O fornecedor vai acessar dados de clientes: o que combinar antes de liberar o acesso?

Verificação jurídica: 16 de outubro de 2026. Este artigo trata da contratação privada de fornecedores no Brasil; operações com dados sensíveis, crianças, setores regulados ou estruturas internacionais podem exigir análise adicional.

Antes da senha, desenhe a operação

Uma empresa contrata suporte para seu sistema de vendas. Para corrigir uma integração, o fornecedor pede uma conta de administrador e uma cópia de todos os cadastros. O serviço pode ser legítimo, mas a solução proposta abre perguntas que preço e prazo não resolvem: é preciso copiar a base inteira? Quem verá os arquivos? A cópia ficará no notebook do técnico? Será apagada quando o chamado terminar?

Comece pelo trabalho concreto. Descreva o problema a resolver, os sistemas envolvidos e a ação necessária: consultar, corrigir, importar, enviar mensagens, armazenar ou excluir. Depois associe cada ação aos dados indispensáveis. Um prestador que agenda entregas talvez precise do nome, do endereço e de um contato do destinatário, sem precisar do histórico completo de compras ou de informações financeiras.

Esse exercício evita um erro frequente: negociar um documento jurídico sobre uma operação que ninguém explicou. A contratação deve unir negócio, tecnologia e proteção de dados. A área que solicita o serviço informa a finalidade; quem administra o sistema define o acesso; quem cuida da privacidade verifica o enquadramento; a pessoa com poderes contratuais aprova as obrigações. Em uma empresa pequena, uma mesma pessoa pode acumular tarefas, mas as decisões continuam diferentes.

O fornecedor será operador ou controlador?

A LGPD define controlador e operador no art. 5º, VI e VII. A distinção acompanha as decisões efetivamente tomadas sobre o tratamento. Não basta escrever “operador” no contrato se o fornecedor decide usar os dados para objetivos próprios. Também não basta ser a empresa que paga para ser controladora de toda e qualquer atividade realizada pela outra parte.

No cenário típico deste artigo, a contratante decide por que e para que tratar os dados, e o fornecedor executa operações em seu nome. Uma empresa escolhe os clientes que receberão uma confirmação de agendamento e contrata uma plataforma para enviá-la segundo suas instruções. Nessa atividade delimitada, a relação pode ser de controlador e operador.

Já uma plataforma que aproveita os contatos recebidos para formar sua própria base comercial acrescenta uma finalidade que não é mera execução do serviço. Essa conduta precisa ser analisada separadamente e não se torna regular porque uma cláusula genérica declara que todos são operadores. O mesmo fornecedor pode desempenhar papéis diferentes em operações distintas, inclusive ao tratar dados necessários à sua própria administração contratual.

Decisões técnicas do dia a dia não transformam automaticamente o operador em controlador. Escolher uma rotina de backup ou uma implementação compatível com as instruções pode fazer parte da execução. O ponto central é identificar quem determina as finalidades e os elementos essenciais do tratamento. Quando duas empresas realmente compartilham essas decisões, a análise deixa de caber em um formulário simples de terceirização.

O Guia Orientativo da ANPD ajuda a distinguir essas situações. Use-o para discutir os fatos da operação, não para escolher um rótulo que transfira toda a responsabilidade à outra parte. Se a atividade muda durante o projeto, reavalie o enquadramento antes de ampliar o acesso.

Antes de autorizar o acessoDescreva a tarefaQual operação o fornecedor executará e para qual finalidade?Defina os papéisQuem decide o objetivo e quem atua em nome de quem?Limite os dadosSomente os campos e as permissões necessários.Registre as instruçõesResponsáveis, canal, duração e condição de encerramento.Toque ou clique para ampliar. Depois, deslize a imagem para os lados.Imagem ampliada. Toque novamente para reduzir.

Quais documentos organizar antes de compartilhar os dados?

