1. Nossos dados e Introdução.

Nossos dados

Associação dos Advogados de São Paulo, associação civil de fins não econômicos, com sede na Capital do Estado de São Paulo na Rua Álvares Penteado, nº 151, Centro Histórico de São Paulo, SP, CEP 01012-905, inscrita no CNPJ/MF sob nº 62.500.855/0001-39; com filiais no Jardim Paulista, na Alameda Santos, nº 2.159, 15º andar, Cerqueira César, São Paulo, SP, CEP 01419-100, inscrita no CNPJ/MF sob nº 62.500.855/0001-39, e Brasília, SBS Qd. 02, Asa Sul – Brasília, DF, CEP 70070-120, inscrita no CNPJ/MF sob nº 62.500.855/0006-43.

Introdução

Esta Política de Retenção e Descarte de Dados (“Política”) estabelece as diretrizes para a retenção e descarte de dados pessoais e outros dados relevantes coletados, armazenados e processados pela Associação dos Advogados de São Paulo (“AASP”), em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD) - Lei n. 13.709/2018. A Política detalha as finalidades, bases legais e prazos de armazenamento para cada tipo de dado coletado, garantindo o cumprimento de obrigações associativas, tributárias e judiciais

2. Objetivo.

O objetivo desta Política é garantir que os dados pessoais sejam retidos apenas pelo tempo necessário para cumprir suas finalidades específicas (como identificação de associados, execução do vínculo associativo e cumprimento de obrigações legais) e que sejam descartados de forma segura e eficiente após o período de retenção, respeitando os princípios da finalidade, adequação, necessidade, livre acesso, qualidade, transparência, segurança, prevenção, não-discriminação, responsabilização e prestação de contas, conforme art. 6º da LGPD. A eliminação é a regra ao término do tratamento (art. 15 e 16 da LGPD), com retenção excepcional apenas para fins legais ou regulatórios.

3. Âmbito de Aplicação.

Esta Política aplica-se a todos os funcionários, prestadores de serviços, parceiros, associados e quaisquer outras partes que tenham acesso aos dados pessoais coletados pela AASP, incluindo dados relacionados à advocacia e ao vínculo associativo. Os contratos com operadores de dados (ex.: prestadores de serviços) deverão conter cláusulas específicas que imponham a observância dos prazos de retenção e dos procedimentos de descarte seguro e definitivos neste documento e no inventário de dados pessoais da AASP, dentre elas, destacam-se: a) Obrigação de eliminar dados ao término da prestação de serviços; b) Prazo máximo de 30 dias para eliminação após solicitação; c) Fornecimento de certificado de eliminação; d) Responsabilidade solidária por descarte inadequado e e) Sanções contratuais por descumprimento, sob pena de responsabilização contratual e solidária, nos termos da legislação vigente (art. 42 – LGPD). A política se aplica a dados em formato físico e digital.

 4. Definições.

Controlador: a própria AASP.

Operador: terceiros que tratam dados em nome da AASP.

Bloqueio: suspensão temporária de qualquer operação de tratamento. Durante o bloqueio, os dados permanecerão inacessíveis para tratamento, exceto para cumprimento de obrigação legal.

Dados Pessoais: informações relacionadas a pessoa natural identificada ou identificável, incluindo dados como CPF, número de inscrição na OAB e dados de contato de associados.

Titular dos Dados: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento, como advogados associados à AASP.

Tratamento: qualquer operação realizada com dados pessoais, como coleta, armazenamento, uso, compartilhamento e descarte, entre outras.

Encarregado de Proteção de Dados: pessoa indicada pela AASP responsável por atuar como canal de comunicação entre a AASP, os titulares dos dados e a Autoridade Nacional de Proteção de Dados.

Anonimização: processo irreversível de dissociação de dados pessoais, retirando-os do escopo da LGPD (art. 5º, XI).

Relatório de Impacto à Proteção de Dados (RIPD): documento que descreve riscos e medidas mitigadoras em tratamentos de alto risco, conforme Resolução ANPD nº 2/2022.

 5. Princípios da Retenção de Dados

Finalidade: os dados pessoais devem ser utilizados exclusivamente para os fins informados ao titular no momento da coleta.

Adequação: os dados pessoais devem ser relevantes, necessários e proporcionais aos propósitos para os quais são tratados.

Necessidade: os dados pessoais devem ser mantidos apenas pelo tempo necessário para cumprir a finalidade para a qual foram coletados. Este é o princípio reitor desta Política, garantindo que o ciclo de vida dos dados seja o estritamente necessário para o atingimento da finalidade.

Livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais.

Qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento.

Transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial.

Segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. Este princípio se materializa nos procedimentos de descarte seguro detalhados na seção 7, que visam mitigar riscos de acessos indevidos a dados residuais.

Prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais.

Não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos.

Responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas. Esses princípios aplicam-se especialmente aos dados de associados, como CPF e inscrição na OAB, com ênfase na anonimização quando possível (ex.: conversão de data de nascimento em faixa etária para análises estatísticas).

Anonimização: Para fins estatísticos ou históricos, a AASP poderá optar pela anonimização irreversível em vez da eliminação, mediante: a)- Avaliação de riscos de reidentificação; b)- Técnicas: agregação, generalização, supressão de identificadores; c)- Validação de irreversibilidade conforme art. 12 da LGPD e)- Documentação do processo de anonimização.

 6. Prazos de Retenção

Os prazos de retenção de dados pessoais são estabelecidos de acordo com a natureza dos dados, finalidade e base legal da LGPD, conforme planilha de dados da AASP, a saber:

Para o CPF é coletado para identificação unívoca do associado, com base legal no art. 7º, V da LGPD para execução de contrato (o vínculo associativo), no art. 7º, II para cumprimento de obrigação legal ou regulatória (como emissão de notas fiscais e certificado digital) e no art. 7º, VI para exercício regular de direitos. O prazo de retenção será de até 10 (dez) anos após o término do vínculo associativo, a fim de abranger integralmente tanto as obrigações tributárias (prazo de 5 anos – art. 173 do CTN) quanto o prazo prescricional geral para eventuais ações judiciais (prazo de 10 anos, conforme art. 205 do Código Civil).

Para a data de nascimento é coletada para análise de perfil dos associados e ofertas personalizadas (como benefícios de aniversário), com base legal no art. 7º, I da LGPD mediante consentimento do titular ou no art. 7º, IX por legítimo interesse da associação, devendo ser armazenada enquanto o advogado for associado ou até a revogação do consentimento, e para fins puramente estatísticos.

Para o nome completo é coletado para identificação e comunicação com o associado, com base legal no art. 7º, V da LGPD para execução de contrato e no art. 7º, VI para exercício regular de direitos. O prazo de retenção será de até 10 (dez) anos após o término do vínculo associativo, a fim de abranger integralmente tanto as obrigações tributárias (prazo de 5 anos – art. 173 do CTN) quanto o prazo prescricional geral para eventuais ações judiciais (prazo de 10 anos, conforme art. 205 do Código Civil), em correlação direta com o CPF.

Para o nome social é coletado para respeito à identidade de gênero e tratamento social do associado, com base legal no art. 7º, V da LGPD para execução de contrato (fins de tratamento e comunicação) e por analogia ao art. 11, II, "d" envolvendo dados relacionados à orientação sexual ou identidade de gênero, devendo ser armazenado enquanto o advogado for associado, pois sua manutenção é parte da correta execução do vínculo associativo garantindo o tratamento adequado, sem base legal para manutenção após o desligamento.

Para o número da inscrição na OAB é coletado para comprovação da qualidade de advogado como requisito para a associação, com base legal no art. 7º, V da LGPD para execução de contrato e no art. 7º, VI para exercício regular de direitos em processo judicial e administrativo, devendo ser armazenado enquanto o advogado for associado mais 10 anos após o desligamento, sendo fundamental para a existência da relação associativa e crucial pós-desligamento para defesa de interesses da associação em questionamentos sobre a regularidade do antigo associado.

Para a seccional da OAB é coletada para identificação da origem da inscrição do advogado, com base legal no art. 7º, V da LGPD para execução de contrato e no art. 7º, VI para exercício regular de direitos em processo judicial e administrativo, devendo ser armazenada enquanto o advogado for associado mais 10 anos após o desligamento, como dado complementar à inscrição na OAB relevante para gestão da base de associados e crucial pós-desligamento para defesa de interesses em questionamentos sobre regularidade.

Para o tipo de inscrição na OAB (advogado, estagiário, suplementar, etc.) é coletado para qualificação do tipo de vínculo com a OAB, com base legal no art. 7º, V da LGPD para execução de contrato, devendo ser armazenado enquanto o advogado for associado, sendo similar à seccional e importante para gestão interna e segmentação.

Para o celular é coletado para comunicação direta e urgente, envio de informativos e alertas, com base legal no art. 7º, V da LGPD para execução de contrato (comunicações essenciais) e no art. 7º, I para consentimento em comunicações de marketing, devendo ser armazenado enquanto o advogado for associado ou até a revogação do consentimento, com uso para comunicações indispensáveis como aviso de inadimplência amparado na execução do contrato e cessação para marketing com desligamento ou consentimento específico.

