Como dividir responsabilidades de proteção de dados na subcontratação

Uma exportadora recebe base de contatos do cliente e contrata uma equipe para tratar parte do material. O contrato principal chama a exportadora de operadora. O parceiro usa sua própria ferramenta e pode enviar dados a outro país. Para dividir responsabilidades, mapeie quem define finalidades e elementos essenciais, quem atua sob instruções e quais fornecedores recebem dados. O rótulo contratual precisa refletir as atividades de cada parte.

Desenhe o fluxo real dos dados

Registre tipos de dado, origem, finalidade, pessoas com acesso, sistemas, países e prazos. Separe o que o cliente fornece do que a exportadora coleta para sua própria gestão. Uma empresa pode ter papéis diferentes em tratamentos distintos. Para cada fluxo, indique quem autoriza acesso, quem atende pedidos de titulares e quem responde a incidentes. O contrato deve definir instruções, uso permitido, medidas de segurança e dever de cooperação.

A LGPD trata de agentes de tratamento, segurança e transferência internacional. O guia da ANPD para pequenos agentes fornece medidas práticas de acesso e compartilhamento. Quando houver transferência internacional de dados pessoais, identifique exportador, importador, destinatários posteriores e mecanismo aplicável, com avaliação dos responsáveis. A Resolução CD/ANPD nº 19 contém o regulamento e cláusulas-padrão brasileiras. Não presuma que todo acesso remoto exige a mesma solução. Examine o fluxo, os países e a base legal aplicável.

Combine deveres que podem ser executados

Registre como o cliente autoriza parceiro, quais ferramentas e países são permitidos e como a equipe aprova troca de fornecedor. Defina controles de acesso, autenticação, registro de atividades e teste de revogação. Para incidente, descreva canal, janela de comunicação, informação mínima e responsáveis. Um parceiro deve informar fato e ações de contenção conforme o acordo, enquanto o responsável legal avalia obrigações de comunicação. Registre o que acontece se o parceiro precisar de acesso adicional.

Defina retenção e devolução. Se o projeto termina, indique arquivos a devolver, cópias a excluir e dados que precisam ser conservados conforme a regra aplicável. Preserve prova de acesso e execução sem copiar dados desnecessários. Se a equipe usa integração, inclua credenciais, exportações e backups no inventário. Uma conta removida pode deixar uma automação com acesso. Teste a retirada e peça comprovação conforme o risco.

Exemplo de exportadora, cliente e revisora

Uma empresa brasileira analisa chamados para um cliente estrangeiro. Contrata uma revisora no Brasil para conferir categorias. O cliente define a finalidade do trabalho e aprova o parceiro. A exportadora entrega uma amostra minimizada e instrui a revisão em ambiente autorizado. A ferramenta do parceiro sugere sincronização com um serviço externo. Antes de ativar, a equipe registra destino, finalidade e acesso e consulta os responsáveis para decidir. A integração permanece desativada enquanto a análise não termina.

Durante a revisão, uma captura aparece em pasta com permissões mais amplas. A revisora comunica pelo canal acordado e a empresa restringe acesso, preserva evidências e verifica alcance. O cliente recebe as informações previstas para avaliar o tratamento. O relatório final menciona a ocorrência e os controles ajustados. O fechamento comercial usa referência e aceite sem replicar a captura.

Confira a matriz quando o projeto muda

Crie uma linha por atividade e indique papel, instrução, ferramenta, país, acesso e responsável. Revise ao contratar novo parceiro, mudar ambiente ou encerrar. Teste a abertura de incidente e a exclusão ou devolução de um arquivo de amostra. Confirme a autoridade de quem pode autorizar mudança. Para uma transferência, guarde a avaliação e o instrumento pertinente com controle de acesso. O responsável comercial pode acompanhar o estado sem precisar ler dados pessoais. O registro deve permitir mostrar quem fez o quê e em qual prazo.

Use um caso de teste que atravesse a cadeia. Por exemplo, o cliente solicita a exclusão de um arquivo que a exportadora repassou ao parceiro. A matriz deve mostrar quem recebe o pedido, quem confirma escopo, quem executa em cada ambiente e quem verifica cópias. Registre prazo e evidências permitidas. Um backup pode ter ciclo de retenção próprio, que precisa ser avaliado e documentado pelos responsáveis.

Revise também mudanças de ferramenta. Se o parceiro ativa tradução automática, monitoramento ou armazenamento em novo local, o fluxo original pode mudar. Faça a avaliação antes de liberar a funcionalidade, incluindo fornecedores posteriores e categorias de dado. Se a exportadora recebe acesso a dados do comprador por região, confirme se o papel e as instruções são iguais em todas. No acordo, registre como comunicar alteração material e quem pode autorizar. Para a trilha comercial, separe prova de execução dos dados usados. Limite anexos a quem precisa verificar a medida e preserve a versão da autorização.

Perguntas frequentes

O contrato basta para definir quem é controlador?

Confira o papel nas atividades reais. A análise depende de quem decide finalidade e elementos essenciais e de quem atua sob instruções, conforme a legislação.

Preciso avisar antes de contratar um suboperador?

Confira instruções, autorizações, contrato e mecanismo de transferência, quando aplicável. Registre aprovação e obrigações de cada parte.

Quem comunica incidente ao cliente?

Defina canal e responsáveis no contrato. O parceiro reporta o fato segundo as instruções e o responsável avalia as comunicações exigidas.

Fontes oficiais

• Câmara dos Deputados — LGPD atualizada
• ANPD — segurança para agentes de pequeno porte
• ANPD — Regulamento de Transferência Internacional de Dados

Leituras relacionadas

• Como proteger traduções em ambientes de homologação
• Gerador de invoice

Como a Zen pode ajudar

A contabilidade para exportação de serviços da Zen ajuda a organizar documentos, conciliar recebimentos e analisar as regras da sua operação. Peça uma proposta personalizada para conversar sobre o seu caso.