O contrato comercial regula o serviço: escopo, preço, prazo, entregas e condições de encerramento. Para estruturar essa relação entre empresas, o Contrato de Prestação de Serviços entre Pessoas Jurídicas é um ponto de partida que deve ser adaptado ao trabalho contratado. A autorização para prestar o serviço não deve ser interpretada como autorização para qualquer uso de dados.

O Contrato de Tratamento de Dados Pessoais serve como documento específico para organizar obrigações ligadas à operação. Ele pode se articular com o contrato principal e com anexos técnicos. Verifique no texto final se os papéis, as instruções, os dados e os mecanismos de controle correspondem ao caso real; a existência de um modelo não comprova adequação automática.

Já o Contrato de Confidencialidade (NDA) trata da proteção de informações confidenciais, que podem incluir segredos comerciais e materiais sem dados pessoais. Ele é útil quando o fornecedor terá contato com preços, estratégias, código ou documentação interna. Sigilo, porém, não resolve sozinho finalidade, base legal, retenção, direitos dos titulares e transferência internacional.

Não há uma regra geral na LGPD que imponha, em toda contratação privada, um documento separado com o título inglês DPA. Há deveres materiais que precisam ser atendidos. Formalizar instruções e responsabilidades por escrito facilita sua execução e prova; determinadas operações, como uma transferência internacional apoiada em cláusulas-padrão, têm requisitos específicos adicionais.

Escolha uma arquitetura documental que as equipes consigam usar. É possível concentrar as condições de dados em um anexo do contrato comercial e deixar os detalhes operacionais em uma matriz identificada por versão. Evite anexos sem data ou links cujo conteúdo pode mudar unilateralmente sem registro. Defina a ordem de prevalência em caso de conflito, preservando as regras obrigatórias aplicáveis.

Uma matriz simples para transformar promessas em instruções

Frases como “o fornecedor cumprirá integralmente a LGPD” expressam uma obrigação geral, mas não explicam o que o técnico pode fazer amanhã. A matriz abaixo mostra como tornar o acordo verificável. As soluções da terceira coluna são exemplos de negociação, não exigências legais uniformes para qualquer empresa.

O contrato com o fornecedor não cria, sozinho, a base legal

O controlador precisa identificar a hipótese legal adequada ao tratamento. Para dados pessoais em geral, a análise passa pelo art. 7º da LGPD; para dados sensíveis, pelo art. 11 e pelas regras pertinentes. Assinar um acordo com o prestador não transforma automaticamente a operação em tratamento necessário à execução de contrato com o titular.

O cliente da contratante pode não ser parte do contrato entre as duas empresas. Por isso, escrever “base legal: contrato” sem verificar qual contrato, qual titular e qual necessidade é insuficiente. Da mesma forma, consentimento não é uma resposta universal: quando utilizado, deve atender aos requisitos legais e permitir a gestão das consequências de sua revogação.

Exemplo ilustrativo: uma loja contrata atendimento terceirizado para responder sobre pedidos. Ela deve justificar o tratamento necessário ao atendimento e limitar o acesso ao que essa tarefa exige. A autorização para resolver a reclamação não autoriza o prestador a incluir o consumidor em sua campanha própria. Essa segunda finalidade teria de ser avaliada por seus próprios fundamentos e não deve ser liberada por uma cláusula vaga.

A transparência também merece atenção. Compare o fluxo real com as informações fornecidas aos titulares: finalidades, compartilhamentos, duração e canais para exercício de direitos. O contrato entre empresas e o aviso de privacidade têm destinatários diferentes, mas não podem contar histórias incompatíveis. Não é preciso expor segredos comerciais para explicar, de modo adequado, o tratamento realizado.

Quando a operação envolve dados sensíveis, crianças ou adolescentes, a avaliação precisa considerar as proteções específicas. Não copie a mesma justificativa usada para uma lista de contatos empresariais para uma base de saúde ou um serviço dirigido a menores. Este artigo não fornece uma autorização genérica para essas operações nem substitui a análise setorial.

