1. OBJETIVO

A Bree Eficiência Energética S.A. ("Bree"), pessoa jurídica de direito privado, inscrita no CNPJ sob n.º 17.995.592/0002-02, com sede na Av. Prefeito Domingos Mocelin Neto, n.º 155, Centro, Quatro Barras/PR, apresenta esta Política de Privacidade Externa com o propósito de demonstrar seu compromisso com a proteção dos dados pessoais de clientes, fornecedores, parceiros e demais titulares externos, em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei n.º 13.709/2018 – "LGPD") e demais normas regulatórias aplicáveis.

Este documento descreve como a Bree coleta, utiliza, armazena, compartilha e protege os dados pessoais, informa ao titular as bases legais que fundamentam cada operação de tratamento e esclarece os direitos assegurados pela legislação vigente.

2. ÂMBITO DE APLICAÇÃO

Esta Política aplica-se a todos os titulares de dados pessoais externos que se relacionam com a Bree, incluindo, sem limitação:

• Usuários que acessam o site institucional da Bree (www.bree.com.br) ou interagem com formulários on-line, como "Contato", "Assine nossa newsletter" e "Carreiras";
• Representantes e colaboradores de clientes pessoas jurídicas que negociam, executam ou gerenciam contratos com a Bree;
• Representantes e colaboradores de fornecedores, prestadores de serviço, parceiros comerciais e demais terceiros que interajam com a Bree em razão de suas atividades;
• Visitantes das dependências físicas da Bree, para reuniões, auditorias, inspeções, treinamentos, visitas técnicas ou eventos;
• Participantes de eventos, treinamentos, webinars e outras iniciativas institucionais promovidas ou apoiadas pela Bree, presenciais ou on-line;
• Demais pessoas naturais que, por qualquer motivo, tenham seus dados pessoais tratados pela Bree no contexto de suas atividades empresariais.

3. BASES LEGAIS PARA O TRATAMENTO

A Bree somente trata dados pessoais quando amparada por uma das hipóteses previstas no art. 7.º ou no art. 11 da LGPD, conforme a natureza dos dados envolvidos. As bases legais aplicáveis às principais operações de tratamento são:

• Execução de contrato ou de procedimentos preliminares (art. 7.º, V): tratamento necessário à celebração e execução de contratos com clientes, fornecedores e parceiros;
• Cumprimento de obrigação legal ou regulatória (art. 7.º, II): tratamento decorrente de obrigações previstas em normas fiscais, trabalhistas, previdenciárias, contábeis e setoriais;
• Exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7.º, VI): tratamento para defesa ou exercício de direitos pela Bree;
• Legítimo interesse do Controlador (art. 7.º, IX): tratamento realizado para finalidades legítimas da Bree, desde que não prevaleçam os interesses ou direitos e liberdades fundamentais do titular;
• Consentimento (art. 7.º, I): tratamento realizado com base na manifestação livre, informada e inequívoca do titular, especialmente para comunicações de marketing e finalidades não estritamente necessárias ao contrato ou à lei.

O detalhamento de todas as operações de tratamento, incluindo finalidades específicas, bases legais, categorias de dados, compartilhamentos e prazos de retenção, encontra-se no ROPA da Bree, sob responsabilidade do Encarregado (DPO) e do Comitê de Proteção de Dados.

4. FINALIDADES DO TRATAMENTO

No âmbito de suas atividades, a Bree trata dados pessoais para as seguintes finalidades, de forma exemplificativa:

• Execução e gestão de contratos firmados com clientes, fornecedores e parceiros, incluindo etapas pré-contratuais (propostas, diligências, negociações) e pós-contratuais (faturamento, suporte, cobrança, auditorias e compliance);
• Atendimento a obrigações legais, regulatórias e contratuais, inclusive relacionadas a normas contábeis, fiscais, trabalhistas, de segurança da informação, anticorrupção, privacidade e proteção de dados pessoais;
• Gestão de relacionamento com clientes, fornecedores e parceiros, incluindo comunicações por e-mail, telefone, aplicativos de mensagens e demais canais institucionais;
• Controle de acesso físico às dependências da Bree, segurança patrimonial e proteção das pessoas que circulam em suas instalações;
• Gestão de processos seletivos e candidaturas a vagas de trabalho;
• Operação e melhoria contínua do site e dos canais digitais da Bree, conforme a Política de Cookies;
• Divulgação de conteúdos institucionais, newsletters e convites para eventos, respeitadas as bases legais e as preferências do titular;
• Resposta a solicitações, dúvidas, reclamações e exercícios de direitos do titular;
• Atendimento a interesses legítimos da Bree, desde que não prejudiquem os direitos e liberdades fundamentais do titular.

