1. 目的

EdgeUno为遵守法律13.709/2018（通用数据保护法，此处简称LGPD），承诺在其个人数据处理操作中谨慎和敏感地行事。本政策规定了EdgeUno及其关联公司（统称“EdgeUno”或“公司”）进行个人数据处理的指导方针，从而加强其遵守适用隐私和个人数据保护规则及原则的承诺。

2. 范围

本政策必须由所有有权访问EdgeUno客户、供应商和关联方个人信息的员工和协作者遵守。它同样适用于向EdgeUno提供个人信息以了解其权利的所有人员。

3.定义

个人数据处理代理人: 个人数据控制者和处理者。

匿名化： 使用在处理个人数据时合理且可用的技术手段，使数据失去直接或间接与个人的关联的可能性。匿名化数据不属于LGPD规定的个人数据。

国家数据保护局（“ANPD”）: 隶属于特殊自治制度的公共行政机构，负责在全国范围内监督、实施和检查LGPD的遵守情况。

个人数据控制者: 自然人或法人，无论是公共法还是私法，负责处理个人数据的决策。

个人数据共享: 由机构、实体等进行的个人数据的通信、传播、国内或国际传输、互联以及用于一种或多种处理模式的个人数据库共享处理。

同意":数据主体自由、知情且明确表示同意将其数据用于预定目的的处理。

个人数据: 与已识别或可识别的自然人相关的信息。用于形成特定自然人行为画像的数据也被视为个人数据。

敏感个人数据： 关于种族或民族出身、宗教信仰、政治观点、工会或具有宗教、哲学或政治性质的组织成员资格、与健康或性生活相关的数据、当与自然人关联的基因数据或生物识别数据。

个人数据保护官： 由处理代理指定为控制者、数据主体和国家数据保护机构之间的通信渠道的自然人或法人。《通用数据保护法》(“LGPD”)：规范性文书（2018年8月14日第13.709号法律），规定了由自然人或具有公共或私人法律地位的法人通过数字或物理手段处理个人数据的行为，旨在保护个人数据主体，同时允许将数据用于各种目的，平衡利益并将人身保护与技术和经济发展相协调。

个人数据处理者： 代表控制者进行个人数据处理的自然人或具有公共或私人法律地位的法人。

个人数据主体（“数据主体”）： 指受处理的个人数据的自然人。

个人数据处理（“处理”）： 所有涉及个人数据的操作，例如收集、制作、接收、分类、使用、访问、复制、传输、分发、处理、存储、删除、评估、控制信息、修改、通信、转移、传播或提取。

个人数据国际传输： 指将个人数据传输到外国或该国为成员的国际组织，涉及数据共享（LGPD 第 5 条第 XV 和 XVI 款）。仅通过网络传输信息不构成国际数据传输，因此，例如，互联网服务提供商不会被认定为运营商。然而，当位于不同国家“A”点和“B”点的主体希望出于特定目的使用已识别或可识别的自然人信息进行共享时，这将涉及国际传输，并且只有在满足特定的法律（或监管）要求后才能进行。

个人数据泄露： 指个人数据以某种方式被未经授权的人员或实体访问，可能导致传输、存储或其他方式处理的个人数据发生意外或非法销毁、丢失、更改、披露或访问，从而引发安全事件。

4. 政策与指南

4.1. 个人数据隐私政策及其接收方

Edgeuno（“EdgeUno”或“公司”）高度重视个人数据的保护。为强化透明度原则，本政策旨在根据 LGPD 的规定，告知其接收方 EdgeUno 作为“数据控制者”所进行的个人数据处理活动。

本政策适用于：（i）公司的员工；（ii）所有第三方，无论是法人还是自然人，在涉及公司范围内的个人数据处理操作中代表或为公司工作的人员；（iii）与公司有任何关联的外部个人数据处理主体；以及（iv）其数据由公司处理的个人数据主体。

