Preâmbulo, objeto, abrangência e força normativa
O presente instrumento consolida, em corpo único e sistematicamente organizado por matéria, a Política Corporativa de Segurança da Informação, o Regulamento Geral de Privacidade e Proteção de Dados (LGPD), a Política Restritiva de Gestão e Tramitação de Acessos, a Política de Diligência, Suboperação e Vínculos com Terceiros, o Procedimento de Finalização de Projetos e os respectivos manuais procedimentais correlatos da EXECTION IMPULSIONADORA DE NEGÓCIOS LTDA.
As disposições aqui previstas possuem natureza vinculante, obrigatória, cogente e complementar aos instrumentos contratuais firmados pela EXECTION, aplicando-se a sócios, administradores, empregados, prestadores pessoa física, parceiros pessoa jurídica, terceiros, subcontratados, usuários administradores, usuários indicados por contratantes e quaisquer pessoas que, por qualquer título, acessem, visualizem, tratem, compartilhem, armazenem, retenham, transportem ou excluam ativos informacionais, credenciais, documentos, relatórios, dashboards, dados pessoais, ambientes em nuvem e funcionalidades tecnológicas da EXECTION.
O acesso a recursos tecnológicos, sistemas, painéis, repositórios documentais e ambientes corporativos implica aceitação integral das presentes regras, independentemente de assinatura física apartada, valendo o uso efetivo como manifestação inequívoca de ciência, adesão e submissão normativa.
1. Segurança da Informação
1.1. Esta Política tem por escopo fundamental regular a utilização, o armazenamento, a tramitação e o descarte das informações corporativas e dados de terceiros custodiados pela EXECTION, estabelecendo os mecanismos de defesa contra acessos não autorizados, modificações indevidas e supressão delituosa, visando resguardar a Confidencialidade, Integridade e Disponibilidade (Tríade CID).
1.2. As regras aqui dispostas aplicam-se incondicional e irrestritamente a todos os sócios, empregados, prestadores de serviços sob regime Pessoa Jurídica (PJ) e demais terceiros que possuam credenciais de acesso ou que interajam, de qualquer forma, com os ativos tecnológicos da EXECTION ou de seus clientes.
1.3. A EXECTION reserva-se o direito de monitorar, auditar e inspecionar todo o tráfego de dados gerado ou recepcionado por seus Usuários mediante a utilização de contas corporativas, sem que isso configure violação à privacidade laborativa, dada a natureza corporativa estrita dos instrumentos disponibilizados.
1.4. Constitui obrigação mandatória intransponível a todos os Usuários a configuração, ativação e manutenção ininterrupta da Autenticação de Dois Fatores (2FA/MFA), se aplicável, habilitada em todo e qualquer serviço que suporte referida tecnologia, como no ERP da empresa, servidores Microsoft OneDrive, E-mails Corporativos e quaisquer outros softwares ou serviços da empresa que forem aplicáveis.
1.5. A EXECTION exime-se de toda e qualquer responsabilidade correlata a vazamentos decorrentes de engenharia social, phishing e concessão indevida da senha pelo Usuário, respondendo este, em caráter regressivo e solidário, pelos danos apurados perante a EXECTION, os órgãos reguladores e as empresas clientes vitimadas.
1.6. O acesso corporativo é intransferível.
1.7. É sumariamente proibida a transmissão e extração de dados via dispositivos removíveis, tais como discos rígidos externos, SSDs portáteis, Pen Drives, cartões SD e análogos. A transmissão e salvaguarda deve ocorrer unicamente em nuvem segregada corporativa homologada pelo responsável de Segurança da Informação.
1.8. Em caráter de exceção, sob demanda e necessidade técnica imperiosa e justificada do projeto, a inaplicabilidade da regra do item anterior poderá operar-se unicamente sob autorização expressa, emitida em forma de correio eletrônico pelo Sócio-Gestor encarregado, sem prejuízo da obrigatoriedade da deleção final certificada.
