Política de Privacidade

Identificação do documento

Documento: AGR-PRI-POL-001 — Política de Privacidade. Proprietário do documento: Encarregado pelo Tratamento de Dados Pessoais, com apoio técnico da área de GRC, Segurança da Informação e TI Corporativa.

Este é um documento controlado. A versão vigente é a publicada nos canais oficiais da AgRisk; cópias impressas ou arquivos baixados são considerados não controlados.

Apresentação e compromisso com privacidade

A AGRISK TECHNOLOGIES SISTEMAS LTDA. (AgRisk) reconhece que o tratamento de dados pessoais em soluções de tecnologia voltadas à análise de crédito e risco no agronegócio exige responsabilidade, segurança, rastreabilidade e transparência. Esta Política de Privacidade descreve como a AgRisk trata dados pessoais no contexto da plataforma AgRisk, do AgFlow, de seus canais digitais, relações comerciais, suporte, serviços complementares e atividades de governança.

O objetivo desta Política é permitir que os titulares compreendam, de forma clara e tecnicamente consistente, quais dados podem ser tratados, para quais finalidades, em que situações a AgRisk atua como controladora ou operadora, com quem os dados podem ser compartilhados, quais critérios orientam sua retenção, quais medidas de proteção são adotadas e como os direitos previstos na Lei Geral de Proteção de Dados - LGPD podem ser exercidos.

A AgRisk observa os princípios da finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização/prestação de contas, adotando medidas proporcionais ao risco, à natureza do tratamento e ao papel exercido em cada operação.

Dúvidas, solicitações ou pedidos relacionados a dados pessoais podem ser encaminhados ao Encarregado pelo Tratamento de Dados Pessoais da AgRisk pelo canal https://portaldpo.calazadoreto.com/privacy/agrisk.

A Diretoria Executiva da AgRisk declara seu comprometimento com o atendimento aos requisitos legais, regulatórios e contratuais aplicáveis à proteção de dados pessoais e à segurança da informação, e com a melhoria contínua do sistema de gestão, assegurando os recursos necessários à sua implementação, operação e manutenção.

Escopo de aplicação da Política

Esta Política aplica-se exclusivamente à operação da AgRisk, compreendendo os tratamentos relacionados à plataforma AgRisk e ao AgFlow, à prospecção e contratação de clientes B2B, gestão de contas e usuários, consultas de dados para análise de crédito e risco, geração de indicadores, score e rating, serviços de SCR/endividamento, registros de CPR e informações registrais, atendimento, suporte, faturamento, cobrança e relacionamento com clientes.

Estão abrangidos, conforme aplicável, os tratamentos realizados no site https://www.agrisk.agr.br/, em páginas de captura e campanhas, no HubSpot e demais canais comerciais, em WhatsApp e e-mail corporativos, nos ambientes autenticados AgRisk e AgFlow, em serviços de suporte, integrações tecnológicas, bases públicas e privadas, bureaus, registradoras, ferramentas de processamento documental e demais sistemas utilizados na prestação dos serviços.

A Política também abrange tratamentos necessários à gestão da relação B2B e ao funcionamento da operação, como diligências comerciais, onboarding, customer success, gestão de acessos, suporte, segurança, auditoria, prevenção a uso indevido, faturamento, cobrança administrativa, churn, relacionamento com parceiros e fornecedores e cumprimento de obrigações legais, regulatórias ou registrais aplicáveis.

Esta Política não se aplica às operações financeiras próprias da Nagro ou de outras sociedades do Grupo Nagro, que possuem fluxos e responsabilidades próprios. A integração da AgRisk com entidades do grupo, inclusive em serviços relacionados ao SCR, não amplia automaticamente o escopo desta Política para tratamentos realizados por essas entidades como controladoras independentes.

Termos e definições

Para fins de correspondência com as normas ISO/IEC 27001 e ISO/IEC 27701, os termos empregados nesta Política equivalem, respectivamente, a: dado pessoal — PII (personally identifiable information); titular — PII principal; controlador — PII controller; operador — PII processor; suboperador — subcontractor / sub-processor.

Papel da AgRisk como agente de tratamento

A AgRisk atua como controladora quando define as finalidades e os meios essenciais de tratamentos relacionados à sua própria operação, incluindo navegação e marketing, prospecção e contratação B2B, gestão de empresas clientes e usuários, faturamento e cobrança, segurança e logs, relacionamento e suporte a usuários, bem como a geração e disponibilização de score e rating proprietários quando aplicável.