5. DADOS PESSOAIS COLETADOS

5.1 Dados fornecidos pelo titular

A Bree coleta dados pessoais fornecidos diretamente pelo titular por meio de formulários no site, celebração e execução de contratos, visitas às instalações físicas, participação em eventos, treinamentos e interações por telefone, e-mail e outros canais. As categorias de dados habitualmente coletadas incluem: nome completo, CPF, CNPJ, endereço, e-mail, telefone, cargo, empresa e informações necessárias ao cumprimento contratual ou legal.

5.2 Dados coletados automaticamente

Ao acessar o site da Bree, poderão ser coletados automaticamente dados técnicos de navegação, como endereço IP, tipo de dispositivo e navegador, páginas visitadas, data e hora de acesso e identificadores de sessão. Esses dados são tratados conforme a Política de Cookies da Bree.

5.3 Princípio da minimização

A Bree adota o princípio da minimização de dados (art. 6.º, III da LGPD), coletando apenas os dados estritamente necessários para alcançar as finalidades declaradas, evitando coleta excessiva ou desnecessária.

6. COMPARTILHAMENTO DE DADOS PESSOAIS

A Bree poderá compartilhar dados pessoais com terceiros nas seguintes hipóteses, sempre em conformidade com a LGPD e demais normas aplicáveis:

• Provedores de serviços e tecnologia (incluindo armazenamento em nuvem): parceiros que atuam como Operadores de Dados em nome da Bree, sujeitos a obrigações contratuais de proteção de dados;
• Autoridades governamentais: para cumprimento de determinações legais, judiciais ou administrativas, ou para exercício de direitos da Bree;
• Parceiros de negócios: para execução, aprimoramento ou ampliação de serviços, nos limites do necessário e das finalidades declaradas;
• Operações societárias: em caso de fusão, aquisição, incorporação ou reestruturação da Bree, com adoção das garantias previstas na legislação.

A Bree não vende dados pessoais a terceiros e não os utiliza para finalidades diversas das informadas nesta Política. Quaisquer compartilhamentos são formalizados por instrumentos contratuais adequados, conforme a Política de Compartilhamento de Dados Pessoais da Bree.

6.1 Transferência internacional de dados

Quando necessário transferir dados pessoais a países ou organizações internacionais, a Bree adota mecanismos adequados de salvaguarda, conforme a Resolução CD/ANPD n.º 19/2024 e o art. 33 da LGPD, incluindo, quando aplicável, a celebração de Cláusulas-Padrão de Transferência Internacional reconhecidas pela ANPD.

7. RETENÇÃO E ELIMINAÇÃO DE DADOS

Os dados pessoais serão mantidos pelo prazo necessário ao cumprimento das finalidades para as quais foram coletados, observados os prazos legais mínimos de retenção previstos em normas específicas (fiscais, trabalhistas, contábeis, entre outras). Após o término do período de retenção aplicável, os dados serão eliminados de forma segura e irrecuperável, conforme os procedimentos da Política de Descarte e Retenção de Documentos da Bree.

8. SEGURANÇA DA INFORMAÇÃO

A Bree adota medidas técnicas e organizacionais adequadas para proteger os dados pessoais contra acessos não autorizados, destruição, perda, alteração, comunicação ou difusão indevida, em conformidade com o art. 46 da LGPD e boas práticas de segurança da informação. As medidas implementadas incluem: controle de acesso baseado no princípio do menor privilégio, criptografia em trânsito e em repouso, monitoramento de segurança, gestão de vulnerabilidades e treinamentos periódicos de colaboradores.

8.1 Incidentes de segurança

Em caso de incidente de segurança com risco relevante, a Bree notificará a ANPD nos prazos estabelecidos pela Resolução CD/ANPD n.º 15/2024 — 3 (três) dias úteis para comunicação preliminar e 20 (vinte) dias úteis para comunicação complementar — e comunicará os titulares afetados, adotando medidas corretivas e preventivas.

9. DIREITOS DOS TITULARES

Nos termos do art. 18 da LGPD, o titular de dados pessoais possui os seguintes direitos em relação ao tratamento realizado pela Bree:

• Confirmação da existência de tratamento de seus dados pessoais;
• Acesso aos dados pessoais tratados pela Bree;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Portabilidade dos dados a outro fornecedor de serviço ou produto, conforme regulamentação da ANPD;
• Eliminação dos dados pessoais tratados com base no consentimento, exceto nas hipóteses previstas em lei;
• Informação sobre as entidades públicas e privadas com as quais a Bree compartilhou dados;
• Informação sobre a possibilidade de não fornecer o consentimento e as consequências da negativa;
• Revogação do consentimento, a qualquer momento, por manifestação expressa e gratuita.

AVISO AO TITULAR: Os canais oficiais de atendimento de direitos de titulares são realizados exclusivamente através do e-mail privacidade@bree.com.br ou do formulário web https://bit.ly/dsar-bree. Solicitações recebidas por outros canais poderão não ser processadas.

