O que é um Acordo de Processamento de Dados (DPA)?​​ 

Principais conclusões​​ 

• O que são DPAs: Os contratos de processamento de dados (DPAs) definem como os controladores e processadores lidam com dados pessoais, incluindo segurança, confidencialidade e o papel de cada parte.​​ 
• Quando é necessário um DPA: As empresas precisam de um DPA quando um fornecedor terceirizado processa dados pessoais em seu nome.​​ 
• Por que os DPAs são importantes: Os DPAs ajudam as empresas a definir expectativas para o relacionamento de processamento de dados.​​ 
• Considerações sobre conformidade: Empresas globais precisam levar em conta as leis de privacidade, incluindo os requisitos do GDPR, ao gerenciar relacionamentos com fornecedores de serviços terceirizados que processam dados pessoais.​​ 

À medida que sua empresa se expande para novos mercados, você provavelmente trabalhará com um número crescente de fornecedores terceirizados que dão suporte às suas operações. Essas relações envolvem acesso a dados pessoais, por isso é importante entender:​​ 

• • Quem pode acessar essa informação?​​ 
  • como terceiros o processam​​ 
  • Que medidas de proteção estão em vigor para salvaguardar isso?​​ 

Um acordo de processamento de dados (DPA, na sigla em inglês) ajuda a estabelecer expectativas entre controladores e processadores de dados. Este contrato legal e vinculativo define como as partes tratam os dados pessoais, incluindo o âmbito do processamento, as medidas de segurança e as obrigações que cada parte deve cumprir.​​ 

Embora muitos associem as Autoridades de Proteção de Dados (APD) ao Regulamento Geral de Proteção de Dados (RGPD) da UE, outras leis de privacidade em todo o mundo podem incluir requisitos semelhantes para a proteção e gestão de dados pessoais. Entender quando você precisa de um DPA (Acordo de Proteção de Dados) pode ajudar sua empresa a desenvolver estratégias de proteção de dados mais robustas e a cumprir suas obrigações de privacidade nas regiões onde opera. Neste guia, você aprenderá o que é um DPA, o que ele envolve, quando você precisa de um e muito mais.​​ 

O que é um contrato de processamento de dados?​​ 

Um DPA (Acordo de Proteção de Dados) é um contrato legal entre controladores e processadores de dados que define como os dados pessoais serão tratados. Explica as responsabilidades de cada parte, incluindo:​​ 

• Os tipos de dados pessoais aos quais o processador pode ter acesso: um DPA identifica as informações envolvidas na relação de processamento e especifica como o processador pode utilizá-las.​​ 
• As medidas de segurança que o processador deve seguir: Os contratos podem detalhar os requisitos para a proteção de dados, como práticas de confidencialidade, controles de acesso e outras salvaguardas.​​ 
• Obrigações de ambas as partes: Um DPA estabelece expectativas claras para cada parte ao longo da relação de processamento, incluindo aquelas relacionadas à segurança, confidencialidade e conformidade.​​ 

As empresas utilizam os DPAs (Acordos de Proteção de Dados) quando trabalham com fornecedores terceirizados que processam dados pessoais em seu nome, dão suporte a diversas operações comerciais e precisam acessar informações pessoais. Exemplos incluem:​​ 

• Tecnologia de RH: As plataformas de RH processam informações relacionadas a membros da equipe, candidatos e atividades de gestão da força de trabalho.​​ 
• Terceirização da gestão de e-mails: Os provedores de serviços de e-mail podem processar informações de contato e comunicações.​​ 
• Contabilidade financeira: Plataformas e fornecedores de contabilidade podem acessar registros financeiros, informações de funcionários e outros dados comerciais, dando suporte às operações financeiras.​​ 
• Coleta ou digitalização de dados: Fornecedores externos podem ajudar a coletar, organizar ou converter dados em formatos digitais mais acessíveis.​​ 
• Armazenamento em nuvem: Os provedores de nuvem podem armazenar dados pessoais e backups comerciais em nome das empresas e precisam seguir requisitos de segurança previamente acordados para proteger essas informações.​​ 
• Suporte à folha de pagamento: Os provedores de serviços de folha de pagamento processam informações fiscais e de remuneração confidenciais, necessárias para dar suporte a atividades de pagamento e relacionadas aos funcionários.​​ 
• Plataformas de gestão de relacionamento com o cliente (CRM): os fornecedores de CRM podem processar informações do cliente para dar suporte a vendas, serviços e comunicação.​​ 

