Privacy Policy

To establish the principles, general guidelines, and the commitments related to the privacy and protection of the personal data handled by Petro Rio S.A. (“PRIO” or “Company”), aiming at protecting the rights of the holders of personal and sensitive data, in a transparent manner and in accordance with the parameters provided by the Brazilian legislation.

This Policy is applicable to all the Company’s departments, managements, coordinators and supervisors, including those of its subsidiaries and controlled companies. All PRIO employees, including directors, officers, employees, suppliers, service providers, customers, and other business partners must be committed and are responsible for disseminating and practicing the guidelines contained herein.

-Code of Ethics and Conduct

-Information Security Policy

-General Law of Personal Data Protection (“LGPD”) – Law No. 13,709/2018

Definitions and acronyms necessary to document understanding. National Data Protection Authority (“ANPD”): Independent body and part of the Executive Branch of the Federal Government created with duties to oversee and disclose how all personal information and personal data circulating and used by companies should be treated. Legitimate Interest Assessment – “LIA”: Test by means of which an evaluation is sought of what the legitimate interest of the company is in the treatment of that data, what the legitimate expectation of the citizen is in that situation, and from there, to establish the understanding that this treatment will not imply an offense to any fundamental right of the holder. Consent: Free, informed and unequivocal manifestation by which the holder agrees with the treatment of his personal data for a specific purpose. Controller: Natural or legal person, of public or private law, responsible for the protection of personal data and who is in charge of decisions regarding their treatment. For the purposes of this Policy, PRIO itself. Cookies: These are small text files that store information about users’ navigation on PRIO’s platforms and advertisements. These files are transmitted to the users’ devices (such as a smartphone, tablet or computer) in order to improve the functioning, performance and optimization of navigation, as well as to recognize the user in the next accesses. Anonymized data: Data relating to the holder that cannot be identified, considering the use of reasonable and available technical means at the time of its processing. Pseudo-anonymized data: Personal data that, after being processed, can no longer be attributed to a specific data subject, but can be identified later by means of technical and organizational measures (e.g., separation and controlled storage of identifying information).Personal Data: For the purposes of this Policy, personal data is understood as that which relates to an identified or identifiable natural person, such as: name, RG, CPF, telephone number, photograph, residence address, e-mail and IP (internet protocol), connection witnesses (cookies), etc. Sensitive data: Within the set of personal data there are still those that can generate prejudice and require a little more attention, the so-called sensitive data, which generally include: data concerning racial or ethnic origin, religious conviction, political opinion, membership of a union or organization of a religious, philosophical or political nature, data concerning health or sex life, genetic or biometric data. Data Protection Officer – “DPO”: A person appointed by PRIO to act as a channel of communication between the holders of personal data, the ANPD and the Company itself. Data masking: Data masking has the primary purpose of securing sensitive data from unauthorized access. In practice, data masking tools create a version that is similar to the original data in terms of structure, but without revealing its true information. An example is the case of a card number, where the first 12 digits are replaced by “X”, leaving only the last 4 digits visible and preventing anyone from misusing it. Operator: A natural or legal person, under public or private law, who carries out the processing of personal data on behalf of the Controller. Incident Response Plan – “IRP”: Document that establishes the measures that must be taken in case of a security incident involving personal data, containing: (i) the definition of incident for the company, (ii) description of the procedures to be executed when an incident occurs, (iii) the tools, technologies and resources to be used in case of incidents, and (iv) description of the collaborators that are part of the process and what their responsibilities and actions are. Privacy by Default: This model means that when a company launches a product or service on the market, the privacy settings should be default, i.e. these privacy settings should be restricted, and the user is the one who must authorize access to the collection. Privacy by Design: A methodology that is applied from the earliest stages of the development of a project or process involving the handling of personal data, measures must be in place to ensure the protection of personal data (and hence the privacy of the individuals to whom the personal data pertains).Data Protection Impact Assessment – “DPIA”: Document to be prepared by the controlling company, in advance, whenever there is the intention to process personal data that may generate risks to civil liberties and fundamental rights. It must be constructed to systematically analyze, identify and minimize the risk of incidents involving the respective data. Personal data subject: The natural person to whom the personal data being processed relate. International transfer: Transfer of personal data to a foreign country or international body of which the country is a member. Processing of personal data: Any operation carried out with personal and/or sensitive data, such as those relating to collection, production, reception, classification, use, access, reproduction, transmission, distribution, processing, filing, storage, elimination, evaluation or control of information, modification, communication, transfer, dissemination or extraction.

