Respuesta rápida
Un proveedor que trata datos personales puede aumentar o reducir el riesgo de cumplimiento. Antes de contratarlo, la empresa debe entender qué datos recibirá, para qué finalidad, qué papel tiene, dónde procesa, qué suboperadores utiliza, qué controles de seguridad aplica y cómo soportará derechos, incidentes, borrado y transferencias internacionales.
Puntos clave
- No todos los proveedores son operadores para todas las actividades.
- La due diligence debe ser proporcional al riesgo.
- El contrato debe coincidir con el servicio real.
- Suboperadores deben ser visibles y gobernados.
- Un certificado no sustituye el análisis jurídico.
Qué significa en la práctica
La forma más segura de aplicar este tema es separar tres capas: lo que exige la ley o la regulación, lo que la organización hace realmente y la evidencia que permite demostrar esa decisión. Una política o contrato que no coincide con los sistemas, proveedores y flujos reales crea una falsa sensación de cumplimiento.
Para empresas globales, el análisis también debe considerar dónde están los titulares, qué entidades toman decisiones, qué proveedores reciben datos y qué países participan. La LGPD se aplica a operaciones concretas; por eso un mismo grupo empresarial puede tener respuestas diferentes según producto, finalidad o unidad.
Cómo implementar este tema
- Paso 1. Clasifique el proveedor por riesgo.
- Paso 2. Revise documentación de seguridad y privacidad.
- Paso 3. Confirme países y subprocessors.
- Paso 4. Negocie instrucciones, incidentes, derechos y borrado.
- Paso 5. Reevalúe cambios materiales.
Después de completar los pasos iniciales, conecte el resultado con el ROPA, el mapa de datos, la matriz de proveedores y el plan de remediación. Si aparece un cambio material —nuevo proveedor, país, finalidad, IA, tipo de dato o incidente— revise nuevamente la decisión.
Errores comunes
- Aceptar 'GDPR compliant' como evidencia suficiente.
- No revisar suboperadores.
- Firmar DPA estándar sin leer el producto.
- No definir plazo de escalamiento de incidentes.
Un error recurrente es tratar el cumplimiento como un documento estático. ANPD y la propia estructura de la LGPD apuntan a una gobernanza continua: registros, medidas, revisión de riesgo y capacidad de demostrar por qué una decisión era razonable en el contexto existente.
Qué debería documentar
| # | Registro | Evidencia mínima |
|---|---|---|
| 1 | Vendor Privacy & Security Review | Conserve owner, fecha, evidencia y criterio de revisión. |
| 2 | DPA Checklist | Conserve owner, fecha, evidencia y criterio de revisión. |
| 3 | Lista de suboperadores | Conserve owner, fecha, evidencia y criterio de revisión. |
| 4 | Transfer Review | Conserve owner, fecha, evidencia y criterio de revisión. |
| 5 | Registro de renovaciones | Conserve owner, fecha, evidencia y criterio de revisión. |
Relación con otras obligaciones LGPD
Este tema rara vez existe de manera aislada. Revise su conexión con mapeo de datos, ROPA, bases legales, proveedores, seguridad y transferencias internacionales.
Preguntas frecuentes
¿Todo proveedor necesita la misma revisión?
No. La profundidad debe ser proporcional a los datos, riesgo, volumen y criticidad.
¿La LGPD obliga siempre a un DPA estilo GDPR Art. 28?
No existe una disposición idéntica, pero ANPD recomienda contratos claros entre controlador y operador.
¿SOC 2 o ISO 27001 garantizan cumplimiento LGPD?
No. Pueden ser evidencia útil de seguridad, pero no sustituyen el análisis completo.
Fuentes oficiales principales
Para esta guía se priorizaron fuentes primarias. Consulte siempre la versión vigente antes de tomar decisiones de alto impacto.
Convierta esta guía en un proceso repetible
El Manual de Cumplimiento LGPD en Brasil — Edición 2026 incluye una auditoría de 100 puntos, 16 hojas de trabajo de implementación y una hoja de ruta estructurada de 30 días.
Obtener el Manual · $47