Sempre que o contrato envolver o tratamento de dados pessoais, é recomendável prever regras de proteção de dados. Isso define quem faz o quê com os dados e quem responde se algo der errado.
Por que isso importa
A LGPD distingue o controlador (quem decide como os dados serão usados) do operador (quem trata os dados em nome do controlador). Ambos podem responder por danos causados aos titulares (art. 42), e o operador deve seguir as instruções do controlador (art. 39). Um contrato sem essas regras deixa a empresa exposta.
Exemplos comuns
Contratos com contabilidade, software em nuvem, agências de marketing, clínicas, prestadores de RH e qualquer fornecedor que acesse dados de clientes ou empregados.
O que costuma constar
- Quais dados serão tratados e para qual finalidade.
- Papel de cada parte (controlador ou operador).
- Instruções de tratamento e proibição de uso para outros fins.
- Medidas de segurança exigidas.
- Regras para subcontratação de terceiros.
- Comunicação de incidentes de segurança, com prazo.
- Apoio para atender solicitações dos titulares.
- Devolução ou eliminação dos dados ao final do contrato.
- Regras de transferência internacional, quando houver.
Cuidado com cláusulas genéricas
Um parágrafo padrão copiado de outro contrato raramente descreve o que realmente acontece com os dados. A cláusula deve refletir a operação real, e o nível de detalhe deve ser proporcional ao risco.
Conteúdo de caráter informativo, com base na legislação em vigor na data de sua elaboração. Cada situação tem particularidades e deve ser analisada individualmente.