Fornecedor guarda dados dos seus clientes sem contrato LGPD? A multa é sua

Toda empresa que usa CRM, sistema de folha terceirizado, plataforma de e-mail marketing ou armazenamento em nuvem tem pelo menos um operador de dados na cadeia. Operador, na linguagem da LGPD, é qualquer pessoa ou empresa que trata dados pessoais em nome de outra, o controlador. Você coletou o dado. O fornecedor processa.

O ponto que a maioria ignora: se esse fornecedor fizer algo errado com os dados dos seus clientes ou funcionários, o art. 42 da LGPD permite que você seja responsabilizado junto com ele. Responsabilidade solidária. Não é hipótese remota. É o texto da lei.

Um contrato padrão de SaaS não é contrato de operador

Fornecedores de software costumam ter termos de uso e política de privacidade próprios. Isso não é contrato de operador. O contrato de operador, também chamado de DPA (Data Processing Agreement), é um documento específico que estabelece as regras do tratamento que o fornecedor fará com os dados que você entrega a ele.

Sem esse contrato, o fornecedor pode alegar que age em nome próprio, não como seu operador. Isso muda radicalmente a posição de cada um perante a ANPD. O art. 39 é claro: o operador trata os dados segundo as instruções do controlador. Se não há instruções documentadas, não há como cobrar o cumprimento delas.

Nossa leitura: formalizar o contrato de operador não é só proteção do titular dos dados. É proteção sua. O documento delimita o que o fornecedor pode e não pode fazer, e, se surgir incidente, é a primeira coisa que a ANPD vai pedir numa fiscalização.

As 8 cláusulas que não podem faltar

Aqui está o mínimo que todo contrato de operador precisa endereçar, sem exceção:

• Instrução de tratamento: descreva exatamente quais dados, para qual finalidade e por quanto tempo o operador pode tratar. Sem instrução explícita, qualquer uso vira brecha aberta.
• Obrigação de sigilo: funcionários e colaboradores do operador que acessam os dados devem estar sujeitos a dever de confidencialidade, vinculado a compromisso formal assinado.
• Medidas de segurança (art. 46): especifique o padrão exigido: criptografia em trânsito e em repouso, controle de acesso por perfil, política de backup, gestão de vulnerabilidades. Cobre que o operador comprove a adoção dessas medidas, não só que as declare.
• Sub-operadores: o operador só pode subcontratar o tratamento se você autorizar expressamente. Exija lista atualizada de sub-operadores e responsabilidade integral do operador principal por qualquer dano causado por eles.
• Suporte aos direitos do titular: quando um cliente seu exerce direito de acesso, correção ou exclusão, o prazo de resposta é de 15 dias (art. 19). O contrato deve obrigar o operador a te fornecer as informações necessárias em prazo menor, no máximo 5 dias úteis a partir do recebimento da sua solicitação.
• Notificação de incidente: o operador deve comunicar qualquer incidente de segurança a você assim que tomar conhecimento. Estipule 24 horas de prazo interno. Você, como controlador, tem a obrigação legal de comunicar à ANPD e ao titular nos termos do art. 48 da LGPD.
• Devolução e eliminação ao fim do contrato: quando o vínculo termina, os dados voltam pra você em formato utilizável, ou são eliminados de forma segura. Defina o prazo: 30 dias é razoável. Exija comprovação documental da eliminação.
• Direito de auditoria: você deve poder verificar, diretamente ou por terceiro designado, se o operador está cumprindo as obrigações contratuais e legais. Preveja esse direito com aviso prévio de 15 dias e sem custo adicional para você.

Sub-operador: onde a cadeia costuma quebrar

Seu fornecedor de CRM provavelmente hospeda os dados num data center de terceiros. A empresa que processa sua folha quase certamente usa uma plataforma de nuvem contratada em separado. Esses terceiros são sub-operadores. A responsabilidade por eventuais falhas deles recai sobre o operador principal, que responde perante você.

Na prática, exija que o contrato de operador liste todos os sub-operadores autorizados desde a assinatura, e que qualquer inclusão de novo sub-operador exija sua aprovação prévia por escrito. Não é burocracia. É o único jeito de ter visibilidade real sobre quem está tocando nos dados dos seus clientes.

Falando sério: a maioria dos contratos padrão de SaaS autoriza o fornecedor a subcontratar livremente, sem notificação. Isso é um risco que você está aceitando sem saber. Negocie essa cláusula ou, no mínimo, exija notificação prévia com prazo para objeção.

Fim de contrato: o passivo que ninguém considera

Troca de sistema de gestão, mudança de plataforma de marketing, encerramento de parceria comercial: em todos esses cenários, dados dos seus clientes ou funcionários ficam com quem você não usa mais. Dados parados com ex-fornecedor são passivo esperando virar problema.

O contrato precisa prever três coisas: em qual formato os dados serão devolvidos, em quanto tempo a eliminação será concluída e como o operador comprova que eliminou de fato. Um certificado de descarte, um log de exclusão assinado, qualquer evidência documentada serve para fins de eventual fiscalização.

Sem essa cláusula, você vai depender da boa vontade do ex-fornecedor. E boa vontade não derruba autuação da ANPD.

Responsabilidade solidária: o número que muda a conversa

A multa da LGPD chega a 2% do faturamento bruto da sua empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração. O art. 42 prevê que o controlador e o operador podem ser responsabilizados solidariamente, dependendo de quem descumpriu a lei ou as instruções contratuais.

Se o operador agiu dentro do que você instruiu, ele responde. Se o operador foi além das instruções, responde ele. Mas se você não tinha instruções documentadas, a ANPD tem dificuldade para separar as responsabilidades. E o pior cenário é você responder junto mesmo sem culpa direta no incidente.

Nossa leitura: o contrato de operador é, antes de tudo, um instrumento de delimitação de responsabilidade. Não é só conformidade formal. É gestão de risco financeiro.

Como fazer a varredura nos contratos que você já tem

Se você tem fornecedores hoje e não sabe se existe um DPA assinado com cada um deles, comece por aqui:

• Liste todos os fornecedores que acessam dados pessoais de clientes ou funcionários: CRM, ERP, sistema de folha, plataforma de e-mail, armazenamento em nuvem, contabilidade terceirizada, cobrança, suporte ao cliente.
• Para cada um, verifique se existe um anexo de proteção de dados ou DPA no contrato assinado. Termos de uso publicados no site do fornecedor não contam como instrumento contratual entre as partes.
• Se não existe DPA: solicite o template do fornecedor. Quem opera em mercado B2B minimamente sério já tem um modelo pronto. Leia contra as 8 cláusulas acima e mapeie o que está faltando.
• Se existe mas está incompleto: documente as lacunas e negocie um aditivo específico. Priorize os pontos de segurança, sub-operadores e eliminação ao fim do contrato, que costumam ser os mais negligenciados.
• Ordene por risco: quem tem maior volume de dados de clientes ou dado sensível, saúde, biometria, folha de pagamento, vai para o topo da fila.

Nas próximas duas semanas, faça essa varredura. É possível fazer internamente, com uma tarde de trabalho dedicada. O resultado vai apontar onde estão os maiores riscos e qual fornecedor você precisa abordar antes de renovar o próximo contrato.