PRIO follows the general principles of protection and the rights of the data subject provided for in the LGPD, as follows:Purpose: processing for legitimate, specific, explicit purposes informed to the data subject, without the possibility of further processing in a manner incompatible with these purposes;Adequacy: compatibility of the processing with the purposes informed to the data subject, according to the context of the processing;Necessity: limitation of the processing to the minimum necessary for the achievement of its purposes, with coverage of data that are pertinent, proportional and not excessive in relation to the purposes of the data processing;Free Access: guarantee, to the data subjects, of easy and free consultation on the form and duration of the processing, as well as on the completeness of their personal data;Data Quality: guarantee, to the data subjects, of accuracy, clarity, relevance and updating of the data, according to the need and for the fulfillment of the purpose of its processing;Transparency: guarantee, to the data subjects, of clear, precise and easily accessible information about the performance of the processing and the respective processing agents, observing commercial and industrial secrets;Security: use of technical and administrative measures capable of protecting personal data from unauthorized access and accidental or unlawful situations of destruction, loss, alteration, communication or dissemination;Prevention: adoption of measures to prevent the occurrence of damages due to the processing of personal data;Non-Discrimination: impossibility of processing for illicit or abusive discriminatory purposes;Accountability and Responsibility: demonstration, by the Company, of the adoption of effective measures capable of proving the observance of and compliance with the personal data protection rules, including the effectiveness of such measures.

Tratamento de dados pessoais e sensíveis- A Companhia busca garantir que os dados sejam tratados ao mínimo necessário para a realização de suas finalidades, de forma lícita, adequada, justa e transparente em toda extensão do ciclo de vida das informações.- Os dados deverão ser armazenados de forma a permitir a identificação dos titulares de dados por um período definido para o tratamento, sendo excluído ou tornado anônimo quando o período for finalizado, com ressalva as hipóteses legais que autorizam a continuidade do tratamento.- Os dados também deverão ser mantidos em segurança e protegidos contra o acesso e/ou tratamento não autorizados ou ilegais, e contra a perda, destruição ou danos acidentais, utilizando técnicas adequadas e medidas para garantir a sua qualidade, integridade e confidencialidade.-Os processos que tratam dados pessoais devem ser mapeados e documentados por meio de uma ferramenta de mapeamento de dados para registro do inventário, a ser atualizado pelo menos uma vez por ano, e os que afiguram apresentar provável alto risco aos direitos e garantias fundamentais dos titulares, deverão ser submetidos a uma análise de impacto para emissão do Relatório de Impacto à Proteção de Dados (“RIPD”), e/ou quando determinado pela ANPD nos termos do regulamento aplicável.- Dados pessoais: os dados tratados pela PRIO devem ser legitimados por uma das seguintes bases legais:(i) consentimento do titular,(ii) execução de contrato e procedimentos preliminares a ele relacionados,(iii) cumprimento de obrigação legal ou regulatória pela Controladora,(iv) exercício regular de direitos em processo judicial, administrativo ou arbitral,(v) proteção da vida ou da incolumidade física do titular ou de terceiros, e(vi) legítimo interesse.- Dados pessoais sensíveis: tais dados deverão ser tratados por uma das seguintes bases legais:(i) quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas;(ii) para fins de execução das obrigações legais ou regulatórios, bem como de exercício dos direitos conferidos à PRIO ou ao titular de dados, especialmente os relacionados a gestão empregatícia, prestação de serviços, à seguridade social ou à segurança do trabalho;(ii) garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos e liberdades fundamentais do titular que exijam a proteção dos dados;(iii) proteger os interesses vitais do titular de dados ou de outra pessoa natural; ou(iv) para uso em processo judicial, administrativo e arbitral.