1. 定义

a) 个人数据处理代理：数据控制者和数据处理者。

b) 匿名化：使用在个人数据处理时可用的、合理的技术手段，使数据失去与个体直接或间接关联的可能性。匿名化数据不属于LGPD规定的个人数据。

c) 国家数据保护局（“ANPD”）：一个隶属于公共行政、受特殊自治制度约束的机构，负责在全国范围内监督、实施和检查LGPD的遵守情况。

d)个人数据控制者：负责决定个人数据处理的自然人或法人，无论是公共法还是私法的。

e)个人数据共享：机构、实体等为一种或多种处理方式，进行的个人数据的通信、传播、国内或国际传输、互联互通或共享的个人数据库的处理。

f)同意：数据主体为特定目的处理其数据而做出的自由、知情和明确的声明。

g)个人数据：与已识别或可识别的自然人相关的信息。用于形成特定自然人行为画像的数据也被视为个人数据。

h)敏感个人数据：关于种族或民族出身、宗教信仰、政治观点、工会或具有宗教、哲学或政治性质的组织的从属关系，关于健康或性生活的数据，以及与自然人相关的基因或生物识别数据。

i) 数据保护官：经处理代理人指定的，作为控制者、数据主体和国家数据保护机构之间的沟通渠道的自然人或法人。

j) 《通用数据保护法》（“LGPD”）：规范性法令（2018年8月14日第13.709号法律），规定了自然人或法人（公法或私法）通过数字或物理手段处理个人数据，其目标是保护个人数据主体，同时允许将数据用于各种目的，平衡利益并协调人类保护与技术和经济发展。

k) 个人数据处理者：代表控制者进行个人数据处理的自然人或法人（公法或私法）。

j) 个人数据主体（“TITULAR”）：指个人数据所涉及的自然人。

m) 个人数据处理（“TRATAMENTO”）：使用个人数据执行的任何操作，例如涉及收集、制作、接收、分类、使用、访问、复制、传输、分发、处理、归档、存储、删除、评估、控制信息、修改、通信、转移、传播或提取。

n) 国际个人数据传输：这是个人数据传输给外国或该国为成员的国际组织，涉及共享数据（Art. 5°, XV e XVI LGPD）。仅仅通过网络传输信息不构成国际数据传输，例如，互联网服务提供商不会被视为运营者。然而，当位于不同国家“A”点和“B”点的代理方希望为了实现特定目的而对已识别或可识别的自然人信息进行共享使用时，这将涉及国际传输，并且只有在满足特定的法律（或监管）要求后才能进行。

o) 个人数据泄露：当个人数据以某种方式被未经授权的人员或实体访问时发生，可能导致传输、存储或以其他方式处理的个人数据被销毁、丢失、更改、意外或非法披露，或被访问，从而造成安全事件。

2. 目的

EdgeUno为遵守法律 13. 709/2018（通用数据保护法，此处简称LGPD），承诺在其个人数据处理操作中谨慎和敏感地行事。本政策规定了EdgeUno及其关联公司（统称“EdgeUno”或“公司”）进行个人数据处理的指导方针，重申了其遵守适用隐私和个人数据保护规则和原则的承诺。

3. 个人数据隐私政策及其接收者

Edgeuno（“EdgeUno”或“公司”）高度重视个人数据的保护。为强化透明度原则，本政策旨在根据 LGPD 的规定，告知其接收方 EdgeUno 作为“数据控制者”所进行的个人数据处理活动。

本政策适用于：(i) 公司的员工；(ii) 所有第三方，无论是为公司或代表公司进行涉及个人数据处理操作的自然人还是法人；(iii) 与公司有任何关联的外部个人数据处理代理方；以及 (iv) 其数据由公司处理的个人数据主体。

所有与公司相关的上述接收者必须遵守本政策和个人数据保护法律。

本政策由公司在其网站上发布并向公众宣布。

本公司保留随时更改政策的权利。

4.个人数据处理原则

个人数据处理应遵循以下原则：

• 合法性：处理必须以法律、公平和透明的方式进行，并与个人数据主体相关联。
• 目的：本公司仅为实现告知给个人数据主体的合法、特定、明确的目的而处理个人数据，且不得以与这些目的不兼容的方式进行后续处理；
• 适当性：本公司将以与告知的个人数据主体目的相兼容的方式处理个人数据，并符合处理的背景要求；
• 必要性：个人数据的处理应限于实现其目的所必需的最低限度，其涵盖的数据必须与处理的目的相关、成比例且非过度的；
• 自由访问：本公司将确保个人数据主体能够免费和便捷地查询处理形式、持续时间以及其数据的完整性；
• 数据质量：本公司将确保个人数据主体获得数据的准确性、清晰度、相关性和时效性，以满足必要需求并履行处理目的；
• 透明度：本公司将确保个人数据主体获得关于处理的清晰、准确且易于获取的信息，以及相应的个人数据处理代理方信息，同时遵守商业和工业机密；
• 安全性：本公司将采用技术和管理措施，保护个人数据免受未经授权的访问以及意外或非法销毁、丢失、更改、传输或泄露的情况；
• 预防：本公司将采取措施，防止因个人数据处理而发生损害；
• 不歧视：公司将采取行动，防止出于非法或滥用目的进行个人数据处理的歧视行为；
• 问责制和可追溯性：公司承诺证明已采取有效措施，并能够证明遵守和履行个人数据保护标准以及这些措施的有效性。

