Conformidade UE 5 min de leitura
GDPR Data Processing Agreement Clauses Guide Template: Guia Prático de Cláusulas
Modelo editorial para estruturar DPA conforme o Article 28 do GDPR, com cláusulas operacionais, subprocessadores, auditoria, transferências e checklist de assinatura.
O Artigo 28 do GDPR define o mínimo obrigatório
O Article 28(3) do GDPR lista o conteúdo que um contrato de processamento deve conter. Não basta anexar uma política de privacidade. O DPA precisa descrever objeto, duração, natureza, finalidade, categorias de dados pessoais e categorias de titulares. Também precisa fixar instruções documentadas, confidencialidade, segurança, subprocessadores, assistência, violações, auditoria, devolução e responsabilidade. O considerando 81 reforça que o processador só age sob instruções do controlador. Use este GDPR data processing agreement clauses guide template como checklist auditável, não como texto imutável. Para uma análise cláusula a cláusula, consulte GDPR Data Processing Agreement Clauses: A Practical Guide.
O DPA não substitui a base legal do tratamento. Ele organiza a relação entre controlador e processador. Se o processador também determina finalidades, pode virar controlador conjunto ou controlador independente. A qualificação errada contamina todo o contrato. Por isso, a primeira tarefa é mapear quem decide o quê.
Instruções documentadas e finalidade
A cláusula de instruções deve dizer como o controlador emite ordens, como o processador alerta sobre instruções ilegais e o que ocorre se houver conflito com lei local. O Article 28(3)(a) exige tratamento apenas conforme instruções documentadas. O Article 28(3)(h) exige auditoria e inspeção. O Article 28(3)(g) exige eliminação ou devolução ao término. O Article 28(3)(f) exige assistência com os Articles 32, 33, 34 e 36. Esses pontos precisam de prazos, canais e responsáveis nominados.
A confidencialidade deve alcançar empregados, temporários e terceiros. O Article 28(3)(b) exige compromisso de confidencialidade. O Article 32 exige medidas técnicas e organizacionais adequadas ao risco. Pseudonimização, criptografia, testes de segurança e controle de acesso entram como anexos técnicos. A finalidade não pode ser genérica. Serviços de TI não descrevem tratamento. É preciso dizer quais operações: hospedagem, suporte, análise, marketing ou cobrança.
Elementos obrigatórios do GDPR data processing agreement clauses guide template
Um modelo defensável cobre, no mínimo:
- Objeto, duração, natureza e finalidade do tratamento.
- Categorias de dados pessoais e de titulares.
- Instruções documentadas e limites de finalidade.
- Confidencialidade de pessoal autorizado.
- Medidas de segurança do Article 32.
- Autorização e fluxo de subprocessadores do Article 28(2) e 28(4).
- Assistência ao controlador em direitos dos titulares.
- Notificação de violações de dados pessoais.
- Auditoria, inspeção e registros.
- Transferências internacionais do Chapter V.
- Devolução ou eliminação no término.
- Responsabilidade, indemnização e duração das obrigações.
Cada item deve ter redação operacional. Melhores esforços sem métrica não atende auditoria. Prazo razoável sem horas não atende incidente. O DPA precisa apontar quem responde, em quanto tempo e com qual evidência. A duração deve cobrir o ciclo de vida: início, execução, término e retenção legal.
Subprocessadores, transferências e avaliação de risco
O Article 28(2) exige autorização prévia específica ou geral por escrito. Se a autorização for geral, o processador deve informar mudanças e dar oportunidade de objeção. O Article 28(4) impõe obrigações equivalentes ao subprocessador. A objeção do controlador precisa de prazo e consequência. Se não houver acordo, o controlador pode suspender ou rescindir. O processador não pode substituir subprocessador sem cumprir o procedimento.
Para transferências fora do EEE, o Chapter V do GDPR e as SCCs entram em cena. Uma transfer impact assessment documentada ajuda a demonstrar diligência. A EDPB Guidelines 07/2020 esclarece papéis de controlador e processador. Sem essa análise, o GDPR data processing agreement clauses guide template fica incompleto.
Auditoria, registros e integração com ISO 9001
O Article 28(3)(h) prevê auditoria e inspeção. O Article 30 exige registros de atividades de tratamento. O processador deve manter trilha de evidências: tickets, logs, relatórios, atas e planos de ação. A documentação pode seguir controles de informação documentada da ISO 9001. Veja The ISO 9001 documentation requirements guide para estruturar revisão, aprovação e retenção. Quando o DPA sustenta um produto com marcação CE, a rastreabilidade documental também conversa com o EU CE Marking Technical File.
Auditoria pode ser por relatório independente, questionário ou visita. O modelo deve prever alternativas proporcionalizadas. Auditoria sem escopo vira conflito. Defina frequência, aviso prévio, confidencialidade e custo. O direito de auditoria não pode ser teórico.
Modelo prático: como preencher e negociar
Comece pelo inventário de dados e pelo registro do Article 30. Depois, escolha cláusulas conforme o risco: dados sensíveis, volume alto, transferência internacional ou subprocessadores críticos pedem redação mais detalhada. Negocie prazos de notificação de violação compatíveis com o Article 33. Defina janela de auditoria, escopo, confidencialidade e custos. Limite subprocessadores genéricos. Exija lista atualizada e aviso prévio. Estabeleça devolução ou eliminação segura no término. Use o GDPR data processing agreement clauses guide template como base, mas registre desvios e justificativas. Um DPA bom é aquele que o time consegue executar em incidente real.
Cláusulas de responsabilidade devem sobreviver ao término. Multas do GDPR podem alcançar 20 milhões de euros ou 4% do faturamento global anual, o que for maior. A alocação contratual não limita a autoridade de controle. Ela apenas distribui risco entre as partes. Por isso, revise limites de indemnização, exceções e deveres de mitigação.
Checklist final antes da assinatura
- O controlador e o processador estão identificados com dados completos?
- As finalidades e categorias de dados estão descritas?
- As instruções documentadas têm canal e prazo?
- As medidas do Article 32 estão especificadas?
- Os subprocessadores estão listados e autorizados?
- A assistência em violações e direitos dos titulares tem SLA?
- As transferências internacionais têm base e TIA?
- Auditoria, devolução e responsabilidade estão claras?
- Há matriz de responsabilidades e evidências?
- O DPA é revisado quando muda fornecedor, sistema ou jurisdição?
A revisão deve envolver jurídico, segurança, compras e dono do processo. O DPA é documento vivo. Mudou o fornecedor, o sistema ou a jurisdição, reavalie. O modelo ajuda a padronizar, mas a conformidade depende de execução, evidência e revisão periódica.
Fatos principais
Afirmações legíveis por máquina extraídas das fontes acima. Cada fato mantém o mesmo identificador nas seis versões de idioma.
Article 28
The GDPR requires a written data processing agreement when a controller uses a processor.
ID do fato:
GDPR_article_28Article 28(3)(a)-(h)
Article 28(3) lists eight minimum clause areas for a DPA.
ID do fato:
dpa_minimum_clausesArticle 28(2)
A processor cannot engage another processor without prior written authorisation from the controller.
ID do fato:
sub_processor_authorisationArticle 32
The DPA must require appropriate technical and organisational security measures.
ID do fato:
security_measuresArticle 33
The processor must assist the controller with personal data breach notification duties.
ID do fato:
breach_notificationChapter V
Transfers outside the EEA require a Chapter V transfer mechanism, such as an adequacy decision or standard contractual clauses.
ID do fato:
international_transfersArticle 28(10)
The DPA must be available to the supervisory authority on request.
ID do fato:
contract_availability
Perguntas frequentes
O DPA é sempre obrigatório?
Sempre que um processador trata dados pessoais em nome do controlador, o Article 28 do GDPR exige contrato ou outro ato jurídico. Exceções são raras e dependem de análise jurídica.
Quais cláusulas mínimas o Article 28(3) exige?
Instruções documentadas, confidencialidade, segurança, subprocessadores, assistência, violações, auditoria, devolução e responsabilidade. O texto deve ser operacional.
Posso usar um modelo padrão sem adaptar?
Pode usar como base, mas precisa adaptar a finalidade, categorias de dados, risco, transferências e subprocessadores. Modelo genérico não demonstra conformidade.
Como tratar subprocessadores?
Exija autorização prévia por escrito, lista atualizada, aviso de mudanças, direito de objeção e obrigações equivalentes do Article 28(4).
Qual prazo de notificação de violação?
O Article 33 fixa 72 horas para o controlador notificar a autoridade. O DPA deve prever assistência do processador sem atraso indevido.
Auditoria pode ser substituída por certificação?
Certificação ajuda, mas não elimina o direito de auditoria do Article 28(3)(h). O DPA pode combinar relatórios, questionários e visitas com escopo definido.
Fontes e licenciamento
Cada afirmação deste artigo remete às fontes listadas abaixo. Os links abrem diretamente no editor.
