Visão Geral - Renner

1. Como a Lojas Renner S.A. trata questões de segurança da informação?

A segurança das informações é um dos pilares da Lojas Renner S.A., fazendo parte dos compromissos fundamentais do Código de Conduta. A Companhia possui grande foco na mitigação de riscos cibernéticos e na proteção de dados confidenciais e dados pessoais. Neste sentido, possui uma Política de Segurança da Informação formal, uma Política de Privacidade e Proteção de Dados Pessoais formal e publicada, duas áreas estruturadas que atuam com Cyber Segurança, a Área técnica de Segurança da Informação, da Diretoria de TI, e a área de Riscos e Compliance de Segurança da Informação, da Diretoria de Riscos, um Comitê de Riscos Cibernéticos e Fraudes multidisciplinar e a área de Compliance Corporativo possui uma vertical dedicada para Privacidade e Proteção de Dados Pessoais.

Essas equipes realizam reportes periódicos para o Comitê de Auditoria e Gestão de Riscos (CAGR), onde 100% dos integrantes são conselheiros independentes.

2. Como a Lojas Renner S.A. se protege de ataques cibernéticos?

Um dos principais riscos e que mais tem desafiado as empresas nos últimos tempos é o risco de ataques e intrusão por hackers (ou crackers).

Nas linhas de defesa, a Renner possui processos diversos, com três macro estruturas principais de operação calçadas em empresas parceiras especializadas: (i) SOC – Security Operation Center voltado à proteção do perímetro de Internet, correlação de eventos e resposta a incidentes; (ii) Ethical Hacking com testes de intrusão recorrentes no ambiente; e (iii) Brand Protection, voltado à monitoração das principais marcas da Lojas Renner S.A. na Internet.

A Companhia possui uma estrutura de Gestão de Riscos Cibernéticos e Gestão de Vulnerabilidades tecnológicas e conta com um seguro cibernético desde 2020.

3. Como a Lojas Renner S.A. protege os dados dos clientes?

O risco de vazamento de informações é, sem dúvida, um desafio relevante enfrentado pelas grandes empresas, especialmente por grandes redes varejistas.

A Renner possui grande foco na proteção dos dados dos clientes, sendo, desde 2012, anualmente recertificada no PCI DSS (Payment Card Industry Data Security Standard), padrão das bandeiras (Visa, Master e outras) para proteção de dados de cartões de crédito e débito dos clientes. São utilizadas pela Renner técnicas de proteção de dados nas bases de dados e funcionalidades de DLP (Data Loss Prevention) ativas para a monitoração e prevenção do vazamento de dados confidenciais e dados pessoais.

4. Como a Lojas Renner S.A. cuida a privacidade dos dados dos clientes?

A Lojas Renner S.A. possui um Programa de Governança em Privacidade estruturado e em constante evolução, alinhado às legislações de proteção de dados aplicáveis e às melhores práticas de mercado, incluindo a certificação na norma ISO/IEC 27701, que reforça o compromisso da Companhia com a gestão sistemática da privacidade e da segurança da informação.

Desde a promulgação da Lei Geral de Proteção de Dados (LGPD), a Companhia estruturou um amplo movimento de adequação de suas operações de tratamento de dados pessoais, consolidando uma abordagem consistente e integrada ao negócio. Esse movimento resultou na consolidação de uma estrutura dedicada dentro da Diretoria Jurídica, responsável por estabelecer diretrizes, apoiar as áreas de negócio e assegurar a gestão contínua da conformidade em privacidade.

A atuação da área de Proteção de Dados está inserida em um modelo de governança mais amplo, que contempla práticas como inventário de dados, avaliação de riscos, monitoramento contínuo, gestão de incidentes, atendimento aos direitos dos titulares e homologação de parceiros, assegurando uma abordagem estruturada, preventiva e orientada à mitigação de riscos.

Como parte desse modelo, a Companhia adota o conceito de Privacy by Design, que estabelece que a privacidade e a proteção de dados devem ser consideradas desde a concepção de qualquer sistema, processo, produto ou iniciativa, e ao longo de todo o seu ciclo de vida. Essa abordagem garante que decisões relacionadas ao uso de dados sejam tomadas de forma preventiva, segura e alinhada às finalidades informadas.

Adicionalmente, a Lojas Renner S.A. investe continuamente na disseminação da cultura de privacidade, por meio de treinamentos, comunicações e iniciativas internas. Nesse contexto, conta com uma rede de Agentes de Privacidade distribuídos em diversas áreas da organização, que atuam como pontos focais para apoiar a aplicação das diretrizes, fortalecer a conscientização e garantir que a privacidade esteja integrada às rotinas e decisões do dia a dia.