1.9. Qualquer dano causado pelo Usuário à EXECTION ou aos clientes em virtude do não cumprimento das obrigações dispostas nas diretrizes de segurança desta Política será reparado exclusiva e integralmente pelo Usuário causador do incidente de segurança da informação, não havendo presunção de corresponsabilidade da gestão quando demonstrada a infração individual.
1.10. Procedimento operacional integrado: todo novo usuário deverá, antes do início da operação, alterar credenciais provisórias, ativar os mecanismos de autenticação reforçada, validar o correto vínculo de aplicativo autenticador, armazenar códigos de recuperação em meio seguro, jamais compartilhar tais elementos com terceiros e reportar ao gestor toda e qualquer impossibilidade técnica ou suspeita de comprometimento.
1.11. Procedimento operacional integrado: senhas deverão possuir robustez compatível com a criticidade dos sistemas acessados (mínimo de 12 caracteres com letras maiúsculas, minúsculas, números e caracteres especiais), sendo vedada sua circulação por canais informais, sua anotação em superfícies expostas ou sua reutilização indiscriminada em ambientes distintos.
1.12. Procedimento operacional integrado: sempre que houver autorização excepcional para uso de mídia externa, o Usuário deverá documentar a finalidade, o conteúdo transportado, o período de utilização e a data de eliminação, confirmando formalmente a exclusão ao gestor competente.
1.13. Procedimento operacional integrado: ao se ausentar da estação de trabalho, ainda que por curto intervalo, o Usuário deverá bloquear a máquina (Windows + L ou equivalente), encerrar visualizações sensíveis, ocultar documentos impressos expostos e adotar postura compatível com prevenção de engenharia visual e acesso físico indevido.
1.14. Procedimento operacional integrado em caso de incidente: o Usuário deverá (i) interromper imediatamente o uso do sistema; (ii) desconectar o dispositivo da rede quando tecnicamente viável; (iii) preservar evidências, abstendo-se de formatar, apagar logs ou modificar configurações; (iv) comunicar imediatamente o CISO/DPO; (v) aguardar instruções formais antes de qualquer ação corretiva.
1.15. Procedimento operacional integrado – Uso de laptops em ambientes públicos: é expressamente proibida a utilização de computadores portáteis ou estações de trabalho em ambientes públicos (cafeterias, transportes públicos, praças, hotéis, espaços compartilhados) para acesso a sistemas corporativos, dados de clientes ou informações confidenciais da EXECTION. Caso se configure necessidade absolutamente imprescindível e documentada, o acesso deverá ocorrer exclusivamente mediante: (i) uso de rede VPN corporativa autenticada; (ii) ativação de blindagem visual (protetor de tela ou filtro anti-espionagem); (iii) utilização obrigatória de 2FA; (iv) comunicação prévia ao gestor responsável.
1.16. Procedimento operacional integrado – Proibição de softwares não autorizados: é terminantemente vedada a instalação, utilização ou execução de qualquer software, extensão de navegador, plugin, ferramenta complementar ou aplicação de terceiros não expressamente homologada e autorizada pela administração de Segurança da Informação (CISO). Inclui-se nesta proibição: (i) programas de torrent, P2P ou similares; (ii) softwares de compactação, virtualização ou containers não autorizados; (iii) extensões de navegador (mesmo “leves” ou “produtivas”); (iv) aplicações cloud não corporativas para armazenamento de dados; (v) qualquer tentativa de contorno de controles já implantados. A detecção de tal comportamento resultará em bloqueio de acesso corporativo, apuração formal e potencial rescisão contratual.
2. Privacidade e proteção de dados pessoais (LGPD)
2.1. O presente normativo delimita a totalidade das balizas aplicáveis ao processamento e tratamento de dados pessoais sob custódia, comando ou gerenciamento transitório da EXECTION IMPULSIONADORA DE NEGÓCIOS LTDA. O não reconhecimento desta política impedirá o Usuário de ter acesso aos contratos e projetos da empresa.
