Contrato de tratamento de dados: o que revisar no DPA

O contrato de tratamento de dados, ou DPA, organiza instruções, responsabilidades e evidências entre as partes que tratam dados pessoais. Revise-o antes de contratar e sempre que o uso ou a cadeia de fornecedores mudar; assinatura não comprova adequação sozinha. Na prática, o documento costuma chegar ao jurídico junto da proposta comercial, quando a área de negócio já escolheu o fornecedor. Nesse momento, aceitar um documento padronizado sem conversar com quem vai operar o serviço pode deixar questões importantes sem resposta: quem autoriza novos usos, como o fornecedor avisa sobre incidentes e o que acontece com os dados quando a assinatura termina? A revisão precisa conectar essas decisões às funcionalidades contratadas, às responsabilidades das equipes e às evidências que poderão ser exigidas durante a relação.

O que é DPA e quando revisar

DPA é a sigla usual de Data Processing Agreement, um acordo sobre tratamento de dados pessoais. Pode integrar o contrato principal ou aparecer como anexo. Sua utilidade está em delimitar atividades, instruções, medidas de proteção e colaboração entre as partes.

A LGPD não exige um documento universal chamado DPA em toda relação comercial. Ela estabelece deveres que precisam ser observados conforme a operação. O artigo 39 da LGPD determina que o operador siga as instruções do controlador, a quem cabe verificar sua observância e a das normas aplicáveis. Formalizar essas condições ajuda a demonstrar como serão cumpridas, mas assinar não comprova, sozinho, adequação.

Revise o contrato de tratamento de dados antes da contratação e quando houver mudança relevante de finalidade, funcionalidade ou cadeia de fornecedores. Modelos baseados no artigo 28 do regulamento europeu não devem ser tratados como reprodução de uma obrigação idêntica da lei brasileira.

Identifique os papéis pela operação real

Comece a revisão do contrato de tratamento de dados perguntando quem decide por que os dados serão usados e quais decisões essenciais orientam esse uso. Pelas definições do artigo 5º da LGPD, o controlador toma decisões referentes ao tratamento; o operador trata dados em nome dele.

O guia orientativo da ANPD sobre agentes de tratamento ajuda a analisar essa distinção. A classificação depende das atividades efetivas, não apenas do nome escolhido pelas partes. Uma mesma empresa pode assumir papéis diferentes em operações distintas.

Peça à área usuária um fluxo simples: entrada dos dados, pessoas com acesso, decisões sobre utilização e destinos possíveis. Se o fornecedor pretende aproveitar informações para objetivos próprios, examine esse tratamento separadamente. O contrato de tratamento de dados não pode chamar todas as atividades de operação por conta do cliente quando existem decisões autônomas incompatíveis com essa descrição.

Escopo e instruções no contrato de tratamento de dados

O anexo operacional deve descrever categorias de titulares e dados, atividades autorizadas, finalidade do serviço e duração prevista. Evite descrições como “quaisquer dados necessários ao negócio”, que dificultam identificar limites e mudanças. Liste também integrações, ambientes de teste e acessos de suporte relevantes.

Defina como instruções serão emitidas e alteradas: por quais pessoas, em qual canal e com que registro de aprovação. Uma solicitação informal ao suporte não deveria ampliar silenciosamente os usos autorizados. As instruções precisam ser lícitas, compreensíveis e tecnicamente executáveis.

No contrato de tratamento de dados, trate expressamente de publicidade, enriquecimento de bases e treinamento de modelos, se essas possibilidades existirem. Uma autorização genérica para “melhorar serviços” merece esclarecimento. Permissão contratual não dispensa a análise da base legal, da transparência e da compatibilidade com a finalidade, considerados os princípios do artigo 6º.

Suboperadores e mudanças na cadeia

O contrato de tratamento de dados deve permitir entender quem auxilia o fornecedor a executar o serviço. O guia da ANPD descreve o suboperador como contratado pelo operador para tratar dados em nome do controlador e recomenda autorização formal, genérica ou específica, para essa contratação. Trata-se de orientação que precisa ser distinguida de uma exigência textual universal da LGPD.

Negocie uma lista acessível com serviço prestado, localização relevante e categorias de acesso. Combine aviso prévio de alterações, canal de avaliação e consequências práticas de uma objeção fundamentada. Essas são condições contratuais sugeridas, cuja viabilidade depende do serviço e do risco.

Sem uma consequência definida, o direito de contestar pode se tornar apenas formal. O contrato de tratamento de dados pode prever alternativa técnica ou saída negociada quando uma mudança for incompatível com requisitos essenciais. Havendo operações internacionais, complemente a revisão com a análise de transferências de dados em SaaS, nuvem e fornecedores globais. O DPA não substitui essa avaliação.

Segurança, incidentes e atendimento aos titulares

No contrato de tratamento de dados, promessas de “segurança adequada” precisam ser conectadas a medidas verificáveis. O artigo 46 da LGPD exige medidas técnicas e administrativas de proteção. A seleção concreta deve considerar a operação e seus riscos.

Peça evidências sobre gestão de acessos, proteção de credenciais, registros de eventos, recuperação e tratamento de vulnerabilidades. Um relatório de auditoria pode ajudar, desde que seu escopo cubra o serviço contratado. Negocie como dúvidas ou falhas identificadas serão acompanhadas.