Um DPA cria um entendimento compartilhado de como as atividades de processamento ocorrerão. Pode identificar o âmbito da relação, estabelecer requisitos de segurança e esclarecer como cada organização deve abordar as suas obrigações de privacidade.​​ 

Por que os DPAs são importantes?​​ 

Um DPA ajuda as empresas a entender melhor como as partes compartilham dados e a definir a responsabilidade pela sua proteção. Ao estabelecer responsabilidades antes do início de uma relação entre controlador e processador de dados, as empresas criam uma base mais sólida para gerenciar os requisitos de privacidade e reduzir a incerteza.​​  

Um DPA pode ajudar as empresas a operar com mais eficiência à medida que se expandem internacionalmente, criando expectativas consistentes sobre como terceiros lidam com dados pessoais. Em vez de substituir a política de privacidade e as obrigações de conformidade mais abrangentes de uma empresa, um DPA (Acordo de Proteção de Dados) é apenas uma parte de uma abordagem mais ampla para a proteção de dados pessoais.​​ 

Como o RGPD afeta os contratos de processamento de dados​​ 

O RGPD da UE dá maior ênfase às Autoridades de Proteção de Dados, estabelecendo requisitos específicos para os acordos entre controladores e processadores de dados. Nos termos do artigo 28 do RGPD, os responsáveis pelo tratamento têm de trabalhar com processadores que ofereçam garantias suficientes para a proteção dos dados e devem celebrar contratos que abordem as responsabilidades de ambas as partes.​​ 

Esses requisitos se aplicam quando o RGPD abrange atividades de processamento. Embora o RGPD tenha se originado na UE, ele também pode ser aplicado a cenários em que empresas fora da UE processam dados pessoais de indivíduos dentro da região.​​ 

Acordos de processamento de dados em escala global​​ 

O GDPR está entre as estruturas de privacidade de dados mais amplamente reconhecidas no mundo. As empresas podem precisar considerar compromissos contratuais semelhantes ao trabalhar com fornecedores terceirizados que processam dados pessoais, mesmo quando estes não operam dentro da UE. As leis de privacidade variam de país para país, e as obrigações de uma organização dependem de:​​ 

• • onde opera​​ 
  • cujos dados processa​​ 
  • Que serviços ela oferece?​​ 

Saber quando sua empresa precisa de um DPA (Acordo de Proteção de Dados) pode ajudá-la a criar processos mais claros para proteger dados pessoais e atender aos seus requisitos de privacidade, independentemente de onde você opere.​​ 

Quando é necessário um contrato de processamento de dados?​​ 

Os DPAs são necessários sempre que uma organização processa dados pessoais em nome de outra. Segundo o RGPD, as empresas precisam de um DPA (Agente de Proteção de Dados) quando o compartilhamento de dados pessoais cria uma relação entre controlador e processador de dados. Nessas situações, o acordo ajuda a definir:​​ 

• • como um provedor pode usar as informações​​ 
  • Que proteções se aplicam?​​ 
  • Como ambas as partes devem abordar o acordo.​​ 

Alguns exemplos comuns de quando as empresas precisam de um DPA incluem o uso de:​​ 

• • um fornecedor de folha de pagamento​​ 
  • uma plataforma de RH​​ 
  • armazenamento em nuvem​​ 
  • outro fornecedor de tecnologia que possa processar dados de funcionários, clientes ou empresas​​ 

