1. OBJETIVO
O objetivo desta Política Corporativa de Privacidade é estabelecer diretrizes que permitam a Gazit Brasil garantir a segurança no tratamento dos dados pessoais e cumprir com os requisitos estabelecidos nas leis aplicáveis de privacidade de dados pessoais.

2. RELAÇÃO COM AS LEIS NACIONAIS
A Política Corporativa de Privacidade compreende o padrão mínimo de princípios de privacidade sob o qual a empresa deve conduzir seus negócios observando os requisitos das leis nacionais. A Lei Geral de Proteção de Dados - LGPD e demais leis nacionais aplicáveis à proteção de dados pessoais terão precedência em casos de conflito ou previsão de requisitos mais rígidos que os contidos nesta Política. O conteúdo desta Política deve ser observado mesmo na ausência de legislação nacional ou se a mesma for menos rigorosa do que os princípios desta Política.

3. APLICABILIDADE
A presente Política aplica-se a todos os colaboradores, parceiros comerciais, terceiros, prestadores de serviço e quaisquer outros integrantes que tenham acesso a informações e dados controlados pela Gazit Brasil.

4. PROPÓSITO
Esta Política tem por propósito estabelecer diretrizes de proteção de dados pessoais que permitam à Gazit Brasil realizar o tratamento de dados pessoais em conformidade com as legislações brasileira e internacionais aplicáveis e melhores práticas de mercado:

a. Orientando quanto à adoção de controles técnicos e administrativos para atendimento dos requisitos para proteção de dados pessoais, conforme a legislação vigente;

b. Resguardando os titulares de dados pessoais que são tratados pela Gazit Brasil, em defesa de seus direitos fundamentais de liberdade e privacidade e o livre desenvolvimento da personalidade da pessoa natural;

c. Prevenindo possíveis causas de violações de dados pessoais e incidentes de segurança da informação relacionados ao tratamento de dados pessoais;

d. Minimizando riscos de impactos negativos, ne esfera reputacional, na participação no mercado e confiança de clientes em decorrência de violações de dados.

Para o cumprimento efetivo das diretrizes estabelecidas nesta Política, o Encarregado pela Proteção de Dados Pessoais, ou Data Protection Officer (“DPO”), com suporte da Alta Administração da Gazit Brasil, adotará todas as medidas cabíveis para que esta Política seja adequadamente comunicada, entendida e seguida em todos os níveis da Empresa. Revisões periódicas serão realizadas para garantir sua contínua pertinência e adequação às necessidades da Gazit Brasil.

5. DEFINIÇÕES
Para os fins desta Política, os termos definidos abaixo terão o seguinte significado:

• Dados pessoais: qualquer informação relativa a uma pessoa identificada ou identificável (“Titular dos Dados”).

• Dados pessoais sensíveis: dados pessoais que podem gerar discriminação e exposição da pessoa física, dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dados referentes à saúde, vida sexual e orientação sexual de uma pessoa singular, dados genéticos ou biométricos, quando vinculados a uma pessoa natural.

• Anonimização: a utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo; nestas circunstâncias, o anonimato deve ser irreversível.

• Dado anonimizado: dado relativo ao titular que não possa ser identificado, de forma direta ou indireta, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.

• Pseudonimização: processo pelo qual os dados pessoais não mais se relacionam diretamente com uma pessoa identificável (mencionando seu nome, por exemplo), mas que não os tornam anônimos por completo, por ser possível identificar o indivíduo caso analisadas informações complementares sobre ele, as quais são mantidas em separado.

• Tratamento: qualquer operação ou conjunto de operações executadas com dados pessoais, independentemente de serem automatizados. Isso inclui, mas não se limita a, atividades como: coleta, recepção, produção, registro, organização, estruturação, armazenamento, consulta, acesso, uso, classificação, avaliação ou controle da informação, processamento, adaptação ou alteração, recuperação, divulgação por transmissão, difusão ou disponibilização, transferência, alinhamento ou combinação, restrição, deleção ou destruição.

• Titular dos Dados (“Titular”): pessoa identificável que pode ser identificada, direta ou indiretamente, em particular por referência a um identificador como um nome, um número de identificação, local de residência, um identificador on-line ou um ou mais fatores específicos de características físicas, fisiológicas, genéticas, econômicas, culturais ou sociais dessa pessoa natural.

Consentimento válido: manifestação livre, informada e inequívoca pela qual o titular dos dados concorda com o tratamento de seus dados pessoais para uma finalidade determinada.

