Os dados, com as regras do registro

INTERNATIONAL ACCREDITATION CENTER LATAM S.A. (doravante, G-CERTI ou o Organismo) é responsável pelo tratamento dos dados pessoais coletados por meio do site gcerti.org, do portal de clientes, da G-CERTI Formação e de todos os serviços prestados, conforme a legislação aplicável:

• Lei 25.326 (Argentina) — Proteção de Dados Pessoais
• Resoluções aplicáveis da Agência de Acesso à Informação Pública (AAIP) — Argentina
• Regulamento Geral de Proteção de Dados UE 2016/679 (GDPR), quando forem tratados dados de residentes na União Europeia
• Lei Geral de Proteção de Dados 13.709/2018 (LGPD) — Brasil
• Lei Federal de Proteção de Dados Pessoais em Posse de Particulares (LFPDPPP) — México
• Normativa equivalente em outros países onde a G-CERTI presta serviços

A G-CERTI trata categorias diferenciadas de dados pessoais conforme o papel do titular:

• Visitantes do site: dados de navegação (IP, navegador, sistema operacional, páginas visitadas), cookies (ver política separada), informações de formulários de contato
• Pessoas em processo de consulta ou inscrição: nome completo, e-mail, telefone, empresa ou instituição, cargo, norma de interesse
• Clientes em relação contratual: razão social, CNPJ/identificação tributária, domicílio, dados de representantes legais, pessoal-chave, informações sobre o sistema de gestão auditado
• Alunos da G-CERTI Formação: identificação, contato, dados acadêmicos e de pagamento, resultados de avaliações
• Auditores: dados profissionais e acadêmicos, documentação de qualificação e avaliação
• Pessoal interno: dados trabalhistas conforme a legislação trabalhista aplicável

A G-CERTI trata os dados para as seguintes finalidades específicas e limitadas:

• Prestação do serviço de certificação (auditorias, decisões, emissão de certificados, vigilâncias)
• Formação acadêmica (Diplomaturas, cursos, workshops)
• Comunicação com clientes e potenciais clientes sobre os serviços da G-CERTI (com consentimento explícito para campanhas não transacionais)
• Cumprimento de obrigações legais (tributárias, contábeis, regulatórias)
• Comunicação com a IAS e autoridades competentes no âmbito da acreditação
• Gestão interna de auditores e pessoal
• Estatísticas anonimizadas para melhoria do serviço

Conforme a finalidade, a G-CERTI aplica uma das seguintes bases legais:

• Execução de contrato: clientes em processo ou certificados, alunos
• Cumprimento de obrigações legais: registros tributários, requisitos da ISO/IEC 17021-1
• Interesse legítimo do Organismo, em equilíbrio com direitos do titular: estatísticas anonimizadas, segurança
• Consentimento explícito do titular: newsletters, campanhas não transacionais, cookies opcionais

A G-CERTI compartilha dados pessoais apenas nas seguintes situações delimitadas e sempre sob acordos de confidencialidade:

• Para a IAS e autoridades de acreditação, no âmbito do processo de acreditação da G-CERTI
• Para fornecedores que prestam serviços à G-CERTI (hospedagem, e-mail, pagamentos), sob acordo de confidencialidade e limitação à finalidade do serviço
• Para autoridades competentes quando a lei exigir
• Inclusão no diretório público de clientes certificados: com consentimento explícito do cliente

A G-CERTI conserva os dados pessoais pelo tempo estritamente necessário para as finalidades declaradas:

• Dados de clientes certificados: durante a relação + 6 anos a partir do encerramento (registros de decisão e auditoria)
• Dados de alunos: durante a relação + 10 anos (obrigações acadêmicas)
• Dados de auditores: durante a relação + 5 anos
• Dados de potenciais clientes e visitantes: até a retirada do consentimento ou 24 meses a partir do último contato
• Dados contábeis e fiscais: conforme a legislação tributária aplicável

O titular dos dados pode exercer a qualquer momento os seguintes direitos sobre seus dados pessoais:

• Acesso aos seus dados pessoais tratados pela G-CERTI
• Retificação de dados inexatos ou desatualizados
• Supressão (direito ao esquecimento), com as limitações legais aplicáveis
• Oposição ao tratamento quando houver motivo legítimo
• Limitação do tratamento
• Portabilidade de seus dados em formato estruturado (quando tecnicamente aplicável)
• Retirada do consentimento dado para finalidades específicas, sem efeitos retroativos

A G-CERTI aplica medidas técnicas e organizacionais adequadas para garantir a segurança dos dados pessoais tratados:

• Criptografia em trânsito (HTTPS, TLS 1.3) e em repouso (banco de dados e backups)
• Controle de acesso por função com princípio do menor privilégio
• Auditoria de acessos a informações sensíveis
• Backups criptografados com replicação geográfica
• Acordos de confidencialidade com todo o pessoal e fornecedores
• Plano documentado de resposta a incidentes de segurança
• Sistema de gestão de segurança alinhado com a ISO/IEC 27001

Em caso de incidente de segurança que afete dados pessoais, a G-CERTI procede conforme protocolo documentado:

• Notificação à AAIP dentro de 72 horas quando aplicável (Lei 25.326 / GDPR quando corresponder)
• Notificação aos titulares afetados quando o risco for alto para seus direitos e liberdades
• Investigação interna documentada com análise de causa raiz
• Implementação de medidas corretivas e preventivas

A G-CERTI Formação mantém um registro institucional das credenciais acadêmicas que emite, desenhado sob princípios de gestão de segurança da informação e proteção de dados pessoais, tomando como referência a ISO/IEC 27001 e a ISO/IEC 27701. O registro e a publicação de perfis são espaços separados:

• Registro institucional (verificação de autenticidade): trata os dados mínimos necessários para comprovar uma credencial — titular, programa, norma, data, código, status, entidade emissora e histórico de modificações. Base legal: execução da relação acadêmica. Ser incluído no registro não publica dados pessoais.
• Perfil profissional público: é voluntário e requer consentimento expresso, informado e específico do titular, campo a campo (fotografia, localização, especializações, idiomas, experiência, setores, disponibilidade, contato). O consentimento é revogável a qualquer momento, com efeito sobre o que foi publicado.
• A verificação pública responde pela autenticidade, escopo, data e status do documento. Não comunica competência profissional vigente nem categorias profissionais.
• Se o titular não conceder a autorização de publicação, nenhum dado de seu perfil é divulgado.

Los formularios del sitio —solicitud de información de una diplomatura, contacto, pedido de propuesta, orientación y actualización de registro— tratan únicamente los datos que la persona escribe y los mínimos de ruteo y seguridad necesarios para responder:

• Datos que se piden: nombre, correo electrónico, teléfono cuando la consulta lo requiere, país u organización cuando corresponde, la norma o el programa de interés y el comentario que la persona escribe. Ningún formulario pide datos sensibles ni documentación de identidad.
• Datos técnicos de ruteo: la página de origen, el identificador del formulario, la validación antiabuso de Cloudflare y un número de ticket generado en el envío. El ticket es el que se cita en toda la conversación posterior.
• Finalidad: responder la consulta, orientar sobre el servicio o programa y dejar registro de la solicitud. No se usan para publicidad ni se ceden a terceros con fines comerciales.
• Base legal: consentimiento de la persona al enviar el formulario y, cuando ya existe relación, ejecución de esa relación. El consentimiento se retira escribiendo a info@gcerti.org.
• Dónde quedan: en la infraestructura de G-CERTI, cifrados en tránsito, accesibles sólo para el personal autorizado que atiende consultas mediante un panel interno con acceso nominado. Se conserva el historial de las respuestas enviadas.
• Plazo de conservación: hasta 24 meses desde el último contacto, o el plazo contractual aplicable si la consulta deriva en una relación de servicio.

A G-CERTI atualiza esta política periodicamente para refletir mudanças na legislação, nos serviços oferecidos ou nas práticas de tratamento. As versões anteriores permanecem arquivadas e disponíveis mediante solicitação. As mudanças substantivas são notificadas aos titulares com 30 dias de antecedência quando possível. O uso continuado dos serviços após a publicação de mudanças constitui aceitação da política atualizada.