2.2. A EXECTION consagra-se predominantemente dotada da figura jurídica de OPERADORA DE DADOS frente ao processamento alocado em projetos de modelagem processual e consultiva prestados nos moldes contratuais dos seus Clientes finais. Caberão aos Clientes todos os encargos decorrentes da titularidade na qualidade de Controlador.
2.3. A EXECTION atuará e assumirá os rigores da CONTROLADORA DE DADOS única e exclusivamente em relação ao capital humano subscrito aos seus domínios legais, como sócios, empregados regidos pela CLT, parceiros PJ e registros internos de gestão, cujo escopo do tratamento dos dados seja a folha de pagamento corporativa, a adimplência fiscal das notas apresentadas, a gestão contratual e as rotinas administrativas correlatas.
2.4. Ficam nomeados formal e integralmente como Encarregados de Proteção de Dados (DPOs) os sócios da EXECTION, cujos domínios de ação compreenderão auditorias, representação perante a ANPD (Autoridade Nacional de Proteção de Dados) e centralização integral das tratativas acerca de dados pessoais.
2.5. O processamento executado pelos Usuários Internos e Suboperadores submete-se imperativamente ao princípio da Finalidade Estrita e do Need-to-Know (Privilégio Mínimo).
2.6. Sob severas sanções reparatórias pecuniárias, fica terminantemente vedado aos Usuários utilizar as bases de clientes contendo Pessoas Físicas para a prática de profiling indevido, alienação a terceiros não arrolados no escopo do trabalho, envio de propaganda e contatos independentes.
2.7. A base outorgada aos Usuários não confere, sob nenhuma hipótese, prerrogativa de titularidade superveniente. O processamento em equipamentos e ambientes virtuais alheios aos ecossistemas da EXECTION sem prévia anuência escrita implica incidência grave e irreversível de ofensa regulatória (Ruptura).
2.8. A EXECTION assegura, mediante seus Sócios-Gestores, diligência exaustiva (auditoria) para garantir que seus quadros procedam somente a consultas adequadas e correlatas ao serviço contratado, limitando a responsabilidade no caso de adulterações operadas mediante fraude funcional.
2.9. O presente Manual instrui tecnicamente como executar as diretivas presentes nos painéis de análise e ecossistema local do profissional durante transações de bases contendo dados pessoais tipificados pela Lei Geral de Proteção de Dados (LGPD).
2.10. Procedimento operacional integrado: ao iniciar qualquer projeto, o responsável deverá criar estrutura segregada de armazenamento, observando organização mínima por CLIENTE > PROJETO > ANO, vedando a mescla de bases entre clientes distintos, ainda que sob pretexto de ganho operacional, teste ou benchmarking.
2.11. Procedimento operacional integrado: dados, relatórios, exportações, painéis e arquivos contendo dados pessoais deverão ser armazenados exclusivamente em ambiente cloud corporativo autorizado, com compartilhamento por permissão nominativa, controle de acesso e limitação ao escopo estritamente necessário.
2.12. Procedimento operacional integrado: fica vedado utilizar e-mail pessoal, aplicativos de mensagens informais (WhatsApp, Telegram e similares), unidades privadas, áreas não homologadas ou dispositivos particulares como canal de envio, guarda ou circulação de dados de clientes ou titulares.
2.13. Procedimento operacional integrado em caso de incidente com dados pessoais: o Usuário deverá (i) interromper imediatamente o tratamento da informação afetada; (ii) preservar evidências; (iii) comunicar formalmente um dos DPOs em prazo não superior a 2 (duas) horas; (iv) abster-se de responder diretamente ao titular, cliente ou autoridade reguladora; (v) aguardar a orientação formal da governança interna.