• Usuários da Informação: empregado com vínculo empregatício de qualquer área da Gazit Brasil ou terceiros, alocados na prestação de serviços à Empresa, independentemente do regime jurídico a que estejam submetidos, assim como outros indivíduos ou organizações devidamente autorizadas a tratar dados pessoais em nome da Gazit Brasil para o desempenho de suas atividades profissionais.

• Controlador de Dados: entidade legal que determina os propósitos e meios do tratamento de dados pessoais.

• Operador de Dados: entidade legal que processa dados pessoais em nome do Controlador.

• Lei Geral de Proteção de Dados - LGPD: Lei de nº 13.709, de 14 de agosto de 2018, do ordenamento jurídico brasileiro, que está em vigor desde 18 de Setembro de 2020.

• Autoridade Nacional de Proteção de Dados - ANPD: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da Lei Geral de Proteção de Dados em todo território nacional brasileiro.

• Relatório de Impacto à Proteção de dados pessoais - RIPD: documentação elaborada pelo Controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco.

• Record of Processing Activity - ROPA: Registro de Atividades de Processamento, realizado para o mapeamento de atividades envolvidas no tratamento de dados pessoais.

• “Data Protection Officer” ou “Encarregado”: É a pessoa indicada pelo Controlador para atuar como um canal de comunicação entre o Controlador, os Titulares dos Dados Pessoais e a ANPD.

6. PRINCÍPIOS
Qualquer tratamento de dados pessoais realizado pela Gazit Brasil deve observar os seguintes princípios estabelecidos na regulamentação de Proteção de dados pessoais:
a. Finalidade: Propósitos legítimos, específicos, explícitos e informados;

b. Adequação: Tratamento compatível com as finalidades;

c. Necessidade: Utilização de dados estritamente necessários;

d. Livre acesso: Garantia de acesso ao tratamento de forma facilitada e gratuita e à integralidade dos dados;

e. Qualidade dos dados: Dados exatos, claros, relevantes e atualizados;

f. Transparência: Informações claras e precisas aos titulares;

g. Segurança: Utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais;

h. Prevenção: Adoção de medidas para evitar danos aos titulares de dados;

i. Não discriminação: Não realização de tratamento para fins discriminatórios, ilícitos ou abusivos;

j. Responsabilização e prestação de contas: Demonstração de adoção de medidas eficazes ao cumprimento das normas.

7. REGRAS SOBRE O TRATAMENTO
7.1. REGRAS GERAIS DE PROTEÇÃO DE DADOS PESSOAIS
Todo o tratamento de dados pessoais na Gazit Brasil deve atender aos seguintes requisitos:
a. Coleta para uma finalidade: Os dados pessoais podem ser coletados apenas para propósitos legítimos.

b. Objetivo e uso especificados no momento da coleta: Os objetivos para os quais os dados pessoais são coletados devem ser especificados no momento da coleta de dados. O tratamento adicional dos dados pessoais coletados não pode ser feito de uma maneira incompatível com os propósitos iniciais declarados.

c. Limitar o tratamento ao necessário: Os dados pessoais devem estar sempre limitados ao que é necessário e relevante em relação às finalidades para as quais são tratados. Os dados pessoais não devem ser mantidos por um período maior que o necessário para se cumprir a finalidade estabelecida.

d. Preciso, completo e atualizado: O tratamento dos dados pessoais deve ser sempre preciso, completo e atualizado.

e. Segurança, integridade e confidencialidade: Todos os dados pessoais devem ser tratados de maneira que sua segurança seja assegurada, incluindo a proteção contra acesso e tratamento não autorizado ou ilegal e contra perda acidental, destruição ou dano, aplicadas as medidas técnicas ou organizacionais apropriadas.

f. Transparência: Todo o tratamento de dados pessoais deve ser feito de maneira transparente para o Titular dos Dados e com um princípio orientador geral de abertura sobre os desenvolvimentos, práticas e políticas com relação aos dados pessoais.

Como os dados pessoais fluem em todas as áreas integrantes da Empresa, esta Política exige que os controles sejam integrados aos processos e sistemas padrão que gerenciem esses dados.