- O tratamento de dados sensíveis é realizado e incluído como uma etapa dentro da execução das atividades de rotina da PRIO e de suas controladas para este assunto. Nessas hipóteses, haverá o tratamento de dados sensíveis como:(i) Dados de saúde, com base no melhor interesse e benefício dos colaboradores em concessões de dispensas por atestados médicos, licenças médicas e procedimentos junto a organismos públicos e, também, para fins de monitoramento e salvaguarda dos colaboradores devido a pandemias ou situações graves e emergenciais;(ii) Dados biométricos e para reconhecimento facial, por meio do controle e monitoramento de acesso em ambientes controlados, com objetivo de garantir a saúde e segurança dos colaboradores e visitantes nas instalações da PRIO.- Dados de crianças e adolescentes: devem atender às finalidades específicas e ser coletados por meio do consentimento de, pelo menos, um dos pais ou pelo responsável legal. A coleta desta natureza de dados é realizada para:(i) permitir a sua entrada nos estabelecimentos da PRIO;(ii) administração de benefícios aos menores dependentes dos empregados da PRIO e(iii) relações de trabalho para o caso da modalidade empregatícia de aprendizes.- Quando o consentimento expresso for considerado como base legal para o tratamento de dados, as provas de consentimento ‘opt-in’ (expresso) e/ou de sua revogação deverão ser armazenadas no sistema eletrônico e/ou arquivo físico da Companhia. A revogação do consentimento pelo titular não afeta a legalidade do tratamento realizado previamente à revogação, bem como se, fundada em uma das hipóteses autorizativas previstas no rol do artigo 16 da LGPD, a PRIO poderá, mesmo após a sua revogação, conservar e manter os respectivos dados pessoais.- Caso a base legal adequada seja o legítimo interesse, o documento de Avaliação de Legítimo Interesse (“LIA”) deverá ser registrado formalmente e devidamente armazenado pela Companhia, quando exigido para atender à legislação aplicável.Finalidades de tratamento dos dados- A Companhia realiza o tratamento estritamente para as finalidades definidas e embasadas em fundamentos legais previstos na LGPD, como execução de contratos, cumprimento de obrigações legais e regulatórias, análise estatística de resultados, entre outras e, ainda, com base em seu legítimo interesse, sempre no limite de sua expectativa, e nunca em prejuízo de interesses, direitos e liberdades fundamentais dos titulares de dados pessoais.- O tratamento de dados deve ser realizado para finalidades legítimas, explícitas e específicas. A maioria dos dados pessoais que a PRIO trata é fornecida diretamente pelo próprio titular, por uma das seguintes razões:(i) Em razão das relações de trabalho para a formalização, administração, performance e/ou encerramento dos contratos de trabalho, contemplando ainda os contratos para estágios e de aprendizagem, bem como para o cumprimento das obrigações legais e contratuais advindas destas relações;(ii) Ainda no âmbito das relações de trabalho, para realização de diferentes processos internos da Companhia, tais como: gestão de benefícios e viagens, realização de pagamentos, gerenciamento de direitos de acesso e segurança em ambiente cibernético, realização de treinamentos, geração de relatórios, execução de auditorias internas e investigações de reclamações e denúncias;(iii) Para fins de recrutamento e seleção de potenciais de possíveis candidatos às vagas de emprego e estágio fornecidas pela PRIO;(iv) Para a gestão de contratos e o relacionamento com fornecedores, prestadores de serviços e clientes, nas interações e transações correlatas;(v) Para o banco de dados de fornecedores, prestadores de serviços e clientes, para gestão do relacionamento comercial e dos contratos com eles por meio das suas equipes;(vi) Para verificação de fatos relacionados a outros terceiros, tais como os associados aos projetos de responsabilidade social, doação e patrocínios;(vii) Para o cumprimento de obrigações legais, contratuais e regulatórias;(viii) Para o exercício regular de direitos em ações judiciais e arbitrais, como também nos processos administrativos;(ix) Para realização ou análise da viabilidade das transações incluindo as de ordem societária, como a reorganização societária, fusão, incorporação, cisão, constituição de entidades, consórcios e ‘joint venture’, cessão, transferência ou alienação de participação;(x) Para realizar a gestão de incidentes e pagamento de indenizações ou demais pagamentos que se justifiquem para remediar ou mitigar tais incidentes;(xi) Para garantir a saúde e a segurança dos empregados, prestadores de serviço, visitantes nos espaços físicos da PRIO, bem como a integridade patrimonial.