遵守本政策和个人数据保护法律对上述所有接收方都是强制性的，只要他们与公司存在关联。本政策由公司在其网站上发布并向公众宣布。公司保留随时修改本政策的权利。

处理个人数据的原则

个人数据处理应遵循以下原则：

• 合法性：处理必须以合法、公正和透明的方式进行，并与个人数据主体相关。

• 目的性：公司仅为合法、具体、明确并告知个人数据主体的目的处理个人数据，且后续处理不得与这些目的不兼容；

• 适当性：公司应以与告知数据主体目的相符的方式，并根据处理的背景进行个人数据处理；

• 必要性：个人数据的处理应限于实现其目的所必需的最低限度，数据范围必须与处理的目的相关、成比例且不过度；

• 自由访问权：公司应确保个人数据主体能够方便免费地查询处理的方式和期限，以及其数据的完整性；

• 数据质量：公司应确保个人数据具有准确性、清晰度、相关性和时效性，并根据必要性及其处理目的来履行；

• 透明度：公司应确保个人数据主体获得关于处理的清晰、准确且易于获取的信息，以及相应的个人数据处理机构，同时遵守商业和工业秘密；

• 安全性：公司应采用技术和管理措施，保护个人数据免受未经授权的访问以及意外或非法销毁、丢失、更改、传输或传播的情况；

• 预防：公司将采取措施，防止因处理个人数据而发生损害；

• 不歧视：公司将采取行动，阻止出于非法或滥用歧视目的处理个人数据的行为；

• 责任和问责制：公司承诺证明已采取有效措施，并能够证明遵守和履行个人数据保护规范以及这些措施的有效性。

4.2. 个人数据类别

EdgeUno可以处理以下个人数据类别：

• 身份数据：此数据类别包括识别号码、全名、出生地和日期、婚姻状况、性别、银行数据等类型的数据。

• 联系数据：可用于联系个人的数据集，例如电话、邮寄地址、电子邮件、传真号码、IP地址。

• 敏感个人数据：此数据类别代表的包括（i）种族或民族来源数据，（ii）工会隶属关系，（iii）健康相关数据（iv）用于工作安全的生物识别数据，例如指纹，（v）与个人刑事判决相关的犯罪记录。

• 视觉数据：指招聘团队成员后获取的图像，或用于EdgeUno物理环境安全目的的人员视频录像。

• 音频数据：指在呼叫中心通话期间或通过EdgeUno物理环境监控摄像头录制的个人语音数据。

• 员工数据：包含职业、教育、财务数据信息，以及归档在从与员工成员签订的劳动合同中合法创建的个人员工档案中的身份和联系详情等类型的数据。

• 已购产品信息：指输入到EdgeUno数据库中，由制造商负责和保证的数据，以及为个人购买的产品和服务提供的技术服务或安装服务。

• 合同数据：指所有与自然人资质相关的、其签名（无论是电子的还是否）、环形签名，或EdgeUno作为结果将其输入到数据库中的单人公司信息等数据，这些数据是EdgeUno与业务合作伙伴、供应商和第三方建立法律或商业关系的结果。