7.2. REQUISITOS PARA O TRATAMENTO DE DADOS PESSOAIS
Determinadas situações demandam bases legais específicas que justificam o tratamento de dados pessoais:

7.2.1. Dados do colaborador e candidatos
O tratamento de dados pessoais de colaboradores deve ser realizado sob justificativa das seguintes bases legais:

a. Execução de contrato de trabalho: Os dados pessoais do colaborador são tratados para fins de execução do contrato de trabalho ou de procedimentos preliminares relacionados ao contrato de trabalho;

b. Legítimo Interesse da Gazit Brasil: O tratamento de dados pessoais é necessário para perseguir interesses legítimos da Gazit Brasil;

c. Cumprimento de obrigação legal ou regulatória pelo controlador: O tratamento de dados pessoais é autorizado para cumprimento de legislações e regulamentos aplicáveis à Gazit Brasil;

d. Exercício regular de direitos em processo judicial, administrativo ou arbitral: Os dados pessoais são tratados com a finalidade de proporcionar o exercício de direitos em processos judiciais ou administrativos (contenciosos);

e. Consentimento: Necessário para casos em que o colaborador precisa autorizar a concessão de benefícios trabalhistas.

Quanto aos dados de candidatos às vagas da Gazit Brasil, esses são tratados com base no legítimo interesse para realização de entrevistas e pesquisas para melhor conhecer os potenciais colaboradores.

7.2.2. Dados do parceiro de negócios
Os dados pessoais do parceiro de negócios são aqueles capazes de identificar fornecedores, corretores, proprietários de imóveis, parceiros comerciais, intermediários, pessoas de contato, investidores e outros parceiros de negócios e contratantes parceiros. O tratamento dos dados pessoais do parceiro de negócios deve ser realizado sob justificativa das seguintes bases legais:

a. Consentimento: Em caso de o titular dos dados pessoais fornecer o seu Consentimento válido, que deve ser documentado individualmente por escrito ou em formato eletrônico. Antes de um Consentimento ser dado, o parceiro deve ser informado sobre todas as implicações de seu Consentimento em uma linguagem clara e precisa. O parceiro deve sempre ter acesso à revogação do Consentimento, a qualquer tempo, sem consequências negativas ou punitivas.

b. Execução de um contrato: O tratamento de dados pessoais do parceiro de negócios tem como objetivo criar, executar ou encerrar uma relação contratual ou relacionamento semelhante com o Titular dos Dados.

c. Legítimo Interesse da Gazit Brasil: O tratamento é necessário para fins de atendimento a interesses legítimos perseguidos pela Gazit Brasil.

d. Cumprimento de obrigação legal ou regulatória pelo controlador: O tratamento é estipulado ou permitido pelas leis e regulamentos aplicáveis à Gazit Brasil.

e. Exercício regular de direitos em processo judicial, administrativo ou arbitral: Os dados pessoais são tratados com a finalidade de proporcionar o exercício de direitos em processos judiciais ou administrativos (contenciosos).

7.2.3. Dados de clientes/compradores e leads
O tratamento de dados pessoais de leads e clientes/compradores deve ser realizado sob justificativa das seguintes bases legais:

a. Consentimento: Em caso de o titular dos dados pessoais fornecer o seu Consentimento válido, que deve ser documentado individualmente por escrito ou em formato eletrônico. Antes de um Consentimento ser dado, os leads devem ser informados sobre as implicações de seu Consentimento em uma linguagem clara e precisa e deve ter acesso à revogação, a qualquer tempo, sem consequências negativas ou punitivas.

b. Execução de um contrato: O tratamento de dados pessoais tem como objetivo criar, executar ou encerrar uma relação contratual com o titular dos dados.

c. Legítimo Interesse da Gazit Brasil: O tratamento é necessário para fins de atendimento a interesses legítimos perseguidos pela Gazit Brasil.

d. Cumprimento de obrigação legal ou regulatória pelo controlador: O tratamento é estipulado ou permitido pelas leis e regulamentos aplicáveis à Gazit Brasil.

e. Exercício regular de direitos em processo judicial, administrativo ou arbitral: Os dados pessoais são tratados com a finalidade de proporcionar o exercício de direitos em processos judiciais ou administrativos (contenciosos).

7.2.4. Dados de menores de idade
As atividades de tratamento que envolverem dados pessoais de menores de idade deverão ser justificadas pela base legal Consentimento presente no art. 14, §1° da Lei Geral de Proteção de Dados (Lei nº 13.709/2018). Por essa razão, deve-se obter consentimento específico por um dos pais ou responsável legal e informar sobre os tipos de dados tratados, forma de utilização e os procedimentos para atendimento aos direitos dos titulares, conforme estabelecido pelo art. 14, §2° da Lei Geral de Proteção de Dados (Lei nº 13.709/2018).