2.14. Procedimento operacional integrado – Vedação de compartilhamento com pessoas fora do escopo do projeto: é categoricamente proibido compartilhar, repassar, transferir ou expor dados de clientes, relatórios analíticos, bases sensíveis ou qualquer informação corporativa confidencial a pessoas não formalmente alocadas no projeto específico. Isso abrange: (i) colegas internos fora da equipe de projeto; (ii) parceiros ou terceiros alheios ao escopo contratado; (iii) familiares ou conhecidos pessoais; (iv) qualquer pessoa que não figure expressamente na matriz de alocação do projeto aprovada pelo Sócio-Gestor. O descumprimento desta vedação é classificado como violação grave de confidencialidade e LGPD, sujeitando o infrator a responsabilização civil, penal e disciplinar.
3. Isolamento processual, incidentes de segurança e acionamento técnico do DPO
3.1. Todo Usuário fará uso estrito das pastas isoladas em ambiente Cloud. Fica vedada a mescla, consolidação indevida ou centralização de bases de dados entre Clientes A e B, sob o pretexto de comparativo ou agilidade processual, se tal unificação implicar exposição de dados concorrentes ou quebra de anonimização estrutural.
3.2. Recebida solicitação ou interpelação do Titular de Dados, ou ocorrendo exposição não autorizada em superfície indesejada, o Usuário deverá lavrar imediatamente termo e notificar um dos sócios da EXECTION. Nenhuma resposta legal será apresentada de pronto pelo Usuário autonomamente, por competir tal atribuição exclusivamente à mesa corporativa decisória.
3.3. Requerimentos extrajudiciais de Direito do Titular não comportarão exclusão autônoma da base do projeto caso a Operadora (EXECTION) dependa sistemicamente dos metadados para liquidação de obrigações junto à Controladora (Cliente Final), sem prejuízo da análise jurídica específica do caso concreto.
3.4. Procedimento operacional integrado: identificado phishing, malware, ransomware, acesso indevido, envio equivocado de dados, sincronização não autorizada, vazamento, perda de dispositivo, compartilhamento indevido ou qualquer evento compatível com incidente, o Usuário deverá interromper imediatamente o uso, preservar evidências, desconectar-se da rede quando viável e comunicar sem demora o gestor e um dos DPOs.
3.5. Procedimento operacional integrado: fica vedado ao Usuário responder diretamente a titulares, clientes ou autoridades acerca do incidente sem autorização formal, bem como apagar evidências, formatar equipamentos ou alterar registros de auditoria por iniciativa própria, sob pena de agravamento da responsabilização.
4. Gestão e tramitação de acessos
4.1. A presente Política confere rigidez, hermetismo e monitoramento absoluto acerca do provisionamento (emissão) e revogação das chaves eletrônicas, perfis organizacionais e níveis hierárquicos sistêmicos sob responsabilidade da EXECTION.
4.2. Todos os riscos derivados e eventuais vazamentos são analisados primariamente pelo filtro originário da chave concedida. A gestão e arquitetura desta empresa baseia-se na confiança nula (Zero Trust) somada ao Privilégio Mínimo (Principle of Least Privilege).
4.3. Qualquer acesso outorgado será individual e estritamente rastreável via log. Proíbem-se contas genéricas com senha compartilhada entre pares ou subordinados.
4.4. O interessado no acesso ou preposto deverá submeter o pedido por correio eletrônico ao gestor direto. Não se admitirão solicitações telefônicas verbais que dificultem o rastreamento processual do consentimento.
4.5. As concessões dos sistemas equivalentes devem atender à hierarquização do organograma matricial. Usuários padrão não herdarão atribuições de Administrador, limitando sua alçada precipuamente à visualização de indicadores e às permissões estritamente compatíveis com sua função.
4.6. O gestor direto do respectivo acesso detém responsabilidade integral e irrefragável pela condução da revisão temporal (recertificação a cada 6 (seis) meses calendário), visando exterminar Contas Órfãs e excesso de privilégios.
4.7. Ocorrendo evento demissório abrupto, cisão, denúncia civil ou encerramento formal do projeto tocado por terceiro PJ, impõe-se SLA sistêmico de interrupção (Offboarding e Exclusão Funcional/Bloqueio) computado em, no máximo, 04 (quatro) horas para total invalidação dos tokens de sessão.