4.3.个人数据处理目的

根据个人数据保护相关法律，可将数据持有人的个人数据用于以下目的（或其他目的）：

a.客户数据（从公司获得产品和服务的自然人）：

• 执行货物/服务采购流程

• 提供服务/售后服务或销售支持服务

• 执行货物/服务销售流程

• 执行客户关系管理流程

• 开展旨在满足客户需求的活动

• 进行市场分析研究

• 开展广告/活动/促销流程

• 确保物理场所的安全

• 在商业/合同关系下进行交易和运营，并履行财务和法律义务

• 提供在线订单和提供服务

• 推广和销售产品及服务，为此与您联系

• 请求/投诉

• 履行制造商责任下的保修义务。

b.员工数据（根据劳动合同和雇佣关系为公司提供服务的自然人）：

• 员工满意度和敬业度流程和调查的执行

• 履行源自劳动合同和法律规定的义务

• 执行员工福利流程

• 进行审计/道德操作

• 执行培训操作

• 访问授权

• 执行符合法律规定的操作

• 进行财务和会计工作

• 人力资源规划流程

• 执行/审计业务操作

• 职业健康/安全运营

• 信息安全流程

• 管理运营

• 执行确保业务连续性和保障物理场所安全的运营活动

• 用于响应政府机构的通知/检查，享受政府机构提供的激励措施，向有权当局提供信息以及满足监管机构审计要求

• 执行人力资源运营和员工相关活动

• 保证在管理权利下对员工进行审计并参与必要的数据处理操作。

c.求职者数据（通过向公司发送简历或通过其他方式申请工作的自然人）：

• 定期执行招聘和选拔流程

• 执行候选人注册流程

• 进行员工满意度和承诺调查及流程管理

• 执行操作以确保业务连续性和物理场所安全。

d. 供应商/商业合作伙伴数据

供应商和合作伙伴指建立商业合作关系，用于开展商业运营、根据公司指示并基于合同向公司提供商品或服务，以及这些方人员的各方。在此商业关系下，各方的个人数据、其代表及员工的数据可根据LGPD规定的基本原则，并在履行合同、遵守法律义务和公司的合法利益所需的处理期限内进行处理。

• 执行符合法律规定的操作

• 执行财务和会计工作

• 执行司法流程

• 开展公司内部运营

• 业务、合作伙伴和供应商的战略规划与管理

• 确保物理场所安全；

e. 访客数据（访问公司、门店、园区或网站的自然人）：

在您访问公司、网站和其他工作场所时，环境监控图像

和访客记录的处理方式符合以下目的，

须遵守公司的合法利益：

• 履行法律和监管义务

• 进行审计或其他道德操作

• 执行信息安全流程

• 进行职业健康/安全操作

• 创建和维护访客记录

• 确保物理场所的安全

• 向授权人员、机构和组织提供信息

• 确保员工、第三方和访客的安全

• 数据控制者运营安全保障

• 提供互联网接入和保证访问安全

f. 潜在客户数据（对本公司提供的产品和服务感兴趣的自然人，有潜力转化为客户）：

• 访问本公司网站和场所、社交媒体帖子、发送给本公司呼叫中心的请求和投诉以及通过带有明确同意书表格直接从数据主体处获取的身份识别数据，可用于营销目的和展示本公司提供的产品和服务。

4.4. 个人数据收集方法和法律基础

个人数据可通过任何类型的物理和电子方式进行收集，无论是完全自动化、部分自动化还是非自动化，例如填写购买商品或服务的合同、提供商品或服务、劳动合同等，或其他通过本公司或合作伙伴网站、呼叫中心、网站访问、招聘流程、业务场所访问等其他方式填写的条款、表格或问卷中的信息。

个人数据将根据相应的法律基础或明确同意进行收集和处理，始终符合LGPD原则和其他适用法律。个人数据将按照使其实施合法性的法律基础进行收集和处理，并可为本文件中规定的目的进行处理和传输。

