Como Redigir e Revisar um Acordo de Processamento de Dados (DPA)

Uma ferramenta de elaboração com IA pode produzir um acordo de processamento de dados funcional em minutos, gerando as cláusulas do Artigo 28, preenchendo os detalhes do processamento e sinalizando onde a versão de um fornecedor se afasta de uma linha de base defensável. O valor não está na velocidade. Está no fato de a ferramenta manter um padrão consistente em cada DPA que você assina, de modo que você para de aceitar termos fracos por estar ocupado.

Mas um DPA é tão bom quanto os fatos que o embasam. As cláusulas são em grande parte obrigatórias pelo Artigo 28 do UK GDPR, portanto redigir as cláusulas é a parte fácil. A parte difícil é descrever o processamento com precisão, escolher o mecanismo correto de transferência internacional e ler o que um fornecedor lhe envia com atenção suficiente para identificar os termos de sub-operadores e de responsabilidade que foram silenciosamente reescritos em favor deles. Este artigo aborda os três aspectos.

O que é um DPA e quando você realmente precisa de um

Um acordo de processamento de dados é o contrato que rege o que um operador pode fazer com dados pessoais em nome de um controlador. Nos termos do Artigo 28(3) do UK GDPR, o processamento realizado por um operador deve ser regido por um contrato escrito que vincule o operador ao controlador e estabeleça termos específicos. Se você compartilha dados pessoais com um fornecedor que os processa para você, é legalmente obrigado a ter um DPA em vigor.

Determine seu papel antes de redigir qualquer coisa, pois as cláusulas derivam dele:

Controlador para operador. Você decide por que e como os dados pessoais são processados; o fornecedor os processa conforme suas instruções. Este é o DPA clássico e o que o Artigo 28 aborda. Exemplo: você utiliza um serviço de folha de pagamento.
Controlador para controlador. Ambas as partes determinam suas próprias finalidades de forma independente. Você não precisa de um DPA do Artigo 28; precisa, em vez disso, de um acordo de compartilhamento de dados.
Controladores conjuntos. Vocês determinam conjuntamente as finalidades e os meios. O Artigo 26 se aplica e você precisa de um arranjo que defina as respectivas responsabilidades.

Errar o papel é o equívoco inicial mais comum. Um fornecedor que se denomina operador, mas reserva o direito de usar seus dados para o desenvolvimento de seus próprios produtos, está se comportando como controlador para essa atividade, e seu DPA não cobrirá isso. Leia o que eles realmente fazem, não o rótulo que usam.

O Artigo 28(3) estabelece um piso obrigatório. Todo DPA em conformidade deve conter estes elementos, e qualquer versão que omita um deles é deficiente, independentemente de quão elaborada pareça:

Processamento somente com base em instruções documentadas. O operador age apenas conforme suas instruções por escrito, inclusive quanto a transferências internacionais, salvo se obrigado por lei a agir de forma diferente.
Confidencialidade. As pessoas autorizadas a processar os dados estão vinculadas por obrigações de confidencialidade.
Medidas de segurança. O operador adota todas as medidas exigidas pelo Artigo 32, ou seja, medidas técnicas e organizacionais adequadas ao risco.
Controles sobre sub-operadores. O operador não contrata outro operador sem autorização prévia e impõe as mesmas obrigações de proteção de dados a qualquer sub-operador que venha a contratar.
Assistência com direitos dos titulares dos dados. O operador auxilia você a responder a solicitações de acesso, apagamento, retificação e outros direitos dos titulares.
Assistência com obrigações de conformidade. O operador auxilia em segurança, notificação de violações, avaliações de impacto sobre a proteção de dados e consulta prévia à ICO.
Eliminação ou devolução ao término do contrato. Na rescisão, o operador elimina ou devolve os dados conforme sua escolha, e elimina as cópias existentes, salvo se a lei exigir a retenção.
Direitos de auditoria e informação. O operador disponibiliza todas as informações necessárias para demonstrar conformidade e permite auditorias e inspeções.

Além dessas oito, um DPA utilizável também precisa dos detalhes de processamento exigidos pelo Artigo 28(3): o objeto, a duração, a natureza e a finalidade do processamento, os tipos de dados pessoais e as categorias de titulares de dados. Esses detalhes geralmente constam de um anexo. Se esse anexo estiver em branco ou for genérico, o DPA não está cumprindo sua função, pois deixa de definir o que o operador está efetivamente autorizado a fazer.

Uma ferramenta criada para gerar rascunhos iniciais de contratos a partir dos seus próprios padrões importa aqui precisamente porque essas oito cláusulas são inegociáveis em substância. Você quer que elas estejam presentes e corretamente redigidas sempre, sem depender de que alguém se lembre da lista.

As cláusulas que são efetivamente negociadas

O piso do Artigo 28 raramente é onde a discussão acontece. Os fornecedores aceitam as obrigações obrigatórias e depois resistem quanto ao peso prático delas. Estes são os termos que merecem sua atenção, aproximadamente na ordem em que são contestados com mais frequência:

Autorização de sub-operadores

Existem dois modelos. A autorização específica significa que o operador nomeia cada sub-operador e precisa do seu consentimento para adicionar um. A autorização geral significa que você consente com uma lista e o operador pode adicionar novos desde que o notifique e lhe dê a oportunidade de se opor. A maioria dos fornecedores prefere a autorização geral com um prazo de objeção curto. Negocie o prazo de aviso e deixe claro o que acontece se você se opuser: o fornecedor encontra uma alternativa, ou pode rescindir o contrato e deixar você fazer a migração?

