Política de Retenção de Dados

ALL MAX — Desenvolvimento de Software e Serviços

Última Atualização: 08 de agosto de 2026

1. Introdução e Objetivo

Esta Política de Retenção de Dados estabelece por quanto tempo a ALL MAX SOLUÇÕES INTELIGENTES LTDA (nome fantasia ALL MAX, CNPJ 62.539.991/0001-32) mantém os dados pessoais que trata, quais critérios usamos para definir esses prazos e como eliminamos a informação quando o prazo se encerra.

O documento cumpre o disposto na Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — LGPD), especialmente:

Art. 6º, III (necessidade) — o tratamento deve se limitar ao mínimo necessário para a finalidade;
Art. 15 — o tratamento termina quando a finalidade é alcançada, quando os dados deixam de ser necessários, ao fim do período de tratamento ou por revogação do consentimento;
Art. 16 — os dados devem ser eliminados após o término do tratamento, ressalvadas as hipóteses de conservação previstas em lei.

A quem esta política se aplica: a todos os dados pessoais sob controle da ALL MAX — de visitantes do site, leads, clientes, fornecedores, parceiros e colaboradores — e, no que couber, aos dados pessoais de terceiros aos quais a ALL MAX tem acesso na condição de operadora, quando presta serviços de desenvolvimento, sustentação e suporte a sistemas de seus clientes.

Aviso importante sobre a atuação como operadora A ALL MAX é uma empresa de desenvolvimento de software e serviços. Em boa parte dos projetos, os dados pessoais que acessamos não são nossos: pertencem a bases de clientes que nos contratam. Nesses casos, o controlador é o cliente e a ALL MAX atua como operadora (Art. 5º, VII, LGPD). Os prazos de retenção desses dados são determinados pelo controlador no contrato ou no Acordo de Tratamento de Dados; esta política define apenas o teto que praticamos na ausência de instrução mais restritiva do cliente — nunca um prazo maior do que o instruído.

2. Princípios Norteadores

Cada prazo desta política nasce da aplicação dos princípios do Art. 6º da LGPD:

Princípio	Como aplicamos na retenção
Finalidade (Art. 6º, I)	Nenhum dado é mantido “porque um dia pode ser útil”. Todo prazo está amarrado a uma finalidade declarada e legítima.
Necessidade (Art. 6º, III)	Guardamos o mínimo de dados, pelo menor tempo. Quando o histórico basta em forma estatística, anonimizamos em vez de reter o dado identificável.
Qualidade dos dados (Art. 6º, V)	Dado velho é dado errado. Prazos curtos também servem à exatidão: revisamos e atualizamos registros ativos e descartamos os desatualizados.
Segurança e prevenção (Art. 6º, VII e VIII)	Adotamos medidas técnicas e administrativas de segurança proporcionais ao risco, incluindo controle de acesso com privilégio mínimo e segregação entre os ambientes de desenvolvimento, homologação e produção. Reter menos é, por si, uma medida de segurança.
Responsabilização e prestação de contas (Art. 6º, X)	Documentamos os critérios e o fundamento legal de cada prazo desta política, de modo a poder demonstrar à ANPD e aos titulares a razão de cada retenção.
Transparência (Art. 6º, VI)	Esta política é pública e escrita em linguagem clara. Você pode, a qualquer momento, perguntar ao Encarregado por quanto tempo guardamos um dado seu específico.

3. Critérios para Definição dos Prazos

Um prazo de retenção nunca é arbitrário. Cada linha da tabela da Seção 4 resulta da combinação dos critérios abaixo, aplicados nesta ordem de precedência:

Obrigação legal ou regulatória — quando a lei manda guardar, o prazo legal prevalece sobre nossa conveniência. Exemplos: prazo decadencial tributário (CTN, Art. 173), guarda de registros de acesso a aplicações de internet (Marco Civil da Internet, Lei 12.965/2014, Art. 15).
Instrução do controlador — quando a ALL MAX é operadora, o prazo é o que o cliente controlador determinar em contrato. Se a instrução do cliente for mais curta que nosso padrão, vale a dele.
Exercício regular de direitos — dados necessários para defesa em processo judicial, administrativo ou arbitral podem ser retidos com base no Art. 7º, VI, e Art. 16, II da LGPD, observados os prazos prescricionais aplicáveis (Código Civil, Art. 205 e Art. 206).
Duração da finalidade — enquanto a relação (comercial, contratual, de suporte) estiver viva, o dado é necessário. Encerrada a relação, começa a contagem do prazo residual.
Base legal utilizada — se o tratamento se apoia em consentimento (Art. 7º, I), a revogação encerra o tratamento; se em legítimo interesse (Art. 7º, IX), a oposição do titular (Art. 18, § 2º) suspende o tratamento salvo motivo legítimo prevalecente.
Sensibilidade e risco — dado sensível (Art. 5º, II), credencial de acesso e dado de produção de cliente têm prazo deliberadamente mais curto, porque o risco de retenção supera o benefício.
Viabilidade técnica — em backups e mídias de arquivamento, a eliminação pontual de um registro isolado nem sempre é tecnicamente possível; nesses casos, aplicamos bloqueio de uso e a eliminação ocorre no ciclo de rotação da mídia (ver Seção 5.4).

4. Tabela de Prazos de Retenção

Onde a lei fixa um prazo objetivo, ele consta abaixo. Onde o prazo depende da relação contratual — sobretudo quando a ALL MAX atua como operadora —, indicamos o critério e o fundamento legal, e o prazo específico é o definido no contrato ou no Acordo de Tratamento de Dados aplicável.

