Política de Segurança da Informação

• Versão 1.0
• Vigência: setembro de 2026
• Aprovação: Alta Direção
• Gestão: Comitê de Segurança e Qualidade
• Revisão: no mínimo anual

Afirmamos nosso compromisso com a qualidade e a segurança da informação. Como fornecedora de serviços e soluções de comunicação e relacionamento, a Télix está comprometida com a proteção dos dados de seus clientes, parceiros e colaboradores.

A Telix Comunicações Ltda. (TÉLIX Comunicação e Relacionamento), CNPJ 16.881.685/0001-62, presta serviços de central de atendimento e relacionamento para operadoras de planos de saúde, hospitais e clínicas. Nessa atividade, tratamos todos os dias informações confidenciais de clientes e dados pessoais. Muitos deles são dados de saúde, que a Lei Geral de Proteção de Dados classifica como dados pessoais sensíveis (Lei nº 13.709/2018, art. 5º, II).

Esta Política de Segurança da Informação (PSI) estabelece as diretrizes que protegem essas informações e orienta todas as normas e procedimentos internos sobre o tema. Ela é aprovada pela Alta Direção e tem cumprimento obrigatório. Este é o texto público da política; as normas e os procedimentos complementares são documentos internos.

1. Objetivo e pilares

Proteger as informações sob responsabilidade da Télix contra acesso não autorizado, perda, alteração, indisponibilidade e uso indevido. O objetivo é reduzir riscos para beneficiários, clientes, colaboradores e para a própria empresa. Toda medida de segurança parte de quatro pilares:

• Confidencialidade: a informação só é acessada por pessoas, sistemas e processos autorizados, e somente na medida necessária à atividade.
• Integridade: a informação permanece exata e completa; toda alteração é autorizada e rastreável.
• Disponibilidade: informações e sistemas estão acessíveis quando necessários, um requisito crítico para uma central que atende 24 horas por dia.
• Autenticidade: é possível confirmar quem acessou, criou ou modificou uma informação e qual é a origem de cada registro.

Esses pilares se traduzem em objetivos permanentes: apoiar nossos clientes no cumprimento de suas obrigações legais e regulatórias, preservar a confiança dos beneficiários e assegurar a continuidade dos serviços.

2. Abrangência

Esta política se aplica:

• a todas as pessoas que atuam pela Télix: sócios e Alta Direção, gestores, colaboradores, estagiários, aprendizes e temporários;
• a fornecedores, prestadores de serviços, parceiros e demais terceiros que acessem informações, sistemas ou instalações da Télix;
• a todas as informações criadas, recebidas ou guardadas pela Télix, em qualquer formato: sistemas, bancos de dados, gravações de voz, mensagens de WhatsApp e chat, e-mails, documentos em papel e conversas;
• a todos os ambientes: a unidade operacional em Valparaíso de Goiás (GO), a matriz em Brasília (DF), serviços em nuvem, acessos remotos autorizados e qualquer outro local onde informações da Télix ou de seus clientes sejam tratadas.

Quando a Télix trata informações em nome de um cliente, aplicam-se também as instruções e os requisitos de segurança definidos em contrato. Havendo conflito, prevalece a regra mais protetiva.

3. Referências legais e boas práticas

Esta política observa a legislação e a regulação aplicáveis às nossas atividades, entre elas:

• Lei nº 13.709/2018 (LGPD), em especial os arts. 46 a 49, sobre segurança, sigilo e comunicação de incidentes;
• Lei nº 12.965/2014 (Marco Civil da Internet), quanto à guarda de registros de acesso a aplicações de internet;
• Resoluções CD/ANPD nº 15/2024 (comunicação de incidente de segurança) e nº 18/2024 (atuação do encarregado), da Agência Nacional de Proteção de Dados (ANPD);
• Resolução Normativa ANS nº 623/2024 e Decreto nº 11.034/2022, que tratam do registro, da gravação e da guarda dos atendimentos prestados a beneficiários e consumidores;
• NR-17, Anexo II (trabalho em teleatendimento), inclusive quanto à ciência dos operadores sobre escuta e gravação.