- Os dados pessoais serão tratados somente por profissionais devidamente autorizados, respeitando os princípios de proporcionalidade, necessidade, finalidade, segurança, prevenção e adequação para os objetivos propostos ao respectivo titular, além do compromisso de confidencialidade e preservação da sua privacidade nos termos desta Política.Armazenamento dos dados e registros- Os dados pessoais serão armazenados pelo período necessário e para o alcance das finalidades pretendidas, em um ambiente seguro e controlado, sendo observados os requisitos de segurança dispostos na legislação brasileira.- O término do tratamento de dados pessoais, bem como sua eliminação ocorrerá quando:(i) For verificado que a finalidade para a qual o consentimento dado foi alcançada ou que os respectivos dados pessoais coletados deixaram de ser necessários ou pertinentes ao alcance da finalidade almejada e o tratamento não se embasar em nenhuma das bases legais que autorizam a continuidade das operações;(ii) Decorrer o fim do período de tratamento legal;(iii) Por meio de manifestação de vontade pelo titular do dado, ou seja, revogação do consentimento, quando cabível, através de nossos canais de atendimento; e(iv) Houver alguma determinação legal.- No entanto, por motivo de lei, regulamentação ou determinação judicial, os dados poderão ser mantidos por período superior, findo o qual, serão excluídos com uso de métodos de descarte seguro, sendo eles:(i) Deleção direta da base de dados;(ii) Anonimização da informação;(iii) Pseudonimização dos dados; e(iv) Destruição em caso de dados físicos.- Os dados coletados são armazenados preferencialmente em servidores no Brasil, em formato que favoreça o exercício do direito de acesso. Eventualmente, os dados podem ser processados em outros países conforme a operação do provedor de infraestrutura demandar, sempre respeitando a legislação brasileira.Direitos do titular de dados- Observado o disposto nesta Política, a PRIO reconhece e respeita os direitos dos titulares de dados pessoais, motivo pelo qual a Companhia conta com os meios adequados para responder e atender às requisições, considerando a legislação e os regulamentos aplicáveis e vigentes:(i) Confirmação de tratamento: confirmação da existência de tratamento dos dados.(ii) Acesso aos dados: acesso aos dados coletados pela PRIO, com exceção dos casos de proteção de segredo comercial e indústria.(iii) Correção de dados: solicitação da correção de informações incompletas, desatualizadas ou errôneas.(iv) Anonimização e bloqueio: anonimização e bloqueio de dados desnecessários, excessivos ou tratados em desconformidade com o disposto na legislação aplicável. A anonimização se dará considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.(v) Informação sobre o compartilhamento de dados: informação ao titular sobre os dados pessoais que são compartilhadas com as entidades públicas e privadas.(vi) Revogação de consentimento: revogação do consentimento dado, a qualquer momento, mediante requerimento expresso do titular. O procedimento de revogação será sempre gratuito e facilitado.(vii) Eliminação dos dados pessoais: os dados pessoais serão eliminados ao término de sua finalidade ou no caso de o titular manifestar o desejo de revogação de seu consentimento para a realização daquele tratamento. Sujeito aos requerimentos legais, a Companhia pode manter o dado pessoal caso:(i) seja legalmente obrigada a mantê-los,(ii) para o cumprimento de regulamentos e/ou instruções que assim determinem;(iii) necessite dos dados para estabelecer, exercer ou defender reivindicações legais; e(iv) necessite manter o controle dos dados por razões de saúde pública.