Categoria	Tipos de Dados	Prazo de Retenção	Fundamento Legal / Justificativa
Cadastro e contato comercial (leads e propostas)	Nome, e-mail corporativo, telefone, empresa, cargo, conteúdo da mensagem, origem do lead, histórico de propostas não convertidas	Enquanto perdurar o interesse legítimo em prospecção, contado a partir do último contato efetivo do titular; cessa mediante oposição do titular ou pedido de exclusão, atendido de imediato na base ativa	LGPD, Art. 7º, IX (legítimo interesse em prospecção B2B) e Art. 15, I e II. Sujeito a oposição do titular (Art. 18, § 2º)
Comunicações de marketing e newsletter	E-mail, nome, registro de opt-in, histórico de aberturas e cliques	Enquanto durar o consentimento; após revogação, eliminação do dado de contato e manutenção apenas do registro de descadastro em lista de supressão	LGPD, Art. 8º, § 5º (revogação a qualquer tempo) e Art. 18, VI. A lista de supressão é retida enquanto necessária para impedir reenvio indevido, com base no Art. 7º, IX
Dados contratuais e de faturamento	Razão social, CNPJ, dados do representante legal, contratos, notas fiscais, comprovantes de pagamento, registros contábeis	5 anos, contados do primeiro dia do exercício seguinte àquele em que o lançamento poderia ter sido efetuado	CTN, Art. 173, I (decadência tributária). Complementarmente: Lei 8.212/1991, Art. 45-A e legislação previdenciária; escrituração contábil conforme Código Civil, Art. 1.194
Documentos com efeitos de longo prazo (contratos e seus anexos)	Instrumentos contratuais, aditivos, termos de aceite, Acordos de Tratamento de Dados (DPA)	Pelo prazo prescricional aplicável à pretensão correspondente, contado do término da vigência contratual — em regra, a prescrição decenal do Código Civil, Art. 205, ressalvados os prazos específicos do Art. 206	Código Civil, Art. 205 e Art. 206. LGPD, Art. 7º, VI e Art. 16, II (exercício regular de direitos)
Logs de acesso à aplicação e ao site	Endereço IP, data e hora de início e término da conexão à aplicação, porta lógica de origem	6 meses, prazo de guarda fixado em lei. Retenção por prazo superior somente mediante requisição de autoridade ou ordem judicial	Marco Civil da Internet (Lei 12.965/2014), Art. 15, caput e § 2º. Guarda sob sigilo, conforme Art. 13, § 2º e Art. 15, § 1º
Logs de segurança e auditoria de acesso administrativo	Registro de autenticação, elevação de privilégio, acesso a ambiente produtivo, alterações de configuração, tentativas de acesso negadas	Não inferior a 6 meses, alinhado ao prazo do Marco Civil; o prazo aplicável a cada ambiente é definido conforme o risco e o contrato com o controlador	LGPD, Art. 6º, VII, VIII e X (segurança, prevenção e responsabilização); Art. 46 (medidas de segurança); Art. 48 (capacidade de investigar e comunicar incidentes)
Artefatos de projeto: código-fonte, documentação e especificações	Repositórios de código, especificações técnicas, diagramas, documentação de arquitetura, registros de decisão	Enquanto vigente o contrato e pelo período de garantia e sustentação nele previsto. Antes do arquivamento, os artefatos devem passar por verificação de dados pessoais: PII encontrada em fixtures, seeds, exemplos ou comentários deve ser removida ou substituída por dado fictício	LGPD, Art. 6º, I e III. A titularidade do código segue o contrato. Quando o artefato contiver dado pessoal, prevalece a instrução do controlador (Art. 39)
Credenciais de acesso a ambientes de clientes	Usuários nominais, chaves SSH, tokens de API, credenciais de banco de dados, acessos a console de nuvem, VPN	Revogação no encerramento do projeto, no fim do vínculo do profissional alocado ou no término da necessidade específica — o que ocorrer primeiro. Credencial concedida para atendimento pontual (incidente, hotfix) é revogada ao fim do atendimento	LGPD, Art. 6º, III (necessidade), VII e VIII (segurança e prevenção) e Art. 46. Princípio do acesso mínimo e do menor privilégio. As credenciais de acesso a ambientes de clientes são armazenadas em cofre de segredos com controle de acesso. É vedado armazenar credencial de cliente em código, planilha, e-mail ou mensagem
Dados de produção de clientes acessados em suporte ou incidente	Extratos, consultas, capturas de tela, dumps parciais ou qualquer cópia de dado real obtida para diagnóstico	Eliminação ao encerramento do chamado, ou antes disso se assim instruído pelo controlador. É vedada a cópia de base produtiva completa para estação de trabalho de colaborador	LGPD, Art. 39 (operador trata conforme instruções do controlador) e Art. 6º, I e III. O controlador define o prazo; este é o teto praticado na ausência de instrução
Ambientes de homologação, testes e bases de desenvolvimento	Bases de dados de homologação, ambientes de QA, massas de teste	Reciclagem/reconstrução a cada ciclo de projeto, com eliminação ao término da homologação. É vedado o uso de dado pessoal real em ambiente não produtivo sem anonimização (Art. 12) ou pseudonimização (Art. 13, § 4º) prévia; havendo autorização excepcional e documentada do controlador, o dado real é eliminado ao encerramento dos testes	LGPD, Art. 6º, I, III e VII; Art. 12 (dado anonimizado não é dado pessoal); Art. 46 (segurança desde a concepção — Art. 46, § 2º)