Como referência de boas práticas, a Télix se orienta pelas normas ISO/IEC 27001:2022 (sistemas de gestão de segurança da informação) e ISO/IEC 27701:2025 (gestão da privacidade). A menção a essas normas indica o modelo que tomamos como referência, e não uma declaração de certificação.

4. Princípios

• Necessidade de conhecer e menor privilégio: cada pessoa acessa somente o que precisa para a sua função, pelo tempo necessário.
• Segurança e privacidade desde a concepção: os controles são considerados desde o desenho de novos serviços, sistemas e operações (LGPD, art. 46, § 2º).
• Gestão de riscos: os controles são proporcionais ao valor da informação e aos riscos identificados, e são reavaliados periodicamente.
• Segregação de funções: atividades críticas não ficam concentradas em uma única pessoa sem supervisão.
• Rastreabilidade: acessos e operações relevantes deixam registro.
• Sigilo contínuo: o dever de proteger a informação permanece mesmo após o término do tratamento (LGPD, art. 47), do vínculo de trabalho ou do contrato.
• Melhoria contínua: incidentes, verificações e indicadores alimentam a revisão dos controles.

5. Papéis e responsabilidades

Segurança da informação é responsabilidade de todos. Algumas funções, porém, têm atribuições específicas.

Alta Direção

Aprova esta política, provê os recursos necessários, apoia de forma visível e inequívoca o programa de Segurança da Informação e Qualidade e acompanha os seus resultados.

Comitê de Segurança e Qualidade

Instância de governança composta pelo Security Officer, pelo Encarregado pelo Tratamento de Dados Pessoais (DPO) e por membros patrocinadores indicados pela Alta Direção. Atua em conjunto com os comitês de Compliance e de Proteção de Dados. São atribuições do Comitê:

• apoiar a Alta Direção na definição, no patrocínio e na comunicação do programa de Segurança da Informação e Qualidade;
• declarar a aplicação dos manuais, normas, padrões, procedimentos, regras e penalidades complementares a esta política, válidos da Diretoria à equipe de operações;
• assegurar a realização de treinamentos periódicos e obrigatórios sobre o tema;
• analisar periodicamente os riscos de segurança da informação e determinar as adaptações necessárias, sejam documentais ou técnicas;
• assegurar, com fornecedores e prestadores-chave, que controles e registros reflitam corretamente os requisitos de segurança exigidos pelos processos internos, pelos contratos e pelas normas legais e regulatórias;
• definir procedimentos para prevenir fraudes e atos ilícitos relacionados à segurança da informação e à qualidade;
• garantir a existência, a disponibilidade e a análise de resultados dos canais de comunicação de incidentes e de segurança da informação;
• acompanhar indicadores e incidentes relevantes e deliberar sobre exceções a esta política;
• assegurar a aplicação de medidas disciplinares, a pronta interrupção de irregularidades ou infrações e a remediação tempestiva de danos.

Security Officer

Gestor de segurança da informação. Coordena a implementação desta política e das normas complementares, mantém o inventário de ativos e a análise de riscos, conduz a gestão de vulnerabilidades, o monitoramento e a resposta a incidentes, orienta as áreas e presta contas ao Comitê de Segurança e Qualidade.

Encarregado pelo Tratamento de Dados Pessoais (DPO)

Sanclé Landim Albuquerque (dpo@telixcom.com.br). É o canal de comunicação entre a Télix, os titulares de dados e a ANPD. Orienta colaboradores e contratados sobre as práticas de proteção de dados, participa da avaliação de incidentes que envolvam dados pessoais e promove a elaboração e a atualização dos relatórios de impacto à proteção de dados pessoais, quando necessários.

Gestores

Garantem que suas equipes conheçam e cumpram esta política. Solicitam e revisam os acessos de seus liderados e comunicam imediatamente admissões, mudanças de função, afastamentos e desligamentos. Também zelam pelas regras de mesa limpa e de uso de dispositivos na operação e encaminham incidentes sem demora.