- O titular de dados poderá exercer os direitos acima por meio do e-mail: [email protected]. Para tanto, a Companhia deverá observar os prazos estipulados na LGPD para confirmação de existência ou o acesso a dados pessoais, isto é, de imediato para resposta em formato simplificado, ou em até 15 (quinze) dias, contados da data do requerimento do titular, em formato completo que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, observados os segredos comercial e industrial da PRIO.- Caso a solicitação seja referente a tratamentos em que a Companhia é apenas operadora dos dados pessoais, ou seja, realiza o tratamento em nome de suas associadas, a PRIO responderá ao titular, direcionando-o ao canal de contato das associadas para o devido atendimento de suas requisições e direitos.Deveres do titular de dados- O titular de dados deverá provar a sua legitimidade ao exercer os direitos previstos no item 6.4 acima, respondendo a questões iniciais como forma de sua autenticação (ex.: RG, CPF e data de nascimento) para uma primeira verificação pela Companhia.- Quando aplicável, o titular de dados tem a responsabilidade de proteger a confidencialidade de sua senha de acesso aos serviços da Companhia, inclusive para prevenir o uso não autorizado.Compartilhamento dos dados pessoais com terceiros- Para cumprir com as finalidades descritas nos tópicos anteriores, a PRIO pode ser assistida por terceiros indicados pela Companhia, incluindo suas controladas. O compartilhamento é pautado por obrigações e responsabilidades entre as partes visando impedir que estas utilizem os dados pessoais de maneira diferente daquela estabelecida pela Companhia e/ou que violem as legislações aplicáveis ao tema. Tais entidades também possuem o dever de tratar os dados com base nas melhores práticas em segurança da informação e de mantê-los apenas pelo período proposto de acordo com as finalidades e as bases legais. Estas obrigações se mantêm mesmo após o fim do relacionamento entre as partes.- A Companhia, como responsável pelo tratamento de dados pessoais, exige contratualmente que os seus fornecedores e parceiros, criteriosamente escolhidos, atuem de forma segura e adotem todas as medidas técnicas e organizacionais de segurança da informação para garantir o cumprimento da legislação aplicável de privacidade e proteção de dados pessoais e, adicionalmente, desta Política.- Em algumas circunstâncias, a PRIO pode ser legalmente obrigada a compartilhar dados desta natureza para atender a questionamentos ou investigações, conforme exigido por lei e/ou por solicitação oficial de autoridade competente.Transferência internacional de dados- A Companhia, para o melhor fornecimento dos seus produtos e serviços pode, em algumas circunstâncias e quando necessário, compartilhar os dados pessoais com a matriz, entidades controladas, ou com as empresas processadoras contratadas e sediadas fora do território nacional, sempre em conformidade com a legislação aplicável e de acordo com as cláusulas contratuais pertinentes, incluindo para fins de armazenamento in cloud (nuvem). Neste caso, a Companhia deve realizar tal transferência para países ou organismos internacionais que detêm grau de proteção de dados pessoais adequado aos parâmetros exigidos pela legislação aplicável ao tema ou oferecer e comprovar garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados.- A PRIO utilizará uma das seguintes garantias:(i) cláusulas contratuais específicas para determinada transferência;(ii) cláusulas contratuais padrão ou(iii) documentos normativos adequados.Confidencialidade dos dados pessoais- Os dados pessoais estão sujeitos ao sigilo de dados. Qualquer coleta, processamento ou uso não autorizado de tais dados pelos empregados da PRIO e/ou de controladas e seus prestadores de serviços é proibido.- Será considerado como não autorizado qualquer tratamento de dados realizado pelos empregados da PRIO e/ou de controladas e seus prestadores de serviços que não tenham sido previamente autorizados a tal.- Os empregados da PRIO e/ou de controladas e seus prestadores de serviços podem ter acesso aos dados pessoais, mas tal acesso deve se limitar estritamente para o tipo e o escopo da tarefa sob sua responsabilidade, na forma de gestão de acessos e segregação de funções.- Os empregados da PRIO e/ou de controladas e seus prestadores de serviços estão proibidos de usar dados pessoais para fins particulares, mesmo que não econômicos, divulgá-los a pessoas não autorizadas ou disponibilizá-los de qualquer outra forma.