Política de Proteção de Dados da Grassroots Economics Foundation

Tradução de trabalho — ainda não em vigor. Esta tradução para português é disponibilizada para revisão antes da aprovação jurídica. O texto em inglês é o texto de origem e prevalece, salvo se a lei aplicável exigir o contrário. Ler o texto em inglês.

1. Finalidade

A Grassroots Economics Foundation (GEF) respeita a privacidade e trata os dados pessoais como uma responsabilidade perante as pessoas e comunidades envolvidas no seu trabalho. Esta Política estabelece normas mínimas para os dados pessoais tratados através dos sistemas, programas, investigações, atividades educativas, eventos, parcerias e operações da GEF, incluindo a aplicação Cosmo-Local Credit (CLC App).

Esta Política tem em conta a Data Protection Act, 2019 do Kenya, os regulamentos aplicáveis e as orientações atuais da Office of the Data Protection Commissioner. Outras leis também podem aplicar-se nos locais onde a GEF trabalha ou onde se encontram as pessoas afetadas.

O Aviso de privacidade da CLC App fornece informações mais específicas sobre os campos da Aplicação, os recursos públicos, a pesquisa de destinatários e os registos públicos da blockchain. Os Termos de Serviço regulam a utilização da Aplicação.

2. Âmbito

Esta Política aplica-se aos membros do conselho de administração, diretores, pessoal, voluntários, estagiários, contratantes, consultores, investigadores e outras pessoas que tratem dados pessoais para a GEF ou em seu nome. Os contratos e acordos de parceria devem impor deveres adequados de proteção de dados aos prestadores de serviços e parceiros.

A Política abrange dados pessoais em registos digitais, em papel, áudio, visuais, de investigação, de comunicações e de outro tipo. Aplica-se quando a GEF atua como responsável pelo tratamento, corresponsável ou subcontratante. Cada projeto deve identificar o papel da GEF e os papéis das outras partes, em vez de pressupor que uma única política regula todos os participantes.

3. Princípios orientadores

A GEF trata os dados pessoais de acordo com os seguintes princípios:

1. Licitude, lealdade e transparência. Sempre que seja praticável e exigido, as pessoas recebem informações compreensíveis sobre o tratamento relevante antes ou no momento da recolha dos seus dados.
2. Limitação das finalidades. Os dados são recolhidos para finalidades específicas, explícitas e legítimas e não são reutilizados de forma incompatível sem fundamento jurídico e aviso adequados.
3. Minimização dos dados. A GEF só recolhe e partilha o que seja razoavelmente necessário para a finalidade indicada.
4. Exatidão. São tomadas medidas razoáveis para manter exatos os dados pessoais relevantes e corrigir registos enganosos.
5. Limitação da conservação. Os dados identificáveis só são conservados durante o período razoavelmente necessário para a sua finalidade e as obrigações aplicáveis.
6. Integridade e confidencialidade. As salvaguardas são proporcionais aos dados, às pessoas, ao contexto e aos riscos.
7. Responsabilidade. A GEF documenta decisões importantes e pode demonstrar como estes princípios são aplicados.
8. Participação e dignidade. As práticas relativas a dados devem respeitar a autonomia, a segurança, a cultura e as expectativas razoáveis das pessoas e comunidades afetadas.

4. Prestação de contas e responsabilidades

Os órgãos de governação e gestão da GEF são responsáveis por assegurar que os riscos de privacidade recebem recursos e supervisão adequados. Designam funções responsáveis pela coordenação da privacidade, segurança da informação, registos, governação da investigação, proteção de pessoas, resposta a incidentes e pedidos dos titulares dos dados.

A responsabilidade acompanha o trabalho e a autoridade envolvidos; não é atribuída automaticamente a um departamento específico. Todas as pessoas que trabalhem para a GEF ou em seu nome devem:

• cumprir esta Política e os procedimentos relevantes para a sua função;
• aceder a dados pessoais apenas quando autorizadas e quando necessário;
• comunicar prontamente qualquer suspeita de perda, utilização indevida, divulgação ou falha de segurança;
• concluir a formação exigida; e
• consultar o responsável pelo projeto ou pela privacidade antes de iniciar um tratamento incerto ou de alto risco.