Em outros fluxos, a AgRisk atua como operadora. Isso ocorre, em especial, quando uma empresa cliente utiliza a plataforma para cadastrar ou pesquisar terceiros, realizar consultas para sua própria análise de crédito, gerir oportunidades no AgFlow, configurar motores e alçadas, enviar documentos para processamento, gerar minutas ou solicitar suporte técnico que exija acesso a dados de seus clientes finais. Nessas situações, a empresa cliente define a finalidade do tratamento e a base legal aplicável aos titulares finais.

Quando atua como operadora, a AgRisk trata os dados de acordo com o contrato, as instruções documentadas do cliente controlador e os limites necessários à prestação do serviço. Solicitações de titulares relacionadas a esses tratamentos podem exigir coordenação com a empresa cliente responsável pela decisão sobre o tratamento, sem prejuízo do suporte prestado pela AgRisk para localização, segurança e atendimento da solicitação.

Determinados serviços dependem de terceiros que podem atuar como operadores, suboperadores ou controladores independentes, conforme a finalidade e a relação jurídica aplicável. Isso pode incluir bureaus de crédito, bases públicas, registradoras, entidades autorizadas a consultar o SCR, plataformas oficiais, provedores de tecnologia e outros fornecedores necessários à operação.

Em determinados arranjos, a AgRisk e outra organização podem definir conjuntamente as finalidades e os meios essenciais de um tratamento, configurando controladoria conjunta. Nessas hipóteses, as responsabilidades de cada controlador, inclusive quanto ao atendimento aos titulares, à comunicação de incidentes e à prestação de informações, são definidas em instrumento próprio, e o titular poderá exercer seus direitos perante qualquer dos controladores.

Caso instrução recebida de cliente controlador seja, no entendimento da AgRisk, contrária à legislação de proteção de dados aplicável, a AgRisk informará o cliente e poderá suspender o cumprimento da instrução até o esclarecimento.

Dados pessoais tratados na condição de operadora, por conta e sob instrução de cliente controlador, não são utilizados pela AgRisk para finalidades próprias de marketing, publicidade, prospecção comercial ou enriquecimento de base comercial.

Categorias de titulares de dados pessoais

Os produtos e canais digitais da AgRisk destinam-se ao relacionamento entre pessoas jurídicas e a profissionais maiores de 18 anos, não sendo direcionados a crianças ou adolescentes. A AgRisk não coleta intencionalmente dados pessoais de menores de idade em seus canais próprios. Caso seja informada de que tratou dados de criança ou adolescente sem base legal adequada, a AgRisk adotará as providências previstas no art. 14 da Lei nº 13.709/2018, incluindo avaliação da hipótese de eliminação.

Categorias de dados pessoais tratados

A AgRisk trata dados pessoais na medida necessária ao relacionamento B2B, ao funcionamento e segurança das plataformas, à disponibilização de consultas e informações, ao suporte à análise de crédito e risco realizada pelos clientes, à prestação de serviços registrais, ao suporte, ao faturamento, à proteção do crédito e ao exercício regular de direitos. Quando atua como operadora, a extensão do tratamento também depende das informações inseridas, consultadas ou configuradas pelo cliente controlador.

A AgRisk não trata dados pessoais sensíveis, tal como definidos no art. 5º, II, da Lei nº 13.709/2018, como regra em sua operação. Não são realizadas, na plataforma AgRisk ou no AgFlow, coleta ou análise de dados de saúde, biométricos, genéticos, de origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou vida sexual para fins de análise de crédito e risco.

Caso o tratamento de dado sensível ocorra de forma incidental — por exemplo, em razão de documento anexado por usuário da plataforma ou de informação constante de fonte pública consultada — a AgRisk adotará medidas de minimização, restrição de acesso e eliminação quando não houver base legal e finalidade que justifiquem sua conservação.

Atividades de tratamento de dados e bases legais

A tabela a seguir consolida as principais finalidades de tratamento identificadas na operação AgRisk. A base legal pode variar conforme o papel exercido, a categoria de dado e o contexto. Nos fluxos em que a AgRisk atua como operadora, a definição da base legal dos titulares finais compete ao cliente controlador; a AgRisk realiza o tratamento conforme suas instruções e o contrato aplicável. O consentimento não é utilizado como base legal padrão e é reservado às hipóteses em que seja exigido ou adequado.