Backups e cópias de segurança	Cópias completas e incrementais de bancos de dados, arquivos de configuração e sistemas	Retidos pelo ciclo de rotação da respectiva cópia, ao fim do qual são sobrescritos ou destruídos. Pedido de exclusão feito por titular é atendido na base ativa de imediato e o backup fica bloqueado para uso até a rotação eliminá-lo	LGPD, Art. 16 (eliminação após término do tratamento) e Art. 46 (integridade e disponibilidade). As cópias de segurança são submetidas a teste de restauração. Limitação técnica documentada, com bloqueio de uso como medida compensatória
Registros de consentimento	Data e hora, identificador do titular ou do dispositivo, finalidade consentida, versão do texto apresentado, canal de coleta, registro da revogação	Durante todo o tratamento baseado no consentimento + 5 anos após a revogação ou o término, exclusivamente como prova de conformidade	LGPD, Art. 8º, § 1º e § 5º (ônus da prova do consentimento é do controlador) e Art. 6º, X (responsabilização). Prazo alinhado ao Art. 27 da Lei 8.078/1990 e ao poder sancionador da ANPD
Registros de consentimento de cookies	Identificador anônimo/pseudônimo do navegador, categorias aceitas ou recusadas, data e versão do banner	Até a revogação ou a renovação do consentimento, conforme configurado na plataforma de gestão de consentimento; o registro probatório do consentimento segue a linha acima	LGPD, Art. 8º, § 1º e Art. 6º, X. Gestão via plataforma Consentify, com Consent Mode v2 em default=denied. Detalhes na Política de Cookies
Comunicações e tickets de suporte	E-mails, mensagens, protocolos de atendimento, descrição do chamado, anexos enviados pelo solicitante	Pelo prazo necessário à execução do contrato e ao exercício regular de direitos, observados os prazos prescricionais aplicáveis (Código Civil, Art. 205 e Art. 206); o prazo específico é o definido em contrato. Anexos que contenham dado pessoal de terceiros (capturas de tela, logs com PII, exportações) são eliminados ao encerramento do chamado	LGPD, Art. 6º, I e III; Art. 7º, V (execução de contrato) e VI (exercício regular de direitos). Art. 39, quando o conteúdo pertencer ao controlador
Requisições de titulares de dados (Art. 18)	Identificação do requerente, teor do pedido, documentos de comprovação de identidade, resposta enviada, data e prazo de atendimento	5 anos contados da resposta ao titular. Documentos apresentados apenas para verificação de identidade são eliminados após a validação	LGPD, Art. 6º, X e Art. 18, § 1º a § 4º (dever de resposta e de comprovação). Conservação para prestação de contas à ANPD
Registros de incidentes de segurança	Relatório do incidente, dados afetados, medidas adotadas, comunicações ao titular e à ANPD	5 anos contados do encerramento do incidente	LGPD, Art. 48 (comunicação de incidente) e Art. 6º, X. Necessário para demonstrar diligência à ANPD
Dados de medição de audiência do site	Identificadores de dispositivo/sessão, páginas visitadas, origem de tráfego, métricas agregadas (Google Analytics 4, ID de medição G-XM13N36YK3)	Conforme o período de retenção configurado na ferramenta. A coleta é condicionada ao consentimento, com Consent Mode v2 em default=denied	LGPD, Art. 7º, I (consentimento) e Art. 8º, § 5º. Após o prazo, restam apenas relatórios agregados, que não constituem dado pessoal (Art. 12)
Formulários de captação em landing pages	Dados informados pelo titular no formulário (Jotform)	Mesmo prazo da categoria “Cadastro e contato comercial”; os registros são devem ser exportados para a base interna e eliminados da plataforma do formulário após o processamento da captação	LGPD, Art. 6º, I e III (minimização da superfície de retenção). Jotform atua como operadora
Dados de candidatos a vagas	Currículo, dados de contato, histórico profissional, resultados de processo seletivo	Até o encerramento do processo seletivo. A permanência em banco de talentos depende de consentimento específico e dura enquanto o consentimento vigorar	LGPD, Art. 7º, I e Art. 8º, § 5º. Sem consentimento para banco de talentos, eliminação ao fim do processo
Dados de colaboradores e prestadores	Dados cadastrais, contratos de trabalho ou de prestação, registros de jornada, termos de confidencialidade assinados	Pelos prazos da legislação trabalhista e previdenciária aplicável — observada a prescrição quinquenal do Art. 7º, XXIX da CF/88, limitada a 2 anos após a extinção do contrato de trabalho, e o prazo de 5 anos das obrigações previdenciárias	CF/88, Art. 7º, XXIX (prescrição trabalhista); Lei 8.212/1991, Art. 32, § 11 e Art. 45-A; CLT e normas correlatas
Registro das operações de tratamento (ROPA)	Inventário de dados, mapeamento de fluxos, relatórios de impacto (RIPD)	Enquanto durar o tratamento correspondente + 5 anos	LGPD, Art. 37 (registro das operações), Art. 38 (RIPD) e Art. 6º, X