A GEF mantém registos adequados dos sistemas de tratamento, finalidades, categorias de dados, pessoas afetadas, fundamentos jurídicos, destinatários, transferências, conservação, salvaguardas e responsáveis designados.

5. Fundamentos jurídicos e consentimento

Todas as atividades de tratamento devem dispor de um fundamento jurídico aplicável, como consentimento, execução de um acordo, cumprimento de uma obrigação legal, proteção de interesses vitais, uma missão de interesse público quando legalmente disponível ou um interesse legítimo que não seja superado pelos direitos das pessoas.

A equipa responsável regista o fundamento antes da recolha. Quando for utilizado o consentimento, este deve ser informado, específico, livremente dado quando exigido, comprovável e tão fácil de retirar como de dar. Recusar ou retirar o consentimento não deve resultar numa penalização que não tenha sido divulgada.

O consentimento não é a resposta predefinida para todas as atividades. A GEF deve utilizar o fundamento que descreva corretamente o tratamento e aplicar quaisquer salvaguardas adicionais exigidas para dados sensíveis, crianças, pessoas vulneráveis, comunicações diretas, investigação ou transferências internacionais.

6. Transparência e recolha

Antes de recolher dados pessoais, a GEF fornece um aviso adequado ao público e ao contexto. Conforme aplicável, este deve explicar:

• quem recolhe os dados e como estabelecer contacto;
• que dados são recolhidos e se são obrigatórios ou opcionais;
• por que motivo são utilizados e qual o fundamento jurídico;
• as consequências de não fornecer dados obrigatórios;
• quem os recebe e se podem ser tratados internacionalmente;
• durante quanto tempo são conservados ou como é decidida a conservação;
• as medidas relevantes de segurança e confidencialidade;
• se as informações serão publicadas ou colocadas numa blockchain pública; e
• os direitos da pessoa e as vias de reclamação.

Em regra, a GEF recolhe dados diretamente da pessoa. A recolha indireta deve ter um fundamento jurídico, uma fonte documentada e um aviso adequado, salvo se for aplicável uma exceção legal.

7. Dados sensíveis e pessoas em maior risco

Os dados podem criar riscos graves devido ao seu conteúdo, contexto, combinação ou às pessoas envolvidas. Isto inclui informações de saúde, biométricas, genéticas, étnicas, religiosas, políticas, sexuais, financeiras, de localização precisa, identificação e proteção, bem como dados que possam expor alguém a discriminação, violência, exclusão, vigilância, exploração ou perda.

A GEF aplica salvaguardas reforçadas quando o risco é maior. As medidas podem incluir recolher menos dados, separar identificadores, impor restrições de acesso mais fortes, cifrar, reduzir os prazos de conservação, utilizar meios de contacto mais seguros, transferir de forma segura, rever divulgações, obter aconselhamento especializado e documentar uma avaliação de impacto.

As equipas devem considerar as circunstâncias locais. Um nome, uma associação comunitária, um ponto no mapa, um endereço de Carteira, uma fotografia ou um histórico de transações podem ser sensíveis mesmo quando não são classificados como dados sensíveis por todas as leis.

8. Crianças e proteção

O tratamento de dados de uma criança exige cuidados especiais, um fundamento jurídico aplicável, informações adequadas à idade e qualquer autorização exigida dos pais ou tutores. O superior interesse da criança é uma consideração primordial.

A GEF minimiza os dados de crianças, limita o acesso, evita localizações precisas ou materiais identificativos desnecessários e avalia se a publicação ou comunicação digital pode criar danos previsíveis. O tratamento de dados deve cumprir a Política de Proteção da Infância.

A CLC App está limitada a adultos. Esta Política não cria uma via para uma criança se registar na Aplicação.

