Full policy

Texto vigente do COD-CPL-001 · Código de Ética e Conduta, revisão 1.2, publicado na base de conhecimento da CNR TECNOLOGIA.

1. Introdução e objetivo

A CNR TECNOLOGIA atua em um setor que depende de confiança: instituições financeiras, órgãos públicos e cidadãos contam com a integridade dos nossos registros e com a proteção das informações que nos entregam.

Este Código reúne o comportamento que a CNR espera de cada pessoa que trabalha nela ou em seu nome. Ele não substitui a lei nem o bom senso — reforça os dois — e tem por finalidade:

• orientar a convivência e a tomada de decisão no ambiente de trabalho, sem distinção de hierarquia, área ou função;
• assegurar transparência e legalidade nas operações e nos relacionamentos, em especial com o poder público;
• prevenir, detectar e tratar conflitos de interesse, suborno, corrupção e fraude;
• proteger a segurança e o sigilo das informações da CNR, de seus clientes e dos titulares de dados pessoais;
• disseminar as melhores práticas corporativas entre colaboradores e parceiros de negócio.

O Código é um dos instrumentos do Sistema Integrado de Gestão (SGI), descrito no MA-SGI-001 · Manual de Gestão Integrada, e integra o programa de integridade da organização.

2. A quem se aplica

Aplica-se a sócios, administradores, diretores, gestores, colaboradores, estagiários e aprendizes da CNR TECNOLOGIA, em qualquer função ou nível hierárquico.

Fornecedores, prestadores de serviço, representantes, consultores e demais parceiros de negócio seguem o COD-CPL-002 · Código de Conduta do Fornecedor, com obrigações equivalentes. Cabe a cada colaborador observar este Código e estendê-lo aos terceiros com quem se relaciona em nome da CNR.

A adesão ao Código é condição essencial da relação com a CNR. O descumprimento sujeita o infrator às medidas do capítulo 12.

Este Código é revisado sempre que necessário para mantê-lo aderente à legislação, às normas do SGI e aos objetivos da organização.

---

3. Valores e princípios

Os valores institucionais da CNR estão declarados no DOC-SGI-006 · Missão, Visão e Valores. Traduzidos em conduta, orientam este Código:

• Integridade — fazemos o que é certo, mesmo quando ninguém está vendo e mesmo quando custa um negócio.
• Legalidade — cumprimos a lei, os contratos e os normativos aplicáveis; nenhuma meta justifica descumpri-los.
• Transparência — registramos o que fazemos e assumimos o que decidimos.
• Respeito — tratamos pessoas com dignidade, sem discriminação, preconceito ou assédio.
• Proteção da informação — a informação de terceiros sob nossa guarda é tratada como se fosse nossa, e com mais cuidado ainda.
• Responsabilidade social e ambiental — consideramos o impacto das nossas decisões na sociedade e no meio ambiente.
• Responsabilização — quem descumpre responde; quem relata de boa-fé é protegido.

A CNR adota a tolerância zero a suborno e corrupção, em qualquer forma, valor ou circunstância.

4. Princípios éticos no relacionamento

4.1 Com os clientes

Profissionalismo, confiança e transparência; disponibilidade de soluções que agreguem valor ao negócio do cliente, com investimento permanente em tecnologia adequada; respeito ao cumprimento de acordos e contratos e aos direitos do cliente; valorização das parcerias construídas, visando resultados que beneficiem também a sociedade.

4.2 Com os órgãos públicos e de controle

Reconhecimento do papel dos órgãos reguladores e de controle e apoio à sua atuação, prestando-lhes informações pertinentes, confiáveis e no tempo adequado. A CNR respeita a legislação e as autoridades de todas as instâncias de governo.

4.3 Com as pessoas

Ambiente de trabalho baseado em profissionalismo, confiança, cooperação, respeito às diferenças individuais e urbanidade; compartilhamento de conhecimento e experiência; valorização do desenvolvimento pessoal, técnico e profissional; zelo pelo uso adequado e econômico dos recursos da empresa; preservação da imagem, do patrimônio e dos interesses da CNR; reconhecimento do capital intelectual e estímulo a novas lideranças; valorização da conduta ética individual e coletiva.

4.4 Com fornecedores e empresas de terceirização

Legalidade, impessoalidade, moralidade e eficiência em todos os atos; relacionamento pautado no respeito mútuo e na confidencialidade das informações da CNR e de seus clientes; preferência por fornecedores e parceiros com práticas compatíveis com o padrão ético da CNR; rejeição a disposições contratuais que afrontem a dignidade, a qualidade de vida e o bem-estar dos empregados terceirizados.

4.5 Com as entidades representativas dos trabalhadores

Reconhecimento da legitimidade das instituições representativas legalmente constituídas, com canais de diálogo permanentes, pautados em respeito mútuo, seriedade e transparência; a negociação como instrumento adequado de convergência; cumprimento dos instrumentos que regulam a relação da empresa com seus empregados.

4.6 Com a comunidade

Relações justas e equilibradas com a comunidade, por meio de incentivo, apoio e participação em ações de responsabilidade social e cidadania, inclusive iniciativas socioculturais e esportivas dos próprios colaboradores.

---

5. Responsabilidades

5.1 Sócios, administradores e gestores

Respeitar e zelar pelo cumprimento dos princípios e normas deste Código; evidenciar, no discurso e na ação, o compromisso com os valores da CNR, servindo de exemplo; orientar e preparar suas equipes para a aplicação correta das políticas e normas da organização; e tomar providências sempre que identificarem comportamento divergente deste Código.

As decisões de administradores e gestores devem estar sempre alinhadas ao melhor interesse da CNR, nunca a interesse pessoal.

5.2 Colaboradores

Conhecer, cumprir e zelar pela aplicação deste Código no cotidiano profissional; declarar situações de conflito de interesse; relatar desvios de conduta; e buscar orientação sempre que houver dúvida sobre a conduta correta.

5.3 Comitê Multidisciplinar

É o órgão de aprovação e de gestão deste Código. Compete-lhe promover as ações necessárias à sua implementação, divulgar e disseminar seu conteúdo, esclarecer dúvidas, monitorar a observância de seus princípios, deliberar sobre as sanções cabíveis conforme a gravidade da infração e revisar o Código quando necessário.

5.4 Função de compliance antissuborno

Recebe e apura relatos de descumprimento, orienta sobre casos concretos, decide ou opina previamente nas situações que este Código submete à sua avaliação, promove o treinamento de colaboradores e parceiros e reporta à Alta Direção, com a independência e o acesso direto previstos no MA-SGI-001.

5.5 Recursos Humanos

Mantém o registro de ciência e aceite deste Código, inclui o tema na integração de novos colaboradores e no programa anual de treinamento, conforme o PO-RH-002 · Diretrizes de Treinamento, e aplica as medidas disciplinares deliberadas, conforme o PO-RH-003.

---

6. Conduta no dia a dia

6.1 Conflito de interesse

Conflito de interesse é a situação em que o interesse pessoal, familiar, financeiro ou de terceiro influencia, ou pode influenciar, o julgamento de alguém no exercício da função. Todos têm o dever de agir com integridade e de evitar conflitos de interesse reais ou aparentes.

É vedado:

• usar o cargo ou informações da empresa para obter ganho pessoal ou favorecer terceiro;
• participar de decisão que beneficie empresa da qual você, cônjuge, companheiro ou parente seja sócio, empregado ou prestador;
• manter atividade paralela que concorra com a CNR ou comprometa sua imparcialidade;
• contratar, aprovar pagamento ou avaliar desempenho de pessoa com quem se tenha relação pessoal próxima, sem declaração prévia;
• participar de processo de contratação em que haja grau de parentesco com o fornecedor ou com o prestador de serviço.

Conflito de interesse não é falta em si — a falta é não declarar. A declaração é feita no formulário de Consulta sobre Conflito de Interesse (FO-CPL-001) na admissão e na transferência ou promoção, e o colaborador informa pelo mesmo formulário qualquer situação nova que surgir. Declarado o conflito, a pessoa é afastada da decisão envolvida.

6.2 Atividade profissional fora da CNR

O exercício de outra atividade profissional é permitido desde que não gere incompatibilidade de horário, não cause queda de desempenho e não conflite com os interesses e os objetivos da CNR. Em nenhuma hipótese é permitido utilizar informações não públicas da CNR em outra atividade.

Quem ocupa função de confiança e identificar incompatibilidade entre a atividade externa e as diretrizes da empresa deve declarar a situação à função de compliance antissuborno.

6.3 Brindes, presentes, hospitalidades e entretenimento

Brinde institucional sem valor comercial é aceitável. Presente, entretenimento e hospitalidade seguem os limites, as vedações, as alçadas de aprovação e os registros da POL-CPL-002 — entre elas, a proibição de oferecer ou receber qualquer presente de agente público e de quem participe de licitação em que a CNR concorra.

Para os fins deste Código:

• presente é o que se oferece gratuitamente a outra pessoa em sinal de atenção ou cortesia, de forma espontânea e sem esperar algo em troca;
• entretenimento inclui hospedagem, viagem, show, jantar e ingresso, e torna-se irregular quando usado para influenciar uma decisão negocial.

Nenhum brinde, presente ou entretenimento pode ser interpretado como suborno, condicionado a oportunidade de negócio, ou ofertado em desacordo com a lei brasileira ou a do país da transação. Presente incompatível com a política deve ser recusado ou devolvido, com registro.

Na dúvida, a regra é simples: se você ficaria constrangido se a oferta virasse pública, recuse.

6.4 Relacionamento com agente público e licitações

O contato com órgãos públicos, Detrans e autoridades é parte da nossa atividade e deve ser conduzido de forma profissional, documentada e isenta.

• Nenhuma vantagem, de qualquer natureza, é oferecida a agente público para obter ou acelerar decisão.
• O fornecimento de informações a órgãos públicos é feito por escrito, mediante protocolo.
• Reuniões com representantes do governo, inclusive em fiscalizações, devem constar da agenda oficial da autoridade, contar com pelo menos duas pessoas da CNR e ser registradas em ata ou memória de reunião.
• A participação em licitações observa integralmente a legislação aplicável e os normativos internos de cada órgão; as propostas são previamente submetidas à função de compliance antissuborno.
• Ninguém será penalizado por deixar de oferecer benefício a agente público, mesmo que isso resulte em perda do negócio.
• Quem identificar pedido ou insinuação de vantagem indevida comunica imediatamente a função de compliance antissuborno.

6.5 Relações comerciais e com fornecedores

As negociações com fornecedores baseiam-se em seleção imparcial e em critérios técnicos e comerciais objetivos, conforme o PO-ADM-001 · Compras e Aquisições e o PO-COM-001 · Comercial.

A CNR exige de seus fornecedores e parceiros o cumprimento do COD-CPL-002 e da legislação trabalhista, a entrega de produtos e serviços com segurança e qualidade e a ausência de trabalho infantil, forçado ou análogo ao escravo.

Parceiros de negócio são avaliados previamente conforme o PO-CPL-003 · Due Diligence, com consulta a cadastros públicos de restrição — CEIS, CNEP, CEPIM e Cadastro Nacional de Condenações Cíveis por Ato de Improbidade Administrativa — e preferência por quem mantenha programa de integridade. Identificada conduta ilegal ou indício de ato lesivo, a função de compliance antissuborno, com apoio jurídico, avalia a pertinência da contratação e define controles adicionais ou o encerramento da relação.

Todo contrato prevê cláusula anticorrupção, direito de auditoria, suspensão de pagamentos, rescisão por descumprimento, ciência do programa de integridade e obrigação de reportar irregularidades pelo canal de denúncias.

6.6 Atividades e contribuições políticas

A CNR mantém neutralidade em relação a candidatos e partidos políticos. É vedado o uso de qualquer ativo da empresa, inclusive seu nome e sua marca, para atividade político-partidária, e são terminantemente proibidas contribuições ou doações, diretas ou indiretas, a partidos, candidatos, comitês ou pessoas que atuem em política partidária.

A empresa respeita o direito individual de participação na vida cívica e política, desde que exercido em caráter pessoal, fora do ambiente de trabalho e sem interferir na atividade profissional. A CNR pode participar de discussões de políticas públicas sobre temas de seu interesse, de forma transparente e institucional.

6.7 Doações e patrocínios

Doações e patrocínios são destinados prioritariamente a educação, cultura, tecnologia e projetos sociais, dependem de aprovação prévia conforme a POL-CPL-002 e de parecer da função de compliance antissuborno, e são formalizados por contrato. O patrocínio tem como única contrapartida a exposição da marca CNR TECNOLOGIA.

Doação ou patrocínio solicitado por agente público, ou que tenha como beneficiária entidade a ele ligada, é tratado como sinal de alerta e não é autorizado sem apuração prévia.

6.8 Registros, livros e informações

Toda operação é registrada de forma completa, tempestiva e fidedigna. É proibido criar registro falso, incompleto ou enganoso, usar caixa paralelo, classificar despesa de forma a ocultar sua natureza ou alterar o teor de qualquer documento, informação ou dado de responsabilidade da empresa ou de terceiros. Os controles financeiros estão no PO-FIN-001.

As informações necessárias à empresa são obtidas por meios transparentes e idôneos; não se admite obtenção por meio ilícito.

6.9 Uso de recursos, sistemas e marca da CNR

Equipamentos, sistemas, acessos, instalações e marca da CNR são instrumentos de trabalho e destinam-se às atividades da empresa. O uso pessoal é tolerado com moderação, desde que não interfira na produtividade nem contrarie as normas internas.

• É vedado usar recursos da empresa para fins ilícitos, para atividade paralela ou para benefício pessoal indevido.
• É responsabilidade de todos zelar pelo bom uso e pela conservação do patrimônio sob sua guarda.
• Arquivos e informações profissionais criados, recebidos ou armazenados nos sistemas da CNR são de propriedade da empresa; em caso de mudança de área ou desligamento, são entregues à liderança imediata para guarda ou descarte.
• Não há expectativa de privacidade no uso dos sistemas e recursos da empresa, que podem ser monitorados conforme a POL-TIC-001.
• Armas de qualquer espécie não são permitidas nas dependências da empresa, salvo para profissionais expressamente autorizados.

6.10 Comunicação externa, mídias eletrônicas e redes sociais

Manifestações em nome da CNR somente podem ser feitas por quem esteja autorizado. Publicações no site e nos canais oficiais dependem de aprovação prévia da Direção.

É vedado utilizar os meios eletrônicos da empresa — inclusive e-mail corporativo e aplicativos de mensagem — para enviar correntes, jogos, boatos, propaganda, conteúdo político-partidário, obsceno, pornográfico, violento, discriminatório, racista, difamatório ou que desrespeite qualquer pessoa, entidade ou a lei.

Em redes sociais pessoais, espera-se bom senso e respeito: não se admitem publicações difamatórias ou ofensivas, nem a divulgação de informações da CNR, de clientes ou de parceiros.

