Brasil Refinarias Ltda, inscrita en el CNPJ bajo el nº 08.839.018/0001-93, con sede en Via Periférica I, 98999, Cia Sul, Simões Filho, Bahía, establece esta Política de Protección de Datos Personales en conformidad con la Ley nº 13.709/2018 (Ley General de Protección de Datos – LGPD) y normas correlatas, con el objetivo de orientar, de forma clara y transparente, los principios, directrices y prácticas adoptadas en el tratamiento de datos personales en nuestras actividades corporativas y en los entornos digitales bajo nuestra gestión.

Esta Política se aplica a candidatos, colaboradores y pasantes, prestadores de servicios y proveedores, visitantes de las instalaciones, clientes y potenciales clientes, representantes de organismos públicos y demás titulares que interactúen con nosotros por medios físicos o digitales; abarca operaciones como reclutamiento y selección, gestión de contratos y asociaciones, seguridad patrimonial y de procesos (incluyendo control de acceso y videovigilancia), atención a demandas regulatorias sectoriales y ambientales, comunicaciones institucionales y actividades de soporte administrativo, financiero, jurídico y de compliance. Adoptamos y publicamos los principios de la LGPD como bases de nuestra actuación: finalidad determinada y legítima para cada tratamiento; adecuación del uso a la finalidad informada; necesidad (minimización de datos); libre acceso y transparencia para que el titular conozca cómo son tratados sus datos; calidad y exactitud de los datos; seguridad y prevención contra incidentes; no discriminación; responsabilidad y rendición de cuentas con gobernanza, controles y evidencias.

El tratamiento de datos personales observa hipótesis legales previstas en la LGPD, según corresponda:

• Ejecución de contratos o de procedimientos preliminares a petición del titular;

• Cumplimiento de obligación legal o regulatoria (inclusive ante ANP, autoridades ambientales y fiscales); ejercicio regular de derechos en proceso judicial, administrativo o arbitral;

• Protección de la vida o de la integridad física del titular o de un tercero;

• Tutela de la salud en procedimientos realizados por profesionales y servicios de salud; atención a intereses legítimos de la controladora o de terceros, respetando la finalidad legítima, la expectativa del titular y la minimización de riesgos;

• Consentimiento libre, informado e inequívoco del titular, cuando exigido.

El eventual tratamiento de datos sensibles (por ejemplo, información de salud relacionada con medicina ocupacional, datos biométricos para control de acceso, afiliación sindical cuando sea necesaria para obligaciones laborales) ocurrirá solamente en las hipótesis legales aplicables y con salvaguardas adicionales de seguridad y acceso restringido. Recopilamos datos a través de formularios y sistemas internos, canales digitales (sitios web, hotsites, páginas de carreras), integraciones con proveedores de tecnología y registros operacionales de la planta; entre los datos tratados, dependiendo de la interacción, pueden estar: identificación y contacto, datos profesionales y académicos, registros de asistencia y acceso, imágenes de cámaras de vigilancia en áreas señalizadas, datos de dispositivos y de navegación según lo descrito en nuestra Política de Cookies, datos bancarios y fiscales para ejecución contractual, y metadatos generados por sistemas de seguridad e integridad operacional.

Utilizamos los datos para finalidades específicas, tales como: administrar la relación con candidatos, colaboradores, proveedores y clientes; calificar y homologar terceros; cumplir obligaciones legales, regulatorias y contractuales; velar por la seguridad de las personas, del patrimonio y de las operaciones; realizar auditorías, investigaciones internas, gestión de riesgos y prevención de fraudes; mejorar procesos y servicios con base en indicadores y estadísticas; conducir comunicaciones institucionales y acciones de relacionamiento cuando sea pertinente y permitido; responder a solicitudes de titulares y de autoridades; y soportar decisiones legítimas de negocio con datos agregados y anonimizados cuando sea posible. Compartimos datos personales estrictamente en la medida necesaria y con garantías adecuadas con: prestadores de servicios que actúan como operadores en nuestro nombre (por ejemplo, hospedaje y nube, gestión de RRHH, medicina y seguridad del trabajo, control de acceso y CCTV, proveedores de correo electrónico y atención, herramientas de análisis), empresas del mismo grupo económico para fines de gobernanza y administración, instituciones financieras y aseguradoras cuando sea necesario, socios técnicos involucrados en proyectos y licencias, y autoridades públicas según exigencia legal u orden oficial; en operaciones societarias (fusiones, adquisiciones o reestructuraciones), los datos podrán ser compartidos con terceros involucrados, observando el deber de confidencialidad y la continuidad del nivel de protección.