- Os empregados da PRIO e/ou de controladas e seus prestadores de serviços devem proteger as informações e garantir o sigilo dos dados pessoais. Esta obrigação permanecerá em vigor mesmo após o término do vínculo empregatício ou da prestação de serviços.Segurança de dados pessoais- Seguindo os conceitos desta Política e de ‘Privacy by Design’ e ‘Privacy by Default’, a PRIO adota medidas técnicas e organizacionais de segurança da informação que garantem a confidencialidade, a integridade e a disponibilidades dos dados pessoais tratados, conforme disposto na Política de Segurança da Informação da Companhia.- Os dados pessoais devem ser protegidos contra o acesso não autorizado, o tratamento ou a divulgação ilegal, bem como a perda acidental, modificação ou destruição, segundo os requerimentos legais. Isto se aplica independentemente do fato de tais dados serem processados de forma eletrônica ou impressa, em papel.- Antes da introdução de novos métodos de tratamento de dados, devem ser definidas e implementadas medidas técnicas e organizacionais apropriadas para proteger os dados pessoais. Essas medidas devem se basear em riscos de segurança e proteção de dados e na necessidade de proteção desses dados, associadas, quando for o caso, no processo de classificação das informações. Adicionalmente, a PRIO se compromete a prover soluções adequadas de backup e restauração dos dados, para garantir a disponibilidade das informações.-Na hipótese de eliminação de dados pessoais, esta deve ser realizada de maneira segura, em linha com as medidas técnicas cabíveis, de modo a assegurar que os dados pessoais excluídos não possam ser recuperados.Regras para o tratamento da violação de dados pessoais- Em casos de violações de dados pessoais, todos os empregados da PRIO e/ou de controladas e seus prestadores de serviço que são operadores dos respectivos dados, devem informar o fato imediatamente a seu gestor imediato e a equipe de Compliance e Privacidade da PRIO por meio do e-mail: [email protected] As violações de dados pessoais deverão ser tratadas pelo Encarregado (“DPO”) ou pelos responsáveis indicados por ele, conforme o Plano de Resposta a Incidentes.- A equipe de Compliance e Privacidade da PRIO deve fiscalizar a atuação das áreas de negócios quanto ao tratamento dos dados pessoais garantindo que este seja realizado de acordo com os limites dispostos na legislação de proteção de dados.Encarregado de Proteção de Dados Pessoais (DPO)- O responsável pelo Programa de Privacidade e Proteção de Dados da PRIO é o Encarregado (“DPO”) pelo tratamento de dados pessoais, a ser designado pela Diretoria Executiva da Companhia.- As principais atribuições do Encarregado na PRIO compreendem, sem prejuízo de demais atividades estabelecidas em políticas, normas e procedimentos específicos que compõem o Programa de Privacidade e Proteção de Dados:(i) Gestão do Programa de Privacidade e Proteção de Dados;(ii) Desenvolvimento, manutenção, propositura e revisão de Políticas, Normas e Procedimentos de privacidade da Companhia, inclusive desta Política;(iii) Fiscalização do cumprimento desta Política e demais documentos normativos relativos ao Programa de Privacidade e Proteção de Dados;(iv) Monitoramento do nível de conformidade da Companhia, por meio de análises de diagnóstico anuais com a definição de planos de ação para melhorar as iniciativas de comunicação, treinamento e a clareza dos documentos que integram o Programa de Privacidade e Proteção de Dados;(v) Atuação como ponto de contato para a ANPD e os titulares;(vi) Recepção e atendimento das requisições dos titulares;(vii) Preparo dos Relatórios de Impacto à Proteção de Dados Pessoais (“RIPD”), com apuração e revisão dos riscos das atividades.