Contratos com Fornecedores de Tecnologia: Cláusulas de Proteção de Dados

Empresas que contratam sistemas de gestão, plataformas de CRM, folha de pagamento em nuvem ou qualquer fornecedor que processe dados de clientes e funcionários frequentemente assinam contratos padrão do próprio fornecedor, sem revisar as cláusulas relacionadas à proteção de dados. Esse é um dos pontos de maior exposição silenciosa da empresa contratante.

Por que o contrato com o fornecedor de tecnologia importa tanto

Quando a empresa contrata um fornecedor que processa dados pessoais em seu nome, ela permanece responsável, como controladora, pelo tratamento adequado desses dados, mesmo que o incidente de segurança tenha ocorrido dentro dos sistemas do fornecedor. Um contrato mal redigido deixa a empresa sem instrumentos claros para cobrar responsabilidade do fornecedor nesse cenário.

Cláusulas que deveriam estar em qualquer contrato desse tipo

Cláusula específica de tratamento de dados como operador, definição clara de quais dados o fornecedor pode acessar e para qual finalidade, obrigação contratual de notificação imediata em caso de incidente de segurança, e previsão de auditoria periódica são elementos que deveriam constar de forma explícita, não presumida, em qualquer contrato com fornecedor de tecnologia.

Pontos de atenção adicionais

• Localização dos servidores onde os dados são armazenados, especialmente em contratos com fornecedores internacionais.
• Prazo e forma de exclusão dos dados ao final do contrato com o fornecedor.
• Subcontratação de terceiros pelo próprio fornecedor, que deveria ser previamente autorizada pela empresa contratante.
• Cláusula de responsabilidade financeira do fornecedor em caso de incidente causado por falha de sua própria segurança.

O risco de aceitar o contrato padrão sem revisão

Contratos padrão de fornecedores de tecnologia costumam ser redigidos para proteger o próprio fornecedor, não a empresa contratante. Aceitar essas condições sem negociação nem revisão jurídica pode deixar a empresa exposta justamente no momento em que mais precisaria de respaldo contratual claro: durante ou depois de um incidente de segurança.

Rodrigo Kfouri Laurindo é advogado e sócio fundador da Farah & Laurindo Sociedade de Advogados, mediador e árbitro. Atua nacionalmente em contratos empresariais e proteção de dados.

Perguntas frequentes

A empresa responde por vazamento de dados que aconteceu no sistema de um fornecedor?

Pode responder como controladora dos dados, mesmo quando o incidente ocorreu tecnicamente dentro dos sistemas do fornecedor contratado.

O que deveria constar no contrato com fornecedor de tecnologia sobre dados?

Cláusula de tratamento como operador, escopo claro de acesso aos dados, obrigação de notificação de incidentes e previsão de auditoria periódica.

Contratos padrão de fornecedores de software são seguros para aceitar sem revisão?

Costumam proteger principalmente o fornecedor, por isso é recomendável revisão jurídica antes da assinatura, especialmente quanto à proteção de dados.

Vale negociar a exclusão de dados ao final do contrato com o fornecedor?

Sim, é uma cláusula importante para garantir que os dados da empresa não permaneçam indefinidamente nos sistemas do fornecedor após o encerramento contratual.