenir a ocorrência de incidentes de segurança envolvendo
dados pessoais;
• Não discriminação: as atividades de tratamento de dados pessoais jamais podem objetivar fins
discriminatórios, ilícitos ou abusivos; e
• Responsabilização: devem ser armazenadosregistros de todas as atividades de tratamento de dados pessoais
e as respectivas medidas tomadas para adequar tais atividades às normas relativas à privacidade e proteção
de dados pessoais, comprovando à eficácia e eficiência de tais medidas.

8. DIRETRIZES
Para que a presente política produza os efeitos pretendidos, é de grande importância que todos os
colaboradores, cooperados, corpo clínico, prestadores, fornecedores e demais parceiros, observem as
disposições contidas neste documento, levando em consideração que os atos exercidos por estes podem
repercutir para a Sistema Unimed, produzindo efeitos de magnitudes não previsíveis. Assim, para a garantia do
cumprimento das normas de privacidade e proteção de dados pessoais, devem ser cumpridas as diretrizes a
seguir:
• Os colaboradores, cooperados, corpo clínico, prestadores, fornecedores e demais parceiros, possuem como
dever primário garantir a integridade, disponibilidade e confidencialidade dos dados pessoais e dados
pessoais sensíveis tratados no exercício de sua função;
• O tratamento dos dados pessoais e dados pessoais sensíveis devem, necessariamente, observar as finalidades
propostas, não permitido o tratamento incompatível ou excessivo ou para finalidades diversas, sem que haja 
a expressa autorização da Cooperativa, a qual previamente validou esta nova finalidade com o titular das
informações;
• Os colaboradores, cooperados, corpo clínico, prestadores, fornecedores e demais parceiros devem se utilizar
do mínimo de informações necessárias para o cumprimento das finalidades pretendidas e exercício de suas
funções;
• Os dados pessoais e dados pessoais sensíveis devem necessariamente ser armazenados em local seguro e
oficialmente aprovados, sendo vedado o armazenamento não autorizado (como por exemplo, na área de
trabalho) ou em ambientes pessoais (equipamentos próprios, como por exemplo, notebook, smartphone,
tablets, e-mail pessoal, etc.).
• Os dados pessoais e dados pessoais sensíveis tratados no exercício da função não podem ser apagados,
deletados ou anonimizados, sem que haja aprovação expressa da Unimed Vale do Sinos.
• Os dados pessoais e dados pessoais sensíveis tratados no exercício da função, como regra, não podem ser
enviados para terceiros não autorizados.

          8.1. PRIVACIDADE
Para que a privacidade da Unimed Vale do Sinos se mostre efetiva e produza resultados positivos, é importante
que as diretrizes e procedimentos abaixo sejam constantemente observados durante as operações de
tratamento de dados pessoais e dados pessoais sensíveis. Além disso, é importante que esta observância e o
cumprimento de todas as obrigações da lei sejam bem definidas, documentadas e registradas. Visando essa
organização, a Cooperativa deve seguir as diretrizes a seguir:

8.1.1. Registro de Operações de Tratamento de Dados Pessoais
A Unimed Vale do Sinos mantém no sistema GRC o registro de todas as suas operações de tratamento de
dados pessoais e dados pessoais sensíveis, contendo, no mínimo, as seguintes informações sobre cada
operação:
• Descrição do fluxo da informação em cada etapa de seu ciclo de vida (coleta, armazenamento, uso,
compartilhamento e neste caso, a finalidade para transparência e descarte);
• Base legal para tratamento;
• Tipos de dados pessoais e dados pessoais sensíveis coletados;
• Finalidade para o qual o dado é tratado;
• Local lógico (nuvem, servidor, notebook, etc.) e geográfico onde o dado é tratado;
• Período de retenção do dado;
• Área responsável pelo dado; e
• Volume aproximado de registro existentes.
O DPO é responsável por manter o registro atualizado, bem como atribuir responsabilidades para cada
atividade registrada.