4.8. No exato instante do desligamento, a conta no Active Directory ou Cloud não ensejará destruição prematura de seu acervo. Ao contrário, o Administrador de Sistemas imporá o reset compulsório de credenciais, obstando logon superveniente do originário, convertendo a conta transitoriamente ao status SUSPENSO, retendo-a sob arquivamento controlado até segunda ordem de liquidação processual.
4.9. Procedimento operacional integrado: toda solicitação de acesso deverá indicar sistema, finalidade, nível pretendido, justificativa e período estimado de uso, cabendo ao responsável criar usuário individual, parametrizar o menor privilégio necessário e registrar formalmente a data da concessão.
4.10. Procedimento operacional integrado: o offboarding não se confunde com eliminação documental; primeiro bloqueiam-se credenciais e tokens, depois preservam-se os registros indispensáveis à continuidade operacional, trilha de auditoria, defesa jurídica e sucessão de atividades.
4.11. Procedimento operacional integrado de revisão semestral: o gestor responsável deverá (i) listar todos os usuários ativos com acesso aos sistemas sob sua alçada; (ii) validar a pertinência atual do acesso; (iii) revogar acessos não mais necessários; (iv) ajustar privilégios desproporcionais; (v) registrar formalmente o resultado da revisão.
5. Contratação de terceiros, suboperação e vínculos
5.1. O presente normativo delimita expressamente a não configuração de laços não estipulados e estabelece os mandamentos de governança entre a EXECTION e seus pares terceirizados (Terceiros, Subcontratados e PJ).
5.2. As disposições contidas neste e em outras diretrizes correlatas não criam quaisquer modalidades atreladas a joint-venture, mandato irrestrito, consórcio formador de grupo econômico consolidado ou vínculo trabalhista indireto ou direto (subordinação celetista perante autônomos). A EXECTION permanecerá caracterizada unicamente como tomadora transacional nos contornos avençados.
5.3. É condição suprema para o tráfego do trabalho a integral homologação do Terceirizado sob os preceitos contidos neste compêndio, forçando o enquadramento deste à rígida designação de Suboperador de Dados Pessoais perante os critérios aplicados aos clientes operados.
5.4. Sem prejuízo da cessão parcial à plataforma e material correlato, não será permitido ao Terceiro copiar, modificar, alienar, desorganizar o código ou realizar engenharia reversa sobre o capital intelectual da empresa contratante.
5.5. Requer-se irrevogavelmente da Diretoria o escrutínio de credenciais e a averiguação das métricas de proteção empregadas pelo Terceirizado antes de ceder-lhe chaves operacionais e acesso ao perímetro corporativo. Ao longo da vigência, admite-se incursão avaliativa promovida por um dos DPOs em favor da EXECTION para atestar a higidez das conexões do Terceiro.
5.6. Os acessos do Terceiro restringir-se-ão às tabelas, pastas, ambientes e artefatos relativos exclusivamente ao seu Lote ou Sprint, sendo vedado qualquer trânsito lateral não expressamente autorizado.
5.7. A não aderência do Terceiro e o esgotamento material da produtividade contida no seu plano operacional submetem o Terceiro ao desligamento sistêmico sob os mesmos preceitos do Offboarding da Gestão de Acessos (revogação em até 4 horas).
5.8. Procedimento operacional integrado de homologação prévia: antes do início das atividades, o Terceiro deverá (i) firmar instrumento contratual formal; (ii) assinar Termo de Confidencialidade (NDA); (iii) aderir expressamente às políticas internas da EXECTION; (iv) ter seu escopo delimitado objetivamente; (v) cumprir as regras de propriedade intelectual; (vi) comprometer-se com o dever de cooperação em incidentes; (vii) firmar obrigação expressa de exclusão de dados ao término da relação.