5. 个人数据类别

EdgeUno可以处理以下个人数据类别：

• 身份数据：该数据类别指的是识别号码、全名、出生地和日期、婚姻状况、性别、银行数据等类型的数据。
• 联系方式数据：可用于联系个人的数据集，例如电话、邮寄地址、电子邮件、传真号码、IP地址。
• 敏感个人数据：此数据类别代表以下类型的数据：(i)关于种族或民族出身的数据，(ii)工会隶属关系，(iii)与健康相关的数据(iv)用于工作场所安全的生物识别数据，例如指纹，(v)与个人刑事定罪相关的犯罪记录。
• 视觉数据：指在EdgeUno物理环境中，团队成员招募后接收的图像或用于安全目的的人员视频录像。
• 音频数据：是指在EdgeUno物理环境中，呼叫中心通话或通过监控摄像头录制的个人语音数据。
• 员工数据：一种包含职业、教育、财务数据信息以及员工身份和联系详情的数据类型，这些数据保存在根据与人员成员签订的劳动合同合法创建的个人档案中。
• 所购产品信息：是指输入到EdgeUno数据库中，由制造商负责和保证的数据，以及为个人购买的产品和服务的技术服务或安装服务。
• 合同数据：指EdgeUno根据与业务合作伙伴、供应商和第三方建立的具有法律或商业关系的合同关系，将其输入到数据库中的所有关于自然人资质、其签名（无论是电子还是否）、签名圆圈或单体公司的信息。

6. 处理个人数据的目的

根据个人数据保护相关法律，可将数据持有人的个人数据用于以下目的（或其他目的）：

a) 客户数据（从公司提供的产品和服务中受益的自然人）：

• 执行货物/服务采购流程
• 提供服务/售后服务或销售支持服务
• 执行货物/服务销售流程
• 执行客户关系管理流程
• 开展旨在满足客户需求的活动
• 进行市场分析研究
• 进行广告/活动/促销流程
• 确保物理场所的安全
• 在商业/合同关系下进行交易和运营，并履行财务和法律义务
• 提供在线订单和提供服务
• 推广和销售产品及服务，为此与您联系
• 请求/投诉
• 履行制造商责任下的保修义务。

b) 员工数据（根据劳动合同和雇佣关系为公司提供服务的自然人）：**

• 员工满意度和敬业度流程和调查的执行
• 履行源自劳动合同和法律规定的义务
• 执行员工福利流程
• 进行审计/道德操作
• 执行培训操作
• 访问授权
• 执行符合法律规定的操作
• 进行财务和会计工作
• 人力资源规划流程
• 进行/审计业务运营
• 职业健康/安全运营
• 信息安全流程
• 管理运营
• 执行确保业务连续性和保障物理场所安全的运营活动
• 用于响应政府机构的通知/检查，享受政府机构提供的激励措施，向有权当局提供信息以及满足监管机构审计要求
• 执行人力资源运营和员工相关活动
• 保证在管理权利下对员工进行审计并参与必要的数据处理操作。

c) 求职者数据（通过向公司发送简历或通过其他方式申请工作的自然人）：

• 定期执行招聘和选拔流程
• 执行候选人注册流程
• 进行员工满意度和承诺调查及流程管理
• 执行操作以确保业务连续性和物理场所安全。

d) 供应商/业务合作伙伴供应商和合作伙伴是指为进行商业运营等目的而建立商业合作关系的方，他们根据公司的指示并基于合同向公司提供商品或服务，以及这些方的员工。在这种商业关系下，各方、其代表和员工的个人数据可根据LGPD规定的基本原则，并在履行合同、遵守法律义务和公司合法利益所需的处理期限内，用于以下列出的目的进行处理。