9. Privacidade desde a conceção e avaliação de impacto

Os requisitos de privacidade devem ser considerados quando um projeto ou sistema é concebido, e não apenas acrescentados depois de os dados terem sido recolhidos. Antes do lançamento, as equipas devem definir a finalidade, o fluxo de dados, a visibilidade, o acesso, a conservação, a eliminação, os prestadores, as transferências e as medidas para incidentes.

A GEF realiza e documenta uma avaliação de impacto sobre a proteção de dados quando o tratamento for suscetível de criar um risco elevado. Os fatores relevantes incluem monitorização sistemática ou em grande escala, dados sensíveis ou de crianças, localização precisa, novas tecnologias, correspondência pública, avaliação automatizada, combinação de conjuntos de dados ou publicação irreversível.

Os riscos elevados não resolvidos devem ser comunicados ao órgão de gestão ou governação responsável e, quando exigido, à autoridade competente antes de o tratamento começar.

10. Acesso e segurança

O acesso a dados pessoais é limitado de acordo com a função e a necessidade. A GEF seleciona salvaguardas adequadas ao sistema e ao risco, que podem incluir:

• autenticação forte e acesso administrativo controlado;
• permissões de privilégio mínimo e separação de funções;
• transporte seguro e proteção adequada dos dados armazenados;
• software com suporte, aplicação de correções, revisão da configuração e gestão de vulnerabilidades;
• registo, monitorização, limites de pedidos e deteção de abusos;
• cópias de segurança protegidas, recuperação testada e medidas de continuidade do serviço;
• eliminação ou destruição segura quando terminar o período de conservação; e
• deveres contratuais de confidencialidade e segurança para o pessoal e os prestadores.

Os controlos de segurança são revistos quando os sistemas, as ameaças ou os riscos mudam. Os registos públicos de blockchain exigem salvaguardas diferentes porque, em regra, os registos confirmados não podem ser alterados nem eliminados.

11. Prestadores de serviços, parceiros e transferências

Antes de dar acesso a dados pessoais a um prestador de serviços, a GEF avalia a finalidade, a necessidade, a segurança, a localização, a partilha subsequente, a eliminação e a capacidade de apoiar obrigações legais. Quando exigido, os termos escritos devem definir o tratamento permitido, a confidencialidade, a segurança, a comunicação de incidentes, o subtratamento, a assistência, a devolução ou eliminação e a supervisão.

Uma parceria não transforma, por si só, todas as organizações em subcontratantes. Cada acordo deve identificar se as partes atuam como responsáveis independentes, corresponsáveis ou como responsável e subcontratante, e deve fornecer às pessoas informações exatas sobre esses papéis.

O acesso ou a transferência internacional deve utilizar um fundamento jurídico aplicável e salvaguardas adequadas. As equipas relevantes documentam o destinatário, o destino, a finalidade, os dados, os riscos e as salvaguardas. As informações publicadas e os dados públicos de blockchain podem ser consultados em todo o mundo e exigem um aviso claro antes da publicação.

12. Investigação, estatísticas e dados abertos

A GEF apoia a investigação responsável e a aprendizagem aberta. A abertura não significa publicar dados pessoais por predefinição.

O trabalho de investigação e de dados públicos deve:

• definir a questão, o valor público, o fundamento jurídico e os dados mínimos necessários;
• utilizar agregação, desidentificação, pseudonimização, amostragem ou acesso controlado quando adequado;
• avaliar os riscos de reidentificação e de danos para grupos, incluindo combinações com dados públicos;
• evitar apresentar dados desidentificados como anónimos quando a reidentificação continue a ser razoavelmente possível;
• documentar consentimento, revisão ética, acordo comunitário ou outra autorização lícita quando exigido;
• estabelecer regras de acesso, reutilização, atribuição, conservação, correção e retirada adequadas ao projeto; e
• rever tabelas, mapas, narrativas, imagens e pequenos grupos para detetar divulgações involuntárias antes da publicação.