5.9. Procedimento operacional integrado de monitoramento: o Sócio-Gestor responsável deverá acompanhar, em periodicidade compatível com o risco, (i) a aderência do Terceiro às rotinas de segurança; (ii) a qualidade dos entregáveis; (iii) a observância dos limites de uso de informação; (iv) a tempestividade das entregas; (v) o cumprimento das obrigações de confidencialidade.
5.10. Procedimento operacional integrado de classificação de risco do Terceiro: o gestor deverá classificar previamente o Terceiro em (i) Alto Risco (acesso a dados sensíveis de clientes ou sistemas financeiros); (ii) Médio Risco (acesso a dados operacionais limitados); (iii) Baixo Risco (acesso apenas a ferramentas de produtividade), aplicando controles proporcionais.
6. Procedimento integrado de finalização, retenção e descarte de projetos
6.1. Disposições gerais: o encerramento de qualquer projeto firmado pela EXECTION com seus Clientes ou Terceiros submete-se ao presente procedimento estruturado, de natureza obrigatória, com o objetivo de assegurar a correta destinação de informações, a revogação adequada de acessos, a eliminação tempestiva de dados e a preservação de evidências para fins de auditoria, defesa jurídica e conformidade regulatória.
6.2. Marco zero (comunicação formal de encerramento): o Sócio-Gestor responsável pelo projeto deverá emitir comunicado formal de encerramento, por correio eletrônico, dirigido a todos os membros do time, ao Cliente Final e ao DPO, indicando: (i) data efetiva de encerramento; (ii) status final dos entregáveis; (iii) instruções para a fase de descomissionamento; (iv) prazos aplicáveis para as etapas subsequentes.
6.3. Etapa 1 – Bloqueio de acessos (SLA 4 horas): a partir da comunicação formal de encerramento, todos os acessos relacionados ao projeto deverão ser revogados no prazo máximo inafastável de 04 (quatro) horas, compreendendo: (i) acessos do time interno da EXECTION; (ii) acessos de Terceiros e Suboperadores; (iii) tokens de sessão ativos; (iv) credenciais de integração e API; (v) compartilhamentos de pastas e dashboards.
6.4. Etapa 2 – Devolução de materiais: os Usuários alocados no projeto deverão devolver formalmente ao Sócio-Gestor, no prazo máximo de 5 (cinco) dias úteis a contar do marco zero: (i) documentos físicos eventualmente retidos; (ii) dispositivos corporativos exclusivos do projeto; (iii) credenciais físicas (cartões de acesso, tokens físicos); (iv) qualquer ativo material de propriedade do Cliente ou da EXECTION.
6.5. Etapa 3 – Período de retenção controlada (60 dias): durante o período de 60 (sessenta) dias úteis subsequentes ao marco zero, os materiais do projeto poderão permanecer em ambiente corporativo controlado, exclusivamente sob a guarda dos Sócios-Gestores e da Administração, para fins de: (i) resposta a eventuais demandas residuais do Cliente; (ii) suporte a entregas complementares contratualmente previstas; (iii) defesa em eventuais disputas; (iv) atendimento de exigências regulatórias.
6.6. Etapa 4 – Sanitização e descarte (após 60 dias): findo o prazo de retenção, deverá ser promovida a eliminação irrecuperável e integral dos materiais do projeto, mediante (i) exclusão definitiva dos arquivos em ambientes corporativos (não basta envio à lixeira); (ii) esvaziamento das lixeiras dos sistemas; (iii) limpeza de caches de ferramentas analíticas (Power BI, Excel, navegadores); (iv) eliminação de exportações temporárias, downloads, desktop, anexos salvos e diretórios sincronizados; (v) trituração mecânica (fragmentação) de documentos físicos antes de seu descarte.
6.7. Etapa 5 – Declaração formal de descarte: ao concluir a sanitização, cada Usuário alocado deverá responder ao Sócio-Gestor, por correio eletrônico, declaração formal de descarte contendo: (i) identificação do projeto encerrado; (ii) lista de pontos verificados (cloud, local, físico); (iii) confirmação de exclusão integral; (iv) declaração expressa de que não permanecem cópias sob sua posse funcional; (v) data e assinatura eletrônica.
