Registro de Imóveis de Quedas do Iguaçu

1. Introdução e abrangência

O Quedas do Iguaçu Cartório de Registro de Imóveis realiza o tratamento de dados pessoais no exercício de suas atribuições legais e registrais, observando a Lei nº 13.709/2018 (LGPD), a legislação aplicável aos serviços notariais e registrais e os padrões mínimos de tecnologia, segurança e continuidade previstos pelo Conselho Nacional de Justiça.

Esta Política aplica-se ao responsável pela serventia, colaboradores, estagiários, prestadores de serviços, fornecedores, parceiros e demais terceiros que, de qualquer forma, tenham acesso a dados pessoais, sistemas, informações, documentos, recursos tecnológicos ou instalações relacionadas às atividades da serventia.

A Jurintech é a empresa responsável pela assessoria de adequação, governança documental e apoio à conformidade desta Política. Ana Laura Marchi Cueto atua como Encarregada pelo Tratamento de Dados Pessoais (DPO), observadas as atribuições previstas na LGPD e nesta Política.

2. Objetivos

• Estabelecer diretrizes claras e obrigatórias para o tratamento de dados pessoais realizado no âmbito da serventia.
• Promover confidencialidade, integridade, disponibilidade, autenticidade e rastreabilidade dos dados e atos praticados.
• Assegurar a observância dos direitos dos titulares e das obrigações previstas na LGPD.
• Integrar a proteção de dados às rotinas de segurança da informação, continuidade de negócios, gestão de incidentes e governança tecnológica.
• Manter evidências documentais e técnicas aptas à fiscalização, auditoria e correição.
• Promover capacitação periódica e responsabilização adequada dos colaboradores e terceiros com acesso a informações da serventia.

3. Finalidade, fundamentos jurídicos e princípios

Todo tratamento de dados pessoais deverá possuir finalidade legítima, específica, compatível com as atribuições da serventia e amparada em hipótese legal adequada. Os dados de colaboradores, representantes e prestadores de serviços serão tratados para viabilizar a operação da serventia, a gestão de pessoas, o cumprimento de obrigações legais e regulatórias, a segurança dos ambientes e outras finalidades compatíveis com a relação estabelecida.

Novos processos, sistemas, integrações, produtos, serviços ou operações que envolvam tratamento de dados pessoais deverão ser avaliados sob a ótica de proteção de dados e segurança, com participação da DPO quando necessário, especialmente quando houver alteração relevante de finalidade, compartilhamento, tecnologia, risco ou volume de dados tratados.

• finalidade e adequação;
• necessidade e minimização;
• livre acesso e transparência;
• qualidade dos dados;
• segurança e prevenção;
• não discriminação;
• responsabilização e prestação de contas;
• privacidade e segurança desde a concepção (privacy/security by design).

4. Adequação, necessidade e qualidade dos dados

A coleta e o uso de dados pessoais deverão se limitar ao mínimo necessário para o atendimento de finalidades determinadas. Os dados deverão ser pertinentes, proporcionais, corretos, completos quando necessário e atualizados conforme a natureza do tratamento. O acesso e a conservação deverão observar a finalidade, a base legal e os prazos legais, regulatórios e probatórios aplicáveis.

5. Atendimento aos direitos dos titulares

A serventia manterá procedimento para recebimento, registro, análise e resposta a solicitações de titulares, respeitadas as limitações e exceções inerentes à atividade registral e às obrigações legais de guarda, publicidade e conservação de documentos.

• confirmação da existência de tratamento;
• acesso aos dados, quando juridicamente cabível;
• correção de dados incompletos, inexatos ou desatualizados, observadas as regras próprias do serviço registral;
• informação sobre compartilhamentos realizados;
• informação sobre o uso de consentimento, quando aplicável;
• revogação do consentimento e eliminação de dados tratados com base exclusiva em consentimento, quando juridicamente cabíveis;
• anonimização, bloqueio ou eliminação nos casos autorizados pela legislação.

As solicitações poderão ser apresentadas pelos canais institucionais da serventia ou diretamente à Encarregada/DPO, Ana Laura Marchi Cueto, pelos canais de contato indicados ao final desta Política.

6. Relações com terceiros e fornecedores

A contratação de terceiros que tratem, armazenem, processem ou tenham acesso a dados da serventia deverá ser precedida de avaliação compatível com o risco e acompanhada por medidas contratuais e de supervisão adequadas.