Cookies, tecnologias de rastreamento e dados de navegação

A AgRisk poderá utilizar cookies, tags, pixels, scripts, identificadores online, parâmetros de URL e tecnologias semelhantes em seu site, landing pages, campanhas e outros canais digitais para viabilizar funcionalidades, segurança, estabilidade, formulários, mensuração de desempenho, melhoria de experiência, comunicação comercial e avaliação de conversões.

Cookies são pequenos arquivos ou identificadores armazenados no dispositivo do usuário ou acessados pelo navegador. Tecnologias semelhantes podem incluir tags de mensuração, pixels de publicidade, scripts de analytics, eventos de navegação e parâmetros de campanha.

A AgRisk poderá utilizar tecnologias estritamente necessárias ao funcionamento dos canais digitais, à hospedagem, à segurança, ao registro técnico, à prevenção de uso indevido e à operação de formulários. Essas tecnologias podem ser ativadas independentemente de consentimento quando forem essenciais ao serviço solicitado.

Tecnologias não essenciais, incluindo cookies analíticos, pixels de marketing, tags de mídia, remarketing, mensuração de conversões e publicidade, poderão depender de consentimento conforme a categoria, a configuração técnica adotada e a legislação aplicável. Quando houver ferramenta própria de preferências, o usuário poderá aceitar, rejeitar ou configurar categorias de tecnologias não essenciais.

A AgRisk utiliza ferramentas de CRM, formulários, mídia e mensuração em suas atividades de marketing, incluindo HubSpot e plataformas digitais utilizadas em campanhas, conforme a configuração vigente. A coleta por essas tecnologias será limitada às finalidades efetivamente habilitadas no respectivo canal.

O usuário poderá gerenciar cookies por meio das configurações do navegador e, quando disponibilizada, por ferramenta própria de consentimento ou preferências. A AgRisk poderá atualizar a forma de uso dessas tecnologias conforme evolução tecnológica, operacional, regulatória ou de governança. Informações adicionais poderão ser disponibilizadas em Política de Cookies específica.

Quando o tratamento se fundamentar em consentimento, a AgRisk mantém registro que permita demonstrar a manifestação do titular, incluindo data, escopo e a versão do aviso apresentado no momento da coleta. A revogação do consentimento é disponibilizada por procedimento tão simples quanto o utilizado para concedê-lo, sem prejuízo dos tratamentos realizados anteriormente com base no consentimento então vigente.

Compartilhamento de dados pessoais

A AgRisk poderá compartilhar dados pessoais quando necessário às finalidades descritas nesta Política, observando necessidade, adequação, base legal, papel dos agentes, confidencialidade, segurança, controles contratuais e proporcionalidade. A disponibilização de informações ao cliente B2B que solicitou determinada consulta faz parte da prestação do serviço e não significa venda indiscriminada de dados pessoais.

A AgRisk mantém relação atualizada dos suboperadores utilizados no tratamento de dados pessoais por conta de clientes controladores, disponibilizada mediante solicitação. A contratação de suboperador observa avaliação prévia de segurança e privacidade e a imposição contratual de obrigações equivalentes às assumidas pela AgRisk perante o cliente. Alterações relevantes na relação de suboperadores, incluindo inclusão ou substituição, são comunicadas ao cliente controlador com antecedência razoável, assegurada a possibilidade de manifestação nos termos do contrato.

Requisições de divulgação de dados pessoais formuladas por autoridades são avaliadas quanto à sua base legal e ao seu caráter juridicamente vinculante, sendo rejeitadas as que não o sejam. Quando a AgRisk atuar como operadora, o cliente controlador é notificado da requisição antes da divulgação, salvo vedação legal expressa. Toda divulgação realizada nesses termos é registrada, com identificação da autoridade requisitante, do fundamento legal, dos dados divulgados e da data.

Transferência internacional de dados

A AgRisk utiliza, em determinados processos, fornecedores de tecnologia, computação em nuvem, CRM, comunicação, atendimento, analytics, suporte e infraestrutura que podem processar ou permitir acesso a dados pessoais fora do Brasil. A ocorrência de transferência internacional depende do fornecedor, do serviço contratado, da região de processamento e dos subprocessadores envolvidos.

