Que cláusulas de dados incluir no contrato com o fornecedor?

A posição do fornecedor na cadeia de tratamento

Quando o fornecedor trata dados por conta da empresa contratante, ele assume o papel de operador, definido pela LGPD como quem realiza o tratamento em nome do controlador. O art. 39 estabelece que o operador deve seguir as instruções fornecidas pelo controlador, que por sua vez verifica o cumprimento dessas instruções e das normas aplicáveis.

Cláusulas que costumam faltar em contratos genéricos

• Delimitação clara das instruções de tratamento (quais dados o operador pode acessar e para qual finalidade);
• obrigação de notificar a contratante em caso de incidente de segurança, com prazo definido;
• vedação a subcontratação de novo operador sem autorização prévia;
• obrigação de eliminar ou devolver os dados ao término do contrato;
• previsão de auditoria ou solicitação de evidências de segurança.

A responsabilidade solidária do art. 42

O art. 42 da LGPD prevê que controlador e operador respondem por dano causado em razão do tratamento de dados em violação à legislação. Isso significa que, mesmo se o incidente ocorrer no ambiente do fornecedor, a empresa contratante pode ser responsabilizada — daí a importância de que o contrato preveja mecanismos de ressarcimento entre as partes.

A boa-fé objetiva como pano de fundo contratual

Além da LGPD, o art. 422 do Código Civil obriga os contratantes a guardar, na conclusão e na execução do contrato, os princípios de probidade e boa-fé. Aplicado ao contrato de dados, isso reforça que instruções vagas ou omissas sobre o tratamento não bastam: cláusulas claras evitam disputa futura sobre quem descumpriu o quê.

Um exemplo do que acontece sem essas cláusulas

Uma empresa que terceirizou o envio de boletos para uma fintech de cobrança, sem cláusula sobre eliminação de dados ao fim do contrato, descobriu meses depois do encerramento da parceria que a fintech ainda mantinha o cadastro completo de clientes, incluindo CPF e histórico de pagamento, sem finalidade ativa. Sem previsão contratual sobre devolução ou eliminação, a empresa teve que negociar informalmente a exclusão, processo que um contrato bem redigido teria tornado automático.