Como definir prazo de aviso de incidente em contrato internacional

Um cliente estrangeiro quer incluir no contrato um prazo para avisar incidentes. Antes de assinar, defina quem avisa quem, qual evento inicia a contagem e o que precisa constar do primeiro aviso. O prazo do prestador para informar o cliente e o prazo do controlador para comunicar autoridade ou titulares são obrigações diferentes. Planeje o fluxo para feriados e equipes em fusos distintos.

Identifique os papéis e as regras aplicáveis

Confirme qual parte controla os dados e quem atua como operador em cada fluxo. Defina contatos de segurança, privacidade e contrato. A LGPD e a Resolução CD/ANPD 15 tratam da comunicação pelo controlador nos casos abrangidos. A regra geral da ANPD usa três dias úteis para comunicações obrigatórias, com condições e ressalvas previstas na norma. No GDPR, quando aplicável, o art. 33 prevê comunicação do operador ao controlador sem demora indevida e regra própria para notificação do controlador à autoridade. Consulte a lei e as condições do caso. O contrato não deve confundir esses prazos.

Defina o que dispara a comunicação inicial. Pode ser suspeita relevante, conhecimento de evento que afeta dados ou confirmação de incidente, conforme a obrigação. Descreva o padrão de evidência e quem pode acionar. Se o prazo contratual começa com a detecção, registre como a equipe identifica e mede esse momento. Indique hora, fuso e canal de aviso. Combine contato alternativo quando a primeira pessoa não responder.

Planeje um aviso inicial e os complementos

No primeiro aviso, inclua referência, hora, ambiente afetado, descrição do que se sabe, medidas imediatas e contato. Indique claramente o que ainda está em investigação. Evite incluir dados pessoais ou segredos que não sejam necessários. Use o canal autorizado. Se as informações estiverem incompletas, combine como atualizar o cliente. A ANPD descreve possibilidade de etapas em situações aplicáveis à comunicação à autoridade. Para o contrato, confira qual conteúdo deve ser informado em cada fase.

Registre quem decide contenção, preservação de evidências e comunicação externa. O prestador deve seguir as instruções e as obrigações aplicáveis. Se houver subprocessador, confirme como ele avisará a PJ e quais registros consegue fornecer. O prazo interno precisa permitir que o cliente faça sua avaliação. Faça teste com equipes de operação e privacidade. Registre como o financeiro documenta impacto de prazo ou indisponibilidade sem expor detalhes do incidente.

Exemplo de alerta durante a madrugada

Uma ferramenta sinaliza acesso inesperado às 2h no fuso da PJ. A equipe registra horário e referência, aciona a segurança e identifica os ambientes envolvidos. Conforme o contrato, envia aviso inicial ao contato do cliente pelo canal oficial. Informa o que sabe e o que ainda está em análise. Depois, entrega atualização com os fatos confirmados. O controlador avalia se há obrigação de comunicar autoridade e titulares, conforme as regras aplicáveis. O controle interno preserva as datas, os protocolos e a decisão de cada parte.

Se o contato principal estiver indisponível, a equipe usa o substituto registrado. Se o contrato tiver prazo em horas corridas, a mudança de dia ou feriado não deve ser tratada automaticamente como pausa. Confirme a redação antes da assinatura e deixe o canal de plantão disponível para quem precisa.

Faça um exercício de comunicação

Simule um incidente fora do expediente. Uma pessoa registra o alerta, classifica os fatos conhecidos e localiza o contato do cliente. Outra verifica se o canal primário funciona e se existe um substituto. Cronometre as etapas e confira se a mensagem inicial identifica horário, ambientes possivelmente afetados, ação de contenção e pessoa responsável pelo retorno. Use informação suficiente para orientar o cliente e preserve detalhes técnicos em área restrita.

Teste também a passagem da comunicação inicial para o relatório complementar. Registre informações ainda pendentes e quem vai apurá-las. Se o prestador é operador, documente a comunicação ao controlador e siga a instrução aplicável para as próximas etapas. O exercício permite identificar cláusulas difíceis de cumprir, como prazo contado da ocorrência quando a equipe só conhece o evento posteriormente. Discuta com o cliente um gatilho que a operação consiga provar. Anote fuso, canais alternativos e procedimentos de escalonamento no resumo do contrato.

Mantenha um histórico das tentativas de contato. Se o canal primário falhar, documente quando a equipe escalou e quando recebeu confirmação do controlador. Use esse histórico para revisar o acordo.

Checklist da cláusula

• Papéis, jurisdições e obrigações identificados.
• Gatilho, relógio, fuso e canal definidos.
• Contatos principal e alternativo disponíveis.
• Primeiro aviso e complementos planejados.
• Evidências, decisões e prazos registráveis.

A Contabilidade Zen pode revisar a documentação contratual e as evidências de impactos na prestação e cobrança. Separe o contrato e o relatório comercial autorizado.

Perguntas frequentes

O prazo legal é igual ao prazo para avisar o cliente?

Confira cada obrigação. O contrato e a legislação podem tratar agentes, destinatários e contagens diferentes.

Posso esperar a investigação terminar?

Siga a regra aplicável ao aviso inicial e registre as informações disponíveis. Complete conforme orientação.

Quem comunica a autoridade?

Verifique quem é controlador e as regras aplicáveis. Defina o apoio do prestador no contrato.

Fontes oficiais

• Câmara dos Deputados — LGPD atualizada
• Ministério da Justiça — Resolução CD/ANPD nº 15
• ANPD — comunicação de incidente de segurança
• Comissão Europeia — aplicação do GDPR

Leituras relacionadas

• Como definir acesso aos ambientes do cliente no contrato internacional
• Gerador de invoice

Como a Zen pode ajudar

A contabilidade para exportação de serviços da Zen ajuda a organizar documentos, conciliar recebimentos e analisar as regras da sua operação. Peça uma proposta personalizada para conversar sobre o seu caso.