• avaliação prévia de segurança, privacidade e capacidade técnica;
• cláusulas de confidencialidade, proteção de dados e segurança da informação;
• definição de responsabilidades e cooperação em caso de incidente;
• reversibilidade e portabilidade integral do acervo em formato interoperável e não proprietário, quando aplicável;
• disponibilização de documentação técnica necessária à transição ou migração;
• monitoramento do cumprimento contratual e das medidas de segurança;
• prevenção de dependência estrutural exclusiva de fornecedor, sempre que tecnicamente possível.

7. Transferência internacional de dados pessoais

Quando houver transferência internacional de dados pessoais, inclusive pela utilização de serviços em nuvem ou ferramentas tecnológicas hospedadas fora do Brasil, deverão ser observados os requisitos da LGPD, as normas da Autoridade Nacional de Proteção de Dados e as salvaguardas adequadas ao caso concreto. A contratação deverá considerar segurança, localização dos dados, suboperadores, mecanismos de transferência e capacidade de atendimento às obrigações da serventia.

8. Controle de acesso, autenticação e hierarquização

O acesso a dados pessoais e sistemas será concedido exclusivamente a usuários autorizados, conforme necessidade funcional e princípio do menor privilégio. A concessão, alteração e revogação de acessos deverão ser formalmente controladas.

• autenticação individualizada para todos os usuários;
• autenticação multifator (MFA) obrigatória para acessos administrativos, gestão de sistemas, bancos de dados e funcionalidades críticas;
• vedação ao uso de contas genéricas e credenciais compartilhadas;
• segregação de perfis e privilégios de acordo com a função;
• revogação tempestiva de acessos em desligamentos, mudanças de função ou cessação da necessidade;
• registro auditável dos acessos e operações relevantes.

9. Segurança da informação e diretrizes do Provimento CNJ nº 213/2026

A serventia adotará medidas técnicas e organizacionais proporcionais ao risco, à criticidade das informações e à sua classe regulatória, com o objetivo de assegurar confidencialidade, integridade, disponibilidade, autenticidade, rastreabilidade e continuidade dos serviços. Esta Política deve ser interpretada de forma integrada com o Provimento CNJ nº 213, de 20 de fevereiro de 2026, com a redação atualizada pelo Provimento CN nº 243, de 21 de julho de 2026.

• manter inventário atualizado de ativos tecnológicos, integrações, bancos de dados, certificados digitais, softwares, contratos e histórico de atualizações;
• utilizar tecnologias com licenciamento regular e suporte vigente, evitando componentes em fim de vida útil (EOL), ressalvadas as hipóteses de transição autorizadas pela norma;
• utilizar proteção de endpoint, firewall e segmentação de rede compatíveis com o ambiente tecnológico;
• proteger dados em trânsito por protocolos seguros e dados críticos em repouso por criptografia adequada ao estado da técnica;
• manter gestão formal de chaves criptográficas, certificados e padrões de criptografia;
• adotar trilhas de auditoria protegidas contra alteração e exclusão não autorizadas, capazes de identificar usuário, data, hora e natureza da operação;
• manter registros auditáveis e documentos comprobatórios aptos à fiscalização e à correição;
• promover capacitação periódica de colaboradores e responsáveis quanto ao uso seguro de sistemas, proteção de dados e rotinas de backup.

Parâmetros relevantes para Classe 2: RPO máximo de 12 horas e RTO máximo de 24 horas; testes documentados de restauração de backup ao menos anuais; retenção mínima de trilhas de auditoria por 5 anos; e cumprimento das Etapas 1 e 2 em até 240 dias contados da entrada em vigor do Provimento CN nº 243/2026, sem prejuízo do cronograma global de até 30 meses para conclusão cumulativa das etapas.

10. Continuidade operacional, backups e recuperação

A serventia manterá diretrizes formais de continuidade operacional e preservação de dados. O Plano de Continuidade de Negócios (PCN) e o Plano de Recuperação de Desastres (PRD) deverão conter identificação e avaliação de riscos, medidas de mitigação, definição de RTO e RPO compatíveis com a classe, responsáveis, fluxos de acionamento e providências de curto e médio prazo para restauração da normalidade.

