Sistemas de gestão, armazenamento em nuvem, contabilidade, marketing, atendimento, saúde ocupacional e suporte técnico podem acessar dados pessoais da empresa contratante. Quando o contrato trata apenas de preço e serviço, responsabilidades essenciais de proteção de dados ficam sem definição.

Os papéis dependem da atividade real

A LGPD diferencia controlador, que toma decisões sobre o tratamento, e operador, que trata dados em nome do controlador. O contrato pode registrar esses papéis, mas a classificação depende das funções efetivamente exercidas.

Um fornecedor pode ser operador em uma atividade e controlador em outra. A análise não deve se limitar ao nome utilizado na cláusula.

Finalidade e instruções

O instrumento deve indicar quais dados serão tratados, para qual serviço, segundo quais instruções e por quanto tempo. O fornecedor não deve utilizar as informações para finalidade própria incompatível sem fundamento adequado.

Segurança da informação

As medidas precisam ser proporcionais ao risco: controle de acesso, autenticação, registros, criptografia quando cabível, cópias de segurança, testes, gestão de vulnerabilidades e treinamento.

Expressões vagas como “adotar as melhores práticas” podem ser insuficientes se não houver critérios verificáveis.

Comunicação de incidentes

O operador deve informar o controlador sem demora injustificada. O contrato pode estabelecer canal, responsáveis, prazo interno menor, informações mínimas, preservação de evidências e cooperação na comunicação aos titulares e à ANPD.

Prazos contratuais precisam permitir que o controlador cumpra as obrigações regulatórias.

Subcontratação e cadeia de fornecedores

É importante saber se o prestador utilizará suboperadores e em quais países os dados serão armazenados. Regras podem exigir autorização, transparência e imposição das mesmas obrigações aos terceiros.

Direitos dos titulares

O fornecedor pode precisar localizar, corrigir, exportar ou eliminar dados para que o controlador responda às solicitações. O fluxo de atendimento deve ser definido antes que surja uma demanda.

Término do contrato

O documento deve disciplinar devolução, portabilidade, retenção legal, eliminação segura, encerramento de acessos e comprovação. Manter dados indefinidamente após o término pode gerar risco desnecessário.

Auditoria, evidências e responsabilidade

O contrato pode prever relatórios, certificações, questionários ou auditorias proporcionais. A divisão de responsabilidades deve considerar a conduta de cada parte e não pode afastar direitos de titulares ou obrigações legais.

Cláusulas de proteção de dados são úteis quando refletem processos reais. Textos extensos sem aplicação prática não substituem governança e segurança.

Base legal e fontes oficiais

Lei Geral de Proteção de Dados – Lei nº 13.709/2018: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm

ANPD – Guia para definição dos agentes de tratamento e encarregado: https://www.gov.br/anpd/pt-br/assuntos/noticias/nova-versao-do-guia-dos-agentes-de-tratamento

ANPD – Comunicação de Incidente de Segurança: https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis

Conteúdo de caráter exclusivamente informativo. A aplicação da legislação depende das circunstâncias de cada situação e não substitui análise jurídica individualizada por profissional habilitado.