O erro mais comum ao avaliar um contrato de processamento de dados é que as empresas assinam o documento sem verificar quem tem qual função nessa relação. Um contrato de processamento de dados regula os acordos entre um responsável pelo tratamento, que determina por que e como os dados são processados, e um processador, que faz isso por encargo. Se essa distribuição de funções não for verificada, às vezes você assina um documento que não se aplica à sua situação, ou perde justamente um contrato que deveria ter existido.
Além disso, geralmente dá errado em três outros pontos: subprocessadores que não constam no documento, medidas de segurança descritas apenas em termos gerais, e nenhum acordo sobre o que acontece com os dados após o término da cooperação. Estes não são pequenos detalhes, mas o cerne para que um contrato de processamento de dados existe: estabelecer quem é responsável pelo quê, enquanto a cooperação durar e também depois.
Não verificar a distribuição de funções
Um contrato de processamento de dados parte de uma distribuição fixa: uma parte determina o objetivo e os meios do tratamento, a outra executa esse tratamento segundo instrução. Na prática, essas funções às vezes variam por tarefa. Um escritório de contabilidade é um processador para a folha de pagamento de um cliente, mas um responsável pelo tratamento para seus próprios dados de pessoal. Quem assina um contrato sem definir essa função não tem certeza se o documento correto foi assinado. A própria GDPR descreve essa distribuição de funções, e as orientações do EDPB abordam-na em detalhe.
Subprocessadores que permanecem não nomeados
Muitas ferramentas SaaS acionam por sua vez outros terceiros, por exemplo para hospedagem ou atendimento ao cliente. Um contrato de processamento de dados deve especificar se isso é permitido, sob quais condições e se você é informado antecipadamente. Se essa disposição estiver faltando, você simplesmente não saberá quais terceiros têm na prática acesso aos dados que você fornece. Essa é precisamente o tipo de informação que você pode consultar na base de conhecimento por tema antes de assinar.
Segurança descrita apenas em termos gerais
Uma frase como "medidas técnicas e organizacionais apropriadas serão implementadas" diz pouco por si só. Um contrato que vai além nomeia concretamente o que essas medidas significam: criptografia, controle de acesso, backups, procedimentos de notificação em caso de incidente. Quanto mais específico for estabelecido, mais claro fica o que um fornecedor realmente faz. Para comparação, você pode ver na página sobre como lidamos com dados e segurança como essa explicação pode parecer na prática.
Sem acordo sobre o término da cooperação
O que acontece com os dados após o término do contrato? Eles são devolvidos, destruídos ou ficam em algum lugar? Este é um dos pontos mais frequentemente faltantes, enquanto é justamente difícil fazer acordos adicionais após o término de uma cooperação. Um contrato de processamento de dados que nada diz sobre isso deixa você com uma lacuna em seus registros exatamente quando menos pode usá-la.
Como evitar isso
A maioria desses erros não surge por má vontade, mas por falta de tempo: um contrato de processamento de dados é visto como uma questão formal, enquanto na verdade se trata de quatro ou cinco pontos concretos. Verifique esses pontos antes de assinar e questione o fornecedor se algo estiver faltando ou formulado de forma vaga. Se tiver dúvidas sobre uma disposição específica, consulte um advogado ou, se tiver dúvidas sobre a interpretação da própria GDPR, a Autoridade de Proteção de Dados. Respostas a perguntas frequentes sobre esse tipo de documento também podem ser encontradas em perguntas frequentes sobre contratos de processamento de dados.
Esta explicação tem o objetivo de orientá-lo sobre o que deve constar em um contrato de processamento de dados, não para avaliar se um documento específico que você recebeu cumpre os requisitos. Como chegamos a essa informação e quais fontes a fundamentam, você pode ler em a página sobre como funciona.
Quer ver rapidamente onde sua empresa se encontra? Faça a varredura rápida gratuita ou navegue pelos tópicos na base de conhecimento para ver qual etapa é relevante para sua situação.