8.1.2. Transparência
Todas as atividades de tratamento de dados pessoais e dados pessoais sensíveis promovidas pela Unimed
Vale do Sinos, envolvendo os titulares externos (clientes, parceiros e terceiros), assim como as operações
envolvendo os titulares internos (cooperado, corpo clínico e colaboradores), devem ocorrer em respeito
a todos os pilares desta Política, bem como as constantes na PL-GER-2.011 - Segurança da Informação.

8.1.3. Consentimento
O consentimento somente pode embasar atividades de tratamento de dados pessoais e dados pessoais
sensíveis em casos excepcionais. Nestes casos, o DPO deve ser consultado para confirmar quanto à
exigência de consentimento para a atividade, e a impossibilidade de seu enquadramento em outras bases
legais, bem como revisar a forma de coleta do consentimento se aplicável, que deve observar os pontos
a seguir:
• Manifestação livre: o titular deve fornecer o consentimento de maneira livre, sem que seja obrigado
para tanto para, por exemplo, usufruir do serviço/produto relacionado.
• Manifestação granular: o titular forneceu o seu consentimento para que fosse realizado o tratamento
em situações especificas e determinadas.
• Manifestação informada: o titular, teve acesso ao aviso de privacidade correspondente a atividade na
qual foi sujeitado, antes do fornecimento de sua autorização, garantindo possuir plena ciência da
finalidade e dos limites da atividade de tratamento realizada.
• Manifestação inequívoca: o titular forneceu os seus dados pessoais, sem qualquer dúvida ou
questionamentos quanto aos limites de atividade.
Ainda, para garantir que o consentimento foi coletado de maneira correta, possibilitando inclusive a
demonstração deste fator tanto ao próprio titular como para a Autoridade Nacional de Dados Pessoais,
bem como para garantir ao titular o direito à revogação do consentimento, a Cooperativa realizará a
documentação, o armazenamento e a gestão da autorização concedida, por meio de controle técnico e
especifico da gestão de consentimento.

8.1.4. Segurança
Para garantir que as medidas de segurança implementadas pela Cooperativa se mantenham sempre
atualizadas e em consonância com as melhores práticas e ferramentas disponíveis atualmente no
mercado, as documentações referentes à segurança da informação, proteção e privacidade de dados
pessoais passam por revisões periódicas, conforme PR-GER-2.01 - Gestão da Documentação da Qualidade,
identificando e corrigindo eventuais falhas sempre que necessário.

8.1.5. Coleta de dados pessoais e dados pessoais sensíveis
O procedimento de coleta de dados pessoais e dados pessoais sensíveis deve ser restrito aqueles
essenciais para o cumprimento da finalidade primária determinada e informada ao titular, sempre
observando a necessidade de manter atualizados os dados coletados.
Dados fornecidos por terceiros somente podem ser recebidos mediante celebração de contrato que inclua
a cláusula de privacidade robusta o suficiente, conforme orientações do Jurídico e do DPO, que devem
verificar a idoneidade de todos os terceiros que fornecem dados à Unimed Vale do Sinos. Nestes casos,
os dados pessoais e dados pessoais sensíveis devem possuir uma descrição completa, antes da realização
do compartilhamento, garantindo que em nenhuma destas etapas tenha ocorrido qualquer forma de
tratamento ilícito ou inadequado.

8.1.6. Uso de Dados Pessoais e Dados Pessoais Sensíveis
A utilização dos dados pessoais e dados pessoais sensíveis deve estar limitada a expectativa que o titular
dos dados possuía quando da realização da coleta das informações (inclusive se a coleta foi realizada por
terceiros), sendo que, na eventual hipótese de necessidade de alteração da finalidade previamente
informada ao titular, este deve ser novamente informado sobre as intenções da Cooperativa, avaliando a
necessidade de qualquer adequação. O mesmo dado jamais pode ser utilizado para outra finalidade,
exceto com a ciência/expectativa do titular.

