• A LEI n° 13.709, de 14 de agosto de 2018, estabelece regras sobre coleta, armazenamento, tratamento e compartilhamento de dados pessoais, impondo mais proteção e penalidades para o não cumprimento.
• A lei se aplica a qualquer pessoa, física ou jurídica (pública ou privada), ou seja, possuindo informações de pessoas físicas, deve-se adequar à lei.

Para os fins desta Lei, considera-se os seguintes tipos de dados: 

Segue definição dos principais atores envolvidos na Lei:

Através da função Gerenciamento de Campos Pessoais é possível visualizar o mapeamento de campos pessoais e sensíveis existentes no produto Datasul e adequá-los de acordo com o entendimento da empresa.

Saiba mais sobre esta função:

• Importação das rotinas e campos pessoais e/ou sensíveis
• Gerenciamento dos campos pessoais e/ou sensíveis
• Exportação das rotinas e campos pessoais e/ou sensíveis

A auditoria dos campos pessoais e sensíveis será efetuada por meio do Log Execução de Programas em conjunto com o Audit Trail:

• Log de Execução Programas: com base no registro e relacionamento das rotinas com pessoais e/ou sensíveis o acesso aos dados pessoais (ações de visualização e consulta) serão auditados.
• Audit Trail: com base no monitoramento das tabelas e campos pessoais e/ou sensíveis mapeados (ações de inclusão, edição e eliminação) serão auditadas.

Veja como efetuar a configuração destas funções:

• Relacionamento das rotinas com campos pessoais e/ou sensíveis
• Facilitador para auxiliar na configuração de auditoria de dados protegidos.

A segurança de acesso aos dados pessoais e sensíveis será de acordo com as permissões de menu, ou seja, acesso aos programas, desta forma é necessário validar o cadastro de usuários, grupos de usuários e as permissões existentes para acesso ao produto.

Veja como efetuar a configuração das permissões de acesso:

• https://centraldeatendimento.totvs.com/hc/pt-br/articles/115015967328--Boas-Pr%C3%A1ticas-Seguran%C3%A7a-Datasul-12

Os termos e a gestão de consentimento para uso dos dados pessoais do titular é de responsabilidade do cliente, como controlador, que deve identificar a necessidade de solicitar o consentimento e elaborá-la de acordo com sua necessidade e uso dos dados pela empresa. Sugerimos a solicitação do consentimento (através de documentação física) no momento da contratação do funcionário, juntamente com as documentações admissionais.

Para elaboração do termo de consentimento pode-se utilizar das funções:

• Contratos e Documentos Admissionais
• Dataviewer

É de responsabilidade do cliente assegurar a proteção adicional aos protocolos utilizados na empresa:

Verificar o uso de protocolos inseguros como: HTTP, ODBC, FTP, Telnet, etc.

Avaliar a substituição destes por protocolos SEGUROS: HTTPS, FTPS, SSH, etc.

Caso não possua alternativa, recomendamos deixar protocolo desativado por padrão.

Saiba mais detalhes em:

• Boas Práticas - Segurança e Comunicação Segura
• Conexão externa e segura via HTTPS para uso de Portais
• Ajustes Java para acessos via HTTPS
• Configurações HTTPS para integração com Fluig Identity

Garantir a segurança das informações em integrações a nível de banco de dados (evitar), APIs (TLS/OAuth/etc) e arquivos físicos (txt/xml/email/etc).

A responsabilidade de proteção dos dados é do cliente, como controlador, que deve avaliar todas as integrações realizadas na empresa e providenciar a segurança das mesmas, como: inserir senha em arquivos enviados por e-mail, proteger diretórios onde são armazenados arquivos, por exemplo.

Saiba mais sobre algumas integrações:

• Servico Datasul Rest
• Envio de email utilizando TLS
• Configuração JBOSS HTTPS com front end Apache
• Teste envio e-mail em servidores que exigem autenticação (TLS/SSL)

A criptografia garante a segurança da informação através de um conjunto de regras que visa codificar a informação de forma que só o emissor e o receptor consiga decifrá-la.

A criptografia deve ser feita utilizando recursos do próprio banco de dados. A TOTVS aconselha que seus clientes utilizem o recurso "Criptografia de Dados Transparente (TDE)"  do SGBD do produto.

Saiba mais sobre: 

• Criptografia do Banco de Dados

Desenvolvido API que lê as tabelas e campos pessoais e sensíveis configurados que permite anonimizar e devolve a máscara para anonimização dos mesmos.

Disponível a anonimização da persona Candidato, que será realizada por meio da exclusão do registro e todos os seus relacionamentos dentro do produto.

As demais personas (Dependente, Funcionário, Instrutor, etc.) serão disponibilizados em breve.

Saiba mais:  

• LGPD - Anonimização - Exclusão de Candidato

O relatório contendo dados do titular não possui modelo divulgado pela ANPD - Agência Nacional de Proteção de Dados, portanto, fica sob a responsabilidade do usuário a elaboração do relatório.

Aconselhamos o uso da ferramenta Dataviewer para a confecção do relatório, uma vez que esta permite consultar e extrair dados de qualquer tabela do produto, permitindo assim o desenvolvimento do relatório de acordo com a necessidade e entendimento de cada cliente.

Saiba mais sobre o Dataviewer:

• https://slideplayer.com.br/slide/13634325/

Disclaimer sobre Tratamento de Dados Pessoais/Sensíveis no âmbito dos Produtos TOTVS S.A.

Ao adquirir o Produto TOTVS, o cliente será o agente controlador dos dados pessoais e/ou sensíveis, conforme expressamente previsto na Lei Geral de Proteção de Dados, de seus usuários, funcionários, colaboradores, fornecedores, prestadores de serviços, dentre outros e, como tal, deverá, por sua conta e risco, realizar o enquadramento, processamento, inserção e todo e qualquer tratamento dos dados, informações e fluxos de dados pessoais, sendo, pois, exclusivamente responsável por tomar as decisões referentes ao tratamento de dados pessoais e cumprir todas as disposições, legislações e normas brasileiras, e, no que lhe couber, as legislações e normas estrangeiras, que regulam os direitos à privacidade e proteção de dados pessoais, incluindo, mas não se limitando, a Lei brasileira nº 13.709/2018 (“Lei Brasileira de Proteção de Dados”) e a Lei brasileira nº 12.965/2014 (“Marco Civil da Internet”), e, quando aplicável, o Regulamento Geral de Proteção de Dados da União Europeia (GDPR - General Data Protection Regulation nº 679/2016) (doravante denominados simplesmente “Legislação”).