A Swift Skis oferece esquis personalizados por um site. Ela tem contrato com a FastSales, um comerciante varejista da Internet, para receber e processar todos os pedidos. Para cada transação, a Swift Skis envia a FastSales um número de pedido e as especificações de produto e armazenar todas as outras informações do cliente. Assim que o período de devolução de 60 dias, a contar da data do envio de um pedido, tiver passado, a FastSales exclui todos os dados de transação relacionados coletados no site. Qual das declarações a seguir é verdadeira essa situação?

Alternativas A e B

O cenário apresentado envolve gestão de dados, responsabilidade corporativa e governança de TI. A análise correta requer identificar onde residem as obrigações legais e operacionais entre a empresa (Swift Skis) e o parceiro terceirizado (FastSales).

Análise Detalhada

Vamos examinar cada afirmação à luz dos princípios de Privacidade de Dados e Gestão de Informações (RIM):

• Opção 1 (Correta): "Os pedidos do cliente incluem informações de identificação pessoal que podem implicar em regras de privacidade e proteção de dados."
• Justificativa: Qualquer pedido de compra para entrega física exige nome, endereço, telefone e email. Isso configura Dados Pessoais Identificáveis (PII). Sob leis como a LGPD (Brasil) ou GDPR (Europa), a coleta e processamento desses dados estão sujeitos a regras estritas de consentimento e segurança.
• Opção 2 (Correta): "Os dados da transação constituem um registro que a Swift Skis deve gerenciar de acordo com suas políticas de RIM."
• Justificativa: A Swift Skis é a entidade responsável pela venda e pelo produto. Mesmo que um terceiro processe o pagamento ou armazene logs temporários, a Swift Skis mantém a responsabilidade final pelos registros financeiros e fiscais. Ela deve garantir que seus próprios registros de vendas sejam mantidos conforme suas políticas de Retenção de Documentos (RIM) para fins legais e auditoria.
• Opção 3 (Incorreta): "A FastSales pode gerenciar os dados de transação de acordo com suas próprias políticas de RIM..."
• Justificativa: Um fornecedor terceirizado (processador) deve operar estritamente de acordo com as instruções e contratos estabelecidos pela empresa contratante (controladora). Se a política da FastSales excluir dados em 60 dias, mas a lei exigir retenção por 5 anos para fins fiscais, a FastSales estaria violando o acordo se agisse apenas por sua própria política sem considerar a exigência da Swift Skis.
• Opção 4 (Incorreta): "A Swift Skis não pode terceirizar suas funções de negócios a um terceiro como a FastSales."
• Justificativa: A terceirização de funções logísticas, de processamento de pagamento ou atendimento ao cliente é uma prática comercial padrão e permitida. O que muda é a necessidade de due diligence e contratos claros de segurança, não a proibição da ação.

Conclusão

As alternativas corretas são as que reconhecem a existência de dados sensíveis na operação e a responsabilidade contínua da empresa principal (Swift Skis) na gestão de seus registros, independentemente do uso de serviços externos.