Versão: 1.0 Jurisdição: Brasil — Lei Geral de Proteção de Dados (Lei 13.709/2018) Idioma: Português (Brasil)
⚠️ Este modelo é fornecido para fins informativos. Consulte um advogado para adequação ao seu contexto específico.
Este Acordo de Processamento de Dados Pessoais ("Acordo") é celebrado entre:
CONTROLADOR: [EMPRESA CONTROLADORA], pessoa jurídica de direito privado, inscrita no CNPJ sob o nº [CNPJ], com sede na [ENDEREÇO COMPLETO], representada neste ato por [NOME DO REPRESENTANTE LEGAL], [CARGO] ("Controlador")
E
OPERADOR: [EMPRESA OPERADORA], pessoa jurídica de direito privado, inscrita no CNPJ sob o nº [CNPJ], com sede na [ENDEREÇO COMPLETO], representada neste ato por [NOME DO REPRESENTANTE LEGAL], [CARGO] ("Operador")
Coletivamente denominadas "Partes".
Data de vigência: [DATA DE INÍCIO]
CONSIDERANDO que a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — "LGPD") disciplina o tratamento de dados pessoais por pessoas naturais e jurídicas de direito público e privado;
CONSIDERANDO que o Controlador necessita dos serviços do Operador para [DESCRIÇÃO GERAL DO SERVIÇO], os quais envolvem o tratamento de dados pessoais de titulares;
CONSIDERANDO que a LGPD exige que o tratamento realizado pelo Operador seja feito em conformidade com as instruções do Controlador e com as disposições legais aplicáveis;
As Partes celebram o presente Acordo nos seguintes termos:
Para os fins deste Acordo, aplicam-se as seguintes definições, nos termos da LGPD:
| Termo | Definição |
|---|---|
| Dados Pessoais | Informação relacionada a pessoa natural identificada ou identificável |
| Dados Pessoais Sensíveis | Dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico |
| Tratamento | Toda operação realizada com dados pessoais |
| Controlador | Pessoa a quem competem as decisões referentes ao tratamento de dados pessoais |
| Operador | Pessoa que realiza o tratamento de dados pessoais em nome do Controlador |
| Titular | Pessoa natural a quem se referem os dados pessoais |
| ANPD | Autoridade Nacional de Proteção de Dados |
| Encarregado | Pessoa indicada pelo Controlador para atuar como canal de comunicação entre Controlador, Titulares e ANPD |
| Incidente de Segurança | Acesso não autorizado ou situação acidental ou ilícita que implique destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado |
O presente Acordo tem por objeto estabelecer as condições e responsabilidades aplicáveis ao tratamento de dados pessoais pelo Operador, no âmbito dos serviços prestados ao Controlador descritos em [CONTRATO PRINCIPAL / INSTRUMENTO N.º ___].
Descrição do tratamento:
| Item | Detalhe |
|---|---|
| Finalidade do tratamento | [DESCREVER A FINALIDADE — ex.: prestação de serviços de treinamento em segurança da informação] |
| Natureza do tratamento | [ex.: coleta, armazenamento, processamento, análise] |
| Tipos de dados pessoais | [ex.: nome, e-mail corporativo, cargo, logs de acesso] |
| Categorias de titulares | [ex.: funcionários do Controlador] |
| Período de retenção | [PRAZO — ex.: durante a vigência do contrato + 5 anos após o encerramento] |
O Controlador obriga-se a:
- Fornecer ao Operador somente os dados pessoais necessários para a prestação dos serviços contratados, observando o princípio da necessidade (Art. 6, III, LGPD)
- Garantir que possui base legal adequada para o tratamento dos dados objeto deste Acordo
- Informar o Operador sobre as instruções específicas relativas ao tratamento de dados pessoais
- Garantir que os Titulares foram informados sobre o tratamento, conforme exige a LGPD
- Nomear e manter um Encarregado (DPO) conforme exigido pelo Art. 37 da LGPD
- Comunicar ao Operador eventuais alterações no escopo do tratamento ou nas bases legais aplicáveis
- Responsabilizar-se pelas decisões relativas ao tratamento, incluindo finalidade e meios
O Operador obriga-se a:
- Tratar os dados pessoais somente conforme as instruções documentadas do Controlador e nos estritos termos deste Acordo
- Não utilizar os dados para finalidades próprias ou diversas daquelas autorizadas pelo Controlador
- Implementar e manter medidas de segurança técnicas e administrativas adequadas para proteger os dados pessoais contra acesso não autorizado, perda, destruição ou divulgação (Art. 46, LGPD)
- Manter sigilo sobre os dados pessoais tratados, inclusive após o término do Acordo
- Notificar o Controlador imediatamente — e no prazo máximo de 48 (quarenta e oito) horas — caso tome conhecimento de qualquer incidente de segurança que envolva os dados pessoais tratados
- Cooperar com o Controlador na resposta a solicitações de Titulares relativas ao exercício de direitos (Arts. 17-22, LGPD)
- Eliminar ou devolver todos os dados pessoais ao Controlador ao término da prestação dos serviços, salvo obrigação legal de retenção
- Manter registros de todas as atividades de tratamento realizadas em nome do Controlador (Art. 37, LGPD)
- Disponibilizar informações necessárias para demonstrar conformidade com a LGPD e cooperar com auditorias realizadas pelo Controlador ou por terceiro por ele designado
O Operador implementará, no mínimo, as seguintes medidas de segurança (medidas de segurança, técnicas e administrativas):
Medidas Técnicas:
- Criptografia de dados em repouso e em trânsito
- Controle de acesso baseado em função (RBAC), com princípio do menor privilégio
- Autenticação multifator para acesso a sistemas que processam dados pessoais
- Registro e monitoramento de acessos (logs de auditoria)
- Gestão de vulnerabilidades e patches de segurança
- Segregação de ambientes (produção, homologação, desenvolvimento)
Medidas Administrativas:
- Política formal de segurança da informação
- Treinamento periódico dos colaboradores em proteção de dados e segurança da informação
- Acordo de confidencialidade com todos os colaboradores que acessam dados pessoais
- Processo documentado de resposta a incidentes
- Avaliação periódica de riscos
6.1. O Operador não poderá subcontratar o tratamento de dados pessoais sem autorização prévia e por escrito do Controlador.
