LGPD Compliance Analyzer

Avalie a conformidade da sua empresa com a Lei Geral de Proteção de Dados de forma rápida e intuitiva. Responda ao questionário para obter seu score de conformidade e um plano de ação personalizado.

Questionário de Conformidade

Responda às perguntas abaixo para avaliar o nível de conformidade da sua empresa.

O consentimento dos titulares é obtido de forma livre, informada e inequívoca para cada finalidade de tratamento?

Sim

Parcialmente

Não

A empresa fornece informações claras sobre como o titular pode revogar seu consentimento a qualquer momento?

Sim

Parcialmente

Não

As bases legais para o tratamento de dados pessoais são documentadas e claramente identificadas para cada operação?

Sim

Parcialmente

Não

Existem canais de comunicação claros e acessíveis para que os titulares exerçam seus direitos (acesso, correção, eliminação, etc.)?

Sim

Parcialmente

Não

A empresa consegue atender às solicitações dos titulares dentro dos prazos legais estabelecidos pela LGPD?

Sim

Parcialmente

Não

A empresa possui um plano de segurança da informação com medidas técnicas e administrativas para proteger os dados pessoais contra acessos não autorizados e incidentes?

Sim

Parcialmente

Não

Estabelecer uma política de segurança da informação simplificada, que estabeleça controles relacionados ao tratamento de dados pessoais, como cópias de segurança, uso de senhas, acesso à informação, compartilhamento de dados, atualização de softwares, uso de correio eletrônico e uso de antivírus.

Sim

Parcialmente

Não

Realizar revisões periódicas da política de segurança da informação.

Sim

Parcialmente

Não

Informar os funcionários sobre: como utilizar controles de segurança dos sistemas de TI relacionados ao trabalho diário; como evitar de se tornarem vítimas de incidentes de segurança corriqueiros, tais como contaminação por vírus ou ataques de phishing, que podem ocorrer, por exemplo, ao clicar em links recebidos na forma de pop-up de ofertas promocionais ou em links desconhecidos que chegam por e-mail; manter documentos físicos que contenham dados pessoais dentro de gavetas, e não sobre as mesas; não compartilhar logins e senhas de acesso das estações de trabalho; bloquear os computadores quando se afastar das estações de trabalho, para evitar o acesso indevido de terceiros; seguir as orientações da política de segurança da informação.

Sim

Parcialmente

Não

Implementar um sistema de controle de acesso aplicável a todos os usuários, com níveis de permissão na proporção da necessidade de trabalhar com o sistema e de acessar dados pessoais.

Sim

Parcialmente

Não

Configurar funcionalidades no sistema de controle de acesso que possam detectar e não permitir o uso de senhas que não respeitem um certo nível de complexidade.

Sim

Parcialmente

Não

Implementar um adequado gerenciamento de senhas, estabelecendo controles tais como: evitar o uso de senhas padrão disponibilizadas pelos fornecedores de software ou hardware adquiridos; utilizar apenas senhas complexas para acessar aplicativos e outros sistemas informáticos; não reutilizar senhas.

Sim

Parcialmente

Não

Proibir o compartilhamento de contas ou de senhas entre funcionários. Aplicar o princípio do menor privilégio (need to know).

Sim

Parcialmente

Não

Utilizar a autenticação multi-fator para acessar sistemas ou base de dados que contenham dados pessoais.

Sim

Parcialmente

Não

Implementar um sistema de controle de acesso aplicável a todos os usuários que acessam o sistema de TI (caso o agente de tratamento possua rede interna de computadores).

Sim

Parcialmente

Não

Implementar soluções de pseudonimização, como a criptografia, para cifrar dados pessoais.

Sim

Parcialmente

Não

Orientar os funcionários para não desativar ou ignorar as configurações de segurança de estações de trabalho.

Sim

Parcialmente

Não

Evitar a transferência de dados pessoais de estações de trabalho para dispositivos de armazenamento externo, como pendrives e discos rígidos externos.

Sim

Parcialmente

Não

Inventariar e cifrar dados de dispositivos externos e armazena-los em locais seguros.

Sim

Parcialmente

Não

Formatar e sobrescrever mídias físicas que contenham dados pessoais antes de descartá-las, ou, quando não for possível a sobrescrita, destruir as mídias físicas.

Sim

Parcialmente

Não

Utilizar conexões cifradas (TLS/HTTPS) ou aplicativos com criptografia fim- a fim para serviços de comunicação.

Sim

Parcialmente

Não

Instalar e manter um sistema de firewall e/ou utilizar um Web Application Firewall (WAF – Filtro de Aplicação).

Sim

Parcialmente

Não

Proteger e-mails via adoção de ferramentas AntiSpam, filtros de e-mail e, integrar o antivírus ao sistema de e-mail.

