O que conferir no DPA de um contrato de serviço remoto

Um cliente estrangeiro pede um DPA antes de liberar acesso ao sistema. O aditivo de tratamento de dados precisa refletir o trabalho real da PJ. Confira quem define finalidade, quem atua sob instruções, quais dados entram no escopo e quem aprova subprocessadores. Depois, verifique se existe transferência internacional e como o contrato trata incidentes e encerramento.

Comece pelo mapa da prestação

Liste atividade, ambientes, categorias de dados, titulares, finalidade, países, acesso e duração. Identifique quais decisões são do cliente e quais são da PJ. O guia da ANPD orienta analisar os papéis pela atuação concreta. Um prestador pode atuar como operador em um fluxo e ter outro papel para atividades próprias, conforme o caso. A nomenclatura do documento precisa ser revisada com base nos fatos e na lei aplicável. Não aceite uma obrigação que o processo real não consegue cumprir sem discutir a operação.

Se o contrato estiver sujeito ao GDPR, verifique a aplicabilidade e os requisitos de contratação de operadores, incluindo o art. 28. Para a LGPD, confira instruções, segurança e transferência internacional quando pertinente. O DPA pode documentar o tratamento, mas é preciso verificar separadamente o mecanismo que sustenta a transferência de dados, se houver. A Resolução CD/ANPD 19 trata de mecanismos em seu âmbito. Consulte os responsáveis jurídicos e de privacidade antes de assinar.

Confira as obrigações que precisam funcionar

Identifique quais instruções são documentadas e como o cliente altera o escopo. Confirme controle de acesso, meios de autenticação, restrições de cópia, canais de incidente, apoio a solicitações de titulares e regras de auditoria. Registre quem pode conceder acesso e como o prestador pode usar fornecedores. Se houver subcontratação, confira a autorização e o repasse de obrigações. Defina como informar mudanças de ferramenta ou país. A equipe de projeto precisa saber quais ações podem ocorrer sem nova aprovação e quais exigem instrução.

Na saída, indique como devolver ou excluir dados, o que fica em backup e quando a exclusão pode ser comprovada. Se a PJ precisar preservar evidência comercial, use referências que não incluam o conteúdo do cliente. Confira como tratar dados cuja retenção seja exigida por obrigação aplicável. Defina quem recebe o relatório final e quais acessos serão revogados. Guarde a versão assinada junto ao contrato e aos anexos de segurança.

Exemplo com suporte remoto

Uma PJ presta suporte a um sistema do cliente e pode consultar registros de usuários em chamados específicos. O cliente apresenta um DPA genérico. A PJ informa os ambientes, o país de acesso, o tipo de dado e a forma de registro. As partes confirmam os papéis e ajustam o anexo para limitar as permissões. Se a ferramenta de chamados for operada por terceiro, avaliam se esse fornecedor entra no fluxo e o que precisa de autorização. A equipe guarda a versão assinada e o contato de incidente. A cobrança mensal usa as referências dos chamados autorizados, sem incluir dados pessoais.

Se a PJ trocar a ferramenta de suporte, revise o mapa e o anexo antes de usar. Se o cliente pedir exportação de dados fora do escopo, obtenha instrução e avalie os requisitos. O DPA não substitui aprovação de acesso para uma tarefa específica. Preserve as duas evidências.

Teste um cenário de incidente e um de saída

Confirme quem recebe o primeiro aviso, por qual canal e quais informações estão disponíveis. Registre como o cliente atualiza contatos. No encerramento, simule a lista de cópias e permissões e confirme quem valida a exclusão. Se o documento prever prazo, verifique se ele é compatível com o processo e com as obrigações aplicáveis. Não dê acesso a dados reais antes de resolver pendências que condicionam o início. Para o financeiro, registre a data em que o acesso foi liberado e se a prestação ficou suspensa.

Transforme o DPA em tarefas verificáveis

Associe cada cláusula relevante a um responsável e a uma evidência. Para pedido de titular, registre o canal de recebimento e quem repassa a solicitação ao cliente. Para fornecedor auxiliar, mantenha a lista e o registro da aprovação. Para exclusão, identifique o ambiente e a prova disponível. Essa tabela permite conferir se o contrato é executável antes da assinatura.

Revise a tabela quando entrar um produto novo ou mudar o tipo de informação. Peça que a equipe técnica compare a instrução do cliente com a configuração em uso e registre diferenças para discussão. Guarde a aprovação no mesmo pacote da versão do DPA que vale para o projeto.

Checklist do aditivo

• Papéis e atividade descritos com base no fluxo real.
• Dados, finalidade, países e duração registrados.
• Segurança, incidentes e fornecedores tratados.
• Transferência internacional analisada quando aplicável.
• Revogação, devolução e exclusão previstas.

A Contabilidade Zen pode revisar a documentação comercial que liga as condições do contrato à prestação e à cobrança. Separe contrato, ordem de serviço e aceites autorizados.

Perguntas frequentes

DPA e contrato comercial são o mesmo documento?

O DPA pode ser anexo ou instrumento próprio. Ele disciplina o tratamento de dados conforme o acordo e a lei.

O DPA autoriza qualquer fornecedor?

Confira as regras de autorização, os papéis e o fluxo de dados de cada terceiro.

Preciso guardar dados pessoais para comprovar que trabalhei?

Use a evidência autorizada e necessária, preferindo referências e registros de aceite quando suficientes.

Fontes oficiais

• Câmara dos Deputados — LGPD atualizada
• Comissão Europeia — aplicação do GDPR
• ANPD — agentes de tratamento e encarregado
• ANPD — Regulamento de Transferência Internacional de Dados

Leituras relacionadas

• Como definir acesso aos ambientes do cliente no contrato internacional
• Gerador de invoice

Como a Zen pode ajudar

A contabilidade para exportação de serviços da Zen ajuda a organizar documentos, conciliar recebimentos e analisar as regras da sua operação. Peça uma proposta personalizada para conversar sobre o seu caso.