6.2. Quando autorizado, o Operador deverá:
- Impor ao suboperador as mesmas obrigações de proteção de dados previstas neste Acordo
- Permanecer responsável perante o Controlador pelo cumprimento das obrigações pelo suboperador
- Fornecer ao Controlador a lista atualizada de suboperadores autorizados
6.3. A lista atual de suboperadores autorizados é: [LISTAR OU INDICAR "NENHUM"]
7.1. O Operador não realizará transferências internacionais de dados pessoais sem autorização prévia e por escrito do Controlador.
7.2. Qualquer transferência internacional autorizada deverá observar os mecanismos previstos nos Arts. 33-36 da LGPD:
- País com nível de proteção adequado reconhecido pela ANPD; ou
- Cláusulas contratuais padrão aprovadas pela ANPD; ou
- Regras corporativas globais aprovadas pela ANPD; ou
- Consentimento específico e em destaque do Titular
8.1. Em caso de incidente de segurança (violação de dados pessoais), o Operador deverá:
| Prazo | Ação |
|---|---|
| Imediatamente / até 48h do conhecimento | Notificar o Controlador por escrito com: natureza do incidente, dados afetados, medidas de contenção iniciais, ponto de contato |
| Até 72h do conhecimento | Fornecer relatório completo ao Controlador para viabilizar notificação à ANPD (conforme Resolução CD/ANPD No. 15/2024) |
| Prazo acordado | Cooperar na investigação e remediação; fornecer evidências solicitadas pelo Controlador ou pela ANPD |
8.2. A notificação inicial deverá ser enviada para: [E-MAIL DO DPO / ENCARREGADO DO CONTROLADOR]
8.3. A notificação ao Controlador não constitui reconhecimento de responsabilidade pelo Operador.
9.1. O Operador deverá cooperar com o Controlador para viabilizar o exercício dos direitos dos Titulares previstos nos Arts. 17-22 da LGPD, incluindo:
- Acesso, correção e portabilidade de dados
- Anonimização, bloqueio ou eliminação de dados desnecessários
- Revogação do consentimento
9.2. O Operador deverá responder às solicitações do Controlador relacionadas a direitos de Titulares no prazo máximo de 72 (setenta e duas) horas.
10.1. O presente Acordo entra em vigor na [DATA DE INÍCIO] e permanece vigente enquanto o Operador prestar serviços que envolvam tratamento de dados pessoais do Controlador.
10.2. Qualquer Parte poderá rescindir este Acordo mediante notificação por escrito com antecedência mínima de [PRAZO — ex.: 30 dias].
10.3. Ao término deste Acordo, o Operador deverá, conforme instrução do Controlador:
- Devolver todos os dados pessoais ao Controlador; ou
- Eliminar todos os dados pessoais de forma segura e irreversível e emitir certificado de eliminação
10.4. O Operador poderá reter dados pessoais apenas na medida exigida por obrigação legal, devendo notificar o Controlador sobre tal retenção e seu fundamento.
11.1. O Controlador, ou auditor terceiro por ele designado, poderá realizar auditorias nas operações de tratamento de dados do Operador, mediante notificação prévia com antecedência mínima de [PRAZO — ex.: 15 dias úteis], exceto em caso de incidente de segurança.
11.2. O Operador deverá cooperar com as auditorias e disponibilizar documentação, sistemas e pessoal necessários.
12.1. Lei aplicável: Este Acordo é regido pelas leis da República Federativa do Brasil, em especial a LGPD (Lei nº 13.709/2018).
12.2. Foro: As Partes elegem o foro da comarca de [CIDADE/ESTADO] para dirimir quaisquer controvérsias decorrentes deste Acordo.
12.3. Integração: Este Acordo integra e complementa o [CONTRATO PRINCIPAL] celebrado entre as Partes, prevalecendo em caso de conflito no que diz respeito ao tratamento de dados pessoais.
12.4. Alterações: Qualquer alteração a este Acordo deverá ser feita por escrito e assinada por representantes autorizados de ambas as Partes.
| CONTROLADOR | OPERADOR |
|---|---|
| [EMPRESA CONTROLADORA] | [EMPRESA OPERADORA] |
| Nome: ___________________ | Nome: ___________________ |
| Cargo: ___________________ | Cargo: ___________________ |
| Data: ___________________ | Data: ___________________ |
| Assinatura: ______________ | Assinatura: ______________ |
Encarregado (DPO) do Controlador: [NOME] Contato do Encarregado: [E-MAIL] Encarregado (DPO) do Operador: [NOME] Contato do Encarregado: [E-MAIL]
Este modelo é fornecido para fins informativos. Consulte um advogado para adequação ao seu contexto.