Colaboradores

Ao tratar dados em suas atividades, cada colaborador atua em nome da Télix e é peça-chave da proteção. Zelar pelos dados dos beneficiários e de outros titulares é obrigação de todos, assim como usá-los somente para as tarefas da própria função. Cabe a cada colaborador:

• conhecer esta política e o Código de Conduta Ética do Colaborador;
• realizar os treinamentos de Compliance, Segurança da Informação e LGPD;
• proteger suas credenciais e os equipamentos sob sua responsabilidade;
• comunicar imediatamente qualquer incidente, suspeita ou pedido estranho.

Fornecedores, parceiros e terceiros

Quem acessa ou trata informações em nome da Télix precisa entender exatamente onde, como e quando participa das ações de segurança da informação e proteção de dados. Terceiros seguem esta política, as instruções recebidas e as cláusulas contratuais de segurança e confidencialidade. Eles respondem pela proteção, pelo tratamento e pela segurança dos dados necessários à execução das atividades contratadas, inclusive de forma solidária quando descumprirem a legislação de proteção de dados ou as instruções lícitas recebidas (LGPD, art. 42, § 1º, I).

6. Classificação da informação

Toda informação é classificada pela área responsável de acordo com o impacto que um acesso indevido, uma alteração ou uma perda causaria. São quatro níveis. Informação sem classificação é tratada, no mínimo, como Interna. Informações de clientes seguem a classificação definida pelo cliente, quando ela for mais restritiva.

• Pública: informação aprovada para divulgação, como o conteúdo deste site, as políticas publicadas e os materiais institucionais. É divulgada somente após aprovação da área responsável, com a integridade preservada.
• Interna: informação de uso dos colaboradores e terceiros autorizados, cuja divulgação indevida causa impacto limitado, como procedimentos operacionais, escalas e comunicados internos. Não é compartilhada fora da Télix sem autorização.
• Confidencial: informação cujo acesso indevido pode causar prejuízo à Télix, a clientes ou a pessoas, como contratos e propostas, relatórios e indicadores de clientes, roteiros de atendimento e dados cadastrais de beneficiários e colaboradores. O acesso segue a necessidade de conhecer, a transmissão ocorre apenas por canais seguros e é proibido guardá-la em dispositivos ou contas pessoais.
• Restrita: o nível mais alto, em que o acesso indevido pode causar dano grave a pessoas ou violar lei ou contrato. Inclui dados de saúde de beneficiários, gravações de atendimento, informações de solicitações de vaga e remoção, credenciais, chaves criptográficas e registros de segurança. Exige acesso nominal por um grupo mínimo, autenticação multifator quando aplicável, registro de acessos, criptografia e descarte seguro, sem nenhuma cópia fora dos sistemas autorizados.

Dados pessoais de beneficiários são sempre, no mínimo, Confidenciais. Dados de saúde e gravações de atendimento são sempre Restritos.

7. Controle de acesso

• Perfis por função: o acesso é concedido mediante solicitação do gestor e aprovação do responsável pela informação ou pelo sistema.
• Menor privilégio: cada perfil recebe somente as permissões necessárias. Privilégios administrativos são exceção e usam contas separadas e nominais.
• Contas individuais e intransferíveis: é proibido compartilhar usuários, inclusive entre turnos da operação.
• Autenticação multifator (MFA): obrigatória para acessos remotos, contas administrativas, e-mail corporativo, serviços em nuvem e sistemas com informações Restritas, sempre que o recurso a suportar.
• Revisão periódica: gestores e Security Officer revisam os acessos em intervalos definidos pelo Comitê e removem permissões desnecessárias. Toda mudança de função gera revisão imediata.
• Desligamento e afastamento: os acessos são bloqueados imediatamente, e crachás, equipamentos e dispositivos de autenticação são recolhidos.
• Sistemas de clientes: o acesso ocorre apenas com credenciais nominais fornecidas pelo cliente e para a finalidade contratada.
• Acesso físico: as áreas de operação têm entrada controlada e restrita a pessoas autorizadas; visitantes são identificados e acompanhados.