6.11 Segurança da informação

Todos são responsáveis por proteger a confidencialidade, a integridade e a disponibilidade das informações da CNR e de seus clientes, conforme a POL-TIC-001 e o PO-TIC-002 · Classificação da Informação.

Em termos de conduta, isso significa: tratar a informação conforme sua classificação; não compartilhar credenciais, crachás, certificados ou dispositivos de identificação, que são pessoais e intransferíveis; não acessar informação sem necessidade e autorização; assinar e observar o termo de compromisso e sigilo; e comunicar imediatamente qualquer incidente ou fragilidade de segurança, conforme o PO-TIC-004 · Gestão de Incidentes.

O dever de sigilo sobre informações da CNR, de clientes e de parceiros permanece após o desligamento.

6.12 Privacidade e proteção de dados pessoais

Dados pessoais são tratados apenas para a finalidade autorizada, com acesso restrito a quem precisa deles para trabalhar, conforme a POL-PRI-001 e o PO-PRI-001 · Gestão de Privacidade, em cumprimento à Lei nº 13.709/2018 (LGPD).

Qualquer suspeita de incidente com dados pessoais é comunicada imediatamente ao Encarregado, conforme o PO-PRI-002.

6.13 Respeito, diversidade e combate ao assédio e à discriminação

A CNR repudia qualquer forma de preconceito, discriminação e assédio, com base na Declaração Universal dos Direitos Humanos: nenhuma característica física, intelectual, social ou política pode levar à privação de direitos.

Não se admite conduta — física, verbal ou não verbal — que afete a dignidade das pessoas no trabalho, em especial assédio moral, assédio sexual, intimidação, hostilidade, humilhação, bullying, xingamento, ameaça ou agressão, nem discriminação por raça, cor, etnia, gênero, orientação sexual, religião, idade, classe social, convicção política, nacionalidade, estado civil, deficiência ou mobilidade reduzida.

A CNR valoriza a diversidade e a inclusão e busca adaptar processos, ambientes e equipamentos para garantir acessibilidade. A contratação considera exclusivamente a qualificação para a posição, conforme o PO-RH-001.

Quem se considerar discriminado, humilhado, assediado ou alvo de prática abusiva, e se sentir constrangido em tratar o assunto com seu gestor, deve relatar o fato pelo canal de denúncias (capítulo 11).

6.14 Direitos humanos e trabalho decente

Em nenhuma circunstância a CNR admite, em suas instalações ou em sua cadeia de fornecimento, trabalho infantil, trabalho forçado, trabalho escravo ou em condições análogas. A exigência é estendida a fornecedores e parceiros pelo COD-CPL-002.

6.15 Saúde, segurança, álcool e drogas

A CNR reprova o uso de drogas ilegais e o uso nocivo de bebida alcoólica, por prejudicar a saúde das pessoas e a imagem da empresa. Comparecer ao trabalho, a reuniões ou a atividades em nome da CNR sob efeito de álcool ou de drogas ilegais sujeita o colaborador a medida disciplinar. O porte, uso ou comércio de drogas ilegais nas dependências da empresa pode resultar em desligamento, sem prejuízo das sanções legais.

6.16 Relações pessoais no ambiente de trabalho

Relações pessoais e afetivas entre colaboradores devem ser declaradas à função de compliance antissuborno sempre que envolverem relação de subordinação, avaliação de desempenho, decisão de contratação, pagamento ou acesso privilegiado a informações. Declarada a situação, a organização adota a medida adequada — reorganização de alçadas, troca de avaliador ou afastamento da decisão — preservando a privacidade das pessoas envolvidas.

Demonstrações de afeto e conduta incompatíveis com o ambiente profissional não são admitidas no horário e nas dependências de trabalho.

6.17 Meio ambiente e uso consciente de recursos

A CNR entende a conduta ambiental responsável como dever de todos. No dia a dia, isso significa apoiar a reciclagem, programar deslocamentos, reduzir o consumo de energia, desligar equipamentos fora de uso, imprimir apenas versões finais e preferir utensílios reutilizáveis.

---

7. Condutas esperadas

• Preservar e cultivar a imagem da CNR.
• Tratar as pessoas e suas ideias com dignidade e respeito, e ouvir questionamentos e opiniões como forma de aprendizado.
• Proceder com lealdade, justiça e franqueza nas relações de trabalho.
• Contribuir para um clima produtivo e cooperativo, evitando atos que dificultem ou tumultuem a prestação de serviços.
• Apresentar-se de forma adequada ao desempenho de suas funções.
• Abster-se de usar influências internas ou externas, o cargo ou a função de confiança para obter vantagem para si ou para terceiros.
• Utilizar os recursos da CNR apenas para finalidades de interesse da empresa.
• Elaborar e apresentar informações que reflitam com fidelidade as posições e os resultados econômicos, financeiros, operacionais e logísticos da empresa.
• Estar acompanhado de outro colaborador, do gestor ou de um par em qualquer tratativa com fornecedor ou parceiro que possa resultar em contratação.
• Priorizar e preservar os interesses da CNR junto a clientes, órgãos públicos, instituições financeiras, fornecedores e demais parceiros.
• Comercializar, nas dependências da empresa, apenas produtos e serviços de interesse da CNR.
• Buscar orientação, de forma sincera e transparente, sempre que houver dúvida sobre a conduta correta.

8. Condutas inaceitáveis

• Reivindicar benefício ou vantagem pessoal, para si ou para terceiro, em decorrência de relacionamento comercial ou financeiro firmado em nome da CNR.
• Ser conivente ou omisso diante de erro, irregularidade ou infração a este Código e às normas legais aplicáveis.
• Exercer outra atividade profissional durante o expediente, ou atividade que concorra direta ou indiretamente com a CNR.
• Discriminar pessoas por motivo econômico, social, político, religioso, de cor, raça, gênero ou qualquer outro.
• Permitir que simpatias, antipatias ou interesses pessoais interfiram nas relações profissionais.
• Prejudicar deliberadamente a reputação de colaborador, cliente, órgão público, fornecedor ou parceiro.
• Pleitear, solicitar ou receber presente ou vantagem de qualquer espécie, para si ou para terceiro, em troca de concessão ou privilégio junto à CNR — inclusive por insinuação.
• Obter vantagem, para si ou para terceiro, a partir de acesso privilegiado a informações da CNR, mesmo que não haja prejuízo à empresa.
• Utilizar em benefício próprio, ou repassar a terceiros, documentos, metodologias, produtos, ferramentas, serviços e informações da CNR, de seus clientes ou de seus fornecedores, salvo determinação legal ou judicial.
• Manifestar-se em nome da CNR sem autorização.
• Fazer uso inadequado ou antieconômico dos recursos materiais, técnicos e financeiros da empresa.
• Impedir ou dificultar a apuração de irregularidades.
• Facilitar ação de terceiro que resulte em prejuízo ou dano à CNR.
• Gerar confusão patrimonial entre os bens da empresa e os bens próprios.
• Constranger, intimidar ou ameaçar colegas, inclusive por meio de brincadeiras de mau gosto.

---

9. Vedações absolutas

• Suborno — oferecer, prometer, dar, solicitar ou aceitar vantagem indevida, direta ou indiretamente, por meio de terceiros, para obter ou manter negócio ou vantagem. Aplica-se tanto a agente público quanto a pessoa ou entidade do setor privado.
• Pagamento de facilitação — valores para agilizar ato de rotina de agente público.
• Contribuição política em nome da CNR, a partido, candidato ou comitê.
• Lavagem de dinheiro — participar de operação que vise ocultar a origem ilícita de recursos.
• Fraude em licitação, concorrência, prestação de contas ou registro.
• Retaliação contra quem relata de boa-fé.

As regras detalhadas estão na POL-CPL-001 · Política Anticorrupção e Antissuborno. Situações não previstas neste Código devem ser submetidas previamente à função de compliance antissuborno.

Em situação de extorsão, com risco à vida, à integridade física ou à liberdade de pessoas, proteja-se primeiro e comunique imediatamente a função de compliance antissuborno.

10. Sinais de alerta

Todos devem ficar atentos a situações que sugiram vantagem indevida, entre elas: parte com histórico de suborno; remuneração ou comissão incompatível com o serviço prestado; pagamento em espécie, em cheque ao portador ou por benefício indireto; parte influenciada, indicada ou próxima de agente público ou de seus familiares; recusa em incluir cláusula anticorrupção no contrato; esquema financeiro atípico, como pagamento em país diverso do da prestação ou em múltiplas contas; doação a entidade sem fins lucrativos a pedido de agente público; e terceiro que solicite pagamento facilitador ou adiantamento em espécie para despesa não especificada.

Sinal de alerta não é prova de corrupção nem desqualifica automaticamente a outra parte, mas é indício que deve ser apurado. A relação completa e o tratamento dos Red Points estão na POL-CPL-001, e os riscos identificados alimentam a DOC-SGI-004 · Matriz de Análise de Riscos, conforme o PO-SGI-005.

---

11. Canal de denúncias, dever de relatar e não retaliação

Qualquer pessoa — colaborador, cliente, fornecedor, parceiro ou cidadão — pode relatar suspeita de violação deste Código, independentemente da identidade ou do cargo do suspeito, bem como pedir esclarecimentos sobre o programa de integridade.

Canal	Como usar
Portal de denúncias	https://portaldedenuncias.online/cnr
Função de compliance antissuborno	contato direto, presencial ou por e-mail
Gestor imediato ou Recursos Humanos	para colaboradores

O relato pode ser anônimo, é tratado com confidencialidade — inclusive quanto à identidade de quem participa da apuração — e segue o PO-CPL-001 · Canal de Denúncias.

Relatar é um dever. A omissão diante de violação conhecida é, por si só, conduta antiética e sujeita o omisso a medida disciplinar.

Garantia de não retaliação. Quem relata de boa-fé não sofre nenhuma punição ou represália por ter relatado, mesmo que a apuração não confirme o fato e mesmo que o relato envolva um superior. A mesma proteção vale para quem colabora com uma apuração como testemunha e para quem se recusa a participar de ato de suborno, ainda que a recusa custe um negócio à CNR.

São exemplos de retaliação, todos proibidos: demissão, rebaixamento, transferência, suspensão, impedimento de promoção, corte de benefícios, avaliação de desempenho injusta, ameaça, isolamento, assédio ou qualquer outra forma de intimidação ligada ao relato.

Quem sofrer ou temer retaliação deve comunicar o fato pelo próprio canal de denúncias ou diretamente à função de compliance antissuborno. A retaliação é apurada como violação grave deste Código e sujeita quem a praticar a medida disciplinar, que pode chegar ao desligamento.

Relato de boa-fé é aquele feito com base no que a pessoa sinceramente acredita. Não confirmar o fato não torna o relato de má-fé; somente a acusação sabidamente falsa, feita para prejudicar alguém, pode ser tratada como falta.

12. Apuração, consequências e sanções

Recebido o relato, a apuração segue o PO-CPL-002 · Investigações de Compliance, com prazo de 30 dias, prorrogável por igual período, observada a legislação aplicável, inclusive o Decreto nº 11.129/2022, que regulamenta a Lei nº 12.846/2013.

As medidas disciplinares são deliberadas conforme a gravidade da infração e aplicadas conforme o PO-RH-003, na seguinte gradação:

1. advertência verbal;
2. advertência por escrito;
3. suspensão;
4. desligamento, inclusive por justa causa.

Regras de aplicação:

• as sanções são justas, razoáveis e proporcionais à falta, ao cargo e à reincidência; fatos semelhantes recebem sanções semelhantes;
• a sanção é aplicada logo após a falta, sob pena de perdão tácito, admitindo-se prazo maior quando o fato exigir apuração;
• reincidência e descumprimento de planos de ação definidos em auditoria, após orientação, também são passíveis de medida disciplinar;
• o registro da medida é mantido no prontuário do colaborador, com assinatura dele e de duas testemunhas;
• a finalidade primordial da medida é educar sobre os valores da CNR.

Além das medidas internas, condutas de corrupção e suborno sujeitam a empresa e as pessoas envolvidas a responsabilização administrativa, civil e criminal, nos termos da Lei nº 12.846/2013 e demais normas aplicáveis, com multas, perdimento de bens, proibição de contratar com o poder público e, no caso de pessoas físicas, responsabilização penal.

13. Divulgação, treinamento e gestão do Código

Este Código é público: fica disponível no site da CNR TECNOLOGIA e na base de conhecimento da organização, para consulta a qualquer momento por colaboradores, clientes, fornecedores e pela sociedade.

A CNR dá ciência do Código a todo novo colaborador, mantém registro dessa ciência, divulga amplamente suas atualizações e esclarece dúvidas quanto ao seu conteúdo e aplicação. O treinamento sobre o Código integra o programa anual de conscientização e é estendido a parceiros de negócio expostos a risco, conforme o PO-CPL-003.

A gestão do Código é do Comitê Multidisciplinar, com apoio da função de compliance antissuborno, que monitora sua observância e propõe revisões.

---

14. Termo de ciência e aceite

O comprometimento de todos é fundamental para que este Código seja um instrumento eficaz de orientação da conduta. Todos têm o dever de zelar por sua aplicação no cotidiano profissional.

Todo colaborador declara ciência deste Código na admissão e sempre que houver revisão relevante, por assinatura física ou eletrônica. O registro do aceite é mantido pelo Recursos Humanos e compõe as evidências do programa de integridade.

Dúvidas sobre a aplicação deste Código devem ser dirigidas à função de compliance antissuborno antes da tomada de decisão — perguntar nunca é falta.

Full policy

Pelo presente Termo, eu, colaborador(a) identificado(a) pelo meu login nesta plataforma, declaro estar ciente e de acordo com as condições abaixo.

1. Informações confidenciais

São confidenciais todas as informações, em qualquer meio (escrito, digital, verbal ou visual), a que eu tiver acesso em razão das minhas atividades, incluindo, sem limitação: dados de clientes, dados pessoais, informações comerciais, financeiras e estratégicas, contratos, propostas, códigos-fonte, sistemas, credenciais, processos, projetos e documentos classificados como Confidenciais ou Internos.

2. Meus compromissos

• Usar as informações confidenciais exclusivamente para o desempenho das minhas atividades na empresa.
• Não divulgar, copiar, reproduzir, transmitir ou repassar informações confidenciais a terceiros não autorizados, inclusive familiares, ex-colegas e outras empresas.
• Não armazenar informações da empresa em dispositivos, contas de e-mail ou nuvens pessoais sem autorização.
• Proteger minhas credenciais de acesso e não compartilhá-las com ninguém.
• Comunicar imediatamente à Diretoria de TI, conforme o PO-TIC-004 · Gestão de Incidentes, qualquer perda, vazamento ou acesso indevido de que eu tome conhecimento.
• Devolver ou eliminar, ao término do vínculo, todos os documentos, arquivos e equipamentos que contenham informações da empresa.

