Contrato com fornecedor de tecnologia: cláusulas LGPD essenciais

Resposta direta: se um fornecedor da sua empresa acessa dados pessoais de clientes ou funcionários — sistema de gestão, nuvem, plataforma de marketing, ferramenta de IA, contabilidade online, help desk —, ele é, em regra, um operador de dados na linguagem da LGPD (Lei 13.709/2018), e o contrato entre vocês precisa dizer o que ele pode fazer com esses dados, sob quais instruções e com quais garantias (art. 39). Sem essas cláusulas, a empresa contratante (a controladora) responde pelos deslizes do fornecedor sem ter como se proteger: a multa da ANPD e a ação do titular chegam primeiro em quem tem a relação com o cliente — você.

E há um detalhe que muita empresa ainda não percebeu: se o fornecedor armazena ou processa dados fora do Brasil (a regra, não a exceção, em serviços de nuvem e IA), a operação é uma transferência internacional de dados, que desde a Resolução CD/ANPD 19/2024 exige mecanismo formal — na prática, as cláusulas-padrão contratuais da ANPD. O prazo de adequação dos contratos terminou em 23 de agosto de 2025: contrato antigo sem as cláusulas não está "esperando regulamentação", está irregular. Vamos ao que o contrato precisa ter.

Controlador e operador: quem é quem (e por que importa)

Na LGPD, controlador é quem decide o que fazer com os dados (a sua empresa, em relação aos dados dos seus clientes); operador é quem trata os dados por conta do controlador (o fornecedor de tecnologia). A distinção define as responsabilidades:

O operador deve seguir as instruções do controlador (art. 39) — e o contrato é o documento que registra essas instruções;
O operador responde solidariamente pelos danos que causar quando descumprir a LGPD ou as instruções recebidas (art. 42, § 1º) — mas, sem contrato claro, provar o que foi "instruído" vira uma disputa;
Se o fornecedor usa os dados para fins próprios (ex.: treinar os modelos dele, enriquecer base comercial), ele deixa de ser mero operador e passa a ser controlador — com todas as obrigações, e o seu contrato precisa prever se isso é permitido ou vedado.

As cláusulas que não podem faltar

Um bom anexo de proteção de dados (ou DPA, data processing agreement) cobre, no mínimo:

Objeto e instruções: quais dados o fornecedor acessa, para qual finalidade, e a vedação de qualquer uso fora das instruções — inclusive treinamento de modelos de IA com os seus dados, ponto que merece cláusula expressa desde que ferramentas de IA entraram na cadeia (tema do nosso guia sobre uso de IA e dados de clientes);
Confidencialidade: dever de sigilo do fornecedor e de toda a equipe dele com acesso aos dados;
Segurança da informação (arts. 46 a 49): medidas técnicas mínimas (criptografia, controle de acesso, logs), com direito do controlador de exigir evidências;
Subcontratação: se o fornecedor pode usar suboperadores (quase sempre usa — nuvem, e-mail transacional), em que condições, com aviso prévio e com as mesmas obrigações repassadas em cadeia;
Notificação de incidente: prazo curto e em horas para o fornecedor avisar a sua empresa sobre qualquer incidente — lembre que o controlador tem só 3 dias úteis para comunicar a ANPD, e o relógio corre a partir do conhecimento (veja o passo a passo);
Auditoria e evidências: direito de solicitar relatórios, certificações e, nos contratos maiores, de auditar;
Transferência internacional (arts. 33 a 36): onde os dados são armazenados e processados, e o mecanismo adequado — decisão de adequação do país ou cláusulas-padrão contratuais da Resolução CD/ANPD 19/2024 incorporadas ao contrato;
Término do contrato: devolução ou eliminação comprovada dos dados ao fim da relação — sem isso, os dados dos seus clientes ficam órfãos na infraestrutura de um ex-fornecedor;
Responsabilidade e regresso: alocação clara de responsabilidade entre as partes, com direito de regresso se a sua empresa for autuada ou condenada por falha do fornecedor;
Cooperação: dever do fornecedor de ajudar a atender direitos dos titulares (art. 18) e fiscalizações da ANPD nos dados que ele opera.

E os fornecedores grandes, que não negociam contrato?

Plataformas globais (nuvem, e-mail, IA, CRM) trabalham com termos de adesão — não se negocia cláusula com elas. Nesses casos, o dever de diligência da empresa muda de forma, não de intensidade:

Escolha a versão corporativa do serviço, que em geral já inclui DPA, opção de não uso dos dados para treinamento e compromissos de segurança;
Leia e arquive o DPA padrão do fornecedor — ele existe, fica no site, e a maioria das empresas nunca o abriu; em fiscalização, demonstrar que avaliou o documento é parte da prestação de contas (art. 6º, X);
Verifique a transferência internacional: fornecedores sérios já incorporaram as cláusulas-padrão da ANPD ou mecanismo equivalente aos seus termos — se não há nada sobre isso, é um sinal de alerta;
Registre a avaliação: uma ficha simples por fornecedor (o que acessa, onde armazena, qual DPA, qual mecanismo de transferência) já coloca a empresa à frente da média.

O que acontece com quem não tem essas cláusulas

Perante a ANPD: a ausência de contrato adequado com operadores é falha de governança que agrava a dosimetria da sanção — e, na transferência internacional sem mecanismo válido, infração autônoma;
Perante o titular: cliente lesado por vazamento no fornecedor processa a sua empresa, que é quem ele conhece — e sem cláusula de regresso, o prejuízo para onde foi a falha pode não voltar;
Perante o mercado: empresas maiores já condicionam contratos a um anexo de proteção de dados; não ter o seu significa aceitar o da outra parte, redigido para proteger a outra parte.

Checklist: auditoria rápida dos seus fornecedores

Liste todo fornecedor que toca dado pessoal (sistemas, nuvem, marketing, contabilidade, TI terceirizada, IA);
Para cada um: há contrato ou DPA? Cobre os 10 pontos acima?
Onde os dados ficam? Se fora do Brasil, há cláusulas-padrão da ANPD ou mecanismo equivalente?
Priorize pela criticidade: comece por quem acessa dados sensíveis, financeiros ou em grande volume;
Padronize: tenha um anexo de proteção de dados próprio para anexar a todo contrato novo — negociar a partir do seu texto é sempre melhor.

Redigir e revisar esses contratos — e o anexo padrão da sua empresa — é trabalho da área de Direito Digital do escritório, com atendimento em todo o Brasil nos casos que tramitam eletronicamente.

Se a sua empresa depende de fornecedores de tecnologia e você não sabe dizer quais contratos têm cláusulas de proteção de dados, fale com o escritório: analisamos o seu caso e explicamos, em linguagem clara, por onde começar.

Este artigo tem caráter exclusivamente informativo e educativo, nos termos do Provimento 205/2021 da OAB, e não substitui a análise individual do seu caso. LGPD, Resolução CD/ANPD 19/2024 (cláusulas-padrão de transferência internacional) e prazos de adequação conferidos em julho de 2026.