Como escrever instruções que não dependam de conversas soltas

O art. 39 da LGPD exige que o operador siga as instruções do controlador e que este verifique sua observância e a das normas aplicáveis. Isso pede um procedimento utilizável: quem pode instruir, por qual canal, com quais limites e como registrar alterações. Não deixe qualquer funcionário da contratante ampliar o escopo em uma mensagem informal sem responsabilidade definida.

Uma formulação inicial, sujeita a adaptação, é: “A contratada tratará os dados pessoais descritos no Anexo de Operações exclusivamente para executar as atividades ali identificadas e conforme instruções documentadas dos responsáveis indicados pela contratante. A ampliação de finalidade, categorias de dados ou permissões dependerá de análise e registro prévios, observada a legislação aplicável.”

Inclua um caminho para instruções problemáticas. O prestador não deve cumprir cegamente uma orientação que viole a legislação. Preveja que comunique a dúvida, preserve os registros e suspenda, quando necessário, a atividade específica afetada enquanto as partes esclarecem a questão. Uma discussão sobre uma exportação indevida não precisa paralisar toda a operação quando é possível isolar o problema com segurança.

Que evidências pedir antes de liberar o ambiente?

A obrigação de segurança não se cumpre apenas com uma assinatura. O art. 46 da LGPD exige medidas técnicas e administrativas adequadas à proteção dos dados. O nível de diligência deve acompanhar o risco: acesso eventual a contatos empresariais e administração permanente de uma base sensível não são situações equivalentes.

Peça respostas que possam ser verificadas na operação. Quem administra as contas? Há identificação individual dos usuários? Como uma pessoa desligada perde acesso? É possível restringir exportações? Onde ficam as cópias? Quem recebe alertas de segurança? Uma certificação ou um relatório pode ajudar, mas seu escopo, período e ressalvas importam mais que o selo exibido na proposta.

Como escolhas práticas, considere acesso pelo menor privilégio necessário, autenticação reforçada, canais seguros, separação entre clientes e registros de ações relevantes. Essas medidas precisam ser calibradas com a arquitetura e o risco; não são uma lista mágica que autoriza afirmar conformidade absoluta. Defina quais controles serão demonstrados antes da abertura e quais melhorias têm prazo negociado.

Para testar uma integração, prefira dados sintéticos quando eles permitirem executar o teste. Mas verifique se a base de teste realmente não identifica pessoas: trocar o nome e manter documentos, telefones ou combinações singulares não assegura anonimização. Uma amostra reduzida e protegida pode continuar sendo dado pessoal e exigir as mesmas decisões sobre finalidade e acesso.

Três verificações antes de conectarPessoas e contasIdentifique os usuários e limite seus privilégios.Ambientes e cópiasSaiba onde dados, testes e backups serão mantidos.Terceiros e destinosAvalie suboperadores e eventuais transferências internacionais.Toque ou clique para ampliar. Depois, deslize a imagem para os lados.Imagem ampliada. Toque novamente para reduzir.

E se o fornecedor usar outros prestadores ou nuvem?

Um serviço pode depender de hospedagem, suporte, envio de mensagens ou armazenamento de terceiros. A cadeia precisa aparecer na negociação. Segundo a orientação da ANPD, é recomendável que o operador obtenha autorização formal, genérica ou específica, do controlador para contratar suboperadores. Não trate uma recomendação como se fosse um artigo que proíbe toda subcontratação sem um documento com nome padronizado.

Na autorização específica, as partes identificam previamente os participantes autorizados. Na genérica, podem prever categorias ou uma lista sujeita a atualização, com aviso e procedimento para objeções fundamentadas. O desenho deve permitir que a contratante conheça mudanças relevantes antes de ficar presa a um fluxo que não avaliou. Defina o que acontece se não houver solução aceitável para uma objeção.