Para incidentes, estabeleça contato disponível, marco inicial do aviso, informações preliminares, atualizações e preservação de evidências. Evite condicionar toda comunicação ao encerramento da investigação. O prazo operacional combinado entre as partes precisa permitir o cumprimento dos prazos regulatórios aplicáveis; ele não é o prazo da ANPD nem o substitui.

O artigo 48 atribui ao controlador a comunicação à autoridade e aos titulares quando o incidente puder acarretar risco ou dano relevante. O contrato de tratamento de dados também deve organizar o apoio do operador a solicitações de titulares, com encaminhamento, busca de registros e execução de medidas autorizadas, respeitando os direitos previstos no artigo 18.

Devolução, exclusão e encerramento do serviço

A saída merece negociação antes de haver dependência do sistema. O contrato de tratamento de dados precisa distinguir devolução ao cliente, encerramento de acessos e eliminação das cópias. Recomenda-se combinar formato de exportação, conteúdo incluído, custos, suporte à migração e critérios de aceite.

Nos artigos 15 e 16 da LGPD, o término do tratamento e as possibilidades de conservação têm condições próprias. Encerrar a assinatura não resolve automaticamente todas elas. Retenções devem ter justificativa identificada, escopo delimitado, acesso restrito e duração compatível com sua finalidade.

Esclareça o ciclo de exclusão de backups e o procedimento caso uma cópia seja restaurada. “Exclusão imediata de tudo” pode ser uma promessa inexequível; retenção indefinida por conveniência também não deve passar sem questionamento.

Cenário hipotético: saída de um CRM

Imagine uma empresa que troca seu sistema de gestão de relacionamento com clientes, o CRM. A exportação entrega contatos, mas deixa para trás anexos, histórico de atendimento e registros de preferências. Compras considera a saída concluída, enquanto a equipe de privacidade perde informações necessárias para responder a solicitações.

Nesse cenário hipotético, o contrato de tratamento de dados deveria permitir testar a exportação antes do cancelamento. A área usuária valida a integridade funcional, TI confere o recebimento seguro e privacidade verifica os registros relevantes. Depois do aceite, são encerradas credenciais e integrações, com comprovação da eliminação ou identificação justificada do que permanecerá conservado.

Matriz para negociar com evidências

Use esta matriz na revisão do contrato de tratamento de dados. Os responsáveis abaixo são sugestões de organização interna, não atribuições legais universais. Uma resposta comercial deve ser confrontada com documentação ou teste antes de ser considerada suficiente.

Como decidir o que negociar primeiro

Classifique as lacunas pelo impacto sobre a operação. Falta de clareza sobre usos próprios, impossibilidade de recuperar dados essenciais ou ausência de canal para incidentes pode exigir renegociação antes da liberação. Ajustes documentais de menor impacto podem receber responsável e prazo, desde que isso não signifique aceitar descumprimento legal.

Em aquisições ou integrações empresariais, cruze o contrato de tratamento de dados com os achados da due diligence de privacidade em operações societárias. Registre a condição negociada, quem decide sobre a contratação e qual evidência fecha cada pendência. Revise também a coerência entre DPA, contrato principal e termos incorporados por links, incluindo mudanças unilaterais.

Quando o fornecedor não aceita alterar sua minuta, peça esclarecimentos escritos sobre os pontos que afetam o uso pretendido. Uma resposta do suporte pode revelar limites técnicos, mas não necessariamente modifica o contrato. Jurídico deve avaliar como incorporar compromissos relevantes de modo vinculante. Se a exportação não atende à necessidade do negócio, por exemplo, registre o requisito não atendido e avalie outra configuração ou fornecedor antes de contratar.

Defina ainda os gatilhos de nova revisão: inclusão de dados sensíveis, ativação de integração, mudança de suboperador ou alteração dos termos do produto. O gestor do serviço acompanha esses eventos e aciona as áreas envolvidas. Guarde a versão contratada e os anexos aplicáveis, com data e identificação do serviço. Isso permite comparar o compromisso original com mudanças posteriores sem depender de uma página que pode ser substituída.

Cláusulas de indenização não corrigem falhas operacionais. O artigo 42 da LGPD prevê hipóteses de responsabilização que não desaparecem porque as partes escolheram outra distribuição interna de custos.

Como a TOGETHER pode apoiar a revisão

A TOGETHER pode apoiar a revisão do contrato de tratamento de dados conectando jurídico, compras, segurança e área usuária. A consultoria em LGPD ajuda a mapear tratamentos, conferir papéis, identificar lacunas contratuais e organizar as evidências necessárias à negociação.

O DPO as a Service pode apoiar a continuidade desse trabalho, acompanhando mudanças relevantes de fornecedores, demandas de titulares e fluxos de incidentes. A decisão comercial permanece com os responsáveis pela contratação. Para revisar um DPA, reúna a minuta, a descrição do serviço e as pendências conhecidas e converse com a TOGETHER sobre os pontos que precisam de análise e acompanhamento.

Referências

• LGPD: Lei nº 13.709/2018, texto compilado.
• ANPD: Guia orientativo para definições dos agentes de tratamento e do encarregado, versão 2.0.

Conteúdo da TOGETHER. Atualização editorial em 3 de outubro de 2026.