8.1.7. Armazenamento de Dados Pessoais e Dados Pessoais Sensíveis
O armazenamento de dados pessoais e dados pessoais sensíveis deve ser realizado pelo tempo mínimo
necessário para atendimento da finalidade pretendida e cumprimento de eventuais obrigações legais que
regulam determinada atividade de tratamento. Sendo cumprida a finalidade e observados os prazos legais
de necessária retenção da informação, o que por sua vez deve seguir meios adequados, abaixo
especificados:
• Documentos e dados em formato físico: o descarte deve ser realizado por meio de fragmentação
encaminhado através do CEDOC ou de fragmentadores de papel, sendo proibido o uso direto de
lixeiras; e
• Documentos e dados em formato eletrônico: mantidos em meio digital indefinidamente.
Alternativamente, para fins estatísticos e de pesquisa, dados pessoais podem passar por procedimento
de anonimização permanente, sendo validado pelo DPO.

8.1.8. Tratamento de dados pessoais sensíveis
Os dados sensíveis devem receber a máxima prioridade na segurança, nos termos da Política PL-GER2.011 -
Segurança da Informação e MN-GER-2.013 – Guia Prático de Segurança da Informação.
A Unimed Vale do Sinos não utiliza dados pessoais sensíveis em seus processos de recrutamento e seleção,
dada a sua capacidade de gerar discriminação ao titular destas informações.

8.1.8.1. Tratamento de dados pessoais de crianças e adolescentes
Da mesma forma, o tratamento de dados pessoais de crianças e adolescentes deve ser situação
excepcional. Nestes casos, somente deve ser realizado:
• Visando o melhor interesse de tais indivíduos, ou seja, com a finalidade de beneficiá-los, ainda
que de forma indireta; e
• As informações destinadas a este público devem ser prestadas de modo claro, acessível,
consideradas as condições físico-motoras, perceptivas, sensoriais, intelectuais e mentais dos
destinatários, com o uso de recursos audiovisuais, quando adequado.
Quando do tratamento dos dados de crianças, deve, necessariamente, haver a coleta do
consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável
legal, mantendo públicas as informações sobre o tipo de dados coletados, a forma de utilização e
as garantias dos demais direitos dos titulares assegurados pela lei.

8.1.9. Relatório de Impacto à Proteção de Dados Pessoais
Os relatórios de impacto à proteção de dados pessoais são documentos que contêm a descrição dos
processos que envolvem o tratamento de dados pessoais que, por sua natureza, são passíveis de gerar
riscos às liberdades civis e individuais dos titulares dos dados pessoais. A elaboração deste documento é
exigível em especial quando:
• Da realização de operações de tratamento de dados pessoais sensíveis;
• Da realização e condução de operações que, por sua natureza, realizem o tratamento de dados
críticos, passíveis de gerar altos riscos aos titulares de dados pessoais em caso de ocorrência de
incidentes envolvendo tais informações; e
• A operação de tratamento de dados pessoais estiver amparada na base legal do interesse legítimo.
A elaboração do Relatório de Impacto à Proteção de Dados deve ser realizada pelo DPO com o apoio do
responsável pela atividade em que os dados pessoais em questão estão envolvidos.

8.1.10.Direitos dos Titulares
Em toda atividade de tratamento de dado pessoal, a Cooperativa deve buscar garantir os direitos dos
titulares. Em todos os casos, a identidade dos titulares requerentes deve ser verificada e o atendimento
deve ocorrer sob a orientação do DPO através do portal do titular por meio do link
https://portaldotitular.safecomply.com.br/safecomply/vsunimed.

8.1.10.1. Direito à Informação, ao Acesso e a Retificação
Ao titular, mediante sua expressa requisição, é garantido o direito de confirmação da existência
de tratamento de seus dados pessoais. A Unimed Vale do Sinos utiliza meios eficazes, cuja gestão
e operacionalização é supervisionada pelo DPO, para fornecer cópia dos dados pessoais,
mediante requisição do titular, por meio eletrônico, seguro e idôneo para esse fim ou sob forma
impressa. O requerimento do titular deve conter as informações que seguem:
• Inexistência de registro;
• Origem dos dados;
• Critérios utilizados; e
• Finalidade do tratamento.
Para os casos em que o tratamento tiver como origem o consentimento do titular ou contrato
celebrado com o titular, este pode solicitar cópia eletrônica integral de seus dados pessoais em
formato que permita a sua utilização subsequente, inclusive em outras operações de tratamento.
O titular terá o direito de obter, a qualquer momento e mediante requisição, a correção de seus
dados pessoais, quando incompletos, inexatos ou desatualizados.

8.1.10.2. Direito à Exclusão, Anonimização e Bloqueio dos Dados Pessoais
O titular terá o direito de obter, a qualquer momento e mediante requisição, a eliminação, a
anonimização ou o bloqueio de seus dados pessoais, quando as informações objeto de requisição
se mostrarem excessivas, ou o tratamento dado pelo Controlador estiver em desconformidade
com as determinações da LGPD.
Em hipótese de ocorrência de requisições de eliminação de dados pessoais, a Unimed Vale do
Sinos, considerando que nenhum direito possui caráter absoluto, deve verificar se o tratamento
dos dados objeto de requisição se justifica em algumas das hipóteses abaixo, caso em que a
solicitação e, por consequência, o direito do titular dos dados não deve prevalecer:
• Cumprimento de obrigação legal ou regulatória;
• Estudo por órgão de pesquisa;
• Transferência a terceiro, desde que respeitados os requisitos de tratamento de dados
dispostos em lei; ou
• Uso exclusivo do Controlador, vedado seu acesso por terceiros, e desde que os dados sejam
mantidos anonimizados.

8.1.10.3. Direito à Oposição
É garantido ao titular o direito de, a qualquer momento e mediante requisição, opor-se ao
tratamento de seus dados pessoais, quando a base legal que originou o tratamento não for o
consentimento. Neste mesmo sentido, este direito só é garantido e exercível quando a
Cooperativa deixar de cumprir algumas das disposições trazidas na legislação que trata sobre o
tema.

8.1.10.4. Direito à Portabilidade
O titular tem direito de, a qualquer momento e mediante requisição, solicitar a portabilidade dos
seus dados pessoais a outro fornecedor de serviço ou produto. Para tal, recomenda-se que os
dados pessoais do titular requerente sejam desvinculados de dados de outros titulares, e
fornecidos em formato interoperável, tal como XLS, CSV, JSON.

8.1.10.5. Direitos atrelados ao consentimento
O titular tem direito de, a qualquer momento e mediante requisição, solicitar informação sobre
a possibilidade de não fornecer consentimento e as consequências de sua negativa, bem como
de revogar o consentimento anteriormente fornecido.
8.1.12.Compartilhamento de Dados Pessoais com Terceiros
Caso a Cooperativa necessite realizar a transferência ou o compartilhamento de dados pessoais para
terceiros (operadores), para a prestação de um serviço específico ou atendimento de suas demandas,
deve, necessariamente celebrar instrumentos contratuais robustos, capazes de garantir a integridade e a
confiabilidade das informações compartilhadas, bem como o respeito às normas específicas relativas à
privacidade e proteção de dados pessoais, com a utilização do banco cláusulas-padrão, que deve ser
validado e revisado conforme necessidade pelo DPO, e aplicado conforme PR-SUP-9.10 - Gestão de
Contratos.

8.2. INCIDENTES DE PRIVACIDADE E CONTATO DO DPO
Incidentes podem ser definidos como qualquer falha na observância dos pontos descritos nesta Política, que
podem gerar risco de dano aos titulares de dados pessoais. A Unimed Vale do Sinos mantém um canal público
para recebimento de notificações de incidentes, que pode ser utilizado, também, por parceiros, corpo clínico e
colaboradores, pelo endereço https://portaldotitular.safecomply.com.br/safecomply/vsunimed. As
comunicações são recebidas pelo DPO, que deve dar andamento na tratativa, conforme PCN-SUP-8.006 -
Resposta a Incidentes de Segurança e Privacidade.