Um texto inicial possível é: “A contratada manterá a relação dos suboperadores que participam das operações contratadas, com sua função e os locais relevantes de tratamento, e observará o procedimento de autorização e atualização previsto no anexo. Deverá transmitir a eles obrigações compatíveis com as atividades executadas e prestar as informações necessárias à verificação do cumprimento.”

Não suponha que “servidor no Brasil” encerra a análise. Suporte por outra organização no exterior, replicação, backups e compartilhamentos podem alterar o fluxo. Por outro lado, nem todo acesso ou elemento internacional se resolve com a mesma conclusão automática: identifique agentes, operações e destinos e aplique as definições e mecanismos da regulamentação pertinente.

Quando houver transferência internacional, trate o mecanismo separadamente

A transferência internacional exige análise da base legal do tratamento e de um mecanismo válido de transferência. O art. 33 da LGPD e a Resolução CD/ANPD nº 19/2024 são referências centrais. A autorização comercial dada ao fornecedor não substitui essa avaliação. Também não é correto afirmar que dados pessoais nunca podem sair do Brasil.

Se a operação se apoiar nas cláusulas-padrão da ANPD, deve observar o texto e os requisitos oficiais. Não reduza esse mecanismo a uma frase como “as partes seguirão padrões internacionais”. O regulamento exige adoção integral e sem alteração do texto aplicável do Anexo II, com preenchimento dos campos e observância das instruções próprias. Há outros mecanismos legais, cuja adequação depende da operação.

Para contratar, peça um mapa dos países e participantes envolvidos, identifique quem exporta e quem importa e registre o fundamento escolhido. Quando o prestador envia um contrato global, confira se ele cobre o fluxo brasileiro efetivo; citar o GDPR ou exibir cláusulas europeias não comprova, por si só, atendimento ao mecanismo brasileiro necessário.

Como combinar cooperação sem confundir os prazos?

O controlador precisa conseguir atender aos direitos dos titulares. O fornecedor, quando atua como operador, deve fornecer a colaboração operacional prevista para localizar dados, corrigir informações e executar determinações lícitas. Defina o canal de encaminhamento de pedidos recebidos diretamente, a forma de autenticação adequada e quem responde ao titular em cada situação.

Um prazo interno para o operador prestar informações é uma escolha contratual. Ele precisa deixar tempo para a contratante analisar e cumprir as obrigações externas aplicáveis. Não escreva que todos os pedidos têm invariavelmente quinze dias: o art. 19 distingue a resposta simplificada imediata e a declaração completa em até quinze dias para confirmação ou acesso, sem transformar esse prazo em regra universal para todos os direitos.

Para incidentes, separe aviso operacional e comunicação regulatória. O fornecedor deve avisar prontamente sobre ocorrências relevantes para que a contratante avalie as medidas cabíveis. A Resolução CD/ANPD nº 15/2024 disciplina a comunicação pelo controlador quando o incidente puder acarretar risco ou dano relevante aos titulares. Não é correto concluir que qualquer falha técnica exige automaticamente aviso público.

A regra geral de comunicação à ANPD e aos titulares é de três dias úteis a partir da ciência do controlador de que houve comprometimento de dados pessoais, nos termos do regulamento, ressalvadas regras específicas e o regime aplicável aos agentes de pequeno porte que preencham os requisitos. Não use esse prazo externo como autorização para o operador esperar três dias antes de contar o ocorrido à contratante. O aviso interno precisa ser compatível com a resposta rápida.

Exemplo de cláusula negociável: “A contratada comunicará, sem demora injustificada, a ocorrência ou suspeita fundamentada de incidente que afete os dados das operações contratadas, pelo canal de emergência indicado no anexo. A primeira comunicação trará os fatos disponíveis, as medidas iniciais e o contato responsável, com complementações à medida que a apuração avançar.” Um limite contratual em horas, se adotado, deve ser identificado como pacto das partes, não como prazo geral criado pela LGPD.