Quando houver transferência internacional, a AgRisk adotará os mecanismos de conformidade previstos na LGPD e na regulamentação da ANPD, incluindo, quando aplicável, cláusulas contratuais, avaliação de fornecedores, medidas de segurança, controles de acesso, confidencialidade e limitação de finalidade. Quando a AgRisk atuar como operadora, também observará as instruções e os requisitos contratuais do cliente controlador.

A transferência internacional não altera os direitos do titular. A AgRisk adota medidas de governança e controle compatíveis com seu papel sobre fornecedores que tratem dados pessoais em seu nome e, quando atuar como operadora, observa as obrigações de subcontratação e as instruções assumidas perante o cliente controlador.

Quando houver transferência internacional, a AgRisk adotará os mecanismos previstos no art. 33 da Lei nº 13.709/2018, priorizando as cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024 ou, conforme o caso, cláusulas contratuais específicas, normas corporativas globais ou decisão de adequação editada pela ANPD. A adequação dos contratos vigentes é acompanhada pela área de GRC e Segurança da Informação, mantendo-se registro das transferências realizadas, dos países de destino e da salvaguarda aplicada a cada fornecedor.

Retenção, armazenamento e eliminação dos dados

A AgRisk mantém dados pessoais pelo tempo necessário ao cumprimento das finalidades informadas nesta Política, à prestação e comprovação dos serviços, à disponibilização de históricos contratados, à segurança, auditoria, faturamento, cobrança, proteção do crédito, obrigações legais, regulatórias, fiscais, contábeis, registrais e prescricionais e ao exercício regular de direitos. Os critérios podem variar conforme a categoria do dado, o sistema, o contrato e o papel exercido pela AgRisk.

Quando a finalidade de tratamento for encerrada e não houver fundamento para conservação, os dados poderão ser eliminados, anonimizados, bloqueados, devolvidos ao cliente controlador ou segregados, conforme a natureza do dado, a arquitetura do sistema, as instruções contratuais e as obrigações aplicáveis. A desativação de um usuário não implica, por si só, eliminação do histórico vinculado à empresa cliente.

Encerrada a relação contratual, os dados pessoais tratados por conta do cliente controlador são devolvidos, eliminados ou anonimizados conforme a instrução documentada do cliente, em prazo definido contratualmente, ressalvadas as hipóteses legais e regulatórias de conservação. A execução dessa etapa é registrada e a respectiva evidência é disponibilizada ao cliente mediante solicitação.

Segurança da informação e medidas de proteção

A AgRisk adota medidas técnicas, administrativas e organizacionais destinadas a proteger dados pessoais contra acessos não autorizados, perda, destruição, alteração indevida, divulgação, uso irregular ou outras formas de tratamento inadequado. As medidas são aplicadas conforme a natureza dos dados, a criticidade do serviço, o risco do tratamento, o ambiente tecnológico e o papel da AgRisk em cada operação.

