DocuSign Envelope ID: 2852C6C6-C9C8-434E-A0D4-DA6E87B67263

Política de Retenção e Descarte de Dados VERSÃO

Pessoais - Grupo Delly’s Set/2021
ÂMBITO DE APLICAÇÃO: FOLHA
Todos os colaboradores, clientes e parceiros do 1 de 8
Grupo Delly’s

Política de Retenção e Descarte de

Dados Pessoais

Grupo Delly’s
DocuSign Envelope ID: 2852C6C6-C9C8-434E-A0D4-DA6E87B67263

Política de Retenção e Descarte de Dados VERSÃO

Pessoais - Grupo Delly’s Set/2021
ÂMBITO DE APLICAÇÃO: FOLHA
Todos os colaboradores, clientes e parceiros do 2 de 8
Grupo Delly’s

PROCEDIMENTO INTERNO Data da Elaboração: 24/09/2021

Código: Área Responsável: Revisão: 00

Comitê de Privacidade

POLÍTICA DE RETENÇÃO E DESCARTE DE DADOS

N.º Revisão Data Descrição das Alterações

Elaborado por: Revisado por Aprovado por

Elisa Leão de Andrade Ricardo Silva Érica Justolin

Assinatura: Assinatura: Assinatura:

DocuSign Envelope ID: 2852C6C6-C9C8-434E-A0D4-DA6E87B67263

Política de Retenção e Descarte de Dados VERSÃO

Pessoais - Grupo Delly’s Set/2021
ÂMBITO DE APLICAÇÃO: FOLHA
Todos os colaboradores, clientes e parceiros do 3 de 8
Grupo Delly’s

POLÍTICA DE RETENÇÃO E DESCARTE DE DADOS PESSOAIS

1 – Apresentação

Esta Política tem como objetivo reforçar o compromisso do Grupo Delly’s de

observar os princípios previstos na Lei Geral de Proteção de Dados – LGPD

Para tanto, esta Política define os períodos de retenção de dados pessoais e

estabelece os padrões de segurança mínimos para a eliminação de tais dados.

Esta Política aplica-se a todas as unidades de negócios, processos e sistemas

em todos os países nos quais o Grupo Delly’s conduz ou possui relações comerciais
e é destinada a todos os colaboradores do Grupo Delly’s que possam realizar
tratamento de dados pessoais e dados pessoais sensíveis.

É responsabilidade de todos adotarem os procedimentos previstos nessa

Política para o descarte de dados pessoais de forma segura e de acordo com seu ciclo
de vida.

Esta Política deverá ser aplicada independentemente da forma de tratamento

de dados pessoais e de sua localização. São exemplos de locais onde pode haver o
armazenamento de dados pessoais.

o Endereços Eletrônicos
o Documentos impressos
o Documentos digitais
o Vídeo e áudio
o Dados gerados por sistemas
o Arquivos armazenados em nuvem
o Arquivos em redes

2 - Política de Retenção e Proteção de Informações

Essa política estabelece as diretrizes gerais que devem ser adotadas ao

considerar a retenção e proteção de dados pessoais. Em seguida, define os tipos de
dados pessoais e informações mantido pelo Grupo Delly’s, e os requisitos gerais para
garantir a proteção, eliminação e gerenciamento de dados.

2.1 Diretrizes Gerais

São diretrizes desta Política de Retenção e Descarte de Dados Pessoais:

DocuSign Envelope ID: 2852C6C6-C9C8-434E-A0D4-DA6E87B67263

Política de Retenção e Descarte de Dados VERSÃO

Pessoais - Grupo Delly’s Set/2021
ÂMBITO DE APLICAÇÃO: FOLHA
Todos os colaboradores, clientes e parceiros do 4 de 8
Grupo Delly’s

• Os dados pessoais devem ser tratados em conformidade com a Política de

Privacidade do Grupo Delly’s, bem como as disposições legais, regulatórias e
contratuais aplicáveis;
• Os dados pessoais não devem ser tratados por prazo superior ao seu ciclo de
vida, exceto em caso de justificativa e aprovação do Comitê de Privacidade.

• Os dados pessoais serão classificados e poderão ter diferentes critérios de

proteção e segurança, observando o dever de confidencialidade.

• Alguns dados pessoais poderão ser recuperáveis, quando necessários, para

atender a finalidade da retenção e armazenamento fundamentados em
hipóteses e/ou bases legais permitidas pela LGPD;

• Os dados pessoais poderão ser submetidos a técnicas que impeçam a

identificação do titular de dados.