• backups automatizados, monitorados e protegidos contra acesso ou alteração indevida;
• cópias externas (off-site) e redundância geográfica compatível com o ambiente e a classe;
• mecanismos incrementais, replicação ou tecnologia equivalente que permitam atendimento ao RPO aplicável;
• testes formais e documentados de restauração, com registro do resultado e das medidas corretivas;
• monitoramento da execução dos backups e abertura imediata de registro de incidente quando houver falha;
• simulação periódica de cenários de desastre para validação do PCN e PRD;
• preservação das evidências de teste, restauração e continuidade no dossiê técnico.

11. Gestão de incidentes, vulnerabilidades e rastreabilidade

A serventia manterá procedimento documentado de resposta a incidentes, contemplando identificação, classificação, contenção, erradicação, recuperação, análise de causa raiz, registro de medidas corretivas e lições aprendidas.

• incidentes críticos deverão ser comunicados à Corregedoria competente em até 72 horas, sem prejuízo das demais comunicações legalmente exigidas;
• incidentes que possam acarretar risco ou dano relevante aos titulares deverão ser avaliados para comunicação à ANPD e aos titulares, conforme a legislação e regulamentação vigentes;
• vulnerabilidades críticas deverão ser tratadas dentro dos prazos normativos, com mitigação imediata quando houver exploração ativa ou risco iminente;
• logs e trilhas de auditoria deverão ser mantidos íntegros, com sincronização temporal por fonte confiável e retenção mínima de 5 anos;
• as providências relacionadas a vulnerabilidades e incidentes deverão ser formalmente registradas no dossiê técnico da serventia.

12. Encarregada pelo tratamento de dados pessoais (DPO)

Encarregada/DPO: Ana Laura Marchi Cueto. Empresa responsável: Jurintech. A Encarregada atua como canal de comunicação entre a serventia, os titulares de dados, a Autoridade Nacional de Proteção de Dados e demais autoridades competentes, observadas as atribuições previstas na LGPD e as particularidades da atividade extrajudicial.

• receber requerimentos, reclamações e comunicações de titulares;
• orientar a serventia e os colaboradores sobre boas práticas de proteção de dados;
• apoiar a manutenção do registro das operações de tratamento (ROPA);
• apoiar avaliações de risco e Relatórios de Impacto à Proteção de Dados quando necessários;
• acompanhar respostas a incidentes que envolvam dados pessoais;
• apoiar a revisão de contratos, políticas, procedimentos e novos tratamentos;
• promover ou apoiar ações de conscientização e capacitação;
• acompanhar a evolução regulatória e recomendar a atualização desta Política quando necessária.

13. Transparência no tratamento de dados de colaboradores

A serventia manterá comunicação transparente sobre o tratamento de dados pessoais de colaboradores, inclusive por meio de Termo de Ciência para Tratamento de Dados Pessoais ou instrumento equivalente. O documento deverá indicar, conforme aplicável, categorias de dados, finalidades, bases legais, compartilhamentos, prazos de retenção e canais para exercício de direitos.

Os termos assinados e demais evidências de ciência e treinamento deverão ser arquivados de forma organizada e acessível para fins de governança, auditoria e correição.

14. Detalhamento dos tratamentos internos realizados

14.1 Tratamento de dados de colaboradores. Dados pessoais que podem ser tratados, conforme a relação de trabalho, obrigação legal e necessidade operacional:

• Matrícula e dados funcionais;
• Dados de identificação, incluindo nome, CPF, RG, naturalidade, nacionalidade, data de nascimento, sexo e filiação, quando necessários;
• Dados de contato, incluindo telefone, endereço e e-mail;
• Carteira de trabalho e registros trabalhistas;
• Número do PIS/PASEP, quando aplicável;
• Título de eleitor, quando necessário;
• Estado civil;
• Exames e atestados ocupacionais, observadas as regras aplicáveis a dados pessoais sensíveis;
• Controle de presença e jornada;
• Formação acadêmica e escolaridade;
• Empresa, cargo, função e dados de remuneração;
• Dados bancários necessários ao pagamento;
• Dados de cônjuge, filhos e dependentes quando necessários a benefícios ou obrigações legais;
• Demais dados estritamente necessários ao cumprimento de obrigações trabalhistas, previdenciárias, fiscais e administrativas.