9. COMUNICAÇÃO E TREINAMENTOS
A Unimed Vale do Sinos mantém comunicação e treinamento constante para seus colaboradores, cooperados
prestadores ou fornecedores (quando aplicável) com intuito de divulgar e conscientizar da importância do
cumprimento das regras desta política.
É de responsabilidade de todos os líderes da Unimed Vale do Sinos divulgar para seus liderados o conteúdo desta
política e conscientizá-los sobre a necessidade e importância de seu cumprimento.

10. RESPONSABILIDADES
A seguir estão descritas as responsabilidades dos diferentes responsáveis pela gestão e aplicação da Política de
Privacidade e Proteção de Dados Pessoais na Unimed Vale do Sinos.
10.1. DIRETORIA EXECUTIVA/CONSELHO DE ADMINISTRAÇÃO
• Disponibilizar os recursos necessários à implantação desta Política;
• Apoiar e aprovar a presente Política; e
• Apoiar a disseminação da cultura de privacidade e proteção de dados.

10.2. COMITÊ DE PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS
• Garantir a segurança dos dados pessoais tratados no exercício de suas atividades e evitar a ocorrência de
acessos indevidos ou não autorizados, perda, destruição ou qualquer outra ação que comprometa a
integridade, disponibilidade ou confidencialidade;
• Define diretrizes, ações e realizar o monitoramento das atividades relacionadas aos dados pessoais e dados
pessoais sensíveis dos titulares. Definido e conduzido conforme RI-033 - Comitê de Privacidade e Proteção de
Dados Pessoais.

10.3. DATA PROTECTION OFFICER
• Deve garantir a conformidade da Cooperativa em relação às leis e demais normas de privacidade e proteção
de dados aplicáveis aos seus negócios; e
• Responsável pela comunicação entre Cooperativa, titulares e reporte à ANPD.
10.4. TECNOLOGIA DA INFORMAÇÃO
• Implementar medidas de segurança e controles para colocar em prática as diretrizes da Segurança da
Informação mantidas na PL-GER-2.011 - Segurança da Informação e na MN-GER-2.013 – Guia Prático de
Segurança da Informação a fim de garantir a disponibilidade, confidencialidade, integridade e os aspectos
legais das informações manipuladas através dos sistemas informatizados e processos da Cooperativa,
mantendo-os atualizados em relação às melhores práticas da NBR ISO/IEC 27001:2013 e NBR ISO/IEC
27002:2005 e em relação as tecnologias disponíveis.
10.5. DEMAIS PARTES INTERESSADAS
• Cumprir as diretrizes desta Política;
• Participar dos treinamentos promovidos sobre privacidade e proteção de dados;
• Em caso de dúvidas relacionadas ou incidentes, buscar orientação com o DPO através do portal do titular
https://portaldotitular.safecomply.com.br/safecomply/vsunimed

11. CANAL DE DENÚNCIAS
Este é um canal exclusivo da Unimed Vale do Sinos para comunicação segura e, se desejada, anônima de condutas
consideradas inadequadas ou que violem os princípios éticos e padrões de conduta constantes no Código de
Conduta da Cooperativa, Estatuto Social, Regimentos Internos, Políticas e diretrizes internas e/ou a legislação
vigente. Nesse sentido, é disponibilizado o Canal de Denúncias no site da Unimed Vale do Sinos:
https://www.unimed.coop.br/site/web/valedosinos/canal-de-denúncias
A Unimed Vale do Sinos, além de garantir a possibilidade de anonimato ao reportar irregularidades, também
possibilita a confidencialidade e combate de retaliação àqueles que se identificam. Todas as informações
relatadas serão checadas durante o processo de investigação, e as ações e medidas corretivas decorrentes dela
serão tomadas a critério exclusivo da equipe de Compliance.