Sim

Parcialmente

Não

Atualizar periodicamente todos os sistemas e aplicativos utilizados, mantendo os em sua versão atualizada (instalar patches de segurança disponibilizados pelos fornecedores).

Sim

Parcialmente

Não

Adotar e atualizar periodicamente softwares antivírus e antimalwares. Realizar varreduras antivírus periódicas nos dispositivos e sistemas utilizados.

Sim

Parcialmente

Não

Utilizar técnicas de autenticação multi-fator para controle de acesso de dispositivos móveis – como smartphones e laptops.

Sim

Parcialmente

Não

Separar os dispositivos móveis de uso privado daqueles de uso institucional, quando possível.

Sim

Parcialmente

Não

Implementar funcionalidades que permitam apagar remotamente os dados pessoais armazenados em dispositivos móveis.

Sim

Parcialmente

Não

Analisar os requisitos para o acesso do usuário a cada serviço em nuvem utilizado.

Sim

Parcialmente

Não

Utilizar técnicas de autenticação multi-fator para acesso aos serviços em nuvem relacionados a dados pessoais.

Sim

Parcialmente

Não

A empresa possui um Encarregado de Proteção de Dados (DPO) nomeado e cujos contatos são publicamente divulgados?

Sim

Parcialmente

Não

A empresa mantém um registro atualizado das atividades de tratamento de dados pessoais (conhecido como RoPA - Registro das Operações de Tratamento de Dados Pessoais)?

Sim

Parcialmente

Não

A empresa mantém registro das operações de tratamento de dados pessoais (Data Mapping) que realiza?

Sim

Parcialmente

Não

A empresa definiu e documentou as responsabilidades do Controlador, Operador e Encarregado de Dados (DPO)?

Sim

Parcialmente

Não

Os colaboradores recebem treinamento regular sobre proteção de dados, LGPD e boas práticas de segurança da informação?

Sim

Parcialmente

Não

A empresa definiu claramente as funções e responsabilidades relacionadas à conformidade?

Sim

Parcialmente

Não

Gerenciar contratos e aquisições com observância ao tratamento adequado dos dados pessoais.

Sim

Parcialmente

Não

Realizar a conscientização dos funcionários, via treinamentos e campanhas sobre as suas obrigações e responsabilidades relacionadas ao tratamento de dados pessoais conforme disposto na LGPD e normas da ANPD.

Sim

Parcialmente

Não

Informar e sensibilizar todos os funcionários da organização, especialmente aqueles diretamente envolvidos na atividade de tratamento de dados, sobre as obrigações legais existentes na LGPD e em normas e orientações editadas pela ANPD.

Sim

Parcialmente

Não

Criar um ambiente organizacional que incentive usuários de sistemas da empresa, tanto clientes quanto funcionários, a informar incidentes e vulnerabilidades detectadas.

Sim

Parcialmente

Não

Estabelecer contratos com cláusulas de segurança da informação que assegurem a proteção de dados pessoais, tais como: regras para fornecedores e parceiros; regras sobre compartilhamentos; relações entre controlador-operador; orientaçõessobre o tratamento a ser realizado com vedação a tratamentos incompatíveis com as orientações do controlador.

Sim

Parcialmente

Não

Assinar termos de confidencialidade (non-disclosure agreement - NDA) com os funcionários da empresa.

Sim

Parcialmente

Não

Estabelecer no contrato de serviço o registro da destruição/descarte (caso o agente de tratamento utilize serviços de terceiros para o descarte).

Sim

Parcialmente

Não

Realizar um contrato de acordo de nível de serviço com o provedor de serviços em nuvem, contemplando a segurança dos dados armazenados.

Sim

Parcialmente

Não

Avaliar se o serviço oferecido pelo provedor do serviço em nuvem atende os demais requisitos de segurança da informação estabelecidos.

Sim

Parcialmente

Não

A coleta e a retenção de dados pessoais se limitam ao tempo estritamente necessário para as finalidades declaradas?

Sim

Parcialmente

Não

Existem políticas e procedimentos para a transferência internacional de dados, caso a empresa precise compartilhar dados com países que não possuem um nível de proteção de dados adequado?

Sim

Parcialmente

Não

Coletar e processar apenas os dados pessoais que são realmente necessários para atingir os objetivos do tratamento para a finalidade pretendida, minimizando a coleta de dados.

Sim

Parcialmente

Não

Remover quaisquer dados sensíveis e outros dados pessoais que estejam desnecessariamente disponibilizados em redes públicas.

Sim

Parcialmente

Não

Consentimento

Direitos do Titular

Segurança da Informação

Governança e Responsabilização

Princípios de Dados