• →controle de acesso e gestão de permissões, incluindo segregação lógica por empresa ou ambiente quando aplicável;
• →mecanismos de autenticação, gestão de identidade e acesso condicional em ambientes corporativos e sistemas críticos, incluindo autenticação multifator quando habilitada;
• →uso de logs, registros de acesso e trilhas de auditoria para rastreabilidade, suporte, segurança e investigação de eventos;
• →gestão de dispositivos corporativos, proteção de endpoints, segregação de rede e controles de acesso remoto conforme aplicabilidade;
• →uso de conexões seguras, proteção de dados em trânsito e controles de armazenamento, inclusive repositórios privados e links temporários em fluxos específicos;
• →rotinas de continuidade, recuperação e proteção contra perda de informações conforme a criticidade dos sistemas e serviços;
• →monitoramento, gestão de vulnerabilidades e melhoria contínua dos controles técnicos e administrativos;
• →processo de resposta a incidentes, com registro, avaliação, contenção, mitigação, investigação e comunicação quando cabível;
• →compromissos de confidencialidade e cláusulas de proteção de dados com colaboradores, prestadores, fornecedores e parceiros conforme o risco;
• →avaliação e gestão de terceiros que tratem dados pessoais ou suportem processos críticos, com definição contratual de responsabilidades quando aplicável;
• →treinamentos, orientações internas e medidas de conscientização para equipes que tratem dados pessoais ou tenham acesso a sistemas e informações;
• →controles de segregação entre clientes, perfis de acesso e restrições operacionais destinados a reduzir acesso indevido e exposição entre ambientes;
• →observância de requisitos específicos de segurança, sigilo ou rastreabilidade aplicáveis a serviços integrados com SCR, registradoras ou outras entidades reguladas, quando pertinente;
• →criptografia de dados em trânsito, mediante protocolos seguros de comunicação, e criptografia de dados em repouso em bases, cópias de segurança e repositórios que armazenem dados pessoais, conforme a criticidade;
• →uso de técnicas de pseudonimização, mascaramento ou minimização em ambientes de desenvolvimento, homologação e teste, evitando o uso de dados pessoais reais fora do ambiente produtivo;
• →rotinas de cópia de segurança com testes periódicos de restauração e definição de objetivos de recuperação compatíveis com a criticidade dos serviços;
• →gestão de vulnerabilidades com varreduras periódicas, priorização por severidade, prazos de correção definidos e testes de intrusão conduzidos por terceiro independente conforme o ciclo estabelecido;
• →configuração segura (hardening) de servidores, aplicações e serviços de nuvem, com revisão periódica de configurações e de acessos privilegiados;
• →registro e retenção de trilhas de auditoria por prazo compatível com as obrigações legais e contratuais aplicáveis, com proteção contra alteração indevida;
• →avaliação prévia de segurança e privacidade de fornecedores que tratem dados pessoais, com due diligence documentada, cláusulas contratuais de proteção de dados, definição de responsabilidades, direito de auditoria e controle de suboperadores;

Embora a AgRisk empregue esforços razoáveis e proporcionais para proteger dados pessoais, nenhum sistema, tecnologia, canal de comunicação ou método de transmissão e armazenamento é absolutamente imune a falhas, ataques ou eventos externos. A AgRisk mantém procedimentos para reduzir riscos, responder a incidentes e mitigar impactos quando necessário.

Direitos dos titulares

Nos termos da LGPD, o titular pode exercer direitos relacionados aos seus dados pessoais, observadas as hipóteses legais de conservação, sigilo, segredo de negócio, prevenção a fraudes, segurança, proteção do crédito, direitos de terceiros e exercício regular de direitos. Quando a AgRisk atuar como operadora, a análise material de determinados pedidos poderá competir à empresa cliente controladora, e a AgRisk cooperará para viabilizar o atendimento.

A AgRisk responderá às solicitações de confirmação da existência de tratamento e de acesso em formato simplificado imediatamente e, quando requerida declaração clara e completa, no prazo de até 15 (quinze) dias contados da data do requerimento, nos termos do art. 19 da Lei nº 13.709/2018. As demais solicitações serão atendidas em prazo razoável e proporcional à complexidade, observadas as hipóteses legais de recusa. Quando a AgRisk atuar como operadora, a solicitação será encaminhada ao cliente controlador, a quem compete a decisão sobre o atendimento.

Quando o tratamento envolver formação de histórico de crédito, score, rating ou análise de risco sujeitos à Lei nº 12.414/2011, o titular poderá, adicionalmente: solicitar o cancelamento ou a reabertura de seu cadastro junto ao gestor do banco de dados; obter acesso gratuito às informações a seu respeito; solicitar a impugnação de anotação incorreta, imprecisa ou desatualizada e a respectiva correção ou cancelamento; ser informado sobre as fontes das informações; e conhecer os principais elementos e critérios considerados na análise de risco, resguardado o segredo empresarial. Quando a AgRisk atuar como operadora de cliente controlador, a solicitação será encaminhada e coordenada com este.

Para exercer seus direitos, o titular poderá encaminhar solicitação ao Encarregado pelo canal https://portaldpo.calazadoreto.com/privacy/agrisk.

A AgRisk poderá solicitar informações adicionais para confirmação de identidade, prevenção a fraudes, localização dos registros e, quando necessário, identificação da empresa cliente responsável pela consulta ou oportunidade relacionada ao pedido.

Determinadas solicitações poderão ser rejeitadas ou atendidas parcialmente quando houver fundamento legal para conservação, necessidade de segurança, auditoria, proteção do crédito, cumprimento contratual, exercício regular de direitos, sigilo comercial, segredo de negócio, direitos de terceiros ou quando a AgRisk, na condição de operadora, depender de instrução do controlador competente.