8. Senhas e credenciais

• Senhas são pessoais, sigilosas e intransferíveis. Nem gestores nem a equipe de tecnologia podem solicitá-las.
• Prefira frases-senha longas e exclusivas. Não reutilize senhas corporativas em serviços pessoais.
• É proibido anotar senhas em papel, lembretes adesivos, planilhas ou arquivos sem proteção, e também salvá-las no navegador de estações compartilhadas.
• Senhas iniciais ou redefinidas devem ser trocadas no primeiro acesso.
• Na suspeita de exposição, troque a senha imediatamente e comunique o incidente.
• Os sistemas bloqueiam a conta após tentativas inválidas repetidas e, quando possível, recusam senhas sabidamente vazadas.
• Para proteger contas, a Télix pode bloquear de forma preventiva credenciais que identifique como expostas ou comprometidas e orienta o usuário sobre o desbloqueio seguro.

9. Mesa limpa e tela limpa

Em uma central de atendimento, a informação circula na tela e na voz. Por isso, na posição de atendimento e em todas as áreas da empresa:

• bloqueie a tela sempre que se afastar, ainda que por poucos instantes. As estações também bloqueiam automaticamente após um período de inatividade;
• não mantenha sobre a mesa papéis com dados de beneficiários, clientes ou colegas. Anotações de atendimento são registradas no sistema, nunca em papel avulso;
• retire documentos da impressora imediatamente, guarde-os em local trancado quando não estiverem em uso e descarte-os de forma segura, nunca no lixo comum;
• não fotografe, filme nem copie telas, gravações ou documentos;
• não comente atendimentos em áreas comuns, redes sociais ou grupos de mensagens;
• ao final do turno, encerre as sessões e deixe a posição de atendimento livre de documentos e mídias para o próximo colega.

10. Celulares e dispositivos na operação

• Celulares e outros dispositivos pessoais com câmera ou gravação não são usados na posição de atendimento. Eles ficam guardados no local definido pela gestão, fora da área de operação.
• Exceções, como necessidades de acessibilidade ou situações familiares urgentes, são autorizadas pela gestão, que orienta a forma segura de uso.
• O atendimento por WhatsApp e pelos demais canais digitais é feito exclusivamente por números, contas e plataformas corporativos da operação, nunca por contas pessoais.
• Apenas equipamentos corporativos ou homologados pela Télix acessam os sistemas de atendimento. Dispositivos pessoais só acessam recursos corporativos com autorização expressa e controles mínimos: bloqueio de tela, sistema atualizado e proteção contra códigos maliciosos.
• Mídias removíveis, como pen drives e discos externos, são bloqueadas nas estações da operação, salvo autorização formal.
• Notebooks e dispositivos móveis corporativos devem ter armazenamento criptografado e ser protegidos contra perda e furto.

11. Gravações e registros de atendimento

Gravações de chamadas, históricos de mensagens e registros de protocolo documentam o que foi solicitado e respondido. Eles são essenciais para a qualidade, para a rastreabilidade exigida pelas normas da ANS e para a defesa de direitos. Por conterem dados sensíveis, são informações Restritas.

• Os operadores têm ciência de que suas chamadas podem ser ouvidas e gravadas para fins de qualidade e segurança, como exige o item 6.12 do Anexo II da NR-17.
• O acesso às gravações é restrito a perfis autorizados (qualidade e monitoria, gestão da operação e o cliente contratante, na forma do contrato), e cada acesso fica registrado.
• A guarda segue os prazos definidos com a operadora contratante, observados, quando aplicáveis, os prazos da RN ANS nº 623/2024 (gravações por 90 dias e demais registros por 2 anos, ampliados para 5 anos quando o beneficiário apresenta reclamação nesses períodos) e do Decreto nº 11.034/2022 (gravações por no mínimo 90 dias e registros por no mínimo 2 anos após a resolução da demanda).
• Mantemos procedimento para localizar e disponibilizar gravações à operadora contratante, apoiando-a no atendimento aos pedidos dos beneficiários, que devem ser atendidos em até 72 horas (RN ANS nº 623/2024, art. 19).
• Gravações só são exportadas ou enviadas por canais corporativos seguros e autorizados, nunca por e-mail pessoal, aplicativos de mensagens pessoais ou mídias removíveis.
• Terminado o prazo de guarda, gravações e registros são eliminados de forma segura ou anonimizados, salvo obrigação legal, contratual ou ordem de autoridade que exija sua preservação.

12. Proteção de dados pessoais e criptografia

Na maior parte dos serviços prestados a operadoras de saúde, a Télix atua como operadora de dados. Isso significa que tratamos dados pessoais em nome da operadora contratante, que é a controladora, e conforme as suas instruções (LGPD, art. 39). Por isso:

• tratamos apenas os dados necessários à finalidade contratada e não os utilizamos para fins próprios;
• mantemos o registro das operações de tratamento (LGPD, art. 37);
• protegemos informações Confidenciais e Restritas com criptografia em trânsito e, sempre que tecnicamente viável, em repouso, incluindo cópias de segurança e dispositivos portáteis;
• mantemos chaves criptográficas e certificados com acesso restrito e ciclo de vida controlado;
• não inserimos informações de clientes ou de beneficiários em ferramentas externas não homologadas, incluindo serviços de inteligência artificial abertos ao público.

As bases legais, os direitos dos titulares e a forma de exercê-los estão descritos na Política de Privacidade.

13. Redes, estações de trabalho e nuvem

• Estações padronizadas, com sistema operacional e programas suportados pelo fabricante, proteção contra códigos maliciosos ativa e usuários sem privilégios de administrador.
• Instalação de programas somente pela equipe de tecnologia, a partir de fontes homologadas.
• Redes corporativas protegidas por firewall e segmentadas conforme a criticidade. A rede de visitantes é isolada da rede da operação.
• Acesso remoto somente por canais seguros e aprovados, com autenticação multifator.
• E-mail corporativo com filtros contra spam, phishing e anexos maliciosos. Mensagens suspeitas devem ser reportadas, não encaminhadas.
• Serviços em nuvem contratados apenas após avaliação de segurança e privacidade, com contrato que preveja confidencialidade, localização e proteção dos dados e, se houver transferência internacional, as salvaguardas exigidas pela LGPD e pela ANPD.

14. Backup e continuidade do negócio

A Central de Regulação de Vagas e Remoção da Télix atende 24 horas por dia, 7 dias por semana, por telefone e WhatsApp. Um serviço assim precisa de continuidade planejada. Por isso, esta política exige:

• cópias de segurança periódicas das informações e configurações críticas, com frequência e retenção definidas conforme a criticidade de cada sistema;
• backups criptografados, com acesso restrito e ao menos uma cópia mantida separada do ambiente de produção e protegida contra alteração ou exclusão indevida, inclusive por ransomware;
• testes periódicos de restauração, com registro dos resultados;
• plano de continuidade de negócios e de recuperação de desastres que considere falhas de energia, conectividade, telefonia e sistemas, bem como a indisponibilidade do local de trabalho. O plano define papéis, rotas alternativas de atendimento e a comunicação aos clientes afetados, nos termos do contrato;
• redundância dos recursos críticos proporcional ao risco e exercícios periódicos do plano, que é revisado após cada acionamento real.

15. Gestão de vulnerabilidades e atualizações

• Inventário atualizado de ativos (equipamentos, sistemas, programas, contas de serviço e integrações), com um responsável definido para cada um.
• Atualizações de segurança aplicadas de forma planejada e priorizada pelo risco. Correções críticas, sobretudo em sistemas expostos à internet, têm tratamento prioritário.
• Programas sem suporte do fabricante são substituídos ou isolados. Até a substituição, o risco é formalmente aceito pelo Comitê.
• Varreduras periódicas de vulnerabilidades e, quando pertinente, testes de invasão em sistemas críticos, com plano de correção acompanhado até a conclusão.
• Configurações seguras e remoção de serviços, contas e portas desnecessários.
• Acompanhamento de alertas de fabricantes e de fontes confiáveis sobre ameaças.