En caso de transferencia internacional, adoptaremos mecanismos válidos en ley, como cláusulas contractuales específicas, evaluación del nivel de protección del país de destino o consentimiento del titular cuando sea aplicable. Mantenemos los datos por el período estrictamente necesario para el cumplimiento de las finalidades informadas, el cumplimiento de obligaciones legales y regulatorias, la preservación de derechos y la rendición de cuentas; agotadas las finalidades y plazos, promoveremos la eliminación o anonimización, salvo en hipótesis legales de conservación. Implementamos medidas técnicas y administrativas aptas para proteger los datos contra accesos no autorizados y situaciones accidentales o ilícitas de destrucción, pérdida, alteración, comunicación o difusión, incluyendo controles de acceso basados en perfil, encriptación en tránsito y/o en reposo cuando sea aplicable, hardening de infraestructura, gestión de vulnerabilidades, backup y recuperación, registro de logs, segregación de ambientes y entrenamientos periódicos; mantenemos un plan de respuesta a incidentes y, en caso de una ocurrencia que pueda acarrear riesgo o daño relevante, comunicaremos a la ANPD y a los titulares afectados, en los términos del art. 48 de la LGPD.

Adoptamos prácticas de gobernanza en privacidad, tales como:

• Nombramiento de un Encargado (DPO) como canal de comunicación con titulares y la ANPD;

• Evaluación de impacto a la protección de datos (EIPD) cuando sea pertinente;

• Privacy by design y by default en proyectos y sistemas;

• Política de clasificación y retención de información; contratos con operadores y cláusulas específicas de protección de datos; registros de las operaciones de tratamiento, especialmente cuando se basan en interés legítimo; y auditorías y monitoreo de conformidad con generación de evidencias.

El titular posee, en los términos del art. 18 de la LGPD y demás disposiciones aplicables, derechos de confirmación de la existencia de tratamiento, acceso, corrección de datos incompletos, inexactos o desactualizados, anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados en desconformidad, portabilidad, información sobre compartimientos y sobre la posibilidad de no proporcionar consentimiento y sus consecuencias, revocación del consentimiento y revisión de decisiones tomadas únicamente con base en tratamiento automatizado que afecten sus intereses, observados los secretos comercial e industrial y los límites técnicos y jurídicos; las solicitudes podrán ser realizadas por nuestros canales y recibirán respuesta en un plazo razonable, observando, cuando sea aplicable, el plazo de hasta 15 (quince) días para declaración completa previsto en el art. 19 de la LGPD. En relación a niños y adolescentes, no realizamos recolección intencional de datos sin la debida autorización y participación de los responsables, cuando se exige; en las dependencias físicas, las áreas con videovigilancia están señalizadas. El uso de cookies y tecnologías similares se rige por nuestra Política de Cookies, en la cual usted puede gestionar preferencias y consentimientos; esta Política debe ser leída conjuntamente con nuestra Política de Privacidad, que detalla las categorías de datos recopilados en canales digitales, bases legales y formas de ejercicio de derechos. Para ejercer derechos, aclarar dudas, reportar un incidente de seguridad, enviar manifestaciones o contactar al Encargado del Tratamiento de Datos Personales (DPO), utilice el correo electrónico [ti@brasilrefino.com.br] o la dirección indicada al inicio de esta Política; al comunicarse, describa su solicitud con claridad, adjunte documentos que comprueben su identidad e informe, cuando sea aplicable, fechas, contextos y sistemas involucrados en el tratamiento cuestionado; es facultativo al titular peticionar en relación a sus datos ante la ANPD.

Esta Política podrá ser actualizada para reflejar cambios legislativos, regulatorios, tecnológicos, organizacionales o de nuestros procesos; la nueva versión entrará en vigor en la fecha de publicación e indicará la “fecha de actualización”; en caso de que cambios relevantes exijan un nuevo consentimiento, lo informaremos de manera apropiada. El uso continuo de nuestros entornos físicos y digitales después de la publicación de la nueva versión representará la ciencia de las modificaciones, sin perjuicio de los derechos asegurados por la LGPD.

Fecha de actualización: 29 de agosto de 2025.