3. Exceções

Não são consideradas confidenciais as informações que já sejam públicas sem culpa minha, ou cuja divulgação seja exigida por lei ou por ordem judicial — neste caso, comunicarei previamente a empresa, quando permitido.

4. Vigência

As obrigações deste Termo valem durante todo o vínculo com a empresa e permanecem por 5 (cinco) anos após o seu término; para dados pessoais e segredos de negócio, permanecem por prazo indeterminado.

5. Descumprimento

Estou ciente de que o descumprimento deste Termo pode resultar em medidas disciplinares, inclusive desligamento por justa causa, e em responsabilização civil e criminal, nos termos da legislação aplicável, incluindo a Lei nº 9.279/1996 e a Lei nº 13.709/2018 (LGPD).

Full policy

Texto vigente do POL-PRI-001 · Política Interna de Privacidade e Proteção de Dados Pessoais, revisão 3.1, publicado na base de conhecimento da CNR TECNOLOGIA.

1. Objetivo

Esta Política estabelece as diretrizes internas que todos os colaboradores da CNR TECNOLOGIA devem seguir ao tratar dados pessoais no exercício de suas atividades, de forma a cumprir a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), proteger a privacidade dos titulares e reduzir os riscos de incidentes. Ela orienta como agir no dia a dia: o que pode e o que não pode ser feito com dados pessoais de colaboradores, clientes, usuários, fornecedores e parceiros.

2. Abrangência

Esta Política aplica-se a todos os administradores, diretores, colaboradores, estagiários, aprendizes, prestadores de serviço e terceiros que, em nome da CNR TECNOLOGIA, tenham acesso a dados pessoais, em qualquer meio (digital ou físico), dentro ou fora das instalações da empresa, inclusive em trabalho remoto.

Abrange os dados pessoais tratados pela CNR TECNOLOGIA como controladora (por exemplo, dados de colaboradores, candidatos e fornecedores) e como operadora (dados tratados por conta e ordem de clientes, conforme contrato).

3. Referências normativas

• Lei nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais (LGPD);
• Resoluções e orientações da Autoridade Nacional de Proteção de Dados (ANPD), em especial o Regulamento de Comunicação de Incidente de Segurança;
• ABNT NBR ISO/IEC 27001 e ISO/IEC 27701;
• Política de Segurança da Informação, Termo de Confidencialidade e Código de Ética e Conduta da CNR TECNOLOGIA.

4. Definições

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável (nome, CPF, e-mail, telefone, endereço, IP, imagem, voz, matrícula etc.).
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico.
• Titular: pessoa natural a quem se referem os dados pessoais.
• Tratamento: toda operação realizada com dados pessoais, como coleta, acesso, uso, consulta, armazenamento, compartilhamento, transferência, alteração e eliminação.
• Controlador: quem toma as decisões sobre o tratamento de dados pessoais.
• Operador: quem realiza o tratamento de dados pessoais em nome do controlador.
• Encarregado (DPO): pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares e a ANPD.
• Anonimização: utilização de meios técnicos pelos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo.
• Incidente de segurança com dados pessoais: qualquer evento adverso, confirmado ou suspeito, que comprometa a confidencialidade, a integridade ou a disponibilidade de dados pessoais (vazamento, acesso indevido, perda, envio ao destinatário errado, exclusão acidental etc.).

5. Princípios

Todo tratamento de dados pessoais realizado pela CNR TECNOLOGIA deve observar a boa-fé e os princípios do art. 6º da LGPD:

• Finalidade: tratar dados apenas para propósitos legítimos, específicos e informados ao titular;
• Adequação e necessidade: coletar e usar somente os dados estritamente necessários para a finalidade;
• Livre acesso e transparência: garantir ao titular informações claras sobre o tratamento;
• Qualidade dos dados: manter os dados exatos e atualizados;
• Segurança e prevenção: adotar medidas para proteger os dados e evitar danos;
• Não discriminação: nunca utilizar dados para fins discriminatórios, ilícitos ou abusivos;
• Responsabilização e prestação de contas: ser capaz de demonstrar o cumprimento da lei.

6. Diretrizes para o tratamento de dados pessoais

6.1 Base legal e finalidade

1. Nenhum tratamento de dados pessoais pode ser iniciado sem uma finalidade definida e uma base legal da LGPD (arts. 7º e 11), como execução de contrato, cumprimento de obrigação legal, legítimo interesse ou consentimento.

2. Novas atividades que envolvam dados pessoais devem ser comunicadas ao Encarregado (DPO) antes do início, para registro no Inventário de Dados Pessoais (Registro das Operações de Tratamento).

3. É proibido utilizar dados pessoais para finalidade diferente daquela para a qual foram coletados sem prévia avaliação do Encarregado.

6.2 Coleta e minimização

1. Colete apenas os dados realmente necessários. Na dúvida, não colete.

2. Não solicite cópias de documentos, dados sensíveis ou dados de terceiros (familiares, dependentes) sem necessidade justificada.

3. Quando o tratamento depender de consentimento, ele deve ser livre, informado, inequívoco e registrado, podendo ser revogado a qualquer momento pelo titular.

6.3 Acesso e uso no dia a dia

1. O acesso a dados pessoais é concedido apenas a quem precisa deles para executar suas atividades (princípio do menor privilégio). Não consulte dados por curiosidade ou interesse pessoal.

2. Utilize somente sistemas, contas e dispositivos corporativos autorizados para tratar dados pessoais.

3. É proibido armazenar, encaminhar ou compartilhar dados pessoais por e-mail pessoal, aplicativos de mensagens pessoais, nuvens pessoais, pendrives ou outros meios não autorizados.

4. Não exponha dados pessoais em telas, impressões, quadros, reuniões gravadas, apresentações ou redes sociais. Siga as regras de mesa e tela limpa.

5. Ao enviar informações, confira o destinatário e envie apenas o necessário. Para planilhas e relatórios, prefira dados anonimizados ou pseudonimizados.

6. Documentos físicos com dados pessoais devem ser guardados em local trancado e descartados por fragmentação.

6.4 Dados pessoais sensíveis e de crianças e adolescentes

Dados sensíveis e dados de crianças e adolescentes exigem cuidado reforçado: só podem ser tratados nas hipóteses previstas em lei, com acesso restrito ao mínimo de pessoas e com avaliação prévia do Encarregado. Atestados e informações de saúde de colaboradores devem ser tratados exclusivamente pelas áreas autorizadas (Recursos Humanos e Saúde Ocupacional).

6.5 Dados tratados em nome de clientes

Quando a CNR TECNOLOGIA atua como operadora, os dados pessoais dos clientes somente podem ser tratados conforme as instruções do cliente e o contrato. É proibido utilizar esses dados para qualquer outra finalidade, inclusive para testes, demonstrações ou treinamentos. Ambientes de desenvolvimento e homologação devem utilizar dados fictícios ou anonimizados.

6.6 Compartilhamento com terceiros e transferência internacional

1. Dados pessoais só podem ser compartilhados com fornecedores, parceiros ou autoridades quando houver base legal e necessidade.

2. A contratação de fornecedor que vá tratar dados pessoais (sistemas em nuvem, folha de pagamento, benefícios, marketing etc.) depende de avaliação de segurança e privacidade e de contrato com cláusulas de proteção de dados.

3. A transferência de dados pessoais para fora do Brasil (inclusive por serviços em nuvem hospedados no exterior) deve observar os mecanismos previstos nos arts. 33 a 36 da LGPD e ser avaliada previamente pelo Encarregado.

6.7 Privacidade desde a concepção (Privacy by Design)

Novos sistemas, produtos, projetos e processos devem considerar a proteção de dados desde a sua concepção e, por padrão, coletar o mínimo de dados e oferecer a configuração mais protetiva. Tratamentos que possam gerar alto risco aos titulares devem ser objeto de Relatório de Impacto à Proteção de Dados Pessoais (RIPD), elaborado com apoio do Encarregado.

6.8 Retenção e eliminação

1. Os dados pessoais devem ser mantidos somente pelo tempo necessário para cumprir a finalidade ou as obrigações legais e contratuais, conforme a tabela de temporalidade da empresa.

2. Encerrado o prazo, os dados devem ser eliminados de forma segura ou anonimizados, inclusive em cópias, planilhas auxiliares e caixas de e-mail.

7. Atendimento aos direitos dos titulares

1. O titular tem direito a: confirmação da existência de tratamento; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários; portabilidade; informação sobre compartilhamentos; revogação do consentimento; e revisão de decisões automatizadas (art. 18 da LGPD).

2. Toda solicitação de titular recebida por qualquer canal (e-mail, telefone, atendimento, redes sociais) deve ser encaminhada em até 1 (um) dia útil ao Encarregado (DPO). O colaborador não deve responder diretamente nem fornecer dados sem a orientação do Encarregado.

3. As respostas devem observar os prazos legais e ser registradas.

8. Incidentes com dados pessoais

1. Qualquer colaborador que identificar ou suspeitar de um incidente com dados pessoais (vazamento, acesso indevido, perda de equipamento, envio ao destinatário errado, ataque cibernético etc.) deve comunicar imediatamente a área de Segurança da Informação e o Encarregado (DPO).

2. Não tente investigar, apagar evidências ou contatar os titulares por conta própria.

3. A CNR TECNOLOGIA avaliará o incidente e, quando houver risco ou dano relevante aos titulares, fará a comunicação à ANPD e aos titulares nos prazos regulamentares (atualmente, 3 dias úteis a partir do conhecimento).

4. Todos os incidentes são registrados e mantidos para fins de prestação de contas.

9. Dados pessoais dos colaboradores

1. A CNR TECNOLOGIA trata os dados pessoais de seus colaboradores para fins de admissão, execução do contrato de trabalho, cumprimento de obrigações legais e trabalhistas (como eSocial, folha de pagamento e saúde e segurança do trabalho), concessão de benefícios, controle de acesso físico e lógico, segurança da informação, treinamento e desenvolvimento.

2. Os registros desta plataforma de treinamento — inclusive os aceites eletrônicos das políticas — são mantidos como evidência de cumprimento de requisitos legais e de normas de gestão.

3. Os recursos corporativos (e-mail, sistemas, rede, equipamentos) podem ser monitorados, conforme a Política de Segurança da Informação, para proteção das informações e cumprimento de obrigações legais, respeitados os princípios da necessidade e da proporcionalidade.

4. O colaborador pode exercer seus direitos de titular por meio do Encarregado (DPO).

10. Papéis e responsabilidades

• Alta Direção: aprovar esta Política, prover recursos e designar o Encarregado (DPO).
• Encarregado (DPO): orientar colaboradores, manter o Inventário de Dados Pessoais, atender os titulares e a ANPD, apoiar a elaboração de RIPD e conduzir a gestão de incidentes com dados pessoais.
• Gestores: garantir que suas equipes conheçam e cumpram esta Política e que os acessos sejam concedidos apenas a quem precisa.
• Segurança da Informação / TI: implementar e manter as medidas técnicas de proteção (controle de acesso, criptografia, backup, registro de eventos) e apoiar a resposta a incidentes.
• Recursos Humanos: tratar os dados dos colaboradores conforme esta Política e garantir o aceite desta Política na integração.
• Colaboradores: cumprir esta Política, participar dos treinamentos e comunicar imediatamente qualquer incidente ou dúvida.

11. Encarregado pelo Tratamento de Dados Pessoais (DPO)

• Nome: Sanclé Landim Albuquerque
• E-mail: contato@midnal.com.br
• Telefone: (61) 3326-0956

O Encarregado deve ser contatado para qualquer dúvida, solicitação de titular ou comunicação de incidente relacionado a dados pessoais.

12. Treinamento e conscientização

Todos os colaboradores devem concluir o treinamento de proteção de dados na integração e participar das reciclagens periódicas promovidas pela CNR TECNOLOGIA.

13. Descumprimento

O descumprimento desta Política sujeita o colaborador a medidas disciplinares, de advertência a desligamento por justa causa, conforme a gravidade, sem prejuízo da responsabilização civil e criminal e das sanções previstas na LGPD.

14. Disposições finais

Esta Política entra em vigor na data de sua aprovação, deve ser revisada no mínimo anualmente ou sempre que houver mudança legal ou relevante nos processos, e prevalece sobre orientações internas conflitantes. Dúvidas devem ser encaminhadas ao Encarregado (DPO).

Full policy

Texto vigente do POL-TIC-001 · Política de Segurança da Informação, revisão 5.5, publicado na base de conhecimento da CNR TECNOLOGIA.

1. Objetivo

Nos tempos atuais de globalização a posse da informação significa enormes oportunidades de negócios, principalmente para uma empresa como a CNR TECNOLOGIA, que possui na informação o seu principal patrimônio, além da preocupação com proteção de dados e compliance.

Informação é um ativo que como qualquer outro, tem valor para a organização e consequentemente necessita ser adequadamente protegido.

A informação pode ser disponibilizada de várias formas, podendo ser impressa ou escrita em papéis, armazenada eletronicamente, transmitida por correio ou por meios eletrônicos ou apresentar-se através de conversação. Seja qual for o meio pelo qual a informação é distribuída, partilhada ou armazenada, está sempre requer proteções apropriadas.

A Segurança das Informações tem a função de proteger a informação de uma série de ameaças com o objetivo de zelar pela continuidade dos negócios, minimizar prejuízos e maximizar o retorno de investimentos e oportunidades de negócios. Desta forma, a segurança das informações torna-se responsável pela preservação dos seguintes aspectos da informação:

• Confidencialidade: assegura que a informação permaneça acessível apenas a quem de direito;
• Integridade: protege a exatidão e a totalidade da informação e das possíveis formas de processamento desta;
• Disponibilidade: assegura que usuários autorizados tenham acesso à informação e aos ativos associados a ela quando necessário.

Fonte: ABNT NBR ISO/IEC 27.002

Para que a Segurança das Informações seja completamente eficaz, depende do planejamento, análise e implementação de uma série de controles, compostos por políticas, práticas, procedimentos, estruturas organizacionais ou mecanismos eletrônicos e cada um tem responsabilidade internamente.

1.1 Importância da Informação

De forma crescente os sistemas de informações têm sido expostos a uma série de ameaças, dentre as quais podemos citar apenas como exemplos, fraudes eletrônicas, espionagem, sabotagem, vandalismo, fogo e inundações.

Desta forma, podemos concluir que nos parâmetros atuais a segurança da informação é vital para a continuidade dos negócios de quaisquer organizações, bem como depende de participação ativa de todos os seus funcionários em sua implementação e monitoração.

Todas as informações criadas, manuseadas, armazenadas, transportadas ou descartadas pelos colaboradores no exercício de atividades, são de propriedade da CNR TECNOLOGIA e devem ser protegidas e não divulgadas salvo quando permitidas.

1.2 A Política de Segurança

É o instrumento que contém diretrizes voltadas a auxiliar a organização, no planejamento, definição e implementação de mecanismos (normas, procedimentos, padrões, controles e outros) que guiarão e suportarão as atividades relativas à segurança das informações, nas áreas de maior risco para seus processos de negócios.