Atendida solicitação de correção, eliminação, anonimização ou bloqueio, a AgRisk comunicará os agentes de tratamento com os quais tenha compartilhado os dados, para que adotem providência equivalente, salvo quando a comunicação for comprovadamente impossível ou implicar esforço desproporcional, nos termos do art. 18, § 6º, da Lei nº 13.709/2018.

As solicitações e reclamações recebidas são registradas com identificação do protocolo, da data de recebimento, da natureza do pedido, das providências adotadas e da data de resposta. O registro é utilizado para acompanhamento dos prazos, para a avaliação periódica da eficácia do programa de privacidade e para fins de prestação de contas. O titular que não considerar satisfatória a resposta poderá solicitar reexame ao Encarregado, sem prejuízo do direito de peticionar à Autoridade Nacional de Proteção de Dados.

Decisões automatizadas, perfilamento e inteligência artificial

A AgRisk utiliza ferramentas tecnológicas, modelos estatísticos, regras automatizadas, scores, ratings, indicadores de risco, consultas a bases externas e mecanismos de validação para apoiar a análise de crédito e risco. O produto AgRisk disponibiliza score e rating próprios como indicadores complementares, e esses modelos podem ser objeto de manutenção, validação, calibração e aprimoramento técnico compatíveis com sua finalidade.

O AgFlow permite que empresas clientes configurem suas próprias esteiras de análise, indicadores, motores, regras e alçadas. O sistema pode executar consultas e etapas automatizadas, produzir score, rating ou valor sugerido e organizar pareceres, mas a configuração da política de crédito e o uso desses resultados são determinados pelo cliente B2B controlador. Conforme a configuração escolhida, o fluxo pode combinar automações com validações ou decisões humanas.

O AgFlow também pode utilizar OCR, extração automatizada e recursos de inteligência artificial para ler documentos financeiros, fiscais e contratuais, extrair campos, gerar indicadores e consolidar informações. Nesses tratamentos, a AgRisk atua, em regra, como operadora dos dados enviados pelo cliente B2B, e as saídas tecnológicas servem de apoio ao processo configurado pelo controlador.

Resultados de modelos, scores, ratings, consultas e análises automatizadas são de natureza técnica ou probabilística e não constituem garantia de adimplemento futuro. A transparência será fornecida em nível compatível com a LGPD, preservados segredos comercial e industrial, segurança, mecanismos antifraude, arquitetura e informações cuja divulgação possa comprometer os sistemas ou facilitar uso indevido.

O titular poderá solicitar informações sobre critérios gerais e, quando aplicável, revisão de decisão tomada unicamente com base em tratamento automatizado que afete seus interesses. Quando a decisão tiver sido definida ou realizada pelo cliente B2B controlador, a AgRisk poderá encaminhar ou coordenar a solicitação com esse cliente, prestando o suporte técnico necessário.

A AgRisk mantém governança sobre o ciclo de vida dos modelos, regras e mecanismos automatizados que utiliza, incluindo documentação de finalidade, avaliação prévia de risco, monitoramento de desempenho e revisão periódica de critérios. São adotadas medidas destinadas a identificar e mitigar vieses e efeitos discriminatórios ilícitos ou abusivos, nos termos do art. 20, § 3º, da Lei nº 13.709/2018.

Decisões com efeito relevante sobre o titular não são tomadas exclusivamente por meio automatizado sem possibilidade de intervenção humana: os resultados produzidos por modelos, motores, consultas e extrações automatizadas constituem insumo técnico à decisão da empresa cliente, a quem cabe a alçada final.

Dados pessoais tratados no contexto da prestação de serviços a clientes B2B não são utilizados para treinar modelos de inteligência artificial de terceiros nem modelos generalistas disponibilizados a outros clientes, salvo mediante instrução documentada do cliente controlador ou após anonimização que impeça a reidentificação do titular. Quando forem utilizados serviços de terceiros com recursos de inteligência artificial, a AgRisk adota configurações contratuais e técnicas destinadas a impedir a retenção e o reaproveitamento dos dados para treinamento pelo fornecedor.