Como ler os prazos. Salvo indicação em contrário, a contagem começa no término da relação ou da finalidade, e não na coleta. Quando dois fundamentos incidirem sobre o mesmo dado, prevalece o prazo mais longo, e o dado fica restrito à finalidade que justificou a extensão — sem retornar ao uso ordinário.

5. Procedimentos de Eliminação

5.1 Eliminação por decurso de prazo

Esta política determina que, sempre que tecnicamente viável, a eliminação seja automatizada, e não dependente de lembrança humana:

Bases que contenham dados sujeitos a prazo devem prever mecanismo de expiração ou rotina de expurgo dos registros vencidos.
Credenciais e tokens de acesso a ambientes de clientes devem ser emitidos, sempre que a tecnologia do cliente permitir, com expiração automática (TTL) — de modo que a inércia leve à revogação, e não à permanência.
Backups são eliminados por sobrescrita no ciclo de rotação da mídia. As cópias de segurança são submetidas a teste de restauração.

5.2 Eliminação por solicitação do titular

Você pode solicitar a eliminação dos seus dados a qualquer momento, com fundamento no Art. 18, VI da LGPD, pelos canais da Seção 10.

Como conduzimos o pedido:

Recebimento e confirmação — registramos o pedido e confirmamos o recebimento.
Verificação de identidade — solicitamos apenas o mínimo necessário para confirmar que você é quem diz ser. Documentos usados nessa verificação são eliminados após a validação.
Triagem de fundamento — verificamos se incide alguma hipótese de conservação obrigatória (Seção 6).
Execução — eliminação nas bases ativas e bloqueio nos backups até a rotação.
Resposta — em formato simplificado, de forma imediata, ou por declaração clara e completa em até 15 (quinze) dias, nos termos do Art. 19, I e II da LGPD, informando o que foi eliminado, o que foi conservado e sob qual fundamento legal.

Se o dado for de um sistema de cliente nosso. Quando você é titular de dados que estão em um sistema desenvolvido ou mantido pela ALL MAX para um cliente, o controlador é esse cliente — é ele quem decide sobre a eliminação. Nesse caso, encaminhamos seu pedido ao controlador e o informamos, sem executar a exclusão por conta própria, conforme o Art. 39 da LGPD. Se você souber de qual empresa se trata, procurá-la diretamente costuma ser o caminho mais rápido.

5.3 Métodos de eliminação previstos

Contexto	Método
Registro em banco de dados	Exclusão definitiva (hard delete) do registro e de suas referências. Quando a integridade referencial exigir manter a linha, aplicamos anonimização irreversível dos campos identificáveis (Art. 12)
Arquivos e documentos digitais	Exclusão lógica seguida de expurgo da lixeira e das versões anteriores mantidas pelo sistema de arquivos ou pelo provedor
Dados criptografados	Quando aplicável, destruição da chave criptográfica (crypto-shredding), tornando o conteúdo permanentemente irrecuperável
Backups e mídias de arquivamento	Sobrescrita no ciclo de rotação. Até a sobrescrita, o dado fica bloqueado para uso, sendo restaurável apenas mediante justificativa registrada
Mídia física e equipamentos	Sanitização segura antes de descarte, reaproveitamento ou devolução, com destruição física quando a sanitização não for confiável
Credenciais e segredos	Revogação na origem — no sistema em que a credencial foi concedida — e descarte das cópias sob nossa guarda. Chave revogada não é reutilizada
Dados em operadores terceiros	Solicitação formal de eliminação ao operador, com registro do pedido e da confirmação recebida

5.4 Limites técnicos que declaramos abertamente

A eliminação cirúrgica de um registro específico dentro de um backup histórico não é tecnicamente viável sem comprometer a integridade da cópia de segurança. Nesses casos, adotamos a medida compensatória prevista nesta política: bloqueio de uso do dado, restauração apenas mediante justificativa registrada e eliminação definitiva na rotação da mídia. O mesmo raciocínio se aplica a registros imutáveis por exigência legal, como logs de auditoria sob o Marco Civil.

6. Exceções à Eliminação

Nem todo dado pode ser eliminado quando solicitado. O Art. 16 da LGPD autoriza a conservação nas seguintes hipóteses — e somente nelas:

Inciso	Hipótese	Como se aplica na ALL MAX
I	Cumprimento de obrigação legal ou regulatória pelo controlador	Documentos fiscais, contábeis e previdenciários; guarda de registros de acesso a aplicações de internet pelo prazo do Marco Civil (Art. 15)
II	Estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização	Hipótese sem aplicação prática no nosso contexto. Não compartilhamos dados pessoais para pesquisa acadêmica
III	Transferência a terceiro, respeitados os requisitos de tratamento da Lei	Aplicável apenas na devolução de dados ao cliente controlador ao término do contrato, ou em operação societária, sempre com base contratual e comunicação
IV	Uso exclusivo do controlador, vedado o acesso por terceiro e desde que anonimizados os dados	Métricas históricas de projeto (volume, prazo, esforço) mantidas sem qualquer identificador de pessoa natural

Em qualquer dessas hipóteses valem três regras inegociáveis:

O dado conservado fica restrito à finalidade que justificou a conservação. Um dado mantido por obrigação fiscal não volta a ser usado para prospecção comercial.
O acesso é restringido ao mínimo de pessoas necessário.
⏱ Vencido o fundamento da exceção, o dado é eliminado no ciclo seguinte, sem novo pedido do titular.