- Além das atribuições específicas do Encarregado, é responsabilidade de todos os colaboradores, fornecedores, prestadores de serviço e demais parceiros da PRIO, a observância às diretrizes do Programa de Privacidade e Proteção de Dados, garantindo que os dados pessoais tratados nos processos operacionais da sua área de atuação sejam utilizados e protegidos conforme esta Política.Equipe de Compliance e Privacidade (2ª Linha)- A equipe de Compliance e Privacidade possui especial responsabilidade pelo tratamento dos dados pessoais nos processos e sistemas da sua área, e devem garantir a conformidade com esta Política e com a LGPD. O uso dos dados pessoais em discordância com as diretrizes da lei, e a falta de atenção na sua proteção, podem ocasionar graves incidentes e prejudicar a PRIO e os titulares dos dados. São responsabilidades da área:(i) Garantir o cumprimento desta Política e demais normas e procedimentos de proteção de dados pessoais que forem emitidos, por todos os colaboradores sob sua responsabilidade;(ii) Manter as Normas e os Procedimentos da área alinhados com esta Política;(iii) Orientar os colaboradores que, por necessidade e natureza do trabalho, tenham de manusear ou tomar conhecimento de documentos e arquivos com dados pessoais, quanto ao zelo que devem ter com tais dados;(iv) Garantir que parceiros, terceiros, prestadores de serviços, fornecedores, temporários e contratados sob sua responsabilidade, estejam cientes e trabalhem conforme esta Política;(v) Acionar o Encarregado (DPO) para orientações sobre o Programa de Privacidade e Proteção de Dados, inclusive em situações de dúvidas ou tomada de decisão.

Violations of this Policy, the Company’s Standards, Procedures and guidelines related to data protection subject violators to consequences, which include verbal or formal warning, suspension or dismissal, subject to the provisions of article 482 of the Consolidation of Labor Laws. The disciplinary measures are applied considering the seriousness of the infraction, the effect achieved, and the recurrence of the conduct, after recommendation by the DPO and Human Resources Management, and according to the analysis and deliberation of the Ethics and Compliance Committee or the Board of Directors.

– The personal data collected shall be treated and kept only as long as necessary for the fulfillment of their respective purposes, in compliance with the applicable legislation as to the statute of limitations and the regulations of regulatory and inspection agencies and bodies.- Exceptionally, personal data may be kept in PRIO’s files for the fulfillment and compliance with the legal statute of limitations or for the compliance with regulatory issues, in compliance with the provisions of item 6.3.3 above.- All areas of PRIO shall work together with the Compliance and Privacy team in the effective management of the personal data they handle, observing the respective stages and life cycles of the data, keeping them duly updated and in compliance with the provisions of item 6.3.3 above. All PRIO areas must work together with the Compliance and Privacy team in the effective management of the personal data they handle, observing the respective stages and life cycles of the data, keeping them duly updated and in compliance with the personal data protection legislation.- The Company undertakes to publish the contacts of the Compliance and Privacy team and the DPO on PRIO’s official communication channels.- In the occurrence of security and privacy incidents and/or events leading to the violation of data protection of the data subjects, PRIO undertakes to communicate to relevant and interested parties, such as the ANPD and notify the data subjects about the risks to which they are exposed.- In case of conflict between this Policy and the law, the legal provisions shall prevail.- This Policy shall be reviewed periodically, at least once every three (3) years or on demand.

This privacy notice aims to demonstrate the commitments of Petro Rio S.A. (“PRIO”) concerning the privacy and protection of personal and sensitive data, always in a secure, transparent manner and in accordance with the laws in force.The purpose of this privacy notice is to clarify how PRIO handles the personal data of all its employees, helping them to understand what kind of information is handled, why we collect it, whether we share it, and with whom. In addition, we inform you what your rights are and how to exercise them with PRIO.

Compliance and Privacy Team: [email protected] Data Protection Officer (DPO): Emiliano Fernandes, by means of e-mail [email protected] or by mail at Praia de Botafogo, nº 370 – 13º andar – Botafogo, Rio de Janeiro – RJ, CEP 22250-040.