RELATÓRIO DE IMPACTO À PROTEÇÃO DE DADOS PESSOAIS – RIPD

POLLO CORRETORA

Versão: 1.0
Data: setembro de 2026
Classificação: Uso Interno – Proteção de Dados Pessoais
Responsável: Encarregado pelo Tratamento de Dados Pessoais (DPO)

1. OBJETIVO

O presente Relatório de Impacto à Proteção de Dados Pessoais – RIPD tem como objetivo identificar, avaliar e documentar os riscos relacionados às operações de tratamento de dados pessoais realizadas pela Pollo Corretora, bem como registrar as salvaguardas adotadas ou previstas para mitigação desses riscos.

O relatório serve como instrumento de avaliação preventiva dos impactos que determinadas operações de tratamento podem ocasionar às liberdades civis e aos direitos fundamentais dos titulares de dados pessoais.

A elaboração deste RIPD considera especialmente os tratamentos relacionados à prestação de serviços de:

• corretagem;

• consultoria;

• implantação de benefícios;

• movimentação cadastral;

• gestão de benefícios corporativos.

No fluxo analisado, a Pollo Corretora recebe dados disponibilizados pela empresa contratante, utiliza a plataforma QBEM/EB para recebimento e gestão operacional das informações e, quando necessário à execução dos serviços, compartilha dados com operadoras e seguradoras.

2. ESCOPO DO TRATAMENTO AVALIADO

O presente RIPD considera principalmente o tratamento de dados pessoais realizado no contexto da administração de benefícios corporativos.

O fluxo avaliado é, de forma geral:

Empresa contratante → Pollo Corretora → QBEM/EB → Operadoras/Seguradoras

Os dados são disponibilizados pela empresa contratante à Pollo Corretora para execução das atividades contratadas.

As solicitações recebidas por e-mail podem ser posteriormente cadastradas na plataforma QBEM/EB para continuidade e controle do processo.

A Pollo Corretora acessa e utiliza os dados para execução das atividades de implantação, manutenção e movimentação cadastral e, quando necessário, compartilha as informações com operadoras e seguradoras para viabilizar a contratação e administração dos benefícios.

3. PAPEL DA POLLO CORRETORA

No tratamento objeto deste RIPD, a Pollo Corretora é classificada como operadora, realizando o tratamento de dados pessoais de acordo com as finalidades e instruções relacionadas aos serviços contratados.

A classificação deverá ser reavaliada quando houver alteração relevante no fluxo, nas finalidades ou na relação entre as partes.

A Pollo Corretora também poderá exercer papel distinto em outras operações de tratamento, de acordo com as circunstâncias específicas de cada atividade.

4. DESCRIÇÃO DOS TIPOS DE DADOS PESSOAIS TRATADOS

4.1 Dados pessoais cadastrais e de identificação

Podem ser tratados:

• nome completo;

• CPF;

• data de nascimento;

• estado civil;

• endereço residencial completo;

• e-mail;

• telefone;

• matrícula;

• cargo;

• salário;

• informações necessárias à verificação de elegibilidade;

• informações necessárias à contratação e administração dos benefícios.

Esses dados são utilizados conforme a necessidade de cada processo e benefício.

4.2 Dados pessoais sensíveis

O tratamento poderá envolver dados referentes à saúde, especialmente quando necessários à operacionalização de benefícios de assistência médica, odontológica ou outras rotinas relacionadas aos benefícios.

Por sua natureza, esses dados representam maior nível de risco e demandam controles específicos de acesso, utilização e compartilhamento.

4.3 Dados de dependentes e beneficiários

Os titulares envolvidos podem incluir:

• colaboradores da empresa contratante;

• dependentes;

• beneficiários vinculados aos benefícios.

Dependendo da composição do grupo, podem ser tratados dados de:

• crianças;

• adolescentes;

• adultos;

• pessoas idosas.