Além disso, a existência de processo judicial, administrativo ou arbitral em curso ou iminente suspende a eliminação dos dados relacionados (legal hold), com base no Art. 7º, VI e no Art. 16, I da LGPD, até o trânsito em julgado ou o encerramento definitivo.

7. Responsabilidades

7.1 Encarregado pelo Tratamento de Dados Pessoais (DPO)

O Encarregado da ALL MAX é a DPO MAX (dados completos na Seção 10) e responde por:

Receber e processar reclamações, comunicações e pedidos de eliminação dos titulares;
Prestar esclarecimentos e adotar providências junto à ANPD;
Orientar as equipes sobre as práticas de proteção de dados;
Zelar pela aplicação desta política e propor sua revisão sempre que necessário.

7.2 Equipe técnica (desenvolvimento, infraestrutura e suporte)

Como empresa de desenvolvimento, boa parte do risco de retenção mora no dia a dia técnico. Por isso, a equipe é obrigada a:

Solicitar o acesso mínimo ao ambiente do cliente: apenas o privilégio necessário, apenas pelo tempo necessário, sempre com credencial nominal — nunca compartilhada;
Guardar as credenciais em cofre de segredos: as credenciais de acesso a ambientes de clientes ficam armazenadas em cofre de senhas e segredos com controle de acesso, nunca em código, planilha, e-mail ou mensagem;
Assinar termo de confidencialidade: colaboradores e terceiros com acesso a dados assinam termo de confidencialidade;
Não copiar base produtiva para estação de trabalho, repositório, ferramenta de terceiros ou canal de mensagem;
Não usar dado pessoal real em homologação, teste ou demonstração sem anonimização ou pseudonimização prévia;
Manter repositórios limpos: nada de segredo, dump ou PII em código, histórico de commits, issue, comentário ou documentação;
Observar as regras de uso de IA no desenvolvimento (Seção 7.4);
Eliminar artefatos temporários de diagnóstico (dumps parciais, capturas de tela, logs exportados) ao fechar o chamado;
Comunicar imediatamente ao Encarregado qualquer suspeita de acesso indevido, vazamento, credencial exposta ou retenção fora de política.

7.3 Clientes (na condição de controladores)

Quando a ALL MAX atua como operadora, o cliente é o controlador e cabe a ele:

Definir por escrito os prazos de retenção e as instruções de tratamento aplicáveis aos dados de sua titularidade;
Comunicar formalmente o encerramento de projeto, o desligamento de pontos focais e as mudanças que exijam revogação de acesso;
⏳ Informar prazos legais setoriais que incidam sobre seu negócio e sejam mais longos ou mais curtos que os desta política;
Responder aos titulares de sua base — a ALL MAX apenas encaminha e apoia tecnicamente, nos termos do Art. 39 da LGPD;
Solicitar a revogação de acessos que não sejam mais necessários, sem aguardar nosso ciclo ordinário de revisão.

7.4 Uso de inteligência artificial no processo de desenvolvimento

A ALL MAX utiliza ferramentas de IA no seu processo de engenharia — agentes que geram código sob supervisão humana. Como isso implica enviar conteúdo a modelos operados por terceiros, declaramos as regras que nos vinculam:

Não submetemos dado pessoal real de clientes a ferramentas de IA de terceiros. O que trafega é código, especificação e estrutura — não conteúdo de base produtiva;
Antes de submeter qualquer trecho a uma ferramenta de IA, o profissional deve verificar se há PII embutida (fixtures, seeds, logs colados, exemplos) e removê-la ou substituí-la por dado fictício;
O uso de IA sobre dados de um cliente específico depende de previsão contratual expressa com aquele cliente, que passa a constar como subtratamento no Acordo de Tratamento de Dados;
Toda saída de IA passa por revisão humana antes de qualquer uso, inclusive quanto a exposição de dado pessoal.