16. Fornecedores e terceiros

Empresas terceirizadas que realizem qualquer tratamento de dados em nome da Télix devem respeitar, obrigatoriamente, esta política e as normas de segurança da informação da Télix. Para isso:

• fazemos avaliação prévia de segurança e privacidade, proporcional ao risco do serviço e ao tipo de informação acessada;
• firmamos contrato com cláusulas de confidencialidade, proteção de dados pessoais, instruções de tratamento, medidas mínimas de segurança, comunicação imediata de incidentes, direito de verificação e devolução ou eliminação dos dados ao término;
• só admitimos a subcontratação que envolva dados de clientes com autorização e nas condições do contrato com o cliente;
• concedemos acesso mínimo, nominal e por tempo determinado, revogado ao fim da atividade;
• acompanhamos o desempenho de segurança durante o contrato e reavaliamos o fornecedor quando há mudança relevante ou incidente.

17. Aquisição e desenvolvimento de sistemas

• Requisitos de segurança e privacidade são definidos desde a concepção de novos sistemas, integrações, URAs, chatbots e fluxos de atendimento, e verificados antes da entrada em produção.
• Os ambientes de desenvolvimento, teste e produção são separados. Dados pessoais reais não são usados em testes; quando isso for imprescindível, os dados são anonimizados ou mascarados.
• Mudanças em produção passam por gestão de mudanças: registro, avaliação de impacto, aprovação, teste e plano de retorno.
• Código e configurações são versionados, revisados e mantidos sem credenciais embutidas.
• Integrações com sistemas de clientes usam canais autenticados e criptografados, com credenciais exclusivas para cada integração.
• O uso de inteligência artificial em sistemas e atendimentos segue a Política de Inteligência Artificial, sempre com supervisão humana.

18. Monitoramento e registros (logs)

• Sistemas críticos registram eventos relevantes de segurança: autenticações, falhas de acesso, alterações de privilégios, acessos a informações Restritas e ações administrativas.
• Os registros são protegidos contra alteração e exclusão, com relógios sincronizados para garantir a confiabilidade de data e hora.
• Os registros de acesso a aplicações de internet mantidas pela Télix, como sites, portais e canais digitais, são guardados sob sigilo, em ambiente controlado, pelo prazo mínimo de 6 meses previsto no art. 15 do Marco Civil da Internet (Lei nº 12.965/2014).
• Os eventos são analisados para detectar comportamentos anômalos e tentativas de acesso indevido, e os alertas são tratados sob coordenação do Security Officer.
• Os recursos corporativos (e-mail, sistemas, rede e equipamentos) destinam-se às atividades profissionais e podem ser monitorados para fins de segurança, qualidade e cumprimento legal, de forma proporcional e transparente.
• Registros que contenham dados pessoais seguem os princípios de necessidade e finalidade e são eliminados ao fim do prazo de guarda.

19. Gestão de incidentes de segurança

Incidente de segurança é qualquer evento, confirmado ou suspeito, que comprometa a confidencialidade, a integridade, a disponibilidade ou a autenticidade de informações. Exemplos: acesso indevido, vazamento, perda de equipamento, código malicioso, envio de dados ao destinatário errado ou indisponibilidade de sistemas.

Quem identificar ou suspeitar de um incidente deve comunicá-lo imediatamente ao gestor imediato e ao Security Officer. Quando houver dados pessoais envolvidos, a comunicação também pode ser feita pelo Canal LGPD. Na dúvida, comunique: é melhor analisar um alarme falso do que descobrir um incidente tarde demais.

Como tratamos um incidente

1. Registro e triagem: o incidente é registrado, classificado e priorizado.
2. Contenção: medidas imediatas limitam o impacto, como bloqueio de acessos, isolamento de equipamentos e preservação de evidências.
3. Avaliação de risco: o Security Officer e o Encarregado (DPO) avaliam se há dados pessoais envolvidos e se o incidente pode acarretar risco ou dano relevante aos titulares.
4. Comunicação: as partes afetadas e as autoridades são informadas conforme os papéis descritos abaixo.
5. Erradicação e recuperação: a causa é eliminada e a operação volta ao normal com segurança.
6. Lições aprendidas: a causa raiz é analisada, os controles são ajustados e o caso é relatado ao Comitê de Segurança e Qualidade.