Para o e-mail é coletado como principal meio de comunicação sobre serviços, produtos e questões administrativas, com base legal no art. 7º, V da LGPD para execução de contrato (comunicações essenciais) e no art. 7º, I para consentimento em newsletters e marketing, devendo ser armazenado enquanto o advogado for associado mais 5 anos após o desligamento, sendo vital para a relação e com manutenção pós-término justificada para obrigações residuais ou deveres legais (como certificado digital e declaração de quitação), com cessação para marketing no desligamento ou revogação e possibilidade de opt-out.

Para o CEP é coletado para endereçamento de correspondências físicas e análise geográfica da base de associados, com base legal no art. 7º, V da LGPD para execução de contrato e no art. 7º, IX por legítimo interesse, devendo ser armazenado enquanto o advogado for associado, sendo necessário para serviços com envio físico e com análise geográfica baseada em legítimo interesse para planejamento de expansão ou eventos regionais, sem justificativa para manutenção após o desligamento.

Os prazos são proporcionais e revistos periodicamente, conforme princípio da necessidade (art. 6º, III, LGPD). Para tratamentos de alto risco, a AASP elaborará RIPD (relatório de impacto à proteção de dados).

 7. Procedimentos de Descarte e Incidente

O descarte de dados pessoais deve ser realizado de maneira segura para evitar acesso não-autorizado, vazamentos ou qualquer outra forma de tratamento inadequado, especialmente para dados sensíveis como nome social. Os métodos de descarte incluem, mas não se limitam a: - Eliminação Física: destruição de documentos físicos por meio de fragmentação ou incineração. - Eliminação Digital: exclusão segura de dados eletrônicos utilizando métodos que impossibilitem a recuperação dos dados, como sobrescrita ou desmagnetização. Registrar o descarte para fins de responsabilidade (accountability). Implementar sistemas automatizados para descarte ao fim do prazo. Os titulares podem solicitar deleção (art. 18, IV, LGPD), exceto retenções legais (art. 16). 

Métodos Específicos de Descarte Seguro:

a) Dados Físicos: Documentos: trituração em partículas de até 2mm ou incineração certificada e Mídias físicas: destruição mecânica com certificação.

b) Dados Digitais: Sobrescrita com algoritmos certificados (mín. 3 passes); Desmagnetização para mídias magnéticas; Destruição física de hardware em casos de dados sensíveis e Exclusão lógica seguida de verificação de irrecuperabilidade.

c) Backups: eliminação em todos os sistemas de backup, incluindo nuvem e cópias de segurança offsite.

d) Certificação: manter certificado de descarte por 5 anos"

Os prazos de retenção poderão ser antecipados mediante solicitação do titular (art. 18, VI, LGPD), exceto quando a conservação for necessária para:

I. Cumprimento de obrigação legal (art. 16, I, LGPD);

II. Exercício regular de direitos em processo judicial (art. 16, I);

III. Outras hipóteses do art. 16 da LGPD.

A solicitação será respondida em até 15 dias (art. 19, LGPD), com indicação de dados eliminados e justificativa para retenção excepcional.

Em caso de incidente durante o processo de descarte (ex.: falha na eliminação, acesso não autorizado), a AASP comunicará à ANPD e aos titulares afetados em até 3 dias úteis, conforme Resolução CD/ANPD nº 15/2024, mantendo registro do incidente por no mínimo 5 anos.

 8. Responsabilidades

Diretoria: prover os recursos necessários (financeiros, tecnológicos e humanos) para a efetiva implementação e manutenção desta Política.

Funcionários, Prestadores de Serviços e Associados: seguir as diretrizes desta Política e reportar qualquer incidente relacionado à retenção e descarte de dados ao Encarregado de Proteção de Dados.

Encarregado de Proteção de Dados: monitorar a conformidade com esta Política, fornecer treinamento aos funcionários, prestadores de serviços e associados, e atuar como ponto de contato para questões relacionadas à proteção de dados, incluindo solicitações de revogação de consentimento. O Encarregado conduzirá treinamentos anuais e auditorias periódicas para verificar conformidade com retenção e descarte. De igual forma, manterá e atualizará o Inventário de Dados Pessoais que serve de base para esta Política.

 9. Revisão e Atualização

Esta Política será revisada, no mínimo, anualmente ou sempre que houver alterações legislativas, regulatórias ou mudanças significativas nos processos de tratamento de dados da AASP. As atualizações serão comunicadas a todos os funcionários, prestadores de serviços, associados e outras partes relevantes.

 10. Contato

Para dúvidas ou informações adicionais sobre esta Política, entre em contato com o Encarregado de Proteção de Dados da AASP através do e-mail dpo@aasp.org.br. Respostas serão fornecidas em até 15 dias, conforme art. 19 da LGPD. Esta Política entra em vigência em 18/11/2025 e será disponibilizada publicamente no site da AASP.