本公司执行个人数据处理操作的方式可能包括：

• 获得个人数据主体提供的同意；

• 履行法律或监管义务；

• 用于研究机构进行研究；

• 当为执行合同或与数据主体参与的合同相关的初步程序所必需时；

• 为在司法、行政或仲裁程序中行使合法权利；

• 为保护数据主体或第三方的生命或身体完整性；

• 仅用于由医疗专业人员、卫生服务或卫生当局进行的程序，以保障健康；

• 当为满足本公司或第三方的合法利益所必需时；

• 为保护信用；

• 根据EdgeUno适用的当地或外国法律规定。

本公司进行敏感个人数据处理操作可以：

I. 当数据主体或其法定代表人以具体和明确的方式同意，用于特定目的时；

II. 未获得个人数据主体同意，但在以下情况下处理数据是必要的：

a. 公司履行法律或监管义务；

b. 行使合法权利，包括在合同、司法、行政和仲裁程序中；

c. 保护个人数据主体或第三方的生命或人身安全；

d. 在电子系统中的身份识别和注册认证过程中，确保预防欺诈和保护个人数据主体安全。

4.5. 个人数据共享

EdgeUno可与下方列出的实体共享个人数据，并遵守信息安全管理部门指定的安全措施。

• 其关联公司、子公司和/或具有经济利益或所有权权利的其他公司，或作为公司重组的一部分；

• 遵守本政策的授权合作伙伴和供应商，或遵循至少与本文档所述保护措施一样严格的实践，以及用于此处告知的目的；

• 第三方和当局（1）如果怀疑违反了内部政策或适用法律；(2) 如果有理由相信有人可能对公司、其他用户或任何其他人造成损害；(3) 在履行法律或监管义务的情况下；(4) 履行合同；或 (5) 客户/用户安全。在这种情况下，EdgeUno将仅共享达到其目的所必需的最低限度信息，并尽可能确保个人数据的匿名化。

4.6. 安全措施

EdgeUno的系统在设计时考虑了数据安全和隐私，并采用了当时可用的技术、行政和物理安全措施，旨在保护您的个人信息免受未经授权的访问、披露、使用和修改。我们要求我们的供应商遵循相同的安全标准，基于市场最佳实践和以下技术的应用：

• 加密协议和软件；

• Firewall；

• 使用VPN进行外部访问；

• 物理和逻辑访问控制；

• 个人数据生命周期日志记录和审计跟踪；

• 使用双因素认证；

• 端点安全部署；

• 对我们的系统和网络进行定期安全审计；

• 信息安全政策的实施和应用；

• 我们维护着与客户个人数据收集、存储和披露相关的物理、电子和流程保障。尽管我们努力保护您的个人信息安全，但没有任何安全措施是绝对的，我们无法保证任何安全措施达到100%

有效。

4.7.个人数据主体权利

EdgeUno在个人数据处理活动背景下，重申了其尊重个人数据主体权利的承诺。个人数据主体可以通过我们的服务渠道提出要求：

• 确认处理存在的权利；

• 访问和展示您的个人数据；

• 更正不完整、不准确或过时的个人数据；

• 从EdgeUno管理的数据库中删除个人数据，除非有合法理由保留其数据，例如法律或监管规定的义务。如果进行删除，公司保留选择所用删除程序的权利，并承诺使用确保安全和防止数据恢复的手段。当数据已被匿名化时，数据主体提出的删除请求将无法实现；

• 限制或匿名化个人数据的用途，这些数据已被主管机关认定为不必要、过度或与LGPD规定不符的处理。

• 对个人数据处理的反对，将根据LGPD的标准进行分析；

• 个人数据可携性，需通过明确要求，并遵守公司的商业和工业机密，以及国家机构的规定和公司基础设施的技术限制，转移给其他服务或产品供应商。

• 撤销同意。但需要强调的是，这不会影响在撤回同意之前进行的任何处理的合法性。如果撤销同意，可能无法提供某些服务，这种情况将通知个人数据主体。我们的许多EdgeUno服务还包括配置选项，提供了关于信息如何使用的选择，并且数据主体可以选择不提供某些信息，这可能意味着无法访问所有EdgeUno服务。

4.8个人数据国际传输

如果个人数据有预定传输到其他国家，与另一个控制者的共享可能性必须提交给个人数据处理负责人、信息安全管理部门和法律部门进行分析，以便他们评估目的国是否具有符合巴西法律体系的数据保护程度。