2.2 Ciclo de Vida dos Dados Pessoais

O Ciclo de Vida de Dados Pessoais estabelece os prazos durante os quais os

dados pessoais poderão ser retidos. Após os períodos descritos, os dados pessoais
deverão ser descartados e/ou anonimizados, conforme estabelecido nesta Política.

O Comitê de Privacidade é o responsável pela elaboração e atualização do

Ciclo de Vida de Dados Pessoais.

Ciclo de Vida de Dados Pessoais

Dados/informações Período de Base Legal Ação
Retenção
Documentos trabalhistas 05 anos a  Art, 7º, XXIX, Arquivar pelo período
(contratos de trabalho, contar da CF/88, art. 11 indicado (05 anos). Em
controles de jornada, data de CLT; caso de ações
 Art. 174 CTN
documentos relacionados ao desligamento trabalhistas, os
 Súmula 362
FGTS, folhas de pagamento, TST documentos deverão ser
contribuições arquivados até o trânsito
previdenciárias, em julgado.
recrutamento e seleção, Após o prazo de 5 anos ou
informações pessoais de do trânsito em julgado da
saúde, informações pessoais ação, descartar.
sensíveis, entre outras)
Contratos com terceiros 05 ou 10  Arts. 205 e Arquivar pelo período
(clientes, fornecedores, anos, a 206 do indicado (05 ou 10 anos).
prestadores de serviços) depender da CC/2002 Em caso de ações
judiciais, os documentos
DocuSign Envelope ID: 2852C6C6-C9C8-434E-A0D4-DA6E87B67263

Política de Retenção e Descarte de Dados VERSÃO

Pessoais - Grupo Delly’s Set/2021
ÂMBITO DE APLICAÇÃO: FOLHA
Todos os colaboradores, clientes e parceiros do 5 de 8
Grupo Delly’s

liquidez do deverão ser arquivados

contrato até o trânsito em julgado.
Após o prazo de 05 ou 10
anos ou do trânsito em
julgado da ação,
descartar.
Documentos Fiscais e 05 anos a  Art. 174 do Arquivar pelo período
Financeiros (processamento contar da CTN indicado (05 anos). Se
de faturas, relatórios, data da sua houver propositura de
comprovantes de constituição ações judiciais que
pagamentos) definitiva. envolvam a necessidade
de perícia, os documentos
deverão ser arquivados
até o trânsito em julgado.
Após o prazo de 5 anos ou
do trânsito em julgado da
ação, descartar.
Documentos e Gravações 05 anos a  Resolução nº Arquivar pelo período
provenientes da contar da 4 433 2015 do indicado (05 anos) para
Ouvidoria data do Banco Central posterior avaliação sobre
protocolo da a sua utilização ou
ocorrência descarte adequado
Documentos para campanha 10 anos a  Art. 205 Arquivar pelo período
Institucional e Publicidade contar de sua CC/2002 indicado 10 anos) para
publicação posterior avaliação sobre
a sua utilização ou
descarte adequado
Documentação e registros Prazo  Resolução Arquivar pelo período
relativos aos mecanismos de mínimo de 4.474/2016 indicado 05 anos) para
controle, procedimentos, 05 anos. posterior avaliação sobre
testes e trilhas de auditoria a sua utilização ou
descarte adequado

Antes da eliminação de dados pessoais poderá haver a sua anonimização para

utilização visando fins estatísticos ou estratégicos, desde que justificado e aprovado
pelo Comitê de Privacidade. Nesse caso, deverão ser adotadas técnicas que
impeçam a identificação do titular de dados.

Poderão existir exceções aos períodos de retenção no Ciclo de Vida de Dados

Pessoais que deverão ser justificados e validados junto ao Comitê de Privacidade. .

2.3 Uso de Criptografia

DocuSign Envelope ID: 2852C6C6-C9C8-434E-A0D4-DA6E87B67263

Política de Retenção e Descarte de Dados VERSÃO

Pessoais - Grupo Delly’s Set/2021
ÂMBITO DE APLICAÇÃO: FOLHA
Todos os colaboradores, clientes e parceiros do 6 de 8
Grupo Delly’s

Sempre que necessário, conforme a classificação dos dados pessoais e o meio

de seu armazenamento, as técnicas criptográficas deverão ser usadas para garantir
sua proteção e confidencialidade.

2.4 - Escolha da Mídia

A escolha do meio de armazenamento deverá levar em consideração as suas

características e o ciclo de vida dos dados pessoais.