5. METODOLOGIA DE COLETA DOS DADOS PESSOAIS

Os dados pessoais utilizados no fluxo avaliado são recebidos da empresa contratante.

No processo analisado, a empresa contratante encaminha os dados dos colaboradores à Pollo Corretora por meio da plataforma QBEM/EB, utilizada para recebimento e gestão das informações.

Solicitações realizadas por e-mail podem posteriormente ser cadastradas na plataforma QBEM/EB para continuidade e controle do processo.

A Pollo Corretora não realiza, no escopo analisado, enriquecimento de dados mediante utilização de bureaus de crédito ou outras fontes externas.

São utilizados os dados encaminhados pela empresa contratante conforme a necessidade da prestação dos serviços.

6. FINALIDADES DO TRATAMENTO

Os dados pessoais são tratados para possibilitar a execução dos serviços contratados, especialmente:

1. implantação de benefícios;

2. movimentação cadastral;

3. manutenção de cadastros;

4. administração dos benefícios;

5. verificação de elegibilidade;

6. viabilização da contratação de benefícios;

7. encaminhamento de informações a operadoras e seguradoras;

8. atendimento de solicitações da empresa contratante;

9. manutenção do histórico dos processos realizados;

10. execução das atividades de corretagem e consultoria;

11. demais atividades necessárias à administração dos benefícios contratados.

O tratamento de dados referentes à saúde está relacionado às situações em que tais informações sejam necessárias à operacionalização dos benefícios de assistência médica, odontológica ou outras rotinas relacionadas aos benefícios.

7. FLUXO DO CICLO DE VIDA DOS DADOS

7.1 Recebimento

Os dados são recebidos da empresa contratante por meio dos canais e sistemas utilizados para a execução dos serviços.

7.2 Registro

As solicitações recebidas por e-mail podem ser cadastradas na plataforma QBEM/EB para continuidade e controle do processo.

7.3 Utilização

Os colaboradores autorizados utilizam os dados para execução das atividades contratadas.

7.4 Compartilhamento

Quando necessário, os dados são encaminhados a operadoras, seguradoras e fornecedores envolvidos na execução dos serviços.

7.5 Armazenamento

Os dados são mantidos nos sistemas utilizados para execução e controle dos serviços, inclusive na plataforma QBEM/EB.

7.6 Encerramento da finalidade

Ao término da finalidade operacional, os dados podem permanecer armazenados juntamente com o histórico do processo realizado, quando necessário para manutenção dos registros, continuidade da gestão, cumprimento de obrigações ou exercício regular de direitos.

7.7 Eliminação

Quando não houver fundamento para conservação, os dados deverão ser eliminados ou submetidos à medida adequada de descarte, observados os procedimentos internos e as obrigações legais, regulatórias e contratuais aplicáveis.

8. TERCEIROS ENVOLVIDOS NO TRATAMENTO

O tratamento envolve terceiros necessários à execução dos serviços.

Entre eles estão:

QBEM/EB

Plataforma utilizada para recebimento e gestão operacional dos dados.

No fluxo avaliado, a QBEM atua como fornecedora/suboperadora.

Operadoras e seguradoras

Podem receber dados pessoais quando necessário para:

• contratação;

• implantação;

• manutenção;

• movimentação cadastral;

• administração dos benefícios.

9. TRANSFERÊNCIA INTERNACIONAL

No fluxo avaliado, os dados pessoais não são armazenados fora do Brasil.

Não foi identificada, no escopo analisado, necessidade de mecanismo específico de transferência internacional de dados.

Caso seja introduzido novo fornecedor, sistema ou fluxo que implique transferência internacional, a operação deverá ser previamente avaliada.

10. DECISÕES AUTOMATIZADAS E INTELIGÊNCIA ARTIFICIAL

No escopo avaliado:

• não há processo de decisão automatizada que determine direitos, benefícios ou outras decisões relevantes sobre os titulares;

• não há utilização de inteligência artificial para execução dos serviços.