Direitos de auditoria

Você tem direito a realizar auditorias nos termos do Artigo 28, mas os fornecedores resistem a inspeções presenciais a qualquer momento. Um compromisso comum: o fornecedor fornece anualmente um relatório de auditoria ou certificação reconhecida por terceiros, e auditorias presenciais são permitidas somente quando isso for insuficiente, mediante aviso razoável, a seu custo e não mais de uma vez por ano na ausência de uma violação. Isso geralmente é aceitável. O que não é aceitável é uma cláusula que limite você a revisar um questionário de autoavaliação.

Responsabilidade e indenizações

É aqui que está o dinheiro de verdade. Fique atento a um limite de responsabilidade por proteção de dados fixado em um valor irrisório, ou ao DPA inteiro estar subordinado a um limite geral de responsabilidade no contrato principal que é baixo demais para uma violação de dados. Violações de dados acarretam multas regulatórias e reclamações de terceiros que superam em muito os valores contratuais típicos. Pressione por um limite separado e mais elevado para violações de proteção de dados, ou pelo menos por uma exclusão ilimitada para o descumprimento, pelo fornecedor, de suas obrigações de confidencialidade e segurança.

Prazo de notificação de violações

Você deve notificar a ICO dentro de 72 horas após tomar conhecimento de uma violação reportável. Isso não é possível se o seu operador levar uma semana para informá-lo. Insista em uma notificação "sem demora indevida e, em qualquer caso, dentro de 24 a 48 horas" após o operador tomar conhecimento, com detalhes suficientes para você avaliar suas próprias obrigações.

Custo da assistência

Os fornecedores tentam cada vez mais cobrar pela assistência com solicitações de titulares de dados e avaliações de impacto. Algum custo de assistência é razoável para solicitações de alto volume ou complexas. Um direito genérico de cobrar por tudo, incluindo a cooperação rotineira em violações, não é razoável.

Cláusula	Posição favorável ao fornecedor	Posição equilibrada a buscar
Sub-operadores	Autorização geral, sem aviso significativo	Autorização geral com aviso prévio e direito genuíno de objeção
Auditoria	Somente questionário de autoavaliação	Relatório de terceiros mais auditoria presencial quando justificada
Responsabilidade	Reclamações de dados sob um limite geral baixo	Limite separado e mais elevado ou exclusão para violações de segurança e confidencialidade
Aviso de violação	"Sem demora indevida", indefinido	Prazo fixo de 24 a 48 horas com detalhes exigidos
Custos de assistência	Cobrado em todos os casos	Gratuito para cooperação rotineira, cobrado apenas para esforço desproporcional

Mecanismos de transferência internacional que você precisa acertar

Se dados pessoais saírem do Reino Unido, ou se um sub-operador estiver localizado fora dele, o DPA precisa de um mecanismo de transferência legítimo. Esta é a parte que os fornecedores mais frequentemente deixam em branco ou tratam de forma incorreta. Suas opções no regime do Reino Unido:

Adequação. O governo do Reino Unido decidiu que certos países oferecem proteção adequada. Transferências para esses países não precisam de mecanismo adicional. A UE/EEE está incluída, assim como os países na lista de adequação do Reino Unido. Verifique a lista atual em vez de assumir.
UK Addendum às Cláusulas Contratuais Padrão da UE. O caminho mais comum. Você utiliza as SCCs da UE e acrescenta o International Data Transfer Addendum do Reino Unido emitido pela ICO.
International Data Transfer Agreement (IDTA). As cláusulas padrão autônomas do Reino Unido, utilizadas em vez das SCCs da UE mais o Addendum. Ambas são válidas; a escolha geralmente depende do que a contraparte já utiliza.
Transferências para os EUA. Existe uma extensão do Reino Unido ao EU-US Data Privacy Framework cobrindo destinatários americanos certificados. Se um fornecedor americano específico está coberto é um fato que você deve verificar na lista do framework, não pressupor a partir de uma cláusula.

Qualquer que seja o mecanismo aplicável, uma avaliação do risco de transferência é esperada. Isso significa verificar se as leis do país de destino comprometem a proteção que as cláusulas prometem, e documentar sua conclusão. Para a maioria dos fornecedores SaaS rotineiros em países com adequação, isso é simples. Para dados enviados a algum lugar sem adequação, é necessária uma análise real. Não deixe um fornecedor lhe dizer que as SCCs por si sós são suficientes; as cláusulas são o mecanismo, e a avaliação é uma obrigação separada sua.

O que verificar quando um fornecedor lhe envia o DPA dele

Na maioria das vezes, você não vai redigir do zero. Um fornecedor lhe envia seu DPA padrão e pede que você assine. O rascunho deles foi escrito para protegê-los. Passe por esta lista de verificação antes de concordar:

O anexo de processamento está preenchido e é preciso? Anexos em branco ou genéricos são o defeito mais comum. Ele deve refletir seus dados e finalidades reais.
Ele restringe o processamento apenas às suas instruções? Fique atento a linguagem que permite ao fornecedor usar dados "anonimizados" ou "agregados" para suas próprias finalidades. Isso pