Resposta rápida: o que verificar antes de dar dados pessoais a um fornecedor?
Primeiro, determine se o fornecedor é realmente operador para a finalidade analisada. Depois, documente escopo e instruções, avalie segurança, pessoal, suboperadores, incidentes, direitos, retenção, exclusão, transferências e continuidade. Use contrato escrito para refletir a relação real e registre aprovação e condições.
Due diligence não termina quando o fornecedor envia SOC 2 ou assina seu DPA. A pergunta é se os controles e a arquitetura são adequados ao risco do seu tratamento.
Principais conclusões
- Nem todo fornecedor é operador.
- Um fornecedor pode ter papéis diferentes por finalidade.
- A LGPD não replica literalmente o Art. 28 do GDPR, mas a ANPD recomenda contrato controlador-operador.
- Suboperadores devem ser conhecidos e governados.
- O SLA de incidente precisa ser mais rápido que o prazo externo do controlador.
- Cancelar SaaS não prova exclusão de dados.
- Fornecedor estrangeiro exige análise de transferência internacional separada.
Passo 1: o fornecedor é realmente operador?
O operador trata dados em nome do controlador e segundo suas instruções. Pergunte:
- quem definiu a finalidade?
- quem define os dados necessários?
- o fornecedor pode reutilizar os dados para finalidade própria?
- ele combina dados entre clientes?
- possui obrigações regulatórias próprias?
- decide retenção por conta própria?
Se houver finalidade independente, o fornecedor pode atuar como controlador nessa atividade.
E provedores de pagamento?
Não presuma que são operadores. Gateways e instituições podem ter finalidades próprias de antifraude, regulação, contabilidade e rede. Classifique por atividade.
A LGPD exige DPA?
A LGPD não contém uma disposição igual ao Art. 28 GDPR com lista universal e fechada. A ANPD, entretanto, considera contrato escrito boa prática para delimitar a atuação do operador e reduzir incertezas.
O que um DPA deve cobrir?
- objeto e duração;
- natureza e finalidade;
- categorias de dados e titulares;
- instruções;
- confidencialidade;
- segurança;
- suboperadores;
- direitos;
- incidentes;
- retenção e exclusão;
- auditoria/evidências;
- transferências;
- devolução ou eliminação no encerramento.
Revisão de fornecedores em 15 pontos
1. Defina o caso de uso
Qual serviço será prestado? Sem essa resposta, não é possível avaliar necessidade ou risco.
2. Classifique o papel
Controlador, operador, controlador independente ou combinação por finalidade.
3. Mapeie os dados
Quais categorias? Dados sensíveis? Crianças? Credenciais? Volume? Escala?
4. Confirme instruções e finalidades permitidas
Proíba ou delimite usos próprios incompatíveis. Entenda analytics, benchmarking e treinamento de IA.
5. Avalie controles de segurança
Pergunte sobre acesso, MFA, criptografia quando apropriada, patches, SDLC, logs, backups, segregação, vulnerabilidades e incident response.
6. Verifique acesso de pessoal e confidencialidade
Quem pode acessar? Há least privilege, revisão de acessos e compromissos de confidencialidade?
7. Mapeie suboperadores
Entidade, serviço, dados, país, finalidade e mecanismo de aprovação.
8. Revise escalonamento de incidentes
O fornecedor consegue avisar rápido o suficiente para o controlador avaliar e comunicar em três dias úteis quando necessário?
9. Teste suporte a direitos
Pode pesquisar, exportar, corrigir, bloquear e excluir por identificador?
10. Verifique retenção e exclusão
O que acontece durante o contrato, após encerramento e em backups?
11. Mapeie transferências e acesso remoto
Países de hosting, suporte, subprocessadores e administração.
12. Revise continuidade e disponibilidade
Backups, disaster recovery, dependências críticas e plano de saída.
13. Avalie red flags regulatórios e contratuais
Recusa em explicar subprocessadores, cláusulas amplas de uso próprio, retenção indefinida, ausência de incident process ou auditorias problemáticas.
14. Atribua nível de risco
Baixo, médio, alto ou crítico conforme dados, finalidade, volume, acesso e impacto.
15. Documente aprovação, condições e reavaliação
Quem aprovou? Quais gaps ficaram? Qual prazo? Quando revisar novamente?
Suboperadores
A ANPD utiliza o conceito de suboperador para a parte contratada pelo operador para auxiliá-lo no tratamento em nome do controlador.
Recomenda-se autorização formal do controlador, específica ou geral. Em autorização geral, o contrato pode prever comunicação de novos suboperadores e possibilidade de avaliação.
Incidentes de fornecedores: seu contrato deve vencer o relógio regulatório
A Resolução 15/2024 dá ao controlador três dias úteis em incidentes reportáveis. O operador deve comunicar sem demora injustificada.
Peça, no mínimo:
- data/hora do incidente e descoberta;
- sistemas afetados;
- categorias de dados;
- titulares e volume aproximado;
- causa conhecida ou hipótese;
- medidas de contenção;
- riscos;
- países envolvidos;
- subprocessadores afetados;
- atualizações periódicas.
Fornecedores estrangeiros e transferências internacionais
Contrato de processamento e mecanismo de transferência são análises separadas. Para fornecedor nos EUA, por exemplo, identifique Art. 33 aplicável; não existe decisão de adequação da ANPD para os Estados Unidos em agosto de 2026.
Cláusulas-Padrão Contratuais brasileiras
Quando escolhidas como mecanismo, as cláusulas do Anexo II da Resolução 19/2024 devem ser adotadas integralmente e sem alteração do texto obrigatório.
Exemplo: fornecedor SaaS dos EUA
Uma empresa brasileira contrata CRM americano.
- finalidade: relacionamento com clientes;
- papel provável: fornecedor como operador para dados hospedados sob instrução;
- usos próprios: billing e segurança podem exigir análise separada;
- suboperadores: cloud, suporte e observabilidade;
- transferência: Brasil → EUA precisa de mecanismo do Art. 33;
- incidentes: SLA rápido;
- direitos: exportação e exclusão por cliente;
- offboarding: política de exclusão e backup documentada.
Fornecedores de IA: cinco perguntas adicionais
- Os dados são usados para treinar modelos?
- Prompts/outputs são retidos? Por quanto tempo?
- Dados são usados para avaliação humana ou benchmarking?
- Há isolamento entre clientes?
- Quais subprocessadores e regiões processam dados?
Se o fornecedor usa dados para finalidade própria, a classificação de operador pode mudar para aquela atividade.
Segurança: o que o Art. 46 muda?
Não existe checklist técnico universal definitivo publicado pela ANPD para todos os agentes em agosto de 2026. O Art. 46 é baseado em risco. Portanto, a revisão deve ser proporcional à natureza, volume, contexto e impacto do tratamento.
Certificações são evidências, não substitutos da análise.
Operadores têm responsabilidade direta?
Sim. O Art. 42 prevê hipóteses de responsabilidade solidária do operador quando descumpre a legislação ou instruções lícitas do controlador, sujeito às regras legais aplicáveis.
Operador não significa “sem responsabilidade”.
Offboarding
Ao cancelar um serviço:
- exporte dados necessários;
- revogue acessos e chaves;
- peça exclusão;
- verifique retenções obrigatórias;
- entenda backups;
- confirme subprocessadores;
- remova integrações;
- registre evidência de encerramento.
Erros comuns
“Assinou DPA, due diligence concluída.”
Não. Contrato não comprova controles.
“Todo fornecedor é operador.”
Não. Analise finalidade e poder decisório.
“Tem ISO/SOC, então LGPD está coberta.”
Não. Certificação não substitui requisitos brasileiros nem contexto.
“Lista de subprocessadores é suficiente.”
É preciso governar autorização, país, segurança e transferência.
“Fornecedor tem 72 horas para nos avisar.”
Pode consumir tempo crítico do prazo do controlador.
“É americano, então a transferência é automaticamente permitida.”
Não.
“Apagamos a conta, logo os dados acabaram.”
Verifique backups, logs e retenções.
Perguntas frequentes
O controlador precisa auditar fisicamente todo fornecedor?
Não existe regra universal. Use abordagem proporcional ao risco e evidências adequadas.
Suboperador precisa de contrato com o controlador?
Geralmente a relação direta é com o operador, mas obrigações precisam ser transmitidas e autorização do controlador deve ser governada conforme a orientação da ANPD.
Posso contratar fornecedor sem SOC 2?
A LGPD não exige SOC 2 universalmente. O importante é avaliar medidas reais e risco.
Fontes oficiais
Transforme orientação em implementação
O Manual de Conformidade com a LGPD no Brasil — Edição 2026 reúne guia prático, auditoria de 100 pontos, 16 planilhas e modelos de implementação e um roteiro estruturado de 30 dias.
Obter o Manual de Conformidade com a LGPD no Brasil