A política de segurança de informações foi definida com base nas necessidades de segurança exigidas pelos negócios da CNR TECNOLOGIA, conforme relacionado:

• Documentada, adequadamente e seguida por todas as pessoas envolvidas direta ou indiretamente na execução e condução dos processos de negócios da organização;
• Revisada sempre que identificada a necessidade de adequação contínua às diversas mudanças sofridas pela organização; e
• Monitorada pelos funcionários da organização ao ponto destes serem responsáveis pelo reporte imediato e íntegro de quaisquer incidentes ocorridos.

A eficácia dos controles de segurança da informação será realizada por meio de relatórios de auditoria interna ou análise de vulnerabilidades de recursos, realizados conforme ocorram as demandas anuais.

1.4 Uso de recursos corporativos

É importante lembrar também que todo o uso de recursos de tecnologia da informação disponibilizados pela CNR TECNOLOGIA tais como e-mail, sistemas, Internet, bem como fornecidos por terceiros, no uso e atribuições da CNR TECNOLOGIA, devem ser utilizados estritamente para uso profissional e no interesse da CNR TECNOLOGIA.

Serão considerados fins indevidos: fraudes, invasão, jogos, uso de proxys, acesso não autorizado, personificação, falsa identidade, obtenção de senhas e dados privativos, perseguição, ameaças, downloads não autorizados, distribuição de códigos maliciosos, virus, acesso e disseminação de materiais pornográficos, ofensivos, difamatório, discriminatório, preconceituoso e atentatórios à moral e aos bons costumes, instalação de softwares piratas, veiculação de opiniões político-partidárias ou religiosas, conteúdo ilegal, de incitação à violência, que não respeitem os direitos autorais ou objetivos comerciais particulares; SPAM; distribuição de correntes de mensagens eletrônicas, ações que comprometa a integridade, a confidencialidade ou a disponibilidade das informações criadas, manuseadas, armazenadas, transportadas, descartadas ou custodiadas pela CNR TECNOLOGIA, cometimento de crimes ou que venham a prejudicar, mesmo de forma não intencional, outros colaboradores, pessoas e instituições vinculadas à prestação de serviços ou recursos da CNR TECNOLOGIA.

1.5 A palavra do Gestor

É obrigação de todos preservar a “confidencialidade das informações” de forma que se garanta o sigilo quando for necessário, “a integridade” de maneira que as informações estejam sempre corretas e a “disponibilidade” para que sempre que um usuário precise de uma informação, os sistemas estejam em perfeitas condições para atendê-lo.

Em virtude destes fatores a CNR TECNOLOGIA investe em recursos e padrões tecnológicos a fim de aumentar e melhorar a produtividade corporativa e de seus colaboradores, com objetivo de manter estes recursos foi elaborada uma Política de Segurança da Informação, que atende aos pré-requisitos do bom uso dos recursos computacionais da CNR TECNOLOGIA.

Desta forma, problemas como vírus de computador, perda de performance, indisponibilidade de equipamentos e a necessidade de proteger a informação passam a ser tratados objetivamente, de forma a se obter os melhores resultados.

Desejo a todos que façam bom uso dos equipamentos e recursos corporativos, de maneira que a informática continue sendo uma ferramenta de evolução da CNR TECNOLOGIA.

1.6 Aprovação

Política aprovada pela Diretoria da CNR TECNOLOGIA, conforme o histórico de alterações deste documento.

---

2. CNR TECNOLOGIA

---

3. Aplicação e divulgação e atualização

O processo de divulgação da Política de Segurança, está de acordo com os processos já adotados pela CNR TECNOLOGIA na divulgação de outros documentos e políticas. A atualização, análise crítica e revisão se dará obrigatoriamente em toda análise anual através de auditorias internas, externas ou qualquer demanda de melhoria que possa surgir ou ser identificada como necessária.

Todos os envolvidos na implementação da Política de Segurança, incluindo a alta gerência, funcionários e terceiros, devem entender, conscientizar-se e comprometer-se com o conteúdo da política e de seus adendos, comprovando o atendimento a estes pré-requisitos formalmente, através da assinatura do “Termo de Confidencialidade e Sigilo” e do “Contrato Individual Trabalho a Título de Experiência” ou até mesmo contratos de prestação de serviço ou estatutos sociais e legislação aplicável. Desta forma, o termo em questão faz parte da documentação pessoal exigida pela área de Recursos Humanos para cada funcionário, bem como dos contratos exigidos pela CNR TECNOLOGIA aos terceiros e estagiários sempre que aplicável.

---

4. Definições

SIG: Sistema Integrado de Gestão;

SGSI: Sistema de Gestão de Segurança da Informação;

Usuário: pessoa que utiliza os recursos de tecnologia da informação da CNR TECNOLOGIA;

S.O.: Security Officer, responsável pela coordenação do SGSI e dos controles de segurança da informação, conforme o MA-SGI-001 · Manual de Gestão Integrada;

C.S.O.: Chief Security Officer, função da Alta Direção que define as diretrizes de segurança da informação;

TI: área de Tecnologia da Informação da CNR TECNOLOGIA, responsável pela administração dos sistemas, acessos e equipamentos;

Ativo: tudo o que tem valor para a organização e suporta a informação, como equipamentos, softwares, serviços em nuvem, pessoas, documentos e informações;

Segurança da Informação: preservação da confidencialidade, da integridade e da disponibilidade da informação.

---

5. Responsabilidades

S.O: Assegurar e manter esforços para melhoria do SGSI;

C.S.O: Apresentar diretrizes que assegure que as políticas do SGSI estão de acordo com os propósitos da Organização;

Gestores da Informação: Em conjunto com a área de Tecnologia da Informação, adotar mecanismos que garantam a proteção das informações sob sua gestão contra alteração, destruição, divulgação e cópia não autorizada acidentais ou intencionais; informar a área de segurança da informação sobre todas as movimentações de funcionários, terceiros/prestadores de serviços sob sua gestão.

Usuários: Conhecer e cumprir as regras relativas à segurança da informação, usando a informação e os recursos relacionados em estrita observância a esta política e aos procedimentos dela decorrentes; registrar e ou comunicar imediatamente qualquer incidente de segurança ou descumprimento a esta política que chegar ao seu conhecimento à área de Segurança da Informação.

Segurança da Informação: Implementar as regras inseridas nesta política; revogar os acessos que lhes são informados pelo Gestor do Setor; monitorar o cumprimento desta política; sempre que um incidente de segurança for detectado ou relatado, garantir que todas as ações para sua solução sejam tomadas.

Recursos Humanos: Informar a área de Segurança da Informação sobre todas as movimentações (admissões, desligamentos, transferências ou promoções) dos profissionais da CNR TECNOLOGIA; garantir que todos os profissionais da CNR TECNOLOGIA tenham preenchido e assinado um Termo de Confidencialidade de forma eletrônica através de plataforma on-line ou constando em contratos de prestação de serviços, Ficha de Contratação e Ficha de Desligamento bem como coletar e arquivar adequadamente os documentos.

---

6. Diretrizes

6.1 Política da Segurança da Informação

A política do Sistema de Gestão Integrado, que estabelece o compromisso da Alta Direção com a segurança da informação, a privacidade e a prevenção ao suborno, é a POL-SGI-001 · Política do SIG, com os objetivos definidos no DOC-SGI-012.

Esta Política de Segurança da Informação é a política específica do tema e reúne, no capítulo 6, as diretrizes de segurança da informação aplicáveis às pessoas, aos ativos, aos sistemas e aos fornecedores da CNR TECNOLOGIA. É aprovada pela Diretoria, comunicada aos colaboradores e prestadores e revisada anualmente ou quando houver mudança relevante.

6.2 Softwares e Aplicativos

Nos equipamentos da CNR TECNOLOGIA somente podem ser instalados softwares licenciados e necessários à atividade profissional. É proibida a instalação de software sem licença, de origem não confiável ou que comprometa a segurança do equipamento, bem como a cópia, para uso externo, de softwares adquiridos ou desenvolvidos pela empresa. Em caso de dúvida, o usuário deve consultar a TI antes da instalação.

Todos os computadores da empresa utilizam o Microsoft Defender como antivírus, mantido ativo e atualizado, podendo ser verificado a qualquer tempo pela TI ou em auditorias.

6.3 Segregação de Funções

As credenciais de usuários devem sempre que aplicável ser segregadas por funções e atribuições adequadas a finalidade do acesso ou área de atuação do usuário, empresa ou ambiente. Periodicamente, em auditorias ou a qualquer momento que possa ser julgado necessário, revisão de direitos de acesso deve ser avaliada e, se necessário, adequadas nos sistemas e recursos da CNR TECNOLOGIA.

6.4 Contato com autoridades e Grupos especiais

O contato com autoridades ou grupos especiais deve sempre ser mantido, seja ele para manter práticas de segurança aplicadas, requerer autorizações de funcionamento ou fornecimento e/ou qualquer outro aspecto julgado relevante. As principais autoridades, legislações e grupos de fonte de informação devem sempre ser complementados e documentados em plataforma de gestão documental e capacitação para divulgação a todos.

6.5 Segurança da informação na Gestão de Projetos

A segurança da informação deve ser sempre considerada na gestão de projetos, conforme metodologia de gestão de projetos institucional e avaliando sempre os riscos atrelados ao projeto.

6.6 Dispositivo Móvel

Todos os dispositivos móveis utilizados na CNR TECNOLOGIA, sejam eles institucionais ou particulares, com dados ou informações da empresa (sejam eles celulares, notebooks, tablets ou outros) devem ser resguardados do acesso não autorizado, para tal utilizando-se de senhas e controles de restrição de acesso. Bem como ser controlados com o uso e inclusão de dados ou informações indevidas, caso tal situação ocorra, de acordo com os termos de ética, sigilo, confidencialidade e até mesmo aplicação de sanções legais previstas ou contratuais, poderão ser aplicadas.

6.7 Trabalho remoto

A CNR TECNOLOGIA adota o trabalho remoto como modalidade de trabalho. O trabalho remoto é realizado com equipamento fornecido pela empresa e com acesso individual liberado pela TI, observadas as regras desta política quanto ao uso dos recursos, ao sigilo das informações, à mesa e tela limpa e ao uso de redes. As ações dos usuários no Siello são registradas por usuário, data e hora.

6.8 Processo Disciplinar

Conforme processos de compliance e contratação, existem processos disciplinares formais, implantados e comunicados a todos, para tomar ações contra funcionários que tenham cometido uma violação de segurança da informação ou ações e uso indevido de dados, recursos ou informações. Mesmo após o término de contratos a responsabilidade sobre questões éticas e de sigilo se fazem válidas.

6.9 Controle de ativos

O Controle de ativos institucionais será realizado conforme procedimento específico, e trará informações sobre a execução do inventário, indicação dos proprietários, informações sobre o uso aceitável (em consonância ao já informado nesta política), bem como sobre tratamento, descarte, a devolução de ativos (ao término de projetos, contratos ou desligamentos) que será uma questão obrigatória.

6.10 Controle de Acessos

O acesso aos recursos da CNR TECNOLOGIA é personificado e individual. Os acessos e permissões são concedidos pela TI conforme a função exercida, a partir da comunicação do RH, e revogados no desligamento ou na mudança de função (PO-RH-001).

Os acessos administrativos são restritos à TI e controlados de forma individual:

1. Microsoft 365: contas de administrador da TI, com autenticação multifator;
2. Oracle Cloud (ambiente do Siello): painel de administração com autenticação multifator, acessado pela TI e pela IPNET, que presta o suporte ao ambiente;
3. Siello: usuários administradores do sistema, definidos pela TI;
4. Bitbucket (código-fonte): equipe de desenvolvimento;
5. Banco de dados do Siello: acesso restrito à TI e ao suporte técnico do ambiente.

Os sistemas possuem controle por perfil de usuário, com segregação e restrição de direitos de acesso, podendo ter regras adicionais exigidas contratualmente pelos clientes ou pelas portarias dos DETRANs.

6.11 Acesso a redes

O Siello é hospedado na Oracle Cloud, e a rede desse ambiente é protegida por firewall com IDS/IPS, configurado e mantido pela IPNET. A comunicação entre o Siello e os sistemas dos DETRANs é feita por links dedicados, VPN ou restrição de IP, em nome da CNR TECNOLOGIA.

Nas dependências administrativas, o acesso à internet é feito pelos links contratados da Vivo, e as estações utilizam o firewall do Windows. Não há servidor local: os arquivos corporativos são mantidos no Microsoft 365.

6.12 Controle de acesso a Código Fonte de Programas

O código-fonte do Siello é mantido no Bitbucket, com acesso restrito à equipe de desenvolvimento. A ferramenta registra todas as alterações, com autor e data, e guarda o histórico de versões, permitindo rastrear e restaurar versões anteriores.

6.13 Segurança Física

Os controles de segurança física aplicáveis à CNR TECNOLOGIA são:

• Dependências administrativas: escritório em edifício comercial, com controle de entrada do edifício e monitoramento por circuito fechado de TV (CFTV);
• Ambiente de processamento: o Siello é hospedado no data center da Oracle Cloud, que mantém os controles de perímetro, acesso físico, monitoramento e proteção ambiental, conforme o contrato e as certificações do provedor;
• Equipamentos: os equipamentos de usuário são fornecidos pela empresa e protegidos conforme as regras de uso, mesa e tela limpa e trabalho remoto desta política;
• Visitantes: o acesso de visitantes às dependências administrativas é acompanhado por colaborador da CNR TECNOLOGIA;
• Ambientes de terceiros: em ambientes de clientes, parceiros ou fornecedores, são cumpridas as regras de segurança do local.

6.14 Segregação de ambientes

Os ambientes de produção e de homologação do Siello são separados no ambiente da Oracle Cloud. As mudanças são testadas em homologação antes da publicação em produção, e os testes utilizam dados fictícios, conforme o PO-SGI-004 · Gestão de Mudanças.

6.15 Registros de eventos e log´s

Os sistemas e recursos principais da empresa mantêm registros de eventos consultáveis, tanto das ações de usuários comuns quanto das de administradores: o Siello, o ambiente da Oracle Cloud e o Microsoft 365. As regras de registro, retenção e acesso estão no item 6.34.

6.16 Sincronização de Relógios

Os servidores do Siello são sincronizados pelo serviço de tempo da Oracle Cloud, e as estações e o Microsoft 365 pelo serviço de tempo da Microsoft, no fuso horário oficial de Brasília, garantindo a referência de horário dos registros de eventos.

6.17 Vulnerabilidades técnicas e auditorias

A CNR TECNOLOGIA realiza teste de intrusão (pentest) anual do Siello, com relatório e plano de correção dos achados. As atualizações de segurança dos servidores são aplicadas automaticamente ou em janelas previamente agendadas pela IPNET, e as estações recebem as atualizações do Windows e do Microsoft Defender. Avaliações e auditorias especializadas podem ser contratadas sempre que necessário, de forma planejada e controlada.