A Bree compromete-se a responder em até 15 (quinze) dias corridos, conforme o art. 18, §5.º da LGPD.

10. COOKIES E TECNOLOGIAS SIMILARES

A Bree utiliza cookies e tecnologias similares em seu site. O uso de cookies é regido pela Política de Cookies da Bree, disponível no site institucional, que detalha as categorias de cookies utilizados, suas finalidades, duração e mecanismos de gestão de consentimento.

11. DADOS DE CRIANÇAS E ADOLESCENTES

A Bree não tem como prática direcionar seus serviços ou coletar dados pessoais de crianças (até 12 anos incompletos) ou adolescentes (de 12 a 18 anos). Caso necessário, o fará somente mediante consentimento específico e em destaque concedido por pelo menos um dos pais ou pelo responsável legal, em conformidade com o art. 14 da LGPD e a Resolução CD/ANPD n.º 01/2021.

12. ALTERAÇÕES DESTA POLÍTICA

A Bree reserva-se o direito de atualizar esta Política periodicamente. Alterações materiais serão comunicadas por aviso no site institucional ou por e-mail, quando o titular estiver cadastrado.

13. CONTATO E CANAL DE PRIVACIDADE

Para quaisquer questões relacionadas a esta Política ou ao tratamento de dados pessoais pela Bree, o titular poderá entrar em contato com o Encarregado (DPO):

• E-mail: privacidade@bree.com.br
• Endereço postal: Av. Prefeito Domingos Mocelin Neto, n.º 155, Centro, Quatro Barras/PR
• Site institucional: www.bree.com.br

G. GLOSSÁRIO

ANPD:

Autoridade Nacional de Proteção de Dados. Órgão da administração pública federal responsável por zelar pela proteção de dados pessoais e fiscalizar o cumprimento da LGPD.

Anonimização:

Processo pelo qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento (art. 5.º, XI da LGPD).

Bases Legais:

Hipóteses previstas nos arts. 7.º e 11 da LGPD que autorizam o tratamento de dados pessoais, tais como: consentimento, cumprimento de obrigação legal, execução de contrato, exercício regular de direitos e legítimo interesse.

Comitê de Proteção de Dados:

Grupo de trabalho multidisciplinar da Bree responsável por subsidiar a Diretoria Executiva nas decisões sobre tratamento de dados pessoais e supervisionar o cumprimento do Programa de Privacidade.

Consentimento:

Manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada (art. 5.º, XII da LGPD).

Controlador:

Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais. No âmbito desta Política, a Bree atua como Controladora de Dados (art. 5.º, VI da LGPD).

Dado Pessoal:

Informação relacionada a pessoa natural identificada ou identificável (art. 5.º, I da LGPD).

Dado Pessoal Sensível:

Dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, saúde, vida sexual, dado genético ou biométrico, quando vinculado a pessoa natural (art. 5.º, II da LGPD).

Encarregado (DPO):

Pessoa indicada pelo Controlador para atuar como canal de comunicação entre o Controlador, os titulares dos dados e a ANPD (art. 5.º, VIII da LGPD). Na Bree, pode ser contatado pelo e-mail privacidade@bree.com.br.

Incidente de Segurança:

Evento adverso, confirmado ou com suspeita razoável, que comprometa a confidencialidade, a integridade ou a disponibilidade de dados pessoais, podendo causar risco ou dano relevante aos titulares.

LGPD:

Lei Geral de Proteção de Dados Pessoais. Lei n.º 13.709, de 14 de agosto de 2018, que dispõe sobre o tratamento de dados pessoais nos meios físicos e digitais.

Operador:

Pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do Controlador (art. 5.º, VII da LGPD).

Privacy by Design:

Princípio segundo o qual a proteção de dados pessoais deve ser incorporada desde a fase de concepção de projetos, sistemas, produtos e serviços (art. 46, §2.º da LGPD).

Pseudonimização:

Tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro (art. 5.º, XIII da LGPD).

RIPD:

Relatório de Impacto à Proteção de Dados Pessoais. Documentação do Controlador que descreve os processos de tratamento que podem gerar riscos às liberdades civis e aos direitos fundamentais (art. 5.º, XVII da LGPD).

ROPA:

Registro das Operações de Tratamento de Dados Pessoais (Records of Processing Activities). Documento interno que mapeia e documenta todas as atividades de tratamento realizadas pelo Controlador, conforme o art. 37 da LGPD.

Titular:

Pessoa natural a quem se referem os dados pessoais que são objeto de tratamento (art. 5.º, V da LGPD).

Tratamento:

Toda operação realizada com dados pessoais, tais como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração (art. 5.º, X da LGPD).