Planeje a devolução e o encerramento enquanto ainda há cooperação

A saída costuma ser esquecida até o momento em que o prestador ameaça desativar o sistema. Combine formato de exportação, prazo de disponibilização, responsável por conferir a integridade e procedimento de eliminação. A contratante precisa saber se receberá uma base utilizável, arquivos incompletos ou apenas um relatório que não permite continuar o serviço.

O encerramento comercial e o fim de toda operação de tratamento não são necessariamente simultâneos. Podem existir atividades de transição ou conservação legalmente justificadas. Os arts. 15 e 16 da LGPD disciplinam o término e as hipóteses de conservação; uma cláusula não autoriza guardar indefinidamente o cadastro completo “para eventual necessidade”. Identifique finalidade, fundamento, restrições e prazo pertinente ao que permanecer.

Uma formulação de partida é: “Encerradas as operações, a contratada devolverá ou eliminará os dados conforme a instrução documentada e o plano de saída acordado, ressalvadas as hipóteses de conservação admitidas pela legislação. Informará os dados que permanecerem, a justificativa, o período aplicável e as medidas de restrição de acesso, sem reutilização para finalidade incompatível.”

Backups merecem uma regra realista e específica. Se a arquitetura não permite excluir imediatamente um registro de cópias imutáveis, não prometa uma eliminação instantânea tecnicamente impossível. Registre o ciclo de expiração, os controles para impedir uso ordinário e o procedimento em caso de restauração, sempre sujeito à avaliação de licitude e necessidade da retenção. A palavra “backup” não cria uma exceção geral à LGPD.

Revogue contas, tokens e integrações quando deixarem de ser necessários, incluindo acessos de suporte. Confira também exportações locais, pastas compartilhadas e ambientes de homologação. Um certificado de eliminação pode documentar as medidas declaradas pelo fornecedor, mas não substitui a avaliação sobre o que foi efetivamente feito e sobre eventuais ressalvas.

Saída do fornecedor sem perder o controleDevolverConfirme formato, integridade e recebimento dos dados.RevogarEncerre contas, integrações e permissões desnecessárias.Eliminar ou justificarDocumente exclusão e eventual conservação legalmente permitida.ComprovarRegistre medidas, ressalvas e prazos de encerramento.Toque ou clique para ampliar. Depois, deslize a imagem para os lados.Imagem ampliada. Toque novamente para reduzir.

Quem responde se o fornecedor descumprir o combinado?

O contrato pode organizar a distribuição interna de tarefas, custos e consequências do descumprimento. Ele não elimina os direitos dos titulares nem altera, por simples declaração, o regime legal de responsabilidade. Os arts. 42 a 45 da LGPD devem ser considerados conforme os fatos, inclusive a participação de cada agente no tratamento e no dano.

O operador não é imune por trabalhar para outra empresa. A lei prevê responsabilidade solidária nas hipóteses de descumprimento das obrigações de proteção de dados ou das instruções lícitas do controlador, observadas as exclusões legais. Também é incorreto afirmar que a contratante fica automaticamente livre de responsabilidade porque o fornecedor aceitou uma cláusula de indenização.

Na negociação, trate de cooperação na defesa, comunicação de reclamações, preservação de documentos e apuração dos custos. Uma obrigação ampla de reembolso pode gerar discussão sobre causalidade, extensão e limites; não deve ser vendida como blindagem absoluta. Eventual regresso entre responsáveis não apaga a obrigação perante o titular quando ela existir.

A verificação deve continuar durante o serviço. Combine evidências proporcionais, revisões periódicas e auditoria quando justificada, respeitando segurança e informações de outros clientes. Não exija acesso irrestrito à infraestrutura inteira do fornecedor como solução padrão. É possível avaliar relatórios, demonstrações, amostras e planos corretivos compatíveis com o risco e com o objeto contratado.