8. Auditoria e Conformidade

A política só vale se for verificada. São mecanismos de controle previstos nesta política:

Mecanismo	Objetivo
Inventário de dados (ROPA)	Manter o registro das operações de tratamento exigido pelo Art. 37 da LGPD, com finalidade, base legal, categorias de dados e prazo de retenção de cada fluxo
Revisão periódica de retenção	Conferir, periodicamente, se os prazos da Seção 4 estão sendo efetivamente cumpridos nas bases reais
Revisão de acessos e credenciais	Reconciliar, periodicamente, as credenciais ativas em ambientes de clientes contra os projetos vigentes, revogando o que estiver órfão
Verificação de ambientes não produtivos	Checar se há dado pessoal real em bases de homologação, teste ou demonstração, e sanear o que for encontrado
Tratamento de incidentes	Registrar, investigar e comunicar incidentes de segurança relevantes ao titular e à ANPD, nos termos do Art. 48 da LGPD
Relatório de Impacto (RIPD)	Elaborar o relatório do Art. 38 quando o tratamento apresentar alto risco, especialmente em projetos que envolvam dado sensível ou grande volume de titulares

Colaboradores e terceiros com acesso a dados assinam termo de confidencialidade. Descumprimentos identificados geram plano de ação com responsável e prazo, acompanhado pelo Encarregado. Violações graves desta política por colaboradores ou prestadores sujeitam-se às medidas disciplinares e contratuais cabíveis.

9. Revisão desta Política

Esta política é revisada:

Periodicamente, ao menos uma vez por ano;
Sempre que houver alteração legislativa ou nova orientação, resolução ou guia da ANPD que impacte prazos ou procedimentos;
Sempre que houver mudança relevante na infraestrutura, nos fornecedores/operadores, nas ferramentas utilizadas ou nas atividades de tratamento da ALL MAX;
Após incidente de segurança que revele necessidade de ajuste.

A versão vigente é sempre a publicada em allmax.com.br, identificada pela data de “Última Atualização” no topo deste documento. Alterações materiais — que restrinjam direitos ou ampliem prazos de forma significativa — são comunicadas pelos canais de contato disponíveis.

Versões anteriores desta política são arquivadas e podem ser solicitadas ao Encarregado.

10. Contato

Para exercer seus direitos, pedir a eliminação de dados, esclarecer prazos de retenção ou apresentar reclamação, procure o Encarregado:

Encarregado pelo Tratamento de Dados Pessoais (DPO)

DPO MAX TECNOLOGIAS E SOLUÇÕES LTDA CNPJ: 38.445.464/0001-84

CLSW 102, Bloco B, Ed. Phoenix, Sala 83 — Sudoeste, Brasília/DF, CEP 70.670-512 dpo@dpomax.com.br0800 686 8000

ℹ A LGPD e o Guia de Orientação da ANPD sobre a atuação do Encarregado admitem que a função seja exercida por pessoa jurídica. A DPO MAX integra o mesmo grupo econômico da ALL MAX e atua como Encarregado com autonomia funcional, competindo-lhe receber reclamações e comunicações dos titulares, prestar esclarecimentos à ANPD e orientar sobre boas práticas de proteção de dados.

Controlador

ALL MAX SOLUÇÕES INTELIGENTES LTDA (nome fantasia ALL MAX) CNPJ: 62.539.991/0001-32

Rua 9 Norte, Lote 5, e Rua das Pitangueiras, Lote 6, Loja 11 e 12, Parte 339 — Águas Claras Norte, Brasília/DF, CEP 71.908-540 0800 686 8000allmax.com.br

Autoridade Nacional de Proteção de Dados (ANPD)

Se a resposta recebida não for satisfatória, você pode peticionar à ANPD, nos termos do Art. 18, § 1º da LGPD, pelos canais oficiais em gov.br/anpd.

Documentos relacionados

Política de Privacidade — quais dados tratamos, para quê e com qual base legal
Termos de Uso — condições de uso do site e dos serviços
Política de Cookies — cookies utilizados e gestão do consentimento

Documento elaborado em conformidade com a Lei nº 13.709/2018 (LGPD), a Lei nº 12.965/2014 (Marco Civil da Internet) e as orientações da Autoridade Nacional de Proteção de Dados.

ALL MAX · CNPJ 62.539.991/0001-32 · Encarregado: DPO MAX — dpo@dpomax.com.br · 0800 686 8000