Os investigadores e destinatários não devem tentar reidentificar pessoas nem utilizar dados para prejudicar, discriminar, explorar ou visar uma pessoa ou comunidade. A GEF pode restringir, corrigir, retirar ou recusar uma publicação quando o risco não esteja adequadamente controlado.

13. Exatidão, correção e proveniência

As equipas tomam medidas razoáveis para manter os dados pessoais exatos para a finalidade com que são utilizados. As pessoas devem dispor de uma forma prática de comunicar erros relevantes.

As correções devem conservar os registos necessários de proveniência, auditoria ou litígios sem continuar a apresentar informações incorretas como atuais. Quando uma blockchain pública ou uma cópia sob controlo independente não puder ser alterada, a GEF corrigirá o registo fora da blockchain que controla e explicará a limitação técnica quando adequado.

14. Conservação e eliminação

Cada sistema ou atividade deve ter uma regra de conservação baseada na finalidade, obrigações legais, contratos, risco, prazos de prescrição, auditoria, integridade da investigação e direitos das pessoas afetadas. Não se aplica um período fixo a todas as categorias apenas porque um parceiro ou outro projeto o utiliza.

No final da conservação, a GEF elimina, destrói, agrega, desidentifica ou restringe os dados de forma segura. A eliminação de cópias de segurança pode seguir um ciclo de substituição documentado. Uma obrigação de conservação legal, uma questão de proteção, uma reclamação, uma investigação ou um arquivo de interesse público podem exigir conservação limitada com acesso restrito.

A GEF não pode eliminar registos públicos de blockchain nem cópias controladas por terceiros independentes.

15. Direitos individuais e reclamações

A GEF disponibiliza um processo prático para as pessoas exercerem os direitos previstos no direito aplicável, incluindo informação, acesso, correção, oposição, restrição, retirada do consentimento, eliminação e portabilidade quando aplicável.

Os pedidos devem ser enviados para [email protected]. A GEF pode verificar a identidade e a autoridade do requerente e responderá dentro do prazo exigido pelo direito aplicável. Se um pedido não puder ser integralmente satisfeito, a GEF explica o motivo quando permitido e indica uma via de reclamação disponível.

As pessoas podem apresentar uma reclamação à Office of the Data Protection Commissioner ou a outra autoridade competente.

16. Incidentes de dados

Todas as pessoas que trabalhem para a GEF ou em seu nome devem comunicar prontamente qualquer suspeita de perda, acesso não autorizado, divulgação, alteração, destruição ou utilização indevida de dados pessoais através do canal designado para incidentes ou à gestão responsável.

A GEF conterá e investigará o incidente, protegerá as pessoas afetadas, preservará as provas adequadas, avaliará o risco, documentará as decisões e notificará as pessoas afetadas, parceiros, seguradoras ou autoridades quando exigido. As informações sobre incidentes só devem ser partilhadas com quem delas necessite para resposta, prestação de contas ou cumprimento da lei.

17. Formação, garantia e aplicação

O pessoal recebe informações sobre privacidade e segurança adequadas à sua função. As funções de maior risco recebem formação adicional. A GEF revê periodicamente os sistemas, acessos, avisos, prestadores, conservação, incidentes e o cumprimento desta Política.

O incumprimento desta Política pode resultar em restrição de acesso, medidas corretivas, recursos contratuais, medidas disciplinares, cessação de um acordo, comunicação a uma autoridade ou outras medidas proporcionais.

Ninguém deve sofrer represálias por manifestar de boa-fé uma preocupação relativa à privacidade ou segurança.

18. Revisão e contacto

A GEF revê esta Política pelo menos anualmente e quando ocorrem alterações jurídicas, operacionais ou técnicas relevantes. As versões atualizadas indicam as respetivas datas de publicação e entrada em vigor.

As perguntas, pedidos de exercício de direitos ou preocupações sobre privacidade podem ser enviados para:

Grassroots Economics Foundation
P.O. Box 1659-80108
Kilifi, Kenya
[email protected]