6.8. Etapa 6 – Arquivamento legal (Conservação Compulsória): excepcionalmente, dados e documentos poderão ser preservados por até 5 (cinco) anos para fins tributários, fiscais, judiciais ou regulatórios. Tal preservação transitará exclusivamente para os servidores de arquivamento (cold storage) sob guarda direta da Administração, sendo vedado aos colaboradores e membros do projeto manter quaisquer cópias em suas estações.
6.9. Etapa 7 – Auditoria e validação do encerramento: o DPO/CISO poderá, a qualquer tempo, realizar auditoria do encerramento do projeto, verificando (i) revogação efetiva dos acessos; (ii) eliminação dos materiais; (iii) recebimento das declarações formais de descarte; (iv) arquivamento adequado em cold storage; (v) inexistência de resíduos em estações de trabalho.
6.10. Responsabilização: persistindo, por falha do Usuário, material sensível em estação local, dispositivo não autorizado, pasta pessoal, e-mail privado ou qualquer outro ambiente indevido após o prazo estabelecido, a responsabilidade decorrente do risco acrescido poderá ser imputada ao infrator, sem prejuízo das demais medidas disciplinares, contratuais e indenizatórias cabíveis.
6.11. Encerramento antecipado de projetos por rescisão: nos casos de rescisão contratual antecipada (unilateral, por inadimplemento, por desistência ou por qualquer outra causa), aplicam-se as mesmas etapas do encerramento ordinário, observadas as obrigações adicionais previstas em contrato com o Cliente, especialmente quanto à devolução imediata de materiais e à proibição de uso superveniente de informações.
6.12. Encerramento de relação com Terceiros: o desligamento de Terceiros e Suboperadores no contexto de finalização de projeto segue rito acelerado, com revogação de acessos em até 4 horas, devolução formal de materiais em até 48 horas e declaração de descarte em até 5 dias úteis, sob pena de execução das cláusulas penais contratuais.
7. Mesa limpa, retenção geral e descarte
7.1. O Usuário é obrigado a acondicionar relatórios contábeis, notas fiscais, contratos PJ, anotações de fluxo e papéis avulsos em gavetas trancadas quando não estiver operando ativamente os referidos materiais.
7.2. Bloqueio lógico temporal: sempre que o Usuário necessitar ausentar-se, ainda que por breves instantes, é imperioso acionar o mecanismo de bloqueio da máquina, evitando exposição física ou visual de informações.
7.3. Fica expressamente fixado como postulado geral de retenção mínima a regra dos 60 (sessenta) dias úteis transcorridos. Concluído formalmente o escopo perante o Cliente Originário, perfaz-se a contagem que ditará a eliminação das planilhas, dashboards brutos e metadados baixados localmente sob autorização, salvo hipótese legal, judicial, regulatória ou contratual de retenção compulsória.
7.4. Ocorrendo a expiração supracitada, a Diretoria exime-se formalmente, nos limites da prova de orientação e governança, sobre falhas de armazenamento perpétuo por omissão do Usuário Final, suportando o reincidente os riscos de manter material vulnerável em sua máquina sem autorização.
7.5. O imperativo de apagamento será afastado sob circunstâncias que exijam Conservação Compulsória, a saber: trânsito e salvaguarda para fim exclusivo da EXECTION de ordem tributária e judicial, pelo prazo de 5 (cinco) anos, sendo que tal reserva transitará puramente aos servidores de arquivamento (cold storage) sob guarda da Administração. Ao colaborador e membro do projeto remanesce apenas o ato primário da EXCLUSÃO INTEGRAL DE SUAS ESTAÇÕES.
7.6. Certificação tecnológica: a eliminação não se dará pela simples transferência sistêmica para a lixeira. O Usuário compromete-se a esvaziar efetivamente a pasta raiz e limpar os caches residuais gerados pelas soluções oficiais que a EXECTION contrata, a saber Microsoft 365 com todos os respectivos softwares locais pertinentes.