• 执行符合法律规定的操作
• 执行财务和会计工作
• 执行司法流程
• 开展公司内部运营
• 业务、合作伙伴和供应商的战略规划与管理
• 确保物理场所安全；

e) 访客（访问公司、门店、园区或网站的自然人）：

在访问公司、网站和其他工作场所时，物理环境的监控图像和访客记录将根据以下列出的目的进行处理，并受限于公司的合法利益：

• 履行法律和监管义务
• 进行审计或其他道德操作
• 执行信息安全流程
• 进行职业健康/安全操作
• 创建和维护访客记录
• 确保物理场所的安全
• 向授权人员、机构和组织提供信息
• 确保员工、第三方和访客的安全
• 数据控制者运营安全保障
• 提供互联网接入和保证访问安全

f) 潜在客户（对使用公司提供的产品和服务的自然人，具有成为客户的潜力）：

• 访问本公司网站和场所、社交媒体帖子、发送给本公司呼叫中心的请求和投诉以及通过带有明确同意书表格直接从数据主体处获取的身份识别数据，可用于营销目的和展示本公司提供的产品和服务。

7. 个人数据收集方法和处理法律基础

个人数据可通过任何类型的物理和电子方式进行收集，无论是完全自动化、部分自动化还是非自动化，例如填写购买商品或服务的合同、提供商品或服务、劳动合同等，或其他通过本公司或合作伙伴网站、呼叫中心、网站访问、招聘流程、业务场所访问等其他方式填写的条款、表格或问卷中的信息。

个人数据将根据相应的法律基础或其明确同意进行收集和处理，始终符合LGPD原则和其他适用法规。

个人数据将根据其实施的法律基础进行收集和处理，可用于传输至本文件中规定的目的。

本公司执行个人数据处理操作的方式可能包括：

• 获得个人数据主体提供的同意；
• 履行法律或监管义务；
• 用于研究机构进行研究；
• 当为执行合同或与数据主体参与的合同相关的初步程序所必需时；
• 为在司法、行政或仲裁程序中行使合法权利；
• 为保护数据主体或第三方的生命或身体完整性；
• 仅用于由医疗专业人员、卫生服务或卫生当局进行的程序，以保障健康；
• 当为满足本公司或第三方的合法利益所必需时；
• 为保护信用；
• 根据EdgeUno适用的当地或外国法律规定。

7.1 公司可以进行的敏感个人数据处理操作：

I.当个人数据主体或其法定代表人针对特定目的，明确和单独同意时；II.在没有个人数据主体同意的情况下，但在以下情况下处理是必要的：

a)履行公司法律或监管义务；b)行使合法权利，包括合同、司法、行政和仲裁程序中的权利；c)保护个人数据主体或第三方的生命或人身完整性；d)在电子系统中的身份识别和注册认证过程中，确保防止欺诈和保障个人数据主体的安全。

8. 个人数据共享

EdgeUno可与下方列出的实体共享个人数据，并遵守信息安全管理部门指定的安全措施。

• 其关联公司、子公司和/或具有经济利益或所有权权利的其他公司，或作为公司重组的一部分；
• 遵守本政策的授权合作伙伴和供应商，或遵循至少与本文档所述保护措施一样严格的实践，以及用于此处告知的目的；
• 第三方和当局（1）如果怀疑违反了内部政策或适用法律；(2) 如果有理由相信有人可能对公司、其他用户或任何其他人造成损害；(3) 在履行法律或监管义务的情况下；(4) 履行合同；或 (5) 客户/用户安全。在这种情况下，EdgeUno将仅共享达到其目的所必需的最低限度信息，并尽可能确保个人数据的匿名化。
• 加密协议和软件；
• Firewall；
• 使用VPN进行外部访问；
• 物理和逻辑访问控制；
• 个人数据生命周期日志记录和审计跟踪；
• 使用双因素认证；
• 端点安全部署；
• 对我们的系统和网络进行定期安全审计；
• 信息安全政策的实施和应用；
• 我们维护与客户个人数据的收集、存储和披露相关的物理、电子和程序保障措施。

尽管我们努力保护您的个人信息安全，但没有任何安全措施是绝对的，我们不能保证任何安全措施都是100%有效的。

10. 个人数据主体权利

EdgeUno在个人数据处理活动背景下，重申了其尊重个人数据主体权利的承诺。个人数据主体可以通过我们的服务渠道提出要求：

• 确认其存在的处理；
• O 访问和显示其个人数据；
• A 更正不完整、不准确或过时的个人数据；
• A 删除个人数据来自EdgeUno管理的数据库，除非有合法理由保留，例如法律或监管要求的数据保留义务。如果进行删除，本公司保留选择所采用的删除程序的权利，并承诺使用确保安全和防止数据恢复的手段。当数据已被匿名化时，数据主体提出的删除个人数据的请求将无法实现；
• A 限制或匿名化对个人数据的使用，这些数据已被主管机关认定为不必要、过量或与LGPD规定不符的处理。
• 异议对个人数据的处理，将根据LGPD的标准进行分析；
• A 可携性将个人数据传输给其他服务或产品供应商，需经明确要求，并尊重公司的商业和工业机密，以及国家机构的规定和公司基础设施的技术限制。
• A 撤销同意。然而，需要强调的是，这不会影响在撤回同意之前进行的任何处理的合法性。如果撤销同意，可能无法提供某些服务，这种情况将通知个人数据所有者。