如果接收的控制者提供并证明了履行数据主体权利的保证，国际数据传输也可以通过以下形式实现：

• 针对特定传输的合同条款；

• 标准合同条款；

• 全球企业规范；和

• 由国家数据保护机构颁发的印章、证书和行为准则；

个人数据的国际传输也可能基于以下目的发生：

• 当传输是为保护数据主体或第三方的生命所必需时；

• 当国家主管部门授权传输时；

• 当传输导致在国际合作协议中承担的承诺时；

• 当数据主体为传输提供了明确和突出的同意，并事先告知了操作的国际性质，使其与其它目的清晰区分时；

• 为了履行公司法律或监管义务；

• 当为执行合同和与数据主体相关的初步程序所必需，并应数据主体的要求时。

4.9. 存储和删除

收集的个人数据将在安全受控的环境中存储，最短期限取决于处理目的和公司的法律及监管义务，或在关系持续期间且没有要求删除或撤销同意的情况下。

4.10. 个人数据适当使用责任

本政策的接收者有以下义务：

个人数据主体： 个人数据主体有义务通过电子邮件通知公司，告知其在与公司的关系中个人数据的任何修改（例如更改地址）： legal@edgeuno.com.

EdgeUno员工：: 在EdgeUno集团公司内部，个人数据共享是允许的，前提是必须尊重其目的和法律基础，并遵守必要性原则，个人数据的处理始终限于公司授权开展的活动。

员工、处理代理和第三方：

• 不得向任何未经授权或不具备资质的人提供或保证访问个人数据。

• 获取处理数据的必要授权，并持有证明其具备进行合法数据处理操作资质的必要文件。

• 遵守信息安全部门提供的标准、建议和信息安全政策。

所有本政策的接收者在怀疑或实际发生以下行为时，应联系法务部门和数据保护官：

• 在没有法律依据的情况下处理个人数据，EdgeUno的员工还必须报告违反内部信息安全政策的数据处理行为。

• 未经公司授权在其业务范围内的个人数据处理；

• 对公司所有设施或使用的数字平台或实体档案中的个人数据进行未经授权的删除或销毁；

• 违反本政策或其中规定的任何数据保护原则的其他行为；

• 安全事件。

4.11. 回应监管机构

员工、授权人员或服务提供商有义务在收到监管机构关于个人隐私和数据保护的任何命令或要求后，立即通知公司的数据处理负责人和法务部门，并在回复该机构之前。

回应司法机关

员工、授权人员或服务提供商有义务立即通知公司的数据处理负责人和法务部门，关于其知悉的任何与个人数据相关的司法机关的命令或裁定。当通过法院命令要求时，法务部门应在没有不合理延误的情况下向该机构提供任何澄清并交付所需信息，如有必要，可请求数据处理负责人和其他部门的支持。

个人数据违规

个人数据泄露相关的程序受事件响应流程管辖。信息安全管理部门必须实施适当的技术控制，以便使公司能够对其逻辑环境中的潜在个人数据泄露进行处理，从而及时向监管机构报告这些情况。

员工、授权人员或服务提供商有义务通过电子邮件通知信息安全管理部门 csirt@edgeuno.com (EdgeUno Computer Security Incident Response Team)不得有不合理的延迟，报告其知悉的任何个人数据泄露或尝试泄露事件。员工、授权人员或服务提供商应在力所能及的范围内，协助调查和减轻个人数据泄露事件。本节中执行的所有程序必须由相关方记录，并在个人数据处理官的监督下进行。

COTATO

为行使上述权利，个人数据主体可通过电子邮件发送请求 legal@edgeuno.com 并附上可确认身份的文件以及可在...获取的注册表格 www.edgeuno.com 或其他符合相关法律要求的书面文件。提交书面请求后，将进行必要的流程以确保尽快并在最长30（三十）天内完成该请求。

为确保数据安全，公司可能会要求提供信息以确定请求人是否是相关个人数据的持有人。EdgeUno也可能就该请求提出问题，以确保请求的完成符合数据主体请求的目的。

在所有数据处理方面，EdgeUno都设有数据保护官（Data Protection Officer），作为公司、数据主体和国家数据保护局 (Autoridade Nacional de Proteção de Dados) 之间的沟通渠道。如需了解更多信息，请写信至 legal@edgeuno.com.