7.7. Auditoria e solicitação final: o Sócio-Gestor encaminhará memorando padrão determinando a expurgação a seu time. A partir da devolutiva afirmativa destes, através da Declaração, cessa a autorização vigente. Documentos físicos impressos no transcorrer dos 60 dias serão submetidos à máquina de fragmentação (fragmentadora) antes de seguirem para a rede de descartes municipal.
7.8. Procedimento operacional integrado: encerrado o projeto, cada Usuário deverá mapear pastas locais, diretórios sincronizados, downloads, desktop, anexos salvos, documentos impressos, exportações temporárias e caches de ferramentas analíticas, promovendo a eliminação integral de tais materiais, o esvaziamento das lixeiras e a confirmação formal ao gestor da conclusão da exclusão. Em nenhuma hipótese o Usuário deve manter cópia em ambiente pessoal, sendo passível de sanções judiciais.
8. Disposições finais, sanções, vigência e adesão
8.1. A EXECTION poderá realizar atualizações para melhorar funcionalidades, controles, procedimentos e regras internas, podendo alterar este instrumento a qualquer tempo e a exclusivo critério da Administração, a fim de refletir os ajustes realizados na operação, nos procedimentos operacionais e nas exigências contratuais ou regulatórias.
8.2. Sempre que ocorrer modificação relevante, a EXECTION poderá encaminhar comunicação ao Usuário indicando a data em que a alteração passará a ser vigente e, quando cabível, solicitar o aceite das novas disposições. Caso o Usuário não concorde com as novas disposições, poderá deixar de utilizar a plataforma e seus recursos. A continuidade do uso após a alteração significará concordância com as modificações implementadas, na medida admitida pela legislação aplicável.
8.3. Este instrumento não cria qualquer outra modalidade de vínculo entre os Usuários e a EXECTION, inclusive, sem limitação, sociedade, joint-venture, mandato, representação, parceria, consórcio, associação, formação de grupo econômico, vínculo empregatício ou similar. A EXECTION permanecerá entidade independente e autônoma.
8.4. A EXECTION poderá ceder os direitos e obrigações referentes a este instrumento a empresas de seu mesmo grupo econômico ou societário, mediante simples comunicação por escrito aos interessados, quando aplicável.
8.5. A omissão ou tolerância da EXECTION em exigir o estrito cumprimento das condições aqui definidas não constituirá, em nenhuma hipótese, novação ou renúncia, nem impedirá que a EXECTION exija esses direitos a qualquer tempo.
8.6. Sanções e responsabilização: o descumprimento das disposições deste instrumento ensejará adoção das medidas internas e externas cabíveis, podendo incluir advertência (primeira infração), suspensão de acessos (segunda infração), desligamento contratual (terceira infração ou violação grave), revogação de credenciais, responsabilização regressiva, apuração de perdas e danos, comunicação contratual ao Cliente afetado e, quando aplicável, provocação das medidas judiciais ou administrativas pertinentes.
8.7. Revisão periódica: este documento será revisado, no mínimo, anualmente pela Administração, ou sempre que houver alteração legislativa, regulatória, operacional ou societária relevante.
8.8. Vigência: esta Política entra em vigor na data de sua publicação (13 de maio de 2026) e vincula todos os Usuários a partir deste marco.
8.9. Canal de Contato: o Usuário poderá entrar em contato com a EXECTION através do canal [email protected] para esclarecimentos, dúvidas ou reportes de incidentes.
8.10. Legislação Aplicável: este instrumento é regido pelas leis da República Federativa do Brasil. Quaisquer dúvidas e situações não previstas serão primeiramente resolvidas internamente e, persistindo controvérsia, dirimidas no foro da Comarca de São Paulo, Estado de São Paulo, com renúncia de qualquer outro, por mais privilegiado que seja.