6.18 Acordos de confidencialidade e não divulgação

Todos os contratos, serviços e projetos que tenham a aplicabilidade de acordos de confidencialidade e não divulgação e sejam relevantes a questão ao negócio, devem ter tais acordos considerados.

Todo colaborador aceita o Termo de Confidencialidade do capítulo 11 na plataforma EAD, no primeiro acesso e a cada nova versão; o registro do aceite fica mantido na plataforma.

6.19 Análise crítica de operações e soluções

As mudanças em sistemas seguem o PO-SGI-004 · Gestão de Mudanças. Mudanças na infraestrutura do Siello são solicitadas à IPNET por chamado, e as atualizações de segurança são aplicadas automaticamente ou em janelas agendadas, de forma a evitar instabilidades. O desenvolvimento com participação de terceiros (2Sync) é supervisionado pela CNR TECNOLOGIA e submetido ao mesmo processo de homologação e aprovação.

6.20 Testes de segurança e aceitação

Para a solução atual, além do processo de testes interno conforme procedimento institucional, normalmente a empresa tem a obrigação de passar por crivos contratuais pelo modelo de negócio mediante POC (Prova de conceito) que avalia requisitos de segurança e funcionais, para permitir a homologação e aprovação da solução, se necessário ajustes e requisições podem chegar a ser demandadas.

6.21 Proteção de dados para teste

Pelo modelo de negócio, no desenvolvimento e homologação não ocorre de permitir a utilização de dados de produção, protegendo assim os dados de teste, que são selecionados com cuidado. Porém, como recomendação não é autorizado a utilização de base de produção integra, na geração de dados para teste, devem ser gerados dados com recursos de “geração de CPF” por exemplo, on-line, de forma aleatória e com dados não verídicos.

6.22 Relação com fornecedores

O relacionamento com fornecedores e parceiros se dará por processos como de Gestão de Riscos, Gestão de Projetos, Aquisições e outros. Como já apresentado, sempre que necessário cláusulas de confidencialidade e ética devem ser considerados, acordos formais devem ser estabelecidos e aspectos de segurança da informação identificados e seus respectivos riscos mapeados da cadeia de suprimentos.

6.23 Aspectos Legais e regulamentares

Os aspectos legais e regulamentares relativos a empresa, o negócio, soluções, serviços e prestadores, devem sempre que identificados ou julgados necessários serem considerados. Sendo documentados, mantidos e controlados através de relação formal institucional.

Direitos de propriedade intelectual também devem ser considerados, não utilizando-se de softwares, soluções ou plugins proprietários sem sua devida regularização e aquisição se necessário.

6.24 Proteção de Registros

Os registros são protegidos contra perda, destruição, falsificação, acesso não autorizado e liberação não autorizada, de acordo com os requisitos regulamentares, estatutários, contratuais e do negócio:

• os registros do Siello (contratos e histórico de operações) são mantidos no banco de dados, com backup, pelo prazo exigido pelas portarias de credenciamento dos DETRANs;
• o histórico do código-fonte é mantido no Bitbucket, com controle de versões;
• os documentos e registros do SIG são mantidos na base de conhecimento, com histórico de versões;
• os arquivos corporativos são mantidos no Microsoft 365, com acesso controlado por usuário.

6.25 Computadores e Periféricos

As credenciais de administrador dos sistemas e dos ambientes ficam sob a guarda e a responsabilidade da TI ou dos prestadores responsáveis pelo recurso, conforme o item 6.10.

É vedada a abertura de computadores e outros equipamentos corporativos para reparo. Os equipamentos são fornecidos em regime de aluguel pela Vivo/Telefônica, e qualquer reparo é feito pelo fornecedor, por solicitação da TI.

6.26 Rede Corporativa

A CNR TECNOLOGIA não mantém rede corporativa com servidores locais nem controlador de domínio: os arquivos e o e-mail ficam no Microsoft 365, com acesso controlado por usuário e registro de atividades, e o Siello na Oracle Cloud. A rede das dependências administrativas, com e sem fio, é protegida por senha e destinada aos equipamentos da empresa.

6.27 Diretórios e repositórios

Os arquivos de cada área ficam em bibliotecas do SharePoint/OneDrive do Microsoft 365, com acesso concedido pela TI conforme a função. Não é recomendado manter arquivos da empresa apenas no equipamento local.

O código-fonte do Siello é mantido no Bitbucket, com acesso restrito à equipe de desenvolvimento. Os documentos do SIG ficam na base de conhecimento e os materiais de treinamento na plataforma EAD, com acesso individual.

A concessão, a alteração e a revogação de acesso a cada diretório ou repositório são feitas pela TI, mediante autorização do gestor da área.

6.28 Internet

Apesar da internet ser liberada, todos os funcionários são orientados quanto ao uso consciente para que não atrapalhe o andamento dos processos e atividades da CNR TECNOLOGIA.

Aleatoriamente a Segurança da Informação/Direção poderá posteriormente emitir relatórios de uso da internet e para os casos em que for caracterizado o uso excessivo em sites não relacionados aos negócios da CNR TECNOLOGIA o colaborador poderá ser sinalizado ou advertido individualmente, conforme termos de ética, sigilo e confidencialidade assinados.

É proibido o acesso a sites que contenham pornografia, racismo, pedofilia, jogos, violência e preconceitos em geral ou a sites que vão contra as leis vigentes.

Caso a CNR TECNOLOGIA julgue necessário haverá bloqueio de acesso a arquivos e sites não autorizados, que comprometam o bom funcionamento da rede ou o desempenho e a produtividade do profissional, bem como exponham a empresa e sua estrutura à riscos de segurança.

6.29 Correio Eletrônico

O correio eletrônico é um recurso corporativo, colocado à disposição dos empregados e estagiários, para o desenvolvimento das atividades profissionais. Portanto, está sujeito à auditoria relativa ao uso e conteúdo.

Entre as mensagens e anexo cujo envio é proibido, destacam-se os seguintes:

• Relativo a negócios particulares;
• Propaganda comerciais, político-partidária e/ou religiosas;
• Correntes e boatos;
• Com informações que impliquem em violação de direito autoral; e
• Com conteúdo que possam comprometer a privacidade dos usuários ou o sigilo das informações.

Mensagens oriundas da Internet que não são de interesse da empresa não devem ser repassadas através do correio eletrônico corporativo. O mesmo vale para mensagens sobre vírus ou ameaças de segurança que aconselham o repasse das mensagens para outras pessoas. Nestes casos, o usuário deve eliminar a mensagem e jamais repassar internamente na empresa.

As mensagens eletrônicas dos empregados e estagiários serão identificadas com nome, cargo ou função, e telefone para contato.

Toda mensagem enviada deverá conter a seguinte informação idêntica ou similar ao final da comunicação:

“Esta mensagem pode conter informações confidenciais; somente podendo ser usada pelo indivíduo ou entidade a quem foi endereçada. A transmissão incorreta da mensagem não acarreta a perda de sua confidencialidade. Caso esta mensagem tenha sido recebida por engano, comunique o remetente e apague-a de seu sistema imediatamente. É vedado a qualquer pessoa que não seja o destinatário usar, revelar, distribuir ou copiar qualquer parte desta mensagem. Ambiente de comunicação corporativo monitorado”.

6.30 E-mail pessoal

É permitido ao profissional acessar seu e-mail pessoal a partir da rede da CNR TECNOLOGIA, porém, é proibida a utilização deste para envio ou recebimento de qualquer tipo de dado, informações ou arquivos relacionados aos negócios da CNR TECNOLOGIA ou para transações em nome da CNR TECNOLOGIA.

Toda e qualquer comunicação com clientes, fornecedores e outros parceiros da CNR TECNOLOGIA deve ser feita, única e exclusivamente por meio do e-mail corporativo e não pelo e-mail pessoal de qualquer profissional.

6.31 Armazenamento em nuvem

É proibido o upload ou o compartilhamento de documentos ou informações da CNR TECNOLOGIA em serviços de armazenamento em nuvem (por exemplo, Google Drive ou Dropbox) que não sejam os canais homologados pela empresa:

• Microsoft 365 (SharePoint, OneDrive, Teams e e-mail), exclusivamente com o usuário corporativo;
• Oracle Cloud, para o Siello e seus dados;
• Bitbucket, para o código-fonte;
• Base de conhecimento, para os documentos e registros do SIG;
• Plataforma EAD, para os materiais de treinamento.

O compartilhamento de arquivos com pessoas externas deve ser restrito ao necessário para a atividade e observar a classificação da informação.

6.32 Criptografia e Proteção de Ativos

A criptografia é utilizada para proteger a informação em trânsito e nos ambientes em nuvem, conforme a tabela abaixo:

Recurso	Proteção
Siello (acesso web e API)	HTTPS (TLS)
Comunicação com os DETRANs	VPN, link dedicado ou restrição de IP
Ambiente do Siello na Oracle Cloud	criptografia de armazenamento do provedor
Microsoft 365 (e-mail e arquivos)	TLS em trânsito e criptografia de armazenamento do provedor
Bitbucket (código-fonte)	HTTPS ou SSH
Senhas do Siello	armazenadas com hash (SHA-256)

Os dispositivos móveis com informações da empresa devem ser protegidos por senha e bloqueio de tela.

6.33 Chaves Criptográficas e senhas

Os certificados e chaves do Siello (HTTPS e integrações) são de responsabilidade da TI, que acompanha sua validade e renovação.

O acesso ao Siello é feito por senha pessoal, biometria ou certificado digital; a senha é armazenada com hash (SHA-256). O painel da Oracle Cloud e as contas administrativas do Microsoft 365 utilizam autenticação multifator. As estações são acessadas por senha pessoal.

As senhas são pessoais e intransferíveis, não devem ser anotadas nem compartilhadas e devem seguir as regras de complexidade de cada sistema. As credenciais administrativas são individuais, conforme o item 6.10.

6.34 Geração de Trilhas de Auditoria (LOGS) das transações efetuadas

• O Siello registra o login, a inclusão e a alteração de contratos, os envios aos DETRANs e as ações dos administradores, com usuário, data e hora, consultáveis na tela de histórico do sistema;
• os registros do Siello são mantidos por 10 anos, conforme as portarias de credenciamento dos DETRANs, com backup, sem possibilidade de edição ou exclusão pelos usuários, e o acesso a eles é restrito à TI;
• o ambiente da Oracle Cloud e o Microsoft 365 mantêm logs de auditoria próprios, com retenção do provedor;
• os eventos registrados, a retenção e o acesso por sistema estão no item 6.10 do PO-TIC-009 · Funcionamento Tecnológico;
• os registros são consultados pela TI na verificação dos alertas de monitoramento, na apuração de incidentes e no atendimento a solicitações de clientes e dos DETRANs.

6.35 Backup (Cópia de Segurança dos Dados) e Restore

Todos os dados de sistemas corporativos são protegidos por rotinas automatizadas de backup. A rotina do Siello é definida pela CNR TECNOLOGIA e executada pela IPNET no ambiente da Oracle Cloud: backup completo diário, recuperação contínua do banco de dados, cópia diária para a região de São Paulo e retenção de 7 dias. A restauração é testada semestralmente. O processo está detalhado no PO-TIC-007 · Backup e Recuperação.

6.36 Proteção dos Dados e Vazamento de Dados

Os dados relevantes para o negócio da CNR TECNOLOGIA são protegidos contra divulgação não autorizada:

• no Siello, a exportação de dados (relatórios em Excel e PDF) é restrita aos perfis autorizados;
• no Microsoft 365, os documentos são classificados por rótulos, e o compartilhamento é controlado pelo acesso de cada usuário;
• as informações são tratadas conforme a classificação do capítulo 8 e do PO-TIC-002 · Classificação da Informação;
• a suspeita de vazamento é tratada como incidente, conforme o PO-TIC-004 · Gestão de Incidentes, com comunicação à ANPD e aos titulares quando envolver dados pessoais.

6.37 Detecção e Prevenção de Intrusão, Analise de Vulnerabilidades, Detecção de Ameaças e Tratamento de Riscos de Segurança da Informação

Monitoramento. O ambiente do Siello é monitorado em três camadas: monitoramento da Oracle Cloud, monitoramento da IPNET e monitoramento do próprio sistema. Os alertas são enviados por e-mail à TI, que avalia e, quando a causa é de infraestrutura, aciona a IPNET por chamado.

Inteligência de ameaças. A CNR TECNOLOGIA obtém informações sobre ameaças e vulnerabilidades que podem afetar o Siello e os serviços utilizados por meio do teste de intrusão (pentest) do sistema, dos alertas e boletins da Oracle, da Microsoft e da IPNET e de comunicados de órgãos de referência, como o CERT.br. A TI analisa essas informações, adota as medidas necessárias e as considera na gestão de riscos.

Proteção contra malware. As estações utilizam o Microsoft Defender, o e-mail conta com a proteção do Microsoft 365, e o ambiente da Oracle Cloud é protegido por firewall com IDS/IPS. As correções de segurança são aplicadas conforme o item 6.17.

Incidentes e riscos. Os incidentes de segurança são identificados, classificados, comunicados e tratados conforme o PO-TIC-004 · Gestão de Incidentes, com preservação das evidências. Os riscos de segurança da informação são identificados e tratados na DOC-SGI-004 · Matriz de Análise de Riscos.

6.38 Revisão de Código Seguro

Deve ser garantida a qualidade do código-fonte, localizando possíveis erros nas fases iniciais do desenvolvimento, principalmente quanto à arquitetura, à validação de dados e ao controle transacional. Toda alteração é testada pela equipe de desenvolvimento no ambiente de homologação antes da publicação, e a versão publicada em produção é a mesma que foi homologada, controlada no Bitbucket.

6.39 Mesa e Tela Limpa

Para reduzir os riscos de acesso não autorizado, perda ou danos as informações durante e fora do horário de expediente, os profissionais devem seguir os critérios abaixo:

• Informações sensíveis ou confidenciais, quando impressas, devem ser retiradas da impressora imediatamente, caso contrário, deverão ser destruídas ao final do dia;
• Papéis, anotações e lembretes da sua mesa de trabalho devem ser mantidos sempre que possível fora da superfície da mesa;
• Ao final do dia, ou no caso de ausência prolongada, limpar a mesa de trabalho;
• Informações confidenciais devem ser mantidas em local apropriado;
• Os papéis ou mídias de computador não devem ser deixados sobre as mesas, quando não estiverem sendo usados devem ser guardados de maneira adequada, de preferência em gavetas ou armários trancados. Seu transporte deve ser controlado, restrito e protegido do acesso indevido ou não intencional.
• Sempre que não estiver utilizando o computador não deixar nenhum arquivo aberto, de modo que as informações possam ser visualizadas por outras pessoas que estiverem no setor;
• Agendas, livros ou qualquer material que possam ter informações sobre a CNR TECNOLOGIA ou informações particulares devem ser guardadas em locais fechados, evitando o acesso;
• As chaves de gavetas, armários e de portas devem ser guardadas em locais fechados, evitando o acesso.

