Política de Resposta a Solicitações de Autoridades Públicas

1. Objetivo

Estabelecer o procedimento que a Hiberia adota ao receber solicitações de dados pessoais originadas de autoridades públicas, judiciais, administrativas ou policiais, garantindo que qualquer divulgação seja legítima, proporcional, documentada e compatível com a Lei nº 13.709/2018 (LGPD) e com as obrigações contratuais assumidas perante a Meta Platforms, Inc. e as empresas clientes.

2. Alcance

Esta política se aplica a todas as solicitações recebidas por qualquer canal — ofício, e-mail, notificação eletrônica, contato telefônico ou presencial — que envolvam:

• Dados pessoais de clientes finais tratados em nome de empresas clientes;
• Dados da Plataforma recebidos da Meta por meio da WhatsApp Business Platform;
• Dados cadastrais, contratuais ou de faturamento de empresas clientes;
• Registros de conexão, logs de acesso e metadados de mensagens.

Aplica-se a todos os sócios, colaboradores, prestadores de serviço e terceiros com acesso aos sistemas da Hiberia.

3. Definições

Solicitação de autoridade pública:

qualquer pedido formal de acesso, entrega, preservação ou bloqueio de dados feito por órgão do Poder Judiciário, Ministério Público, polícia, autoridade fiscal, agência reguladora ou órgão administrativo.

Dados da Plataforma:

dados recebidos da Meta, incluindo identificadores de usuário, tokens de acesso, chaves de aplicativo e quaisquer dados obtidos por meio das permissões concedidas.

Responsável designado:

pessoa indicada pela Hiberia para receber, avaliar e responder às solicitações, conforme item 8.

4. Princípios

4.1

Nenhuma entrega sem análise prévia.

Nenhum dado é divulgado antes da conclusão da análise de legitimidade descrita no item 5. A urgência alegada pela autoridade não dispensa a análise.

4.2

Minimização.

Divulga-se exclusivamente o conjunto mínimo de dados necessário para atender ao objeto da solicitação. Pedidos genéricos, exploratórios ou sem delimitação de escopo não são atendidos em sua integralidade.

4.3

Contestação de pedidos ilegítimos.

Solicitações sem base legal, emitidas por autoridade incompetente, de escopo desproporcional ou em desacordo com a legislação aplicável são formalmente contestadas ou têm esclarecimentos requeridos antes de qualquer entrega.

4.4

Transparência ao titular e ao controlador.

Sempre que não houver vedação legal ou sigilo determinado, a Hiberia informa a empresa cliente controladora dos dados e, quando cabível, o titular afetado.

4.5

Registro integral.

Toda solicitação é registrada, atendida ou não, conforme o item 7.

5. Procedimento de análise de legitimidade

Ao receber uma solicitação, o responsável designado verifica, nesta ordem:

Havendo dúvida em qualquer etapa, a Hiberia consulta assessoria jurídica antes de responder.

1. 1.Autenticidade — a origem do documento é verificável e o emissor é identificável.
2. 2.Competência — a autoridade emissora tem competência legal sobre a matéria e sobre a Hiberia.
3. 3.Fundamento legal — o pedido indica o dispositivo legal que o embasa e, quando exigível, está acompanhado de decisão judicial.
4. 4.Delimitação de escopo — o pedido especifica quais dados, de quais titulares e relativos a qual período.
5. 5.Proporcionalidade — o volume e a natureza dos dados solicitados são adequados à finalidade declarada.
6. 6.Titularidade — verifica-se se a Hiberia é controladora ou operadora dos dados solicitados. Sendo operadora, a solicitação é encaminhada à empresa cliente controladora, salvo determinação legal em contrário.

6. Resultados possíveis

7. Registro

Toda solicitação é registrada em livro próprio, mantido pelo responsável designado, contendo no mínimo:

• Data de recebimento e canal de entrada;
• Autoridade solicitante e identificação do documento (número do ofício, processo, inquérito);
• Objeto do pedido e dados solicitados;
• Fundamento legal invocado;
• Análise realizada e conclusão;
• Decisão adotada e sua justificativa;
• Dados efetivamente divulgados, se houver;
• Pessoas envolvidas na decisão;
• Data e forma da resposta;
• Comunicação feita à empresa cliente e ao titular, se aplicável.

Os registros são mantidos por, no mínimo, 5 (cinco) anos e ficam disponíveis para auditoria interna, para a Meta e para a Autoridade Nacional de Proteção de Dados (ANPD), quando requisitados.

8. Responsabilidades

Nenhum colaborador está autorizado a divulgar dados a autoridades sem o encaminhamento prévio ao responsável designado.

9. Solicitações de segurança nacional

Solicitações fundamentadas em segurança nacional, inteligência ou vigilância recebem o mesmo tratamento previsto nesta política, com análise reforçada de legitimidade e minimização. A Hiberia não mantém programas de acesso direto, contínuo ou automatizado a dados por parte de autoridades públicas.

10. Revisão

Esta política é revisada anualmente ou sempre que houver alteração legislativa, contratual ou operacional relevante.