Quando um fornecedor de tecnologia sofre um incidente com dados pessoais, o prazo começa a correr para a empresa que o contratou. E, na maior parte das vezes, é o contrato que define se ela vai saber do problema a tempo.
Sistemas de folha de pagamento, plataformas de CRM, serviços de nuvem, ERP, e-mail corporativo e suporte de TI terceirizado fazem parte da rotina de qualquer empresa. Todos eles tratam dados de clientes e colaboradores em nome de quem os contratou. Para ajudar a verificar se esses contratos estão protegidos, preparamos um guia prático com 38 itens, cada um com o seu fundamento legal.
Quem é quem na relação com o fornecedor
Na LGPD, a empresa que contrata o serviço é, em regra, a controladora: é ela quem decide para que e como os dados são tratados (art. 5º, VI). O fornecedor que trata os dados em nome dela atua como operador (art. 5º, VII) e deve seguir as instruções que recebe (art. 39).
A responsabilidade não se transfere com o serviço. O operador responde solidariamente pelos danos quando descumpre a lei ou as instruções lícitas do controlador (art. 42, § 1º, I), e quem repara o dano pode cobrar dos demais responsáveis na medida da participação de cada um (art. 42, § 4º). Para isso, porém, a empresa precisa demonstrar quais instruções deu e quais deveres o fornecedor assumiu. É o contrato que faz essa prova.
Vale um alerta: nem todo fornecedor é apenas operador. Quando usa os dados para finalidades próprias, por exemplo para aprimorar produtos ou treinar modelos de inteligência artificial, ele passa a decidir sobre o tratamento nessa parte, e o contrato precisa delimitar o que é permitido.
O prazo que a lei não fixa
Se um incidente de segurança puder gerar risco ou dano relevante aos titulares, a empresa deve comunicá-lo à ANPD e aos próprios titulares em até três dias úteis, contados de quando toma conhecimento de que dados pessoais foram afetados (art. 48 da LGPD e Resolução CD/ANPD nº 15/2024).
A LGPD, no entanto, não estabelece prazo para o fornecedor avisar a empresa. Se o contrato não tratar disso, a empresa depende da iniciativa do fornecedor para cumprir um prazo que é dela. Expressões como “em tempo razoável” também não resolvem: o ideal é um prazo em horas, com conteúdo mínimo definido para o aviso.
Por que a cláusula de sigilo não basta
Muitos contratos de tecnologia trazem apenas uma cláusula genérica de confidencialidade. Ela impede a divulgação das informações, mas não responde ao que costuma pesar quando algo dá errado:
- para que o fornecedor pode usar os dados, inclusive se pode usá-los para treinar sistemas de inteligência artificial;
- em quanto tempo e com quais informações ele avisa sobre um incidente;
- se pode subcontratar outras empresas e em que condições;
- em que país os dados ficam e qual mecanismo legal ampara a transferência internacional;
- quais medidas de segurança mantém e como a empresa pode verificá-las;
- como os dados são devolvidos ou eliminados ao fim do contrato.
O que você encontra no guia
O guia foi organizado em quatro etapas, para ser aplicado a cada fornecedor:
- Identificação e criticidade do fornecedor: cinco critérios que classificam a contratação em três níveis e definem o alcance da análise.
- Checklist do contrato: 38 itens em nove blocos, que vão do enquadramento da relação ao encerramento do contrato, passando por segurança da informação, incidentes, subcontratação, transferência internacional e responsabilidade. Dez itens são marcados como essenciais.
- Resultado da avaliação: pontuação por bloco e uma régua simples para identificar o que está adequado, o que pede atenção e o que é crítico.
- Plano de ação e aceite de risco: espaço para registrar ajustes, responsáveis e prazos, e para documentar formalmente os riscos que a empresa decidir aceitar.
Cada item indica o que verificar no contrato e a base correspondente na LGPD, nas resoluções da ANPD ou na ISO/IEC 27001. O arquivo pode ser preenchido no computador ou impresso.
E quando o fornecedor não negocia o contrato?
Grandes provedores de nuvem e de software costumam oferecer termos padronizados. Nesses casos, o checklist também se aplica: avalie os termos de serviço, o acordo de tratamento de dados publicado pelo fornecedor e a documentação de segurança. O que não estiver coberto pode ser tratado por configuração do serviço, por controles internos ou por um aceite formal de risco, decidido por quem tem alçada para isso.
Em resumo
Revisar os contratos com fornecedores de tecnologia não elimina o risco, mas o torna gerenciável: define responsabilidades, cria prazos e deixa evidência de que a empresa fez a sua parte.
Conteúdo informativo, de caráter preventivo, atualizado em outubro de 2026. Não substitui a análise jurídica de um caso concreto.
Lucas F. A. Schettert (OAB/SC n.º 61.957), sócio responsável pela área de Direito Digital, Privacidade e Proteção de Dados da WVHS Advocacia Empresarial.