6.40 Instalação e Configuração Segura de Sistemas da CNR TECNOLOGIA e de Terceiros

A realização da instalação e configuração segura de Sistemas desenvolvidos pela CNR TECNOLOGIA e sistemas de terceiros deverá levar em conta os seguintes aspectos:

• Preparação do ambiente da instalação
• Estratégias de particionamento de disco
• Documentação da Instalação e Configuração
• Senhas de administrador
• Instalação mínima privilegiando utilização de recurso computacional
• Desativação de Serviços Não Utilizados
• Instalação de Correções (Patches)
• Prevenção de abuso de recursos
• Processos de validação e homologação
• Segregação de ambientes na estrutura do cliente
• Transferência de recursos e conhecimento

Para softwares adquiridos de terceiros e utilizados em sistemas operacionais consideramos manter um nível de suporte contratado e metas de atendimento/entregas.

6.41 Plano de Continuidade dos Negócios

Para a continuidade das atividades da CNR TECNOLOGIA em casos de crises, incidentes ou desastres, aplicam-se a POL-SGI-002 · Política de Continuidade de Negócios e o PO-SGI-006 · Continuidade e Disponibilidade. O ambiente do Siello opera em ativo x ativo na região de Vinhedo, com recuperação de desastre na região de São Paulo.

6.42 Exclusão de Informações

As informações armazenadas em sistemas de informação, dispositivos ou em qualquer outra mídia de armazenamento devem ser excluídas quando não forem mais necessárias, seguindo o tempo de retenção de Dados de acordo com a instituição ou por regulamentação.

---

7. Procedimento

O usuário obriga-se a manter o mais completo e absoluto sigilo sobre quaisquer dados, informações, documentos, especificações técnicas ou comerciais, que venham ter conhecimento ou acesso em razão do exercício de suas funções.

Não é permitido sob qualquer circunstância, divulgar, revelar, reproduzir ou fornecer informações de posse ou propriedade da CNR TECNOLOGIA a entidades externas sem a aprovação da CNR TECNOLOGIA.

Cada usuário é responsável pela segurança dos dados e informações que estejam sob a sua custódia e por restringir e controlar o acesso de outros usuários a ele.

A preservação e a confidencialidade das informações armazenadas em sistemas de informação serão feitas mediante a utilização de senhas e de controles de acessos por usuários.

A senha de acesso é pessoal e intransferível, permitindo de maneira clara e indiscutível o reconhecimento de qualquer usuário.

O acesso à informação será permitido de acordo com a necessidade do usuário para desempenho de suas atribuições na CNR TECNOLOGIA, respeitando as regras específicas de controle de acesso.

A CNR TECNOLOGIA se reserva o direito de monitorar o tráfego efetuado através das suas redes de comunicação, sistemas ou recursos, incluindo o acesso à internet (que poderá ser rastreado ou restrito por endereço MAC) e o uso do e-mail corporativo (individualizado).

O conteúdo desta Política e demais normativas que a apoiam deve ser conhecido e cumprido por todos os usuários, que devem obrigatoriamente notificar de forma exclusiva e imediata a área de segurança da informação em caso de suspeita de violação das regras e falha na segurança da informação.

---

8. Classificação da informação

A informação da CNR TECNOLOGIA é classificada em quatro níveis, que correspondem ao cabeçalho dos documentos do SIG e aos rótulos utilizados no Microsoft 365. O tratamento de cada nível está detalhado no PO-TIC-002 · Classificação da Informação e na DOC-TIC-002 · Matriz de Classificação da Informação.

8.1 Confidencial

É toda informação associada a interesses relevantes da CNR TECNOLOGIA. Se revelada, pode trazer sérios prejuízos financeiros, impacto ao negócio ou à imagem da empresa, e requer medidas excepcionais de controle e proteção. São sempre confidenciais, mesmo sem marcação: dados pessoais e sensíveis, código-fonte, credenciais e estratégias comerciais e institucionais.

8.2 Interna e Restrita

É toda informação de uso interno, acessível aos colaboradores e prestadores da CNR TECNOLOGIA, que não deve ser divulgada ao público externo.

Restrita: é a informação interna cujo acesso é limitado às funções autorizadas pelo responsável, como registros de riscos, auditorias, avaliações de fornecedores e investigações.

Nota: os documentos que não estiverem classificados devem ser considerados, no mínimo, internos. Documentos impressos são cópias não controladas.

8.3 Público

Uma informação que não possui restrição de divulgação tanto para o público interno, como para o público externo. Outra categoria além da classificação citada acima, é a informação pessoal a qual não é considerada uma classificação, mas uma designação para uma informação de natureza privada (como por exemplo dados pessoais), significando que a informação é direcionada e que somente o destinatário pode ter acesso a ela. A designação pessoal pode ser usada em combinação com qualquer outra classificação de confidencialidade.

Para a informação ser pública, ela tem de estar formalmente classificada, caso contrário, minimamente será considerada como interna.

---

9. Exceções

Exceções a esta Política serão tratadas nos procedimentos específicos sobre cada um dos tópicos aqui abordados.

---

10. Penalidades

Qualquer descumprimento a esta Política será considerado uma violação do Código de Ética e Conduta da CNR TECNOLOGIA, e estará sujeito a diversas penalidades, de acordo com a CLT - Consolidação das Leis do Trabalho.

---

11. Termo de Confidencialidade

Pelo presente Termo, eu, colaborador(a) identificado(a) pelo meu login na plataforma EAD, declaro estar ciente e de acordo com as condições abaixo.

11.1 Informações confidenciais

São confidenciais todas as informações, em qualquer meio (escrito, digital, verbal ou visual), a que eu tiver acesso em razão das minhas atividades, incluindo, sem limitação: dados de clientes, dados pessoais, informações comerciais, financeiras e estratégicas, contratos, propostas, códigos-fonte, sistemas, credenciais, processos, projetos e documentos classificados como Confidenciais ou Internos.

11.2 Meus compromissos

• Usar as informações confidenciais exclusivamente para o desempenho das minhas atividades na empresa.
• Não divulgar, copiar, reproduzir, transmitir ou repassar informações confidenciais a terceiros não autorizados, inclusive familiares, ex-colegas e outras empresas.
• Não armazenar informações da empresa em dispositivos, contas de e-mail ou nuvens pessoais sem autorização.
• Proteger minhas credenciais de acesso e não compartilhá-las com ninguém.
• Comunicar imediatamente à Diretoria de TI, conforme o PO-TIC-004 · Gestão de Incidentes, qualquer perda, vazamento ou acesso indevido de que eu tome conhecimento.
• Devolver ou eliminar, ao término do vínculo, todos os documentos, arquivos e equipamentos que contenham informações da empresa.

11.3 Exceções

Não são consideradas confidenciais as informações que já sejam públicas sem culpa minha, ou cuja divulgação seja exigida por lei ou por ordem judicial — neste caso, comunicarei previamente a empresa, quando permitido.

11.4 Vigência

As obrigações deste Termo valem durante todo o vínculo com a empresa e permanecem por 5 (cinco) anos após o seu término; para dados pessoais e segredos de negócio, permanecem por prazo indeterminado.

11.5 Descumprimento

Estou ciente de que o descumprimento deste Termo pode resultar em medidas disciplinares, inclusive desligamento por justa causa, e em responsabilização civil e criminal, nos termos da legislação aplicável, incluindo a Lei nº 9.279/1996 e a Lei nº 13.709/2018 (LGPD).

Full policy

Texto vigente do POL-CPL-001 · Política Anticorrupção e Antissuborno, revisão 3.6, publicado na base de conhecimento da CNR TECNOLOGIA.

1. Finalidade

Esta política tem como objetivo assegurar que colaboradores e terceiros observem os requisitos das Leis Anticorrupção e Antissuborno, para que, durante a condução dos negócios em nome da CNR TECNOLOGIA sejam adotados os mais elevados padrões de integridade, legalidade e transparência. A presente política complementa as regras estabelecidas no Código de Ética e Conduta da CNR TECNOLOGIA e se fundamenta nas leis normas e regulamentos relacionados ao combate ao suborno e à corrupção, incluindo, mas não se limitando a: (a) legislação nacional especial, Lei n.º 12.846/2013 (Lei Anticorrupção) e o Decreto nº 11.129/2022 que a regulamentou; e, (b) Convenções e Pactos Internacionais dos quais o Brasil seja signatário.

---

2. Normas de referência

• Lei nº 12.846/2013 – Lei Anticorrupção (Lei do Brasil contrária a práticas, dentre outras, de corrupção ativa de agentes públicos ou pessoas relacionadas);
• Decreto Nº 11.192, DE 8 DE SETEMBRO DE 2022;
• Estatuto Social;
• Código de Ética e Conduta da CNR TECNOLOGIA;
• Norma ABNT Standard NBR ISO 19600:2014 – Sistema de Gestão de Compliance – Diretrizes;
• Norma ABNT Standard NBR ISO 37001:2025 – Sistema de Gestão Antissuborno – Requisitos com orientações para uso.

---

3. Âmbito de aplicação

Esta Política deve ser observada de forma integrada com todas as demais políticas da CNR TECNOLOGIA, sendo aplicável a todos os colaboradores, administradores, e conselheiros, independentemente de cargo ou funções exercidas, estendido, quando necessário, a terceiros, tais como, fornecedores, prestadores de serviços, agentes intermediários e associados.

---

4. Definições

Coisa de Valor – Significa dinheiro, presentes, viagens, entretenimento, ofertas de emprego, refeições e trabalho.

Compliance – O termo Compliance é originário do verbo, em inglês, “comply”, que significa cumprir, executar, satisfazer e realizar o que foi imposto conforme a legislação e regulamentação aplicável à CNR TECNOLOGIA e suas atividades, de acordo com o Código de Ética e Conduta e os instrumentos normativos.

Corrupção – É o efeito ou ato de corromper alguém ou algo, com a finalidade de obter vantagens em relação aos outros por meios considerados ilegais ou ilícitos.

Colaborador: Refere-se a todo e qualquer conselheiro, administrador, diretor e empregado que compõe o quadro da CNR TECNOLOGIA.

Suborno – Consiste no ato de induzir alguém, seja um Funcionário Público ou Terceiro, a qualquer ação ou omissão com objetivos ilegais, desonestos ou antiéticos, em proveito próprio ou de outro qualquer, oferecendo-lhe dinheiro, presentes, entretenimentos, benefícios, vantagens ou qualquer Coisa de Valor.

Due Diligence – É um processo de revisão das informações de uma organização, com o objetivo de validar e/ou confirmar oportunidades e riscos para o processo de negociação que se inicia.

ABNT NBR ISO 37001:2025– A norma “Sistemas de Gestão Antissuborno” visa suportar as organizações na sua luta contra a corrupção (ações anticorrupção), criando um modelo de integridade, transparência e conformidade.

Funcionário Público – São todos os servidores ou colaboradores do Governo, sejam ou não ocupantes de cargos eletivos, nas esferas dos poderes executivo, legislativo ou judiciário. O termo Funcionário Público inclui os membros da família de tais colaboradores, como por exemplo: cônjuge, companheiro, avós, pais, filhos, irmãos, sobrinhos e primos. Como esse termo é interpretado de forma ampla pelas autoridades anticorrupção, relacionamos abaixo alguns exemplos de categorias de indivíduos consideradas como Funcionário Público para efeito das Leis Anticorrupção e Antissuborno:

• Diretores, Colaboradores, agentes ou representantes oficiais ou fiscais de qualquer entidade governamental no âmbito nacional, estadual, regional, municipal ou local, inclusive eventuais dirigentes eleitos;
• Representantes de empresas públicas, bancos ou fundos de investimento públicos, sociedades de economia mista, autarquias, agências reguladoras, fundações públicas ou que sejam controladas pelo Governo de qualquer jurisdição;
• Qualquer pessoa física agindo, ainda que temporariamente, de forma oficial para ou em nome de qualquer Governo (como por exemplo, um consultor contratado por uma agência governamental);
• Candidatos a cargos políticos em qualquer nível, partidos políticos e seus representantes, bem como os políticos já eleitos; e
• Representantes de agências reguladoras de qualquer esfera;
• Sindicatos e associações de classe.

Governo – Qualquer entidade integrante da Administração Pública Direta ou Indireta, incluindo a União, os Estados, os Municípios e o Distrito Federal, bem como seus órgãos, ministérios, secretarias, áreas, subsecretarias, autarquias, empresas, instituições, agências e órgãos de propriedade ou controlados pelo Governo e outras entidades públicas.

Terceiro – Refere-se, mas não está limitado, a toda e qualquer pessoa física ou jurídica, que a CNR TECNOLOGIA se relacione ou venha a se relacionar, prestador de serviços, fornecedor, consultor, cliente, parceiro de negócio, terceiro contratado ou subcontratado, locatário, cessionário de espaço comercial, independentemente de contrato formal ou não, incluindo aquele que utiliza o nome da CNR TECNOLOGIA para qualquer fim ou que presta serviços, fornece materiais, interage com Funcionário Público, com o Governo ou com outros Terceiros em nome da CNR TECNOLOGIA no âmbito do contrato.

Leis Anticorrupção: Conjunto de leis e regulamentos anticorrupção, compreendendo o Código Penal Brasileiro, a Lei de Improbidade (Lei 8.429/1992) e a Lei 12.846, de 1º de agosto de 2013.

---

5. Diretrizes gerais

A presente Política proíbe toda e qualquer prática de suborno ou corrupção nos setores público ou privado, adotando a “tolerância zero”. Embora a Lei Anticorrupção Brasileira não aborde a questão de suborno para o setor privado, tais atos são rigorosamente proibidos nos termos do Código de Ética e Conduta da CNR TECNOLOGIA e nesta Política.

5.1 Suborno

1. Todos os Colaboradores e Terceiros que atuam em nome da CNR TECNOLOGIA estão proibidos dar, oferecer, pagar, prometer, autorizar ou receber pagamento de qualquer importância em dinheiro ou mesmo qualquer coisa de valor, benefícios, doações, presentes, empregos, favores ou qualquer vantagem direta ou indireta, ainda que sem valor financeiro advinda ou para qualquer pessoa, seja ela Funcionário Público ou não, visando influenciar ou recompensar qualquer ação, omissão, tratamento favorável ou decisão, que violem ou comprometam as diretrizes das Leis Anticorrupção e Antissuborno e da presente Política.

2. Nenhum Colaborador ou Terceiro será retaliado ou penalizado por relatos feitos de boa-fé ou com base em uma razoável convicção de violação ou suspeita de violação desta Política ou por se recusar a participar do suborno, mesmo que tal recusa possa resultar na perda de um negócio para a organização (exceto quando o indivíduo participou da violação).