7.2.5. Requisitos adicionais para dados pessoais sensíveis
O tratamento de dados pessoais sensíveis deve ser realizado sob justificativa das seguintes bases legais:

a. Consentimento: consentimento do titular, de forma específica e destacada, para o tratamento de dados pessoais sensíveis com um ou mais propósitos específicos, exceto se a lei aplicável estabelecer que a proibição não pode ser levantada pelo titular dos dados;

b. Cumprimento de obrigação legal ou regulatória pelo controlador: o tratamento é necessário para cumprimento das obrigações legais e regulatórias necessárias a manutenção dos negócios da Gazit Brasil;

7.3. TRANSFERÊNCIA INTERNACIONAL DE DADOS
De acordo com a LGPD, a transferência internacional de dados pessoais somente é permitida em casos restritos, que podem incluir a obtenção de consentimento específico do titular, a adoção de cláusulas contratuais específicas ou quando a transferência for realizada para um país que ofereça nível de proteção adequado perante à LGPD, assim reconhecido pela ANDP

Casos como este devem ser avaliados juntamente com Compliance, Jurídico e com o DPO, para a devida conferência de preenchimento de requisitos pela LGPD.

7.4. DIREITOS DO TITULAR DOS DADOS
Todo Titular de Dados cujos dados pessoais são processados pela Gazit Brasil tem os seguintes direitos:

a. Acesso à informação: cada titular dos dados pode exigir informações sobre dados pessoais processados em relação a ele, sua origem e a finalidade. O titular dos dados também possui direito a informações sobre a identidade do controlador de dados e informações sobre o compartilhamento de dados pessoais;

b. Confirmação: o titular de dados possui direito de confirmar a existência de tratamento dos seus dados;

c. Informação sobre quais entidades o controlador realizou o uso compartilhado de dados;

d. Correção: o titular de dados pessoais possui o direito de exigir a correção de seus dados caso estejam incompletos, inexatos ou desatualizados;

e. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou em desconformidade com a LGPD;

f. Eliminação de dados pessoais tratados com consentimento do titular: o titular de dados possui direito de solicitar a eliminação dos seus dados tratados com consentimento. Porém, a eliminação dos dados não cabe em caso de cumprimento de obrigação legal ou regulatória pelo controlador; estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais; transferência a terceiro e respeitados os requisitos de tratamento de dados presentes na LGPD; uso exclusivo do controlador, vedado seu acesso por terceiro e desde que os dados sejam anonimizados;

g. Portabilidade: o titular de dados possui direito a portabilidade de dados para outro fornecedor de serviço ou produto, por meio de requisição expressa, desde que observados os segredos comercial e industrial;

h. Informação sobre a possibilidade de não fornecer consentimento e quais as consequências dessa negativa;

i. Revogação do consentimento: o titular de dados possui direito de revogar seu consentimento;

j. Oposição: o titular de dados pode opor-se a tratamento irregular;

k. Revisão de decisão automatizada: o titular de dados possui direito a solicitar informações claras e adequadas sobre os critérios utilizados em decisões automatizadas.

Toda a comunicação com o titular dos dados deve ser feita em uma linguagem clara e transparente. O atendimento às solicitações de direitos dos titulares deve seguir o “Procedimento de Gestão de Direitos dos Titulares de Dados Pessoais”.

8. GERENCIAMENTO DE VIOLAÇÕES E INCIDENTES
Violações ou incidentes que ponham em risco a segurança e/ou confidencialidade dos dados pessoais, incluindo violações ou incidentes que possam resultar em destruição, perda acidental ou ilegal, alteração, divulgação não autorizada ou acesso a dados pessoaistransmitidos ou armazenados serão avaliados conforme “Plano de Resposta a Incidentes” da Gazit Brasil.

Todos os reportes à ANPD ou ao titular de dados sobre violações e incidentes devem ser feitos pelo DPO.

9. TREINAMENTO
Devem ser realizados periodicamente treinamentos aos funcionários da Gazit Brasil com orientações sobre os princípios e diretrizes desta Política Corporativa de Privacidade, cujos materiais devem ser mantidos à disposição dos integrantes da Empresa para consulta e esclarecimento de dúvidas a qualquer tempo.