14.2 Bases legais. Os tratamentos serão fundamentados, conforme o caso, no cumprimento de obrigação legal ou regulatória, execução de contrato ou de procedimentos relacionados ao vínculo, exercício regular de direitos, proteção da vida, tutela da saúde no contexto ocupacional, legítimo interesse quando juridicamente cabível e consentimento apenas quando efetivamente necessário e adequado. Entre as normas que podem fundamentar tratamentos específicos encontram-se a CLT, a legislação previdenciária, normas do eSocial e demais atos vigentes aplicáveis à relação de trabalho.

14.3 Prazos de guarda. Os prazos de guarda deverão observar a legislação trabalhista, previdenciária, fiscal, registral e demais normas aplicáveis. Quando houver conflito entre prazo interno e obrigação legal específica, prevalecerá o prazo legal ou regulatório mais adequado ao documento e à finalidade de conservação. O descarte deverá ser seguro e documentado quando cabível.

14.4 Compartilhamentos. Os dados poderão ser compartilhados com órgãos públicos, instituições financeiras, prestadores de serviços, fornecedores de tecnologia e demais destinatários necessários ao cumprimento de obrigações legais, contratuais ou operacionais:

• escritório contábil Fontanella, para processamento de folha e obrigações correlatas;
• órgãos trabalhistas e previdenciários, inclusive por meio do eSocial;
• Caixa Econômica Federal, quando necessário ao cumprimento de obrigações relacionadas ao FGTS;
• provedores de ferramentas de colaboração, comunicação e tecnologia regularmente contratados pela serventia.

15. Governança documental, evidências e revisão

A conformidade com esta Política e com o Provimento CNJ nº 213/2026 deverá ser demonstrável por evidências técnicas e documentais organizadas, preservadas e disponibilizáveis à fiscalização.

• manter registro das operações de tratamento de dados pessoais;
• manter inventário de ativos, contratos, integrações, softwares e responsáveis atualizado;
• manter documentos de PCN, PRD, gestão de incidentes, testes de restauração, treinamentos, controles de acesso e demais evidências de segurança;
• consolidar as evidências em dossiê técnico por etapa de conformidade, conforme o Anexo IV do Provimento;
• para Classe 2, utilizar mecanismo idôneo de verificação da integridade das evidências, incluindo geração de hashes e lista de hashes assinada digitalmente, ou documento eletrônico consolidado assinado digitalmente e acompanhado de relatório de hash, conforme admitido pela norma;
• manter os documentos e evidências pelo prazo mínimo regulatório aplicável, inclusive pelo período mínimo de 5 anos quando assim exigido pelo Provimento;
• registrar as conclusões das etapas e declarações de conformidade no Sistema Justiça Aberta, quando exigível;
• revisar esta Política periodicamente e sempre que houver alteração normativa relevante, mudança significativa de tecnologia, fornecedor, arquitetura, processo ou risco.

16. Referências normativas

• Lei nº 13.709, de 14 de agosto de 2018 (LGPD).
• Lei nº 8.935, de 18 de novembro de 1994, serviços notariais e de registro.
• Lei nº 6.015, de 31 de dezembro de 1973, Lei de Registros Públicos.
• Provimento CNJ nº 149, de 30 de agosto de 2023, e alterações posteriores.
• Provimento CNJ nº 213, de 20 de fevereiro de 2026.
• Provimento CN nº 243, de 21 de julho de 2026.
• Normas e regulamentos vigentes da Autoridade Nacional de Proteção de Dados aplicáveis à comunicação de incidentes, direitos de titulares e transferência internacional de dados.

17. Histórico de revisão e responsabilidade

24/08/2026, versão V2R1: atualização integral (LGPD, Provimento CNJ nº 213/2026 e Provimento CN nº 243/2026), inclusão de diretrizes de segurança, continuidade, evidências e governança, atualização da DPO e da empresa responsável. Realizada por Jurintech e revisada por Ana Laura Marchi Cueto, DPO.

A Jurintech é responsável pela assessoria e manutenção documental desta Política, em conjunto com a serventia. A aplicação cotidiana dos controles e o cumprimento das obrigações legais e regulamentares permanecem sob governança do responsável pela serventia, sem prejuízo das responsabilidades específicas de colaboradores, fornecedores e prestadores de serviço.