3. A lei determina severas punições aos envolvidos incluindo penas privativas de liberdade (prisão), além de multas, indenizações pecuniárias importantes e limitação de direitos. As punições são aplicadas tanto para aqueles que solicitam, aceitam e/ou que recebem qualquer vantagem, como também para aqueles que oferecem, prometem, facilitam, entregam qualquer coisa de valor, favor ou vantagem, direta ou indireta.

4. Em caso de práticas ou suspeitas dessa natureza, os fatos devem ser imediatamente relatados aos superiores hierárquicos e/ou registrar a ocorrência junto aos canais de denúncia, conforme disposto no Código de Ética e Conduta da CNR TECNOLOGIA.

5.2 Brindes, Presentes e Hospitalidades

1. Não é permitido o recebimento/concessão de brindes, presentes e hospitalidades de/para qualquer pessoa, seja ela Funcionário Público ou não, como compensação real ou pretendida para obtenção de qualquer benefício ou vantagem à CNR TECNOLOGIA, a seus Colaboradores ou Terceiros.

2. A Norma de Brindes, Presentes e Hospitalidades dispõe de diretrizes e procedimentos específicos e todos os Colaboradores e Terceiros devem agir em conformidade com tal norma.

5.3 Pagamentos Facilitadores

1. A CNR TECNOLOGIA proíbe a negociação, oferta, promessa, viabilização, pagamento, autorização e realização de Pagamentos Facilitadores.

5.4 Terceiros

1. É política da CNR TECNOLOGIA a fazer negócios somente com Terceiros que tenham reputação e integridade ilibadas e que sejam qualificados tecnicamente;

2. A CNR TECNOLOGIA não admite, em hipótese alguma, que qualquer Terceiro exerça qualquer tipo de influência imprópria em benefício da CNR TECNOLOGIA sobre qualquer pessoa, seja ela Funcionário Público ou não;

3. A CNR TECNOLOGIA não admite a contratação de Terceiros que tenham relação indevida, direta ou indiretamente, com Funcionários Públicos.

4. Deve ser verificado previamente à contratação de Terceiro se este está envolvido, ainda que indiretamente, em práticas ilícitas ou de Corrupção, bem como se está sendo investigado, processado ou foi condenado por tais práticas;

5. Em todos os contratos firmados com Terceiros deve ser obrigatoriamente solicitada a inclusão da Cláusula Anticorrupção/Antissuborno. Qualquer alteração da referida cláusula deve ser aprovada pela área de Compliance.

6. A CNR TECNOLOGIA não admite nenhuma prática de Corrupção por parte de Terceiros que atuam em seu nome, mesmo que informalmente.

5.5 Processo de Compras

1. Todo processo de compras deve ser feito com base no mérito e não mediante o uso indevido de influência sobre qualquer pessoa, seja Funcionário Público ou não.

2. Durante o processo de concorrência, os Colaboradores não podem receber ou ofertar qualquer tipo de presente, vantagem, benefício ou entretenimento, de e/ou para qualquer pessoa, física

ou jurídica, seja Funcionário Público ou não.

5.6 Patrocínios, doações, contribuições para caridade ou projetos sociais

1. A política da CNR TECNOLOGIA veda quaisquer doações a qualquer pessoa física ou jurídica, Funcionário Público ou não, com o objetivo de influenciar, direta ou indiretamente uma decisão de negócios.

2. Doações a causas beneficentes devem ser realizadas apenas para instituições por razões filantrópicas legítimas, com interesses humanitários e de apoio.

3. Doações a partidos políticos, campanhas políticas e/ou candidatos a cargos públicos, com recursos da CNR TECNOLOGIA estão proibidas, conforme legislação em vigor.

4. As doações devem ser previamente aprovadas por escrito conforme estabelecido na Política de Alçadas.

5.7 Due Diligence

5.8 Pré-contratação

1. Previamente à contratação dos terceiros listados na Norma de Due Diligence de Terceiros, deve-se realizar um processo de Due Diligence para avaliar os antecedentes, reputação, qualificações, situação financeira, credibilidade e histórico de cumprimento das Leis Anticorrupção e Antissuborno;

2. O processo de Due Diligence de Terceiros deve ser conduzido de acordo com as diretrizes e procedimentos estabelecidos na Norma de Due Diligence de Terceiros.

5.9 Pós-contratação

1. Após a contratação dos Terceiros, é dever do Gestor responsável pela contratação acompanhar suas atividades, sempre atento a eventuais sinais de alerta ou de descumprimento às Leis Anticorrupção e Antissuborno.

2. Se o gestor souber ou tiver motivo legítimo para crer que um pagamento proibido pelas Leis Anticorrupção e Antissuborno ou por esta política tenha sido, esteja sendo ou possa ser feito ou prometido a um Terceiro ou Funcionário Público em nome da CNR TECNOLOGIA, direta ou indiretamente, você deve comunicar tal fato imediatamente aos canais de Compliance da CNR TECNOLOGIA.

5.10 Manutenção de Registros e Contabilização Precisa

1. É obrigação da CNR TECNOLOGIA e de seus Colaboradores manter livros, registros e contas refletindo, de forma detalhada, precisa e correta, todas as transações da CNR TECNOLOGIA. Para combater a Corrupção, é importante que as transações sejam transparentes, totalmente documentadas e classificadas para contas que refletem de maneira precisa e completa a sua natureza. Tentar camuflar um pagamento pode resultar em uma violação ainda pior do que o pagamento em si.

2. A CNR TECNOLOGIA deve assegurar que todas as suas transações/operações estejam totalmente documentadas, corretamente aprovadas e com a devida classificação contábil. Em hipótese alguma, documentos falsos ou enganosos devem constar dos livros e registros da CNR TECNOLOGIA.

3. A CNR TECNOLOGIA deve manter controles internos que ofereçam segurança de que:

• Todas as operações executadas são aprovadas por pessoas autorizadas.
• Todas as operações sejam adequadamente registradas para permitir a elaboração das demonstrações financeiras de acordo com os princípios contábeis geralmente aceitos ou qualquer critério aplicável a essas demonstrações, bem como para manter o correto controle dos ativos.
• O acesso aos ativos somente seja permitido de acordo com a aprovação geral ou específica da diretoria responsável por ele.
• Os ativos registrados sejam confrontados com os ativos existentes em intervalos razoáveis e que medidas apropriadas sejam tomadas em relação a quaisquer diferenças eventualmente apuradas.
• Se estiver ciente ou suspeitar que qualquer pessoa está, direta ou indiretamente, manipulando os livros e registros da CNR TECNOLOGIA ou tentando, de qualquer outra forma, escamotear ou camuflar pagamentos ou registros da CNR TECNOLOGIA, o colaborador deverá comunicar tal fato imediatamente através dos canais de Compliance da CNR TECNOLOGIA.

5.11 Fiscalizações de Autoridades

1. No contexto de procedimentos de fiscalização ou investigação conduzidas por Agentes Públicos, os Administradores, Colaboradores e Terceiros atuando em nome da CNR TECNOLOGIA não devem agir de forma a dificultar ou intervir na atuação dos Agentes Públicos.

2. Nenhuma promessa, oferta, vantagem indevida ou qualquer outra forma de influência ou interferência indevida, deve ser empreendida para burlar ou retardar a aplicação de leis e regulamentos.

3. Tais agentes devem ser recepcionados de forma respeitosa e objetiva.

4. Eventuais divergências de entendimentos entre a CNR TECNOLOGIA e as autoridades devem ser apresentadas e defendidas na forma legalmente prevista nas esferas administrativas e judiciais.

5. Caso haja qualquer ato ou abordagem estranha por autoridades, os membros e/ou representante da CNR TECNOLOGIA deverão, delicadamente, abandonar tal abordagem, e comunicar o departamento jurídico.

5.12 Licenças, Alvarás e Autorizações

1. A obtenção de quaisquer documentos para o funcionamento e operação legal das atividades da CNR TECNOLOGIA deve ser legítima e atender todos os requisitos legais e regulatórios.

2. Isso significa que a CNR TECNOLOGIA não poderá obter licenças, alvarás ou outras autorizações dos órgãos públicos/reguladores, que não tenha direito.

5.13 Auditoria e Monitoramento

1. A CNR TECNOLOGIA realizará periodicamente verificações para avaliar o cumprimento das Leis Anticorrupção e Antissuborno e desta política.

5.14 Conscientização e Treinamento

1. A CNR TECNOLOGIA mantém um programa de conscientização e treinamento antissuborno e anticorrupção para seus Colaboradores.

2. A Área de Compliance deve promover, de tempos em tempos, treinamentos sobre as políticas e as Leis Anticorrupção e Antissuborno, conflitos de interesse e sobre o Código de Conduta para os Colaboradores da CNR TECNOLOGIA e, eventualmente para Terceiros.

---

6. Responsabilidades

6.1 Presidente

1. Aprovar a presente Política e suas atualizações;

2. Garantir a correta implementação, monitoramento e a aplicação desta Política;

3. Disponibilizar recursos adequados e apropriados para a operação eficaz do sistema de gestão anticorrupção e antissuborno;

4. Estabelecer área de Compliance permanente, efetiva, independente, com acesso a qualquer informação ou área da Instituição e com recursos adequados;

5. Adotar medidas corretivas para tratamento de não conformidades identificadas.

6.2 À área de Compliance:

1. Estabelecer os procedimentos necessários para a implementação desta Política;

2. Conduzir investigação de irregularidades, com independência e amplo acesso a documentos e informações de diferentes áreas da organização;

3. Apresentar os resultados das apurações às instâncias competentes;

4. Esclarecer todas as dúvidas em relação à interpretação desta Política ou acerca de uma situação relacionada ao tema;

5. Realizar due diligence de Fornecedores, contratos e outros;

6. Disseminar por meio de treinamentos periódicos a Política Anticorrupção e Antissuborno;

7. Avaliar continuamente se o sistema de gestão antissuborno é adequado para gerenciar os riscos de suborno enfrentados pela CNR e se está sendo eficazmente implementado;

8. Reportar à Alta Direção, no mínimo anualmente e sempre que necessário (base ad hoc), a adequação e a implementação do sistema de gestão antissuborno, incluindo os resultados de investigações e de auditorias. O relato é apresentado na análise crítica e registrado em ata.

A instância de Compliance, representada por função de compliance antissuborno formalmente nomeado, tem total independência e autoridade de acordo com os requisitos desta Política e da Norma ISO 37001.

6.3 Area de Recursos Humanos:

1. Obter assinado Eletronicamente o Termo de Adesão à Política Anticorrupção e Antissuborno.

2. Disseminar em parceria com área de Compliance, por meio de treinamentos periódicos a Política Anticorrupção e Antissuborno.

6.4 Área de Compras e Contratos:

1. Encaminhar para a área de Compliance empresas fornecedoras para o processo de Due Diligence;

2. Incluir nos contratos firmados com terceiros as cláusulas anticorrupção.

---

7. Violações e sanções aplicáveis

1. É responsabilidade de todos os Colaboradores e Terceiros comunicar proativa e prontamente qualquer suspeita de violação desta política ou comportamento ilegal ou antiético que tenha conhecimento, incluindo, mas não limitado a situações em que um Colaborador ou outro Terceiro solicite ou pareça solicitar uma vantagem indevida e aos requisitos das Leis Anticorrupção e Antissuborno.

2. Independentemente de as comunicações serem identificadas ou anônimas, a CNR TECNOLOGIA irá tomar medidas, na extensão do permitido pela lei aplicável, para proteger a confidencialidade e anonimato de qualquer denúncia realizada.

3. A CNR TECNOLOGIA não permite que os seus colaboradores sofram retaliação, discriminação ou ações disciplinares (por exemplo, ameaças, isolamento, rebaixamento, impedimento de promoção, transferência, demissão, assédio, vitimização ou outras formas de intimidação) por: 1) recusar-se a

participar ou declinar de qualquer atividade em relação à qual tenha razoavelmente julgado que haja mais do que um baixo risco de suborno que não tenha sido mitigado pela organização; ou 2) preocupações levantadas ou relatos feitos de boa-fé ou com base em uma convicção razoável de tentativas, reais ou suspeitas de suborno ou de violação da política antissuborno ou do sistema de gestão antissuborno (exceto nos casos em que o indivíduo participou da violação);

4. As violações às Leis Anticorrupção e Antissuborno podem resultar em penalidades civis e criminais para a CNR TECNOLOGIA, para seus Colaboradores, Funcionário Público e/ou Terceiros envolvidos.

5. As eventuais multas impostas às pessoas físicas por violações às Leis Anticorrupção e Antissuborno não serão pagas pela CNR TECNOLOGIA.

---

8. Termo de comprometimento com a política anticorrupção e antissuborno

1. Todos os colaboradores dão o aceite, na plataforma EAD, ao Termo de Comprometimento com a Política Anticorrupção e Antissuborno e aos demais termos pertinentes. Adicionalmente, sempre que houver atualizações significativas no termo ou nas políticas a que ele se refere, é solicitado novo aceite para garantir que todos estejam cientes e de acordo com as mudanças.

2. O registro de aceite fica mantido na plataforma EAD;

3. O aceite do Termo de Comprometimento com a Política Anticorrupção e Antissuborno é condição para a continuidade do vínculo com a CNR TECNOLOGIA.

8.1 Declaração de Novos Colaboradores

1. Na admissão, o RH orienta o novo colaborador a dar o aceite, na plataforma EAD, ao Termo de Comprometimento com a Política Anticorrupção e Antissuborno;

2. O registro de aceite fica mantido na plataforma EAD.

3. O aceite do Termo de Comprometimento faz parte da integração do novo colaborador, conforme o PO-RH-001.

---

9. Disposições finais

9.1 Comunicação e disponibilidade

Esta Política é documento público e está disponível:

• a todo o pessoal da CNR, na base de conhecimento, com comunicação na admissão e a cada revisão;
• aos parceiros de negócio que representem mais do que um baixo risco de suborno, por envio formal no processo de due diligence e por referência em cláusula contratual;
• às demais partes interessadas pertinentes, por publicação no site da CNR TECNOLOGIA.

A Política é redigida e comunicada em português, idioma de trabalho da organização e de seus parceiros; quando houver parceiro que não domine o idioma, a função de compliance antissuborno providencia versão ou apresentação em idioma apropriado. As ações, os públicos e as periodicidades de comunicação estão na DOC-SGI-013 · Matriz de Comunicação.

Serão passíveis de punição disciplinar e responsabilização civil pelos prejuízos causados por sua ação, todos os colaboradores, prestadores, fornecedores, ou seja, todos aqueles que deixarem de observar as disposições desta Política.

---

10. Vedações específicas

10.1 Contribuições políticas

A CNR TECNOLOGIA não realiza contribuições políticas de qualquer espécie, a partidos políticos, candidatos ou comitês, em seu nome ou em seu benefício.

Esta vedação não impede que colaboradores participem do processo político ou façam contribuições pessoais. Nesse caso, é vedado associar a contribuição, a opinião ou a filiação à CNR TECNOLOGIA, bem como utilizar recursos, instalações, marca ou horário de trabalho da organização para esse fim.