Em caso de tratamentos de dados pessoais por meios físicos (papel), devem

ser adotadas precauções para garantir as restrições de acesso e condições do local e
ambiente. Eventuais cópias de dados pessoais devem ser realizadas por métodos
como digitalização ou microfichas.

As áreas responsáveis pelo tratamento de dados pessoais em meios físicos

deverão realizar verificações regulares para avaliar eventual deterioração do papel e
adotar medidas para preservar os dados pessoais.

Para informações armazenados em mídia eletrônica, precauções devem ser

tomadas para garantir a segurança de dados pessoais, incluindo armazenamento e
cópia em mídias seguras e aprovadas pelo Comitê de Privacidade.

A capacidade de leitura do conteúdo no formato específico da mídia deve ser

prevista e avaliada pela Área de Tecnologia da Informação, considerando a
manutenção de um dispositivo capaz de processá-lo. Se isso não for prático, um
terceiro poderá ser contratado para converter a mídia em um formato alternativo, a
critério da Área de Tecnologia da Informação do Grupo Delly´s.

2.5 - Recuperação de Dados Pessoais

Os dados pessoais não poderão ser recuperáveis, mas poderá haver a

recuperação de informações que não identifiquem o titular visando atender as bases
legais e outras hipóteses justificáveis descritas na Lei Geral de Proteção de Dados.

Eventual recuperação deverá ser justificada e aprovada junto ao Comitê de

Privacidade.

2.6 – Eliminação de Dados Pessoais

Ultrapassado o período indicado no Ciclo de Vida e não havendo justificativa

para sua retenção, os dados pessoais deverão ser eliminados de forma segura.

O Comitê de Privacidade é responsável pela implantação de cronograma para

o descarte periódico de dados pessoais, bem como monitoramento do processo de
eliminação e definição do método mais adequado.
DocuSign Envelope ID: 2852C6C6-C9C8-434E-A0D4-DA6E87B67263

Política de Retenção e Descarte de Dados VERSÃO

Pessoais - Grupo Delly’s Set/2021
ÂMBITO DE APLICAÇÃO: FOLHA
Todos os colaboradores, clientes e parceiros do 7 de 8
Grupo Delly’s

2.7 - Revisão de Retenção e Armazenamento de Dados Pessoais

Deverá ser implementado controle para o armazenamento e retenção por

todas as áreas que façam tratamento de dados pessoais, para garantia da
observância desta Política.

O Comitê de Privacidade deverá adotar os mecanismos necessários para

monitorar a regularidade dos mecanismos de armazenamento e retenção pelas áreas
que façam o tratamento de dados pessoais.

3. Violação, Execução e Conformidade

O Encarregado de Dados Pessoais (DPO) é responsável por monitorar os

controles e apoiar nas atividades garantindo que todas as áreas cumpram esta
Política.

Qualquer suspeita de violação desta Política deve ser reportada

imediatamente ao Comitê de Privacidade. Todos os casos de suspeita de violações
desta Política deverão ser apurados, podendo ser aplicadas medidas disciplinares,
administrativas e judiciais.

4 Alterações

O Grupo Delly’s, através do Comitê de Privacidade, reserva-se o direito de

corrigir, alterar ou atualizar esta Política periodicamente, devendo o usuário/cliente
verificá-la sempre que acessar seus websites.

Eventuais correções, alterações ou atualizações desta Política entrarão em

vigor imediatamente após a publicação.

Caso alguma disposição desta Política seja considerada ilegal ou ilegítima por
alguma autoridade, as demais condições permanecerão em pleno vigor e efeito.

5 Legislação e Foro

Esta Política será regida, interpretada e executada de acordo com as Leis da

República Federativa do Brasil, especialmente a Lei nº 13.709/2018,
independentemente das Leis de outros estados ou Países, sendo competente o foro
de domicílio do Titular de Dados para dirimir qualquer dúvida decorrente deste
documento.
DocuSign Envelope ID: 2852C6C6-C9C8-434E-A0D4-DA6E87B67263

Política de Retenção e Descarte de Dados VERSÃO

Pessoais - Grupo Delly’s Set/2021
ÂMBITO DE APLICAÇÃO: FOLHA
Todos os colaboradores, clientes e parceiros do 8 de 8
Grupo Delly’s

A presente Política de Retenção e Descarte de Dados Pessoais foi aprovada

pelo Conselho de Administração do Grupo Delly´s em 24 de setembro de 2021.