10. PAPÉIS E RESPONSABILIDADES
10.1. ÁREAS DE NEGÓCIO
As Áreas de Negócio são responsáveis por:
a. Cumprir e implementar os requisitos de privacidade e proteção de dados presentes nesta Política e demais normativos corporativos acerca deste tema;

b. Garantir que os processos de privacidade que estão sob sua responsabilidade sejam implementados e executados de forma correta e responsável;

c. Viabilizar que equipes sejam treinadas com base na Política Corporativa de Privacidade e demais normativos corporativos relacionados ao tema;

d. Esclarecer ou direcionar dúvidas de colaboradores de suas equipes sobre privacidade e proteção de dados;

e. Elaborar, revisar e manter atualizados os ROPAs, sempre que necessário ou em caso de mudanças substanciais ou nova atividade de tratamento.

10.2. USUÁRIOS DA INFORMAÇÃO
Os Usuários da Informação são responsáveis por:
a. Ler, compreender e cumprir integralmente os termos desta Política;

b. Encaminhar quaisquer dúvidas e/ou pedidos de esclarecimento sobre esta Política, suas normas e procedimentos pelo tratamento de dados pessoais ou, quando pertinente, ao DPO, Compliance, TI e Jurídico;

c. Comunicar ao DPO qualquer evento ou incidente que viole esta Política ou coloque/possa vir a colocar em risco dados pessoais tratados pela Empresa;

d. Participar das atividades de treinamento e conscientização em proteção de dados pessoais; e. Responsabilizar-se pelo uso adequado de dados pessoais em suas atividades.

10.3. Encarregado ou DPO (DATA PROTECTION OFFICER)
O Encarregado ou DPO é responsável por:
a. Difundir e coordenar o programa de privacidade na Empresa, esclarecendo regras, conceitos e obrigações;

b. Manter a conformidade dos regulamentos internos a legislação vigente quanto ao tratamento/proteção dos dados pessoais;

c. Monitorar e gerenciar as atividades de tratamento de dados pessoais;

d. Realizar a gestão do processo de mapeamento e interface com as diversas áreas da Empresa que realizam tratamento de dados pessoais para elaboração, revisão e validação de ROPAs (novos e existentes);

e. Avaliar as atividades de tratamento quanto à necessidade de elaboração do RIPD – Relatório de Impacto de Proteção de Dados;

f. Desenvolver e atualizar periodicamente, com o suporte do Jurídico, do Compliance e da área de Tecnologia da Informação, normativos relativos à privacidade, tais como: Política Corporativa de Privacidade, Aviso de Privacidade, entre outros;

g. Atuar em conjunto ao RH para garantir que todos os colaboradores recebam tempestivamente a Política Corporativa de Privacidade;

h. Realizar interface de comunicação com à ANPD (Autoridade Nacional de Proteção de Dados) e titulares de dados, quando necessário;

i. Reportar atividades, resultados, indicadores e decisões acerca do Programa de Privacidade à Presidência e à Diretoria Executiva da Gazit Brasil;

j. Garantir o cumprimento dos princípios de Privacy by Design no desenvolvimento de projetos, produtos e serviços desenvolvidos em relação a proteção de dados pessoais.

10.4. DIRETORIA EXECUTIVA
A Diretoria Executiva é responsável por:
a. Garantir a independência na gestão de dados pessoais na Empresa, sobretudo fornecendo ao DPO todos os meios e condições para a execução efetiva, independente e transparente de suas atribuições descritas nesta Política;

b. Supervisionar as atividades do DPO;

c. Acompanhar o monitoramento, pelo Compliance, dos riscos críticos de tratamento de dados pessoais;

d. Tomar decisões de investimento em tecnologia, adequação de processos e treinamentos aos funcionários da Empresa;

e. Tomar decisões de aceitação de riscos relacionados a vazamento de informações e tratamento irregular de dados dos titulares;

f. Supervisionar o processo de divulgação de informações sobre privacidade e proteção de dados pessoais, bem como a entrega de relatórios à ANPD;

g. Manter o relacionamento com auditores independentes e outros comitês diretivos da Empresa, quando existentes.