Esse conjunto de iniciativas reforça o compromisso da Companhia em tratar dados pessoais de forma ética, transparente e segura, promovendo confiança nas relações com seus clientes e demais partes interessadas.

5. Como a Lojas Renner S.A. gerencia as identidades e acessos?

Outro desafio é o gerenciamento das identidades e acessos sistêmicos (IAM – Identity and Access Management) também conhecido como o “Triple A” da segurança da informação: authentication, authorization, and accounting. Riscos referentes a deficiências em controles internos neste sentido são comumente apontado por auditorias internas e externas em organizações de todos os portes.

A Lojas Renner S.A. possui uma plataforma de gestão das identidades e acessos dos seus colaboradores e empresas parceiras que cobre os sistemas mais relevantes e a grande maioria das contas de acesso. A plataforma se utiliza de premissas de matriz de acessos baseadas em funções (RBAC – Role-Based Access Control), Single Sign-On e processos complementares.

6. Como a Lojas Renner S.A. endereça o “security awareness” das pessoas?

Pesquisas de mercado apontam que grande parte dos incidentes de segurança são causados por pessoal interno ou terceiros que possuem acesso autorizado à rede e a dados confidenciais e dados pessoais.

A Lojas Renner S.A. considera que os seus colaboradores e os colaboradores das empresas parceiras formam o elo mais importante da rede de proteção das informações no nosso ecossistema. O nosso valor corporativo Gente (“contratar, desenvolver e manter as melhores pessoas”) reforça este ponto. Neste sentido, possuímos um programa corporativo, desenvolvido conjuntamente com a área de Gente e Desenvolvimento, voltado à educação e conscientização em segurança da informação, que conta com:

Plano de Segurança da Informação: o programa conta com palestras de segurança da informação no processo de integração (Boas Vindas) para novos colaboradores realizado mensalmente; uma semana anual dedicada para conscientização em segurança da informação denominada Cyber Week possuindo uma série de palestras e atividades sobre o tema; um Programa de Segurança da Informação disponibilizado online na Universidade Renner; bem como campanhas de educação recorrentes sobre temas como riscos cibernéticos, phishing, cuidado com senhas, classificação da informação, security by design, entre outros. Também são realizados treinamentos anuais de conscientização de segurança da informação para parceiros.
Plano de Privacidade e Proteção de Dados Pessoais: temos também um plano desenvolvido com os principais pontos a serem observados em virtude da LGPD. Nele constam diversos conteúdos relacionados ao tema e as seguintes trilhas:
LGPD
LGPD Avançado
Ciclo de Vida do Dado Pessoal
Privacy by Design

A Companhia, seus acionistas, administradores, membros do Conselho Fiscal (efetivos e suplentes), obrigam-se a resolver, por meio de arbitragem, perante a Câmara de Arbitragem do Mercado, na forma de seu regulamento, qualquer controvérsia que possa surgir entre eles, relacionada com ou oriunda da sua condição de emissor, acionistas, administradores, e membros do Conselho Fiscal, em especial, decorrentes das disposições contidas na Lei nº 6.385/76, na Lei nº 6.404/76, neste Estatuto Social, nas normas editadas pelo Conselho Monetário Nacional, pelo Banco Central do Brasil e pela Comissão de Valores Mobiliários, bem como nas demais normas aplicáveis ao funcionamento do mercado de capitais em geral, além daquelas constantes do Regulamento do Novo Mercado, dos demais regulamentos da B3 e do Contrato de Participação no Novo Mercado.

O tribunal arbitral será composto por 3 (três) árbitros, nomeados nos termos do Regulamento de Arbitragem da Câmara de Arbitragem do Mercado.

A sede da arbitragem será o Município de São Paulo, Estado de São Paulo, Brasil. A língua da arbitragem será o português. A arbitragem será processada e julgada de acordo com o Direito brasileiro.

Sem prejuízo da validade desta cláusula arbitral, o requerimento de medidas cautelares e de urgência pelas partes, antes de constituído o tribunal arbitral, poderá ser remetido ao Poder Judiciário. A partir da constituição do tribunal arbitral, todas as medidas cautelares ou de urgência deverão ser pleiteadas diretamente a este, ficando este desde já autorizado a manter, revogar ou modificar as medidas cautelares e de urgência anteriormente requeridas ao Poder Judiciário.