Como autorizar um subprocessador estrangeiro no contrato

A PJ usa uma ferramenta estrangeira para executar parte do serviço do cliente. Antes de habilitar a integração, confirme se ela tratará dados pessoais em nome do cliente e se precisa entrar na lista de subprocessadores. Mapeie o que será enviado, onde ficará e que acesso o fornecedor tem. A classificação depende do fluxo real e das obrigações aplicáveis.

Identifique o papel da ferramenta no projeto

Liste as atividades do fornecedor, os dados, países, subcontratados e a duração. Se a ferramenta receber apenas informações internas da PJ, avalie esse fluxo. Se receber dados do cliente conforme suas instruções, confirme o papel e as obrigações do contrato. O guia da ANPD recomenda olhar a atuação concreta. Se o GDPR for aplicável, o art. 28 traz condições relacionadas à contratação de outro operador. Leia o DPA e confirme se existe autorização específica, geral com aviso ou outra condição.

Separe uso necessário de configuração padrão. Uma plataforma de suporte pode receber anexos, logs ou gravações que o projeto não precisa armazenar. Limite os campos e desative recursos fora do escopo conforme a autorização. Confirme a região do serviço e se suporte, backup ou telemetria ocorrem em outro país. Verifique com o responsável por privacidade o mecanismo de transferência aplicável quando houver dados pessoais transferidos internacionalmente.

Peça autorização antes de disponibilizar dados

Apresente ao cliente o nome jurídico do fornecedor, o serviço, os dados, os países, as medidas de segurança e o motivo de uso. Indique como a PJ vai controlar acesso e exclusão. Preserve a versão do contrato do fornecedor, as condições de tratamento e a autorização. Se o cliente tiver direito de objeção, registre o prazo e o que acontece quando houver dúvida. Confirme quais obrigações precisam ser repassadas ao fornecedor conforme o acordo e a lei. Não trate a assinatura de um plano comercial como comprovação de todos os requisitos.

Se a ferramenta mudar região ou subcontratado, revise o mapa. Consulte o procedimento de aviso antes de ativar o novo fluxo. Se a integração for substituída, confirme exportação, exclusão e revogação. Preserve as datas e a confirmação. Em caso de incidente, use o canal definido e verifique quais dados o fornecedor consegue informar. A PJ precisa saber como acionar o fornecedor em tempo compatível com o contrato.

Exemplo de ferramenta de monitoramento

Uma PJ quer enviar registros de um sistema do cliente a um serviço estrangeiro de monitoramento. Ao mapear os campos, identifica e-mails e identificadores que não são necessários para medir disponibilidade. A equipe limita os dados, confirma região e condições de acesso e consulta o cliente sobre autorização. Depois de aprovada, registra a versão da configuração e as pessoas responsáveis. O relatório de entrega usa totais e referências. Se uma mudança de plano habilitar coleta adicional, a equipe revisa antes de ativar.

Se o cliente recusar o fornecedor, confirme se o projeto pode operar com outra ferramenta ou com relatórios do ambiente do cliente. Registre o impacto em escopo, prazo e custo. Se houver preço adicional, obtenha aprovação comercial separada. A escolha de ferramenta e a autorização de tratamento devem ficar documentadas.

Verifique a lista durante a prestação

Mantenha uma tabela de fornecedores ativos, finalidade, data de autorização, região e contato. Revise quando renovar ou encerrar o contrato. Se um fornecedor deixar de ser usado, confirme a retirada de integrações, tokens e acessos. Guarde a evidência de exclusão ou retenção conforme as instruções. Na prestação financeira, associe eventual custo à aprovação e ao documento, sem anexar dados do cliente à invoice.

Planeje uma substituição sem interromper a entrega

Prepare um procedimento para trocar a ferramenta antes de precisar dele. Registre quais dados precisam ser exportados, quais contas pertencem ao cliente e como comprovar a eliminação no fornecedor antigo. Informe quem solicita aprovação e quanto tempo o projeto consegue operar sem o produto. Se a autorização para o novo subprocessador estiver em análise, restrinja a implantação às tarefas sem dados cobertos.

No primeiro mês após a troca, confronte a lista de fornecedores aprovada com as contas ativas, os relatórios e as cobranças. Um contrato cancelado pode deixar uma integração, uma chave ou um usuário ativo. Remova o vínculo conforme a instrução e guarde a confirmação. Se ficar uma retenção temporária de backup, documente prazo, finalidade, acesso e procedimento aplicável.

Checklist do subprocessador

• Papel e fluxo real identificados.
• Dados, países e condições de acesso conferidos.
• Autorização e contrato do fornecedor preservados.
• Mudanças de ferramenta ou país sujeitas à revisão.
• Encerramento e evidência de exclusão tratados.

A Contabilidade Zen pode revisar a documentação comercial de custos e serviços de terceiros vinculados ao contrato internacional. Separe a aprovação, a invoice do fornecedor e a evidência autorizada da prestação.

Perguntas frequentes

Toda ferramenta estrangeira é subprocessadora?

Confira se ela trata dados pessoais no fluxo e em nome de quem. A classificação depende dos fatos.

Aprovar um fornecedor autoriza qualquer mudança?

Siga o acordo para alterações de finalidade, país, dados e subprocessadores.

Como comprovo o encerramento?

Guarde a confirmação de revogação, devolução ou exclusão conforme o procedimento acordado.

Fontes oficiais

• Câmara dos Deputados — LGPD atualizada
• Comissão Europeia — aplicação do GDPR
• ANPD — Regulamento de Transferência Internacional de Dados
• ANPD — agentes de tratamento e encarregado

Leituras relacionadas

• Como definir acesso aos ambientes do cliente no contrato internacional
• Gerador de invoice

Como a Zen pode ajudar

A contabilidade para exportação de serviços da Zen ajuda a organizar documentos, conciliar recebimentos e analisar as regras da sua operação. Peça uma proposta personalizada para conversar sobre o seu caso.