Perguntas frequentes

Todo fornecedor que recebe dados é operador?

Não. O papel depende da operação e das decisões efetivas. Quem trata dados em nome do controlador pode ser operador; quem define finalidades próprias pode atuar como controlador nessa atividade. Uma mesma empresa pode ocupar papéis distintos em operações diferentes.

Preciso assinar um contrato separado chamado DPA?

Não existe essa exigência geral de título ou documento autônomo para toda contratação privada. As obrigações podem ser organizadas no contrato principal ou em anexo adequado. Operações específicas podem exigir instrumentos próprios, como as cláusulas-padrão quando esse for o mecanismo escolhido para transferência internacional.

Um NDA permite enviar a base completa de clientes?

Não por si só. O sigilo não dispensa finalidade legítima, base legal, necessidade e segurança. Verifique quais campos e operações são indispensáveis e limite o acesso. Dados excessivos não se tornam necessários porque o destinatário prometeu confidencialidade.

O prestador pode usar os dados para melhorar seu próprio produto?

Isso não deve ser presumido como parte do serviço. Examine a finalidade concreta, os dados envolvidos, o papel de cada parte e os requisitos legais. Uma autorização genérica para “melhorias” não resolve qualquer reutilização, treinamento de sistemas ou compartilhamento. Quando o uso não foi avaliado, mantenha-o fora das instruções autorizadas.

O fornecedor pode contratar uma empresa de nuvem?

Pode haver subcontratação compatível com a operação, mas ela precisa ser conhecida e organizada. A ANPD recomenda autorização formal, genérica ou específica, para suboperadores. Verifique obrigações, funções, destinos e eventual transferência internacional antes de aceitar a cadeia proposta.

O operador tem três dias úteis para avisar sobre um incidente?

Não use o prazo geral de comunicação externa pelo controlador como prazo automático do fornecedor. O aviso interno deve ocorrer prontamente, pelo procedimento contratado, para permitir avaliação e cumprimento das obrigações aplicáveis. Os prazos regulatórios e suas exceções devem ser analisados no caso concreto.

Posso exigir que todos os dados sejam apagados no dia da rescisão?

É preciso compatibilizar a saída com as hipóteses legais de conservação e com os limites técnicos, sem criar retenção indefinida. Combine devolução, eliminação, restrição de acessos, tratamento de backups e comprovação. Qualquer dado mantido deve ter justificativa adequada e uso limitado.

Conclusão

Antes de liberar os dados, transforme o serviço em instruções verificáveis: finalidade, campos, permissões, responsáveis, terceiros, destinos e saída. O contrato de tratamento deve refletir esse mapa e funcionar junto com o contrato comercial e os controles técnicos.

A pergunta decisiva não é apenas se o fornecedor assinou uma cláusula de LGPD. É se a empresa consegue explicar e demonstrar o que autorizou, por que autorizou e como encerrará o acesso quando ele deixar de ser necessário.

Fontes

• Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais: arts. 5º a 7º, 11, 15 a 19, 33, 37, 39 e 42 a 49, sobre agentes, bases legais, direitos, instruções, segurança e responsabilidade.
• ANPD, Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado: orientação sobre controlador, operador e suboperador.
• ANPD, Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte: medidas administrativas e técnicas de proteção.
• Resolução CD/ANPD nº 19/2024: Regulamento de Transferência Internacional de Dados e cláusulas-padrão contratuais, com o texto oficial e suas retificações.
• Resolução CD/ANPD nº 15/2024: Regulamento de Comunicação de Incidente de Segurança, publicado no Diário Oficial da União em 26 de abril de 2024.
• Resolução CD/ANPD nº 2/2022: regras aplicáveis aos agentes de tratamento de pequeno porte, com requisitos, limites e tratamento diferenciado.
• ANPD — Comunicação de Incidente de Segurança: orientações oficiais sobre comunicação, prazos e cooperação entre controlador e operador.