我们许多EdgeUno服务还包括提供关于信息如何使用的配置选项，数据所有者可以选择不提供某些信息，这可能意味着无法访问所有EdgeUno服务。

11.个人数据国际传输

如果个人数据有预定传输到其他国家，与另一个控制者的共享可能性必须提交给个人数据处理负责人、信息安全管理部门和法律部门进行分析，以便他们评估目的国是否具有符合巴西法律体系的数据保护程度。

如果接收的控制者提供并证明了履行数据主体权利的保证，国际数据传输也可以通过以下形式实现：

• 针对特定传输的合同条款；
• 标准合同条款；
• 全球企业规范；和
• 由国家数据保护机构颁发的印章、证书和行为准则；

11.1个人数据的国际传输也可能源于以下目的：

• 当传输是为保护数据主体或第三方的生命所必需时；
• 当国家主管部门授权传输时；
• 当传输导致在国际合作协议中承担的承诺时；
• 当数据主体为传输提供了明确和突出的同意，并事先告知了操作的国际性质，使其与其它目的清晰区分时；
• 为了履行公司法律或监管义务；
• 当为执行合同和与数据主体相关的初步程序所必需，并应数据主体的要求时。

12.存储和删除

收集的个人数据将在安全受控的环境中存储，最短期限取决于处理目的和公司的法律及监管义务，或在关系持续期间且没有要求删除或撤销同意的情况下。

13. 个人数据适当使用义务

本政策的接收者有以下义务：

13.1 个人数据主体：

个人数据主体有义务通知公司其在与公司的关系中个人数据的任何修改（例如，更改地址），并通过电子邮件通知至：legal@edgeuno.com.

13.2 EdgeUno员工：

只要遵守其目的和法律基础，并遵循必要性原则，EdgeUno集团内部公司之间共享个人数据是允许的，个人数据的处理始终限于公司授权开展的活动。

13.3 员工、处理代理和第三方：

• 不得向任何未经授权或不具备资质的人提供或保证访问个人数据。
• 获取处理数据的必要授权，并持有证明其具备进行合法数据处理操作资质的必要文件。
• 遵守信息安全部门提供的标准、建议和信息安全政策。

13.4 接收本政策的所有人员，在怀疑或实际发生以下行为时，必须联系法务部门和数据保护官：

• 在没有法律依据的情况下处理个人数据，EdgeUno的员工还必须报告违反内部信息安全政策的数据处理行为。
• 未经公司授权在其业务范围内的个人数据处理；
• 对公司所有设施或使用的数字平台或实体档案中的个人数据进行未经授权的删除或销毁；
• 违反本政策或其中规定的任何数据保护原则的其他行为；
• 安全事件。

14. 对监管机构的回复

员工、授权人员或服务提供商有义务在收到监管机构关于个人隐私和数据保护的任何命令或要求后，立即通知公司的数据处理负责人和法务部门，并在回复该机构之前。

15. 对司法机关的回复

员工、授权人员或服务提供商有义务立即将任何有关其知悉的个人数据的司法机关的命令或决定通知给个人数据处理官和公司法务部门。

当根据司法命令要求时，法务部门有责任提供任何澄清并向主管部门交付所需信息，不得无故拖延，如果认为有必要，可以请求个人数据处理官和其它部门的支持；

16.个人数据泄露

个人数据泄露相关的程序受事件响应流程管辖。信息安全管理部门必须实施适当的技术控制，以便使公司能够对其逻辑环境中的潜在个人数据泄露进行处理，从而及时向监管机构报告这些情况。

员工、授权人员或服务提供商有义务通过电子邮件通知信息安全管理部门，例如：csirt@edgeuno.com(EdgeUno Computer Security Incident Response Team) 在知悉任何个人数据泄露或尝试泄露的情况下，不得有不合理的延迟。员工、关联方或服务提供商应根据其能力，协助调查和减轻个人数据泄露事件。本节中执行的所有程序都必须由相关方记录，并接受个人数据处理负责人的监督。

17. 联系

为行使上述权利，个人数据主体可向电子邮件发送请求。legal@edgeuno.com，并附上可确认身份的文件或其他符合相关法律规定的书面文件。

书面提交请求后，将进行必要的流程处理，以确保尽快并在最长30（三十）天内完成该请求。

为确保数据安全，公司可能会要求提供信息以确定请求人是否是相关个人数据的持有人。EdgeUno也可能就该请求提出问题，以确保请求的完成符合数据主体请求的目的。

在所有数据处理方面，EdgeUno依赖数据保护官作为沟通渠道，连接公司、数据主体和国家数据保护局（ANPD）。

如需了解更多信息，请写信至legal@edgeuno.com。