Comunicação conforme a LGPD

• Quando a Télix atua como operadora de dados, comunica o incidente à operadora de saúde contratante (controladora) sem demora e na forma do contrato, com as informações disponíveis, para que ela possa cumprir suas próprias obrigações de comunicação.
• Quando a Télix é a controladora, por exemplo em dados de colaboradores, candidatos ou visitantes do site, comunica à Agência Nacional de Proteção de Dados (ANPD) e aos titulares o incidente que possa acarretar risco ou dano relevante (LGPD, art. 48). A comunicação é feita em até 3 dias úteis, como prevê a Resolução CD/ANPD nº 15/2024, e as informações são complementadas à ANPD em até 20 dias úteis, quando necessário.
• Todos os incidentes com dados pessoais, comunicados ou não, são registrados, e esse registro é mantido por no mínimo 5 anos (Resolução CD/ANPD nº 15/2024, art. 10).

Divulgação responsável de vulnerabilidades

Se você identificar uma possível vulnerabilidade em sites ou sistemas da Télix, comunique-a pelo Canal LGPD ou pelo e-mail dpo@telixcom.com.br. Pedimos que você não explore a falha além do necessário para demonstrá-la, não acesse, altere ou divulgue dados de terceiros e aguarde a nossa análise antes de qualquer divulgação pública.

20. Conscientização e treinamento

• Todo colaborador recebe orientação sobre segurança da informação e proteção de dados na integração, antes de acessar os sistemas de atendimento, e formaliza a ciência desta política e do compromisso de confidencialidade.
• Reciclagens periódicas em Segurança da Informação, LGPD e Compliance fazem parte dos treinamentos da operação.
• Campanhas de conscientização abordam phishing, engenharia social, senhas e mesa limpa e podem incluir simulações.
• Em uma central de atendimento, a engenharia social chega pelo telefone. Por isso, os atendentes são treinados para confirmar a identidade do interlocutor, conforme o procedimento de cada cliente, antes de fornecer qualquer informação, e para reconhecer pedidos suspeitos.
• Funções com acesso privilegiado, gestores e equipes que lidam com informações Restritas recebem conteúdo específico.
• Parceiros, fornecedores e clientes que atuam em conjunto com a Télix são orientados sobre suas responsabilidades, seus direitos e as recomendações de segurança aplicáveis.

21. Violações, sanções e exceções

O descumprimento desta política, de suas normas complementares ou da legislação aplicável sujeita o responsável a medidas disciplinares proporcionais à gravidade, como advertência, suspensão ou desligamento, nos termos da legislação trabalhista. Para terceiros, aplicam-se as penalidades contratuais, inclusive a rescisão. Tudo isso sem prejuízo das responsabilidades civis e criminais cabíveis. A apuração assegura o direito de defesa.

Irregularidades podem ser relatadas pelo Canal de Denúncia, com opção de anonimato. Nenhuma retaliação é permitida contra quem relata de boa-fé.

Exceções a esta política devem ser solicitadas formalmente e ter o risco avaliado pelo Security Officer. Também precisam ser aprovadas pelo Comitê de Segurança e Qualidade, ter prazo determinado e ficar registradas.

22. Revisão, vigência e contato

Esta política vigora a partir de setembro de 2026 (versão 1.0). Ela é revisada no mínimo uma vez por ano e sempre que houver mudança relevante na legislação, nos serviços ou nos riscos, ou após um incidente significativo. Cada revisão é aprovada pela Alta Direção, e a versão vigente é sempre a publicada nesta página.

• Dúvidas sobre esta política: falecom@telixcom.com.br ou (61) 3771-1100.
• Encarregado pelo Tratamento de Dados Pessoais (DPO): Sanclé Landim Albuquerque, dpo@telixcom.com.br.
• Incidentes com dados pessoais e direitos do titular: Canal LGPD.
• Condutas irregulares: Canal de Denúncia.
• Ouvidoria: ouvidoria@telixcom.com.br.