A DPA define expectativas claras antes do início do processamento.​​ 

Quando um contrato de processamento de dados não é necessário?​​  

Nem toda relação que envolva dados pessoais precisa de um DPA (Acordo de Proteção de Dados). Os cenários comuns incluem:​​ 

• Controladores independentes: Terceiros independentes podem determinar como e por que processam dados pessoais. Isso significa que eles operam sob suas próprias responsabilidades de privacidade, em vez de atuarem como processadores.​​ 
• Prestadores de serviços profissionais: Certos prestadores, incluindo aqueles que oferecem serviços jurídicos, contábeis e de consultoria financeira, têm responsabilidades distintas em matéria de confidencialidade e privacidade, com base na natureza de seus negócios.​​ 
• Relações de acesso limitado a dados: Um provedor pode acessar dados incidentalmente, sem processá-los em nome de outra organização.​​ 
• Autoridades públicas e órgãos reguladores: Empresas que processam dados sob sua própria autoridade legal não podem operar como processadoras de dados e não precisam de uma Autoridade de Proteção de Dados (APD).​​ 

Ao determinar se você precisa de uma DPA (Acordo de Proteção de Dados), considere:​​ 

• • Quem determina a finalidade do processamento?​​ 
  • Quem tem acesso às informações​​ 
  • Qual o papel que cada organização desempenha no relacionamento?​​ 

Entendendo os papéis em um contrato de processamento de dados​​ 

Em um DPA (Acordo de Processamento de Dados), duas partes desempenham papéis distintos: o controlador de dados e o processador de dados. Compreender a diferença entre eles pode ajudar a determinar as obrigações de cada parte quando dados pessoais são transferidos entre duas empresas.​​ 

O que é um controlador de dados?​​ 

Um controlador de dados é uma organização que determina por que e como os dados são processados. É o partido que decide:​​ 

• • que informações coleta​​ 
  • por que está coletando isso​​ 
  • como o processador pode usar os dados em seu nome​​ 

Suponha que sua empresa atue como controladora de dados ao coletar informações pessoais de clientes, membros da equipe ou outras partes para dar suporte às atividades comerciais. Se você trabalha com um fornecedor terceirizado para processar essas informações, sua empresa determina o motivo pelo qual o fornecedor as processa.​​ 

O que é um processador de dados?​​ 

Um processador é a organização que processa dados pessoais em nome do controlador. Isso não determina a finalidade do processamento nem como os dados serão usados além das instruções do controlador. O sistema deve seguir as instruções específicas do controlador para o processamento.​​ 

Um processador de dados pode incluir:​​  

• • fornecedores de tecnologia​​ 
  • empresas de serviços em nuvem​​ 
  • plataformas de folha de pagamento​​ 
  • outros fornecedores que processam dados pessoais ao fornecer um serviço​​ 

O trabalho deles envolve seguir instruções de processamento explícitas, mantendo as devidas precauções.​​ 

O que inclui um contrato de processamento de dados?​​ 

Um DPA define claramente como as empresas lidam com dados pessoais quando um controlador trabalha com um processador. Os detalhes exatos podem variar de acordo com as leis de privacidade aplicáveis. A maioria das DPAs aborda áreas-chave relacionadas às atividades de processamento de dados, medidas de segurança e responsabilidades das partes.​​ 

1. Detalhes sobre as atividades de processamento de dados​​ 

Os DPAs ajudam ambas as partes a entender quais informações fazem parte do acordo e como os processadores podem usá-las. O acordo explica o âmbito da relação de processamento e especifica o que o processador pode fazer com os dados envolvidos.​​ 

Os detalhes incluem:​​ 

• • Os tipos de dados pessoais sujeitos a processamento.​​ 
  • As categorias de indivíduos cujas informações são processadas.​​ 
  • O objetivo e a natureza das atividades de processamento​​ 
  • A duração total da relação de processamento.​​ 
  • Instruções claras sobre como o processador pode usar os dados.​​ 
  • Requisitos para a devolução ou eliminação de dados pessoais após o término da relação.​​ 

Documentar esses detalhes ajuda as empresas a estabelecer expectativas antes do início de qualquer processamento. As partes podem usar os detalhes como ponto de referência ao longo do relacionamento.​​ 

2. Direitos, responsabilidades e instruções de processamento​​ 

Os contratos precisam definir o que cada parte deve fazer ao processar dados pessoais. Os controladores fornecem instruções que os processadores precisam seguir. Os processadores devem executar as atividades de processamento acordadas. Um DPA precisa especificar que o controlador, e não o processador, mantém o controle sobre os dados e o que acontece com eles.​​ 

As DPAs podem abordar:​​  

• • As instruções do controlador sobre como o processador deve usar os dados.​​ 
  • As responsabilidades do processador ao executar atividades de processamento​​ 
  • O direito do controlador de obter informações sobre as atividades​​ 
  • As obrigações de cada parte relacionadas à privacidade, segurança e conformidade.​​ 

Quando elaborado corretamente, um DPA pode ajudar ambas as partes a compreenderem as suas respectivas obrigações e evitar confusões.​​ 

3. Confidencialidade e segurança​​ 

As disposições relativas à confidencialidade e às medidas de segurança podem estabelecer expectativas quanto à proteção de dados pessoais. Uma Autoridade de Proteção de Dados (DPA) deve especificar quais medidas um processador utilizará.​​ 

Dependendo dos serviços envolvidos, as medidas relevantes podem incluir:​​ 

• • Implementar acordos de confidencialidade para indivíduos que acessam os dados.​​ 
  • Controles de acesso rigorosos que limitam quem pode visualizar as informações.​​ 
  • práticas de criptografia e pseudonimização de dados​​ 
  • Processos que dão suporte à disponibilidade, resiliência e recuperação de dados.​​ 
  • Revisões de rotina e testes de segurança​​ 

As medidas específicas incluídas em um DPA devem refletir o tipo de informação envolvida e o risco associado às atividades de processamento.​​ 

4. Requisitos para subprocessadores​​ 

Alguns processadores trabalham com outros fornecedores para dar suporte aos seus serviços. Conhecidas como subcontratadas, essas empresas podem precisar cumprir requisitos adicionais. Uma DPA (Autoridade de Proteção de Dados) precisa incluir instruções para gerenciar esses relacionamentos e abranger quaisquer regras adicionais que se apliquem quando outra organização processa dados pessoais.​​ 

As disposições relativas ao subcontratado abrangem:​​ 

• • Se os processadores precisam de autorização antes de contratar subprocessadores​​ 
  • Obrigações aplicáveis aos subcontratados quando estes processam dados.​​ 
  • Como os processadores monitoram a conformidade dos subprocessadores​​ 
  • Como os processadores comunicam alterações envolvendo subprocessadores​​ 

Requisitos claros para subcontratados proporcionam aos controladores maior visibilidade sobre como os dados pessoais se movem por uma rede mais ampla de prestadores de serviços.​​ 

Apoio às obrigações de privacidade e conformidade​​ 

Por fim, uma DPA precisa explicar como um processador pode dar suporte às responsabilidades de privacidade de um controlador. As atividades do processador com foco em suporte podem incluir:​​ 

• • Auxiliar na realização de avaliações de impacto sobre a proteção de dados.​​  
  • Apoio nas respostas às solicitações dos titulares dos dados​​ 
  • Fornecer informações necessárias para revisões e auditorias de conformidade.​​ 
  • Auxiliar na resposta a violações de segurança.​​ 
  • Manter registros sobre as atividades de processamento sempre que aplicável.​​ 

Definir esses detalhes antecipadamente pode ajudar as empresas a responderem de forma mais rápida e eficaz caso surjam preocupações com a privacidade ou a segurança.​​ 

O que acontece após uma violação de dados ao abrigo de uma Lei de Proteção de Dados (DPA)?​​ 

Se uma violação de dados pessoais representar um risco para os direitos e liberdades dos indivíduos afetados, as empresas envolvidas precisam tomar medidas específicas e imediatas. As empresas devem notificar a autoridade supervisora competente no prazo de 72 horas após tomarem conhecimento da violação.​​ 

Se a violação representar um alto risco, as empresas também devem notificar esses indivíduos. Se a empresa já possui protocolos eficazes de redução de riscos técnicos e organizacionais, uma notificação não é necessária.​​ 

Suponha que uma empresa utilize um fornecedor terceirizado para armazenar informações de clientes. Caso o provedor (processador) sofra um incidente de segurança que exponha dados pessoais, ele deverá notificar a empresa (controladora) para que esta possa avaliar a violação e determinar as medidas subsequentes adequadas.​​  

Dependendo das circunstâncias, a empresa precisa notificar os órgãos reguladores, os indivíduos afetados ou ambos. A resposta pode depender de fatores como:​​ 

• • informações envolvidas​​ 
  • número de pessoas afetadas​​ 
  • proteções já em vigor​​ 

Quais são os riscos de não cumprir os requisitos da DPA?​​ 

1. Quando as leis de privacidade exigem que as empresas tenham um contrato de processamento de dados, a falta desse contrato pode gerar riscos de não conformidade. Nos termos do RGPD, os controladores e processadores podem ser penalizados se não cumprirem as obrigações de proteção de dados, incluindo os requisitos relacionados com os contratos entre controladores e processadores.​​ 
2. Se ocorrer uma violação de dados e os reguladores constatarem que uma organização não cumpriu as normas, podem tomar medidas coercitivas. As ações potenciais podem incluir:​​ 
   
   • • Uma advertência ou repreensão formal​​ 
     • Restrições temporárias ou permanentes às atividades de processamento de dados​​ 
     • Multas administrativas de até € 20 milhões ou 4% do faturamento anual total mundial da empresa, o que for maior.​​ 
3. As consequências específicas dependem da natureza da violação, do impacto sobre os indivíduos afetados e da resposta da organização. De qualquer forma, o não cumprimento das normas pode gerar desafios operacionais e de reputação.​​ 

Gerenciar DPAs em vários fornecedores, jurisdições e equipes internas pode criar desafios administrativos adicionais para empresas em crescimento.​​ 

Sem uma supervisão clara, muitos têm dificuldade em identificar lacunas em suas práticas de proteção de dados e em responder rapidamente quando surgem problemas de privacidade.​​ 

Estabelecer uma abordagem estruturada para os contratos de processamento de dados pode ajudar as empresas a melhorar a visibilidade, manter a consistência e apoiar um crescimento responsável além-fronteiras.​​ 

Construa equipes globais com a G-P​​ 

Ao formar equipes internacionais, a privacidade dos dados é uma consideração importante. Trabalhe com a G-P para atender às suas necessidades de contratação internacional. Nossa Plataforma Global de Emprego ajuda empresas a contratar, integrar, gerenciar e remunerar profissionais em todo o mundo, atendendo também aos requisitos de contratação.​​  

Contar com os processos e a experiência adequados pode ajudar sua organização a gerenciar as questões de privacidade de dados à medida que cresce. Como uma EOR global, a GP ajuda você a contratar e remunerar talentos em 180países sem precisar criar entidades locais. Levamos a privacidade de dados a sério, ajudando empresas como a sua a dar suporte a processos de contratação internacional e a gerenciar as necessidades de mão de obra local.​​ 

Na G-P, ajudamos você a otimizar seus processos de recrutamento, combinando tecnologia com conhecimento humano. Ao utilizar nossa Plataforma Global de Emprego, você pode contratar e integrar novos membros da equipe com mais eficiência, economizando tempo e simplificando sua abordagem ao crescimento.​​ 

Solicite uma proposta hoje mesmo ou entre em contato conosco para saber como a GP pode apoiar sua estratégia global de recrutamento.​​ 

Perguntas frequentes​​