A plataforma QBEM/EB pode possuir automações operacionais, mas isso não significa, por si só, existência de decisão automatizada sobre os titulares.

11. IDENTIFICAÇÃO DOS RISCOS

A análise de riscos considera a possibilidade de eventos que possam comprometer a confidencialidade, integridade ou disponibilidade dos dados pessoais e, consequentemente, afetar direitos e liberdades dos titulares.

Foram identificados os seguintes riscos principais.

RISCO 1 – Acesso não autorizado

Descrição: acesso a dados pessoais por colaborador ou terceiro que não possua necessidade ou autorização para realizar o tratamento.

Dados potencialmente afetados:

• dados cadastrais;

• dados de colaboradores;

• dados de dependentes;

• dados de beneficiários;

• dados de saúde.

Impacto potencial: exposição indevida de informações pessoais e violação da privacidade.

Nível de risco: Alto, especialmente quando envolver dados pessoais sensíveis.

RISCO 2 – Compartilhamento indevido

Descrição: envio de dados pessoais para destinatário incorreto ou terceiro não autorizado.

Exemplos:

• envio de e-mail para endereço incorreto;

• envio de documento para empresa diferente;

• compartilhamento de informações além do necessário;

• utilização de canal inadequado.

Impacto potencial: divulgação indevida de dados pessoais.

Nível de risco: Alto.

RISCO 3 – Exposição de dados de saúde

Descrição: acesso, armazenamento ou compartilhamento inadequado de dados referentes à saúde.

Impacto potencial: exposição de dados pessoais sensíveis e possibilidade de discriminação, constrangimento ou outros impactos aos titulares.

Nível de risco: Alto.

RISCO 4 – Perda ou vazamento de informações

Descrição: perda, vazamento, cópia ou extração indevida de arquivos contendo dados pessoais.

Possíveis causas:

• erro humano;

• dispositivo perdido;

• credencial comprometida;

• armazenamento inadequado;

• envio incorreto;

• incidente de segurança.

Nível de risco: Alto.

RISCO 5 – Manutenção excessiva de dados

Descrição: conservação de dados pessoais por período superior ao necessário para a finalidade do tratamento.

Impacto potencial: aumento da exposição dos titulares e manutenção desnecessária de informações pessoais.

Nível de risco: Médio.

RISCO 6 – Tratamento de dados de crianças e adolescentes

Descrição: tratamento inadequado de dados pertencentes a dependentes menores de idade.

Impacto potencial: maior vulnerabilidade dos titulares e possibilidade de utilização inadequada de seus dados.

Nível de risco: Alto.

RISCO 7 – Uso de sistemas ou ferramentas não autorizadas

Descrição: inserção ou armazenamento de dados pessoais em aplicativos, ferramentas, sistemas ou serviços não aprovados pela empresa.

Impacto potencial: perda de controle sobre os dados, compartilhamento não autorizado e dificuldade de rastreamento.

Nível de risco: Alto.

RISCO 8 – Tratamento além da finalidade

Descrição: utilização dos dados para finalidade diferente daquela que justificou seu recebimento.

Impacto potencial: tratamento incompatível com a finalidade original e violação dos direitos dos titulares.

Nível de risco: Médio/Alto.

12. SALVAGUARDAS PARA MITIGAÇÃO DOS RISCOS

Para redução dos riscos identificados, foram estabelecidas ou previstas as seguintes salvaguardas.

12.1 Controle de acesso

O acesso aos dados pessoais deverá ser restrito aos colaboradores que necessitem das informações para execução de suas funções.

Deverá ser aplicado o princípio de necessidade de acesso, evitando-se permissões superiores às exigidas pela função.

12.2 Confidencialidade

Os colaboradores devem manter sigilo sobre os dados pessoais tratados no exercício de suas atividades.

A obrigação de confidencialidade permanece aplicável após o encerramento do vínculo profissional, quando pertinente.

12.3 Política interna para colaboradores

A Pollo Corretora deverá manter política interna estabelecendo as responsabilidades dos colaboradores, gestores e DPO.

A política deverá orientar especialmente sobre:

• acesso a dados;

• compartilhamento;

• proteção de documentos;

• utilização de sistemas;

• dados sensíveis;

• comunicação de incidentes;

• solicitações de titulares.

12.4 Treinamento e conscientização

Os colaboradores deverão receber orientação e treinamento sobre proteção de dados pessoais.

Os treinamentos deverão abordar, no mínimo:

• princípios da LGPD;

• responsabilidades individuais;

• segurança da informação;

• tratamento de dados sensíveis;

• prevenção de incidentes;

• utilização adequada dos sistemas;

• comunicação de incidentes;

• direitos dos titulares.

12.5 Proteção de dados sensíveis

Dados referentes à saúde deverão receber tratamento reforçado.

Seu acesso deverá ocorrer somente quando necessário à execução das atividades autorizadas.

12.6 Controle de compartilhamento

Antes do envio de dados pessoais, o colaborador deverá verificar:

1. a necessidade do compartilhamento;

2. a identidade do destinatário;

3. a autorização do destinatário;

4. a adequação dos dados compartilhados;

5. a adequação do canal utilizado.

12.7 Utilização de sistemas autorizados

Os colaboradores deverão utilizar somente sistemas e plataformas autorizados pela Pollo Corretora para armazenamento e tratamento de dados pessoais.

A plataforma QBEM/EB é utilizada para recebimento e gestão operacional dos dados no fluxo analisado.

12.8 Gestão de incidentes

Incidentes ou suspeitas de incidentes envolvendo dados pessoais deverão ser comunicados imediatamente ao responsável interno e/ou DPO.

Devem ser preservadas as informações necessárias para investigação e avaliação do incidente.

12.9 Gestão de acessos

Os acessos deverão ser revisados quando ocorrer:

• mudança de função;

• mudança de área;

• desligamento;

• alteração de responsabilidades;

• identificação de acesso incompatível com a função.

12.10 Retenção e descarte

Os dados pessoais deverão ser mantidos somente pelo período necessário à finalidade do tratamento, ressalvadas as hipóteses de conservação permitidas ou exigidas.

Quando não houver justificativa para manutenção, deverão ser adotadas medidas de eliminação ou descarte adequadas.

13. AVALIAÇÃO ESPECÍFICA DE DADOS DE SAÚDE

A existência de dados referentes à saúde eleva o grau de atenção necessário ao tratamento.

Dessa forma, a Pollo Corretora deverá:

• limitar o acesso;

• restringir a utilização à finalidade profissional;

• evitar cópias desnecessárias;

• controlar o compartilhamento;

• utilizar canais autorizados;

• impedir utilização para finalidade incompatível;

• orientar os colaboradores que tenham acesso a essas informações.

O tratamento de dados de saúde deverá ser objeto de avaliação sempre que houver alteração relevante no fluxo operacional.

14. AVALIAÇÃO DE DADOS DE CRIANÇAS E ADOLESCENTES

A operação pode envolver dados de dependentes menores de idade.

Em razão dessa possibilidade, deverão ser adotadas medidas reforçadas de proteção, especialmente:

• limitação do acesso;

• utilização apenas para finalidade necessária;

• controle de compartilhamento;

• cuidado na comunicação;

• armazenamento em sistemas autorizados;

• observância das regras específicas aplicáveis ao tratamento desses dados.

15. AVALIAÇÃO DO RISCO RESIDUAL

Após a aplicação das salvaguardas descritas neste RIPD, os riscos residuais devem ser acompanhados continuamente.

A existência de controles reduz os riscos, mas não elimina completamente a possibilidade de:

• erro humano;

• acesso indevido;

• incidente de segurança;

• compartilhamento incorreto;

• falha tecnológica;

• tratamento inadequado.

O DPO deverá recomendar medidas adicionais sempre que houver alteração relevante no nível de risco.

16. RESPONSABILIDADES

16.1 Colaboradores

Os colaboradores são responsáveis por:

• tratar dados somente para finalidades profissionais;

• acessar somente informações necessárias;

• preservar o sigilo;

• proteger credenciais;

• utilizar sistemas autorizados;

• conferir destinatários antes do compartilhamento;

• comunicar incidentes;

• seguir as políticas internas;

• colaborar com o DPO.

16.2 Gestores

Os gestores são responsáveis por:

• garantir que a equipe conheça as políticas;

• avaliar a necessidade dos acessos;

• orientar os colaboradores;

• comunicar mudanças nos processos;

• comunicar incidentes;

• apoiar avaliações de risco;

• solicitar revisão de acessos quando necessário;

• colaborar com o DPO.

16.3 DPO

Compete ao DPO:

• orientar colaboradores e gestores;

• atuar como canal de comunicação sobre proteção de dados;

• apoiar avaliações de risco;

• acompanhar solicitações de titulares;

• apoiar a gestão de incidentes;

• promover conscientização;

• acompanhar a implementação das medidas de proteção;

• recomendar melhorias nos controles;

• manter interlocução com as áreas envolvidas.

17. CONCLUSÃO DO RELATÓRIO

A análise realizada demonstra que as operações da Pollo Corretora envolvem tratamento de dados pessoais necessários à execução de suas atividades de corretagem, consultoria, implantação, movimentação cadastral e gestão de benefícios.

O tratamento apresenta risco elevado em determinadas situações, principalmente em razão:

• do volume potencial de dados de beneficiários;

• do envolvimento de dependentes;

• da possibilidade de tratamento de dados de crianças e adolescentes;

• da possibilidade de tratamento de dados pessoais sensíveis referentes à saúde;

• do compartilhamento necessário com operadoras e seguradoras;

• da utilização de sistemas e fornecedores para execução dos processos.

Em razão desses fatores, a Pollo Corretora deverá manter controles de acesso, confidencialidade, segurança, treinamento, gestão de incidentes, controle de compartilhamentos e acompanhamento dos tratamentos.

As salvaguardas descritas neste RIPD constituem a base para as políticas e procedimentos internos de proteção de dados da organização.

O presente relatório deverá ser revisado sempre que houver alteração relevante nas operações de tratamento, incluindo:

• contratação de novos sistemas;

• utilização de novas tecnologias;

• alteração dos tipos de dados tratados;

• alteração das finalidades;

• inclusão de novos fornecedores;

• alteração dos fluxos de compartilhamento;

• introdução de inteligência artificial;

• transferência internacional de dados;

• identificação de novos riscos relevantes;

• ocorrência de incidente de segurança relevante.

18. PLANO DE ACOMPANHAMENTO

Para manutenção da conformidade, recomenda-se o acompanhamento dos seguintes pontos:

Controle	Responsável	Frequência
Revisão dos tratamentos de dados	DPO / Gestores	Anual ou quando houver alteração
Revisão dos acessos	Gestores / responsáveis pelos sistemas	Periódica e em mudanças de função
Treinamento LGPD	DPO / Gestão	Periódico
Avaliação de novos fornecedores	DPO / Gestão	A cada contratação
Avaliação de novos sistemas	DPO / Gestão	Antes da implementação
Gestão de incidentes	DPO / responsáveis internos	Sempre que ocorrer
Revisão deste RIPD	DPO	Anual ou diante de mudança relevante
Revisão das políticas	DPO / Gestão	Anual ou diante de mudança relevante

19. APROVAÇÃO

Este RIPD deverá ser submetido à aprovação da administração da Pollo Corretora e mantido como documento integrante de seu programa de privacidade e proteção de dados pessoais.

Responsável pelo documento:
Carlos Eduardo Porto Cunha – DPO

Data: 01/10/2026