10.5. TECNOLOGIA DA INFORMAÇÃO (TI)
A Área de TI, responsável pela gestão da Segurança da Informação em apoio à atuação do DPO, é responsável por:
a. Apoiar o DPO na implementação de mecanismos para garantir os direitos dos titulares de dados;

b. Monitorar e implementar medidas de Segurança da Informação proporcionais ao risco gerado pelo tratamento de dados pessoais e em linha com a expectativa de proteção dos titulares de dados pessoais, garantindo a integridade, disponibilidade e confidencialidade destas informações;

c. Realizar avaliação de proteção de dados pessoais nos sistemas da Empresa em caso de alterações nas práticas de gerenciamento e proteção de dados pessoais;

d. Analisar violações e vazamentos de dados pessoais bem como efetuar a coleta de evidências técnicas para demonstração dos incidentes;

e. Responsabilizar-se pelo uso adequado de dados pessoais em suas atividades;

f. Avaliar a proteção de dados nos sistemas da Empresa no caso de alterações nas práticas de gerenciamento e proteção de dados da Gazit Brasil;

g. Facilitar a execução dos seguintes processos:

g.1. Privacy by Default: Avaliar as práticas de coleta, retenção e eliminação de dados inibindo o processamento de dados excessivo;

g.2. Privacy by Design: Considerar controles de privacidade e proteção de dados na implementação de novas tecnologias;

g.3. Data Security: Avaliar práticas de proteção de dados com base em classificações de dados estabelecidas.

h. Realizar reports e interações constantes ao DPO sobre questões relacionadas à Segurança da Informação.

10.6. DEPARTAMENTO JURÍDICO
O Departamento Jurídico é responsável por:

a. Monitorar legislações de privacidade aplicáveis aos negócios da Gazit Brasil;

b. Garantir que os contratos da Empresa celebrados com fornecedores, prestadores de serviço, parceiros ou qualquer parte que realize tratamento de dados pessoais estejam adequados e resguardem a Gazit Brasil em relação ao cumprimento das obrigações presentes na legislação e regulamentação aplicáveis;

c. Elaborar e revisar cláusulas contratuais relativas ao tratamento de dados pessoais de acordo com a LGPD.

d. Prestar apoio jurídico na ocorrência de vazamentos de dados pessoais;

e. Prestar apoio jurídico na interpretação da legislação e regulamentação relativas à proteção de dados pessoais;

f. Apoiar o DPO na interface com a ANPD;

g. Gerenciar a atribuição de bases legais das atividades de tratamento e solicitar ajustes sempre que necessário;

h. Garantir e monitorar o cumprimento das obrigações contratuais relativas à privacidade pelas áreas da Gazit Brasil;

i. Responsabilizar-se pelo uso adequado de dados pessoais em suas atividades.

10.7. COMPLIANCE
A Área de Compliance é responsável por:
a. Monitorar os riscos relacionados à privacidade de dados pessoais, com suporte do TI e respaldo do Programa de Privacidade, definindo o apetite de risco da empresa e prioridade de tratamento dos riscos identificados;

b. Suporte ao DPO no acompanhamento das mudanças nos negócios e na Empresa de modo a identificar novos riscos relacionados ao tratamento de dados pessoais e definir medidas a serem tomadas, como a necessidade de execução de RIPD;

c. Estabelecer, revisar periodicamente e gerir, em conjunto com o DPO, processos relativos à avaliação de fornecedores (Due Diligence);

d. Responsabilizar-se pelo uso adequado de dados pessoais em suas atividades.

11. SANÇÕES E PUNIÇÕES
As violações, mesmo que por mera omissão ou tentativa não consumada, desta Política, bem como demais normas e procedimentos de proteção de dados pessoais, serão passíveis de penalidades que incluem advertência verbal, advertência por escrito, suspensão não remunerada e a demissão por justa causa.

No caso de fornecedores de serviços contratados ou prestadores de serviço, o DPO, em conjunto com o Compliance, Jurídico, TI e a área contratante devem analisar a ocorrência e deliberar sobre a efetivação das sanções e punições conforme termos previstos em contrato.

Para o caso de violações que impliquem em atividades ilegais, ou que possam incorrer em riscos aos titulares de dados pessoais, ou dano à Gazit Brasil, o infrator será responsabilizado pelos prejuízos, cabendo aplicação das medidas judiciais pertinentes, sem prejuízo a esta Política.

12. GESTÃO DA POLÍTICA
A Política Corporativa de Privacidade é aprovada pelo DPO, com suporte do Jurídico, do Compliance e de TI da Gazit Brasil.

13. REVISÕES
Esta Política é revisada sempre que necessário, em caso de mudanças relevantes no negócio da Empresa ou conforme o entendimento do DPO.

Data	Versão	Descrição	Autor	Aprovador por
31/08/2021	1.0	Criação	Jurídico	Compliance e TI