10.2 Pagamentos facilitadores

São proibidos os pagamentos facilitadores — valores pagos a agente público para agilizar ou assegurar a execução de ato de rotina — realizados por colaboradores ou por parceiros de negócio, direta ou indiretamente, em nome da CNR TECNOLOGIA.

Situação de extorsão, com risco à vida, à integridade física ou à liberdade de pessoas, deve ser comunicada imediatamente à função de compliance antissuborno e registrada, com apuração conforme o procedimento de investigações de compliance.

10.3 Prevenção à lavagem de dinheiro

A CNR TECNOLOGIA cumpre a legislação de prevenção à lavagem de dinheiro e ao financiamento do terrorismo e mantém relacionamento comercial apenas com clientes e parceiros com atividade lícita comprovada. Atividades suspeitas são comunicadas imediatamente à função de compliance antissuborno, que avalia a necessidade de comunicação às autoridades competentes. A verificação integra a due diligence de terceiros.

---

11. Sinais de alerta (Red Point)

Red Point é o fato ou a circunstância que indica risco provável de suborno ou corrupção em uma operação, relação comercial ou contratação. Ao identificar um Red Point, o colaborador comunica imediatamente a função de compliance antissuborno ou utiliza o canal de denúncias.

São exemplos de Red Point, em lista não exaustiva:

OBSERVAÇÃO: ESTA NÃO É UMA LISTA EXAUSTIVA, PODEM OCORRER OUTRAS SITUAÇÕES:

• Operações envolvendo país, estado, pessoa jurídica ou física privada conhecido (a)s por pagamentos ou recebimentos corruptos;
• Pagamentos ou recebimentos oferecidos e efetuados em dinheiro;
• Presentes ou hospitalidade extravagantes ou luxuosos envolvendo uma Autoridade Pública;
• Pagamentos ou despesas documentadas de forma inadequada;
• Pedidos de Empregado ou Parceiro de Negócio para que uma operação administrativa seja estruturada e/ou realizada de maneira a disfarçar fatos relevantes da operação ou se esquivar de leis regulamentares;
• Parceiro de Negócio que solicite termos contratuais não usuais ou acordos de pagamentos que levantem preocupações nos termos das leis do Brasil e/ou leis locais (inclusive leis contra lavagem de dinheiro), tais como pagamento em dinheiro, pagamento em moeda de outro país, pagamento a um terceiro que não tenha nenhuma relação com a operação comercial, ou pagamento anterior à conclusão de um contrato de compra (ou qualquer outra forma de pagamento antecipado);
• Comissões ou honorários do Terceiro Intermediário que excedem a taxa habitual praticada para serviços semelhantes naquela área geográfica e/ou região, ou excedem, de maneira não razoável, as taxas pagas pela CNR por serviços semelhantes em qualquer outro lugar.

A identificação de um Red Point aciona a regra de tomada de decisão delegada descrita no Manual de Gestão Integrada: avaliação da função de compliance, decisão da Alta Direção, registro da justificativa e, quando o risco residual permanecer inaceitável, a não realização da operação ou o encerramento da relação.

Os Red Points identificados alimentam a Matriz de Análise de Riscos e a avaliação de riscos de corrupção.

---

---

12. Conflito de interesse

As regras de conflito de interesse — o que caracteriza, o que é vedado, como declarar e como a situação é tratada — estão no COD-CPL-001 · Código de Ética e Conduta, item 4.1.

A declaração continua sendo feita no formulário de Consulta sobre Conflito de Interesse (FO-CPL-001) na admissão e na transferência ou promoção, e o colaborador informa pelo mesmo formulário qualquer situação nova que surgir; a omissão de conflito de interesse é tratada como violação desta Política, conforme o capítulo 7.

---

13. Aprovação e vigência

Esta Política entra em vigor a partir de sua aprovação pela diretoria e será revisada sempre que necessário.

---

Full policy

Texto vigente do POL-CPL-002 · Política de Brindes, Presentes, Hospitalidades, Doações e Patrocínios, revisão 2.3, publicado na base de conhecimento da CNR TECNOLOGIA.

1. Objetivo

Esta política objetiva orientar o oferecimento e recebimento de brindes, presentes, entretenimentos e hospitalidades nas relações comerciais da empresa, estabelecendo diretrizes para evitar situações que possam gerar favorecimentos, ofertas ou recebimentos de vantagens indevidas.

Suas disposições devem ser interpretadas em conjunto com as diretrizes de conduta estabelecidas no Código de Ética e Conduta da CNR TECNOLOGIA e na sua Política Anticorrupção.

---

2. Abrangência

As diretrizes estabelecidas nesta política deverão ser seguidas por todos os integrantes da CNR TECNOLOGIA, independente de cargos ou função, parceiros comerciais e clientes.

---

3. Definições

Brinde: objeto que não tenha valor comercial e seja distribuído como cortesia, propaganda ou divulgação da marca, regularmente ou em comemorações, que tenha caráter geral e sem influenciar o recebedor.

Presente: objeto ou serviço oferecido como cortesia, para uso ou consumo pessoal, com valor de mercado e não seja brinde.

Entretenimento: festas, gincanas, confraternizações em datas comemorativas da empresa ou feriados, shows artísticos, eventos sociais, esportivos ou de negócios, como feiras e exposições.

Hospitalidade: hospedagem, refeições, transportes, incluindo qualquer tipo de deslocamento, para viabilizar a participação em algum entretenimento.

Vantagem Indevida: qualquer vantagem, econômica ou não, como dinheiro, valores, bens móveis e imóveis, presentes, hospitalidades, cortesias, serviços e favores, oferecidos, prometidos ou entregues com o objetivo de influenciar ou recompensar qualquer ato ou decisão de um agente público (ou terceiro com quem se relacione) ou agente privado.

---

4. Diretrizes

A CNR TECNOLOGIA entende que a oferta e o recebimento de brindes, presentes, entretenimento e hospitalidades é considerada um ponto positivo e uma prática comum de negócios, mas deve ser tratada com cautela, pois também pode ser um facilitador de condutas corruptas. Nesse sentido, a prática é permitida pela empresa respeitadas as condições previstas nesta política.

Brindes:

É permitida a aceitação ou oferecimento de brinde pelos integrantes desde que sejam promocionais, públicos, não exclusivos, sem valor comercial, em relacionamentos com agentes públicos ou entes privados, não podendo ultrapassar o valor de R$ 50,00 (cinquenta reais) - valor de referência.

Se o brinde ultrapassar o valor de referência, deverá ser recusado ou não ofertado e a Equipe de Compliance deverá ser informada.

Não é permitido oferecer ou receber brindes quando:

• o motivo ou a intenção for influenciar ações ou decisões de agente público ou privado objetivando obter uma vantagem indevida.
• houver expectativa de retribuição de alguma forma.
• for condição para algum negócio em curso ou com potencial para ser concretizado.

Presentes e Entretenimentos:

É proibido aos integrantes da CNR TECNOLOGIA oferecer, fornecer ou receber presentes e entretenimentos:

• de qualquer espécie e em qualquer circunstância a agente público.
• de qualquer espécie e em qualquer situação a pessoa física ou jurídica.
• se existir outro benefício relacionado a estes sem a devida aprovação, por escrito, do Diretor Presidente e da Equipe de Compliance.
• se o motivo ou a intenção influenciar uma decisão.
• de qualquer valor que seja direcionado a pessoas envolvidas em processo de licitação em que a CNR TECNOLOGIA faça parte.
• se houver expectativa de retribuição ou for condição para realização de um negócio.
• se houver desconforto ou constrangimento pessoal.
• para fazer ou deixar de fazer algo em benefício de terceiro ou da empresa.
• se puder afetar a imagem ou reputação da CNR TECNOLOGIA na divulgação ou justificativa do seu recebimento.
• em dinheiro ou qualquer forma de pecúnia.
• se o valor estiver fora dos padrões aceitáveis nas relações comerciais.
• de forma frequente à ou da mesma pessoa ou organização.

No caso de ser abordado para receber um presente ou oferta de entretenimento, o integrante deverá agradecer e recusar com cortesia, explicando que a política da CNR TECNOLOGIA não permite o recebimento.

Se for encaminhado sem o conhecimento do integrante e a oportunidade de recusa, o presente deverá ser encaminhado a Equipe de Compliance para, juntamente com o Diretor Presidente, decidir se será devolvido acompanhado de uma mensagem de agradecimento ou será sorteado internamente.

A CNR TECNOLOGIA somente permite aos seus integrantes dar ou receber presentes ou entretenimentos de valor modesto ou simbólico, tanto isolado quanto em conjunto com outros presentes ou serviços, para fins promocionais e em datas e celebrações festivas, por entender que no meio coorporativo essa prática é considerada uma gentileza.

Quando o entretenimento for promovido pela CNR TECNOLOGIA, a seleção ou lista de convidados deverá ser aprovada previamente pela Equipe de Compliance, considerando a existência ou não de conflitos de interesses, dentre outros aspectos.

Hospitalidades:

Os pagamentos ou recebimentos de hospitalidades e refeições ocorrerão de acordo com os seguintes parâmetros:

• somente as despesas com hospitalidade em visitas de negócio com requisitos técnicos serão arcadas pelo CNR TECNOLOGIA.
• o pagamento das despesas de hospitalidades será aceito pela CNR TECNOLOGIA somente quando seus integrantes realizarem viagens técnicas, não custeadas por ela.
• deverá ser considerada a real oportunidade de negócio ou contrato comercial.
• se o convite foi restrito à CNR TECNOLOGIA ou se outros profissionais ou empresas também foram convidados.
• a hospitalidade deve ser oferecida ou recebida em nome da CNR TECNOLOGIA para/de pessoa jurídica.
• se tem propósito corporativo e não incluiu atividades com caráter de lazer.
• se a oferta ou recebimento ocorre durante negociações de contratos ou em período de tomada de decisões.

Os gastos com hospitalidades devem estar alinhados com as Políticas de Viagem e de Reembolso da CNR TECNOLOGIA e não são destinados aos familiares do integrante nem a pessoas ligadas ao beneficiário de pessoa jurídica.

É permitido à Diretoria o pagamento de refeições para tratar de negócios do interesse da CNR TECNOLOGIA, mas devem ser comprovados com relatório de despesas ou a prestação de contas do cartão de crédito corporativo. O valor das refeições deve ser razoável e proporcional ao objetivo do evento. É proibido pagar refeições para agentes públicos.

O recebimento ou pagamento de hospitalidades somente ocorrerá com a aprovação prévia da função de compliance antissuborno e do Diretor Presidente da CNR TECNOLOGIA, devendo ser registrado no FO-CPL-003 · Registro de Brindes, Presentes e Hospitalidades para manter controle interno.

Os integrantes da CNR TECNOLOGIA não estão autorizados a oferecer ou receber hospitalidades para/de agentes públicos ou seus familiares.

---

5. Considerações finais

Os brindes, presentes ou entretenimento deverão ser oferecidos somente em nome da CNR TECNOLOGIA e não a título pessoal.

Suspeitas de tentativa de suborno na utilização de brindes, presentes, entretenimento ou hospitalidades, por parte de integrantes, parceiros comerciais ou clientes da CNR TECNOLOGIA devem ser informadas imediatamente à Equipe de Compliance ou no Canal de Denúncia.

É competência da Equipe de Compliance fazer as alterações desta política quando for necessário.

Esta Política entra em vigor na data de sua aprovação pelo Diretor Presidente.

---

---

6. Doações e patrocínios

A CNR TECNOLOGIA apoia contribuições às comunidades em que atua e autoriza doações e patrocínios razoáveis, desde que não sejam usados para influenciar indevidamente decisões comerciais nem como forma indireta de pagamento a agente público.

Regras aplicáveis

• Toda doação ou patrocínio exige aprovação prévia da Diretoria e parecer da função de compliance antissuborno.
• O beneficiário passa por due diligence, conforme o procedimento de due diligence, para verificar sua existência legal, idoneidade e eventual vínculo com agente público relacionado a decisão de interesse da CNR.
• Doação ou patrocínio não pode ser realizado enquanto houver contrato, licitação ou decisão de interesse da CNR pendente junto ao beneficiário ou a pessoa a ele relacionada.
• A contribuição abrange dinheiro, serviços e qualquer outro item de valor, e deve ser registrada corretamente nos livros e registros contábeis, com documentação de suporte.
• É vedada doação ou patrocínio em dinheiro vivo ou a beneficiário que não possa ser identificado.
• Contribuições políticas são proibidas, conforme a Política Anticorrupção e Antissuborno.

7. Critérios aplicáveis a qualquer brinde, presente ou hospitalidade

Além dos limites dos capítulos anteriores, o item oferecido ou recebido deve atender a todos os critérios abaixo:

• não ter o objetivo de obter ou reter vantagem comercial imprópria, nem configurar troca de favores;
• não ser oferecido a agente público, pessoa física ou jurídica quando houver contrato, licitação ou decisão de interesse da CNR pendente;
• não ser em dinheiro ou equivalente;
• não ser luxuoso ou extravagante, mantendo-se em valor modesto frente à prática local;
• ser esporádico, sem habitualidade com o mesmo destinatário;
• não incluir despesas de familiares do destinatário;
• ser oferecido de maneira aberta e transparente, com registro no FO-CPL-003;
• estar relacionado à promoção, demonstração ou explicação dos produtos e serviços da CNR;
• estar em conformidade com a legislação aplicável;
• estar documentado, com recibos e comprovantes correspondentes.

Full policy

Declaração eletrônica correspondente ao FO-CPL-002 · Declaração de Compliance Antissuborno, revisão 1.2, publicado na base de conhecimento da CNR TECNOLOGIA. A identificação do declarante, a data e a hora do aceite são registradas automaticamente por esta plataforma.

Declaração

Declaro, para os devidos fins, que:

1. recebi, li e compreendi o COD-CPL-001 · Código de Ética e Conduta e a POL-CPL-001 · Política Anticorrupção e Antissuborno da CNR TECNOLOGIA;
2. cumpri integralmente, no período a que se refere esta declaração, a política antissuborno e os demais requisitos do sistema de gestão antissuborno;
3. não ofereci, prometi, dei, solicitei nem aceitei, direta ou indiretamente, qualquer vantagem indevida a agente público ou a pessoa ou entidade do setor privado;
4. não tenho conhecimento de ato de suborno ou corrupção praticado por pessoa da CNR ou por parceiro de negócio que eu tenha deixado de reportar;
5. estou ciente de que o descumprimento sujeita a medidas disciplinares, conforme o PO-RH-003, sem prejuízo da responsabilização civil, administrativa e criminal.

Situação que mereça registro

Se houve, no período, alguma situação que mereça registro, comunique-a à função de compliance antissuborno ou pelo canal de denúncias antes de dar o aceite.

Periodicidade

Período de referência: ano de 2026. Esta declaração é feita na admissão, anualmente e quando houver revisão relevante do Código ou da Política Anticorrupção e Antissuborno.