Incidentes de segurança

A AgRisk adota procedimento de resposta a incidentes de segurança envolvendo dados pessoais, com medidas proporcionais à natureza do evento, ao risco, ao volume de dados, às categorias de titulares, à criticidade das informações, ao papel exercido no tratamento e às possíveis consequências aos titulares e aos clientes.

• →identificação e registro do evento ou suspeita;
• →avaliação preliminar de impacto, criticidade, sistemas e categorias de dados envolvidas;
• →contenção, mitigação e preservação de evidências;
• →investigação técnica, jurídica e operacional;
• →avaliação da necessidade de comunicação à ANPD e aos titulares quando a AgRisk atuar como controladora, ou de notificação e coordenação com o cliente controlador quando atuar como operadora;
• →adoção de medidas corretivas, preventivas e de melhoria contínua;
• →registro documental para fins de accountability, auditoria, gestão de risco e cumprimento de obrigações aplicáveis.

Quando a legislação, a regulamentação ou o contrato exigir comunicação, a AgRisk adotará as providências cabíveis dentro dos prazos e critérios aplicáveis, considerando a boa-fé, a transparência, o risco aos titulares e a necessária coordenação com os demais agentes envolvidos.

Quando a AgRisk atuar como controladora e o incidente puder acarretar risco ou dano relevante aos titulares, a comunicação à ANPD será realizada no prazo de 3 (três) dias úteis contados do conhecimento do incidente, nos termos da Resolução CD/ANPD nº 15/2024, com comunicação aos titulares no mesmo prazo. Quando a AgRisk atuar como operadora, o cliente controlador será notificado sem demora injustificada, com as informações necessárias ao cumprimento de suas obrigações, cabendo a ele a comunicação à ANPD e aos titulares.

O tratamento de incidentes observa a Política de Gestão de Incidentes de Segurança e Privacidade do Grupo Nagro, que define classificação de severidade, papéis, fluxo de acionamento e registro documental para fins de responsabilização e prestação de contas.

Encarregado pelo Tratamento de Dados Pessoais - DPO

O Encarregado pelo Tratamento de Dados Pessoais da AgRisk é CALAZA E DORETO SOCIEDADE DE ADVOGADOS, inscrito no CNPJ sob o nº 60.821.570/0001-74, na modalidade DPO as a Service, com atuação técnica de João Doreto, advogado inscrito na OAB/MG sob o nº 215.307.

O Encarregado atua como canal de comunicação entre a AgRisk, os titulares e a Agência Nacional de Proteção de Dados - ANPD, apoiando a governança e o atendimento de solicitações. Nos tratamentos realizados em nome de clientes B2B, a resposta poderá ser coordenada com o respectivo controlador.

Condições de uso do site

O uso do site, das páginas públicas e dos canais digitais da AgRisk deve observar a legislação, a boa-fé, a segurança dos sistemas e os direitos de terceiros. É vedado utilizar esses canais para conteúdo ilícito, fraudulento, malicioso ou capaz de comprometer a segurança.

Os canais digitais podem conter links para serviços de terceiros independentes. A AgRisk não controla suas políticas de privacidade, segurança, disponibilidade ou conteúdo, salvo quando houver indicação expressa em contrato ou documento específico.

Marcas, conteúdos, layouts, funcionalidades, códigos, bases de dados, metodologias, modelos e demais ativos da AgRisk são protegidos por direitos de propriedade intelectual e não podem ser utilizados indevidamente sem autorização, ressalvadas as hipóteses legais.

A AgRisk poderá alterar ou atualizar site, formulários, canais, conteúdos e funcionalidades por razões técnicas, comerciais, regulatórias, de segurança ou governança, preservados os direitos dos titulares.

Atualizações desta Política

Esta Política poderá ser atualizada para refletir alterações legais, operacionais, tecnológicas, comerciais, de segurança, governança ou estrutura dos produtos AgRisk e AgFlow. A data de revisão será indicada no documento.

Alterações relevantes poderão ser comunicadas por canais apropriados quando impactarem substancialmente finalidades, papéis dos agentes, direitos, compartilhamentos ou canais de atendimento.

Recomenda-se consultar esta Política periodicamente para acompanhar como os dados pessoais são tratados pela AgRisk.

Esta Política será revisada, no mínimo, anualmente, ou de forma antecipada quando houver alteração legal ou regulatória relevante, mudança material nas finalidades, bases legais ou fluxos de tratamento, incidente de segurança de impacto significativo, adoção de nova tecnologia com efeito sobre dados pessoais, ou recomendação decorrente de auditoria. A revisão é conduzida pelo Encarregado em conjunto com a área de GRC, Segurança da Informação e TI Corporativa e submetida à aprovação da Diretoria Executiva. As versões anteriores são retidas para fins de comprovação e prestação de contas.

Esta Política é publicada nos canais digitais oficiais da AgRisk, permanece disponível de forma permanente e gratuita aos titulares e demais partes interessadas, e é comunicada aos colaboradores e prestadores no processo de integração e nas ações periódicas de conscientização. As versões vigente e anteriores são mantidas sob controle documental pela área responsável.

Governança de privacidade e segurança da informação

A AgRisk mantém estrutura de governança de privacidade e segurança da informação integrada ao modelo de GRC do Grupo Nagro, com as seguintes práticas:

• →Privacidade desde a concepção e por padrão: requisitos de privacidade e segurança são avaliados na concepção de novos produtos, funcionalidades, integrações e fornecedores, com configuração padrão orientada à minimização de dados.
• →Registro das operações de tratamento: a AgRisk mantém e revisa registro das operações de tratamento que realiza, na condição de controladora e de operadora, nos termos do art. 37 da Lei nº 13.709/2018.
• →Relatório de Impacto à Proteção de Dados Pessoais: elaborado para tratamentos de maior risco, incluindo decisões automatizadas, score, rating, perfilamento e uso de inteligência artificial, e revisado quando houver alteração relevante de finalidade, base legal, volume de dados ou tecnologia empregada.
• →Gestão de riscos: riscos de privacidade e de segurança da informação são identificados, avaliados, tratados e monitorados na matriz corporativa de riscos, com planos de ação e responsáveis definidos.
• →Papéis e responsabilidades: ao Encarregado compete o canal de comunicação com titulares e com a ANPD; à área de GRC, Segurança da Informação e TI Corporativa competem os controles técnicos e administrativos; às áreas de negócio compete o uso adequado dos dados em seus processos; e à Diretoria Executiva compete a aprovação desta Política e das diretrizes dela decorrentes.
• →Monitoramento e auditoria: a efetividade dos controles é verificada periodicamente por meio de avaliações internas, testes, evidências documentais e, quando aplicável, auditorias independentes ou avaliações conduzidas por clientes.

Esta Política é complementada pelos normativos internos do Grupo Nagro, entre eles a Política de Segurança da Informação, a Política de Classificação da Informação, a Política de Gestão de Riscos e a Política de Gestão de Incidentes de Segurança e Privacidade.

Referências normativas

Esta Política observa, no que aplicável à operação da AgRisk, o seguinte arcabouço legal e regulatório:

• →Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais, e a regulamentação editada pela Autoridade Nacional de Proteção de Dados;
• →Lei nº 12.414/2011, alterada pela Lei Complementar nº 166/2019 — Cadastro Positivo, quanto à formação de histórico de crédito, análise de risco e direitos do cadastrado;
• →Lei Complementar nº 105/2001 e Resolução CMN nº 5.037/2022, quanto ao sigilo de operações e ao Sistema de Informações de Créditos — SCR;
• →Lei nº 12.965/2014 — Marco Civil da Internet, e Decreto nº 8.771/2016, quanto a registros de acesso a aplicações de internet e padrões de segurança na guarda de dados;
• →Resolução CD/ANPD nº 15/2024, quanto à comunicação de incidentes de segurança com dados pessoais;
• →Resolução CD/ANPD nº 19/2024, quanto às cláusulas-padrão contratuais para transferência internacional de dados;
• →Lei nº 14.063/2020, quanto ao uso de assinaturas eletrônicas em documentos;
• →Resoluções CMN nº 4.893/2021 e nº 5.274/2025, observadas de forma reflexa quando a AgRisk presta serviços relevantes a instituições autorizadas a funcionar pelo Banco Central do Brasil;
• →ABNT NBR ISO/IEC 27001 e ISO/IEC 27701, adotadas como referencial de boas práticas para a gestão de segurança da informação e de privacidade.

A adoção das normas ISO/IEC 27001 e ISO/IEC 27701 como referencial de boas práticas não constitui declaração de certificação. A eventual obtenção de certificação por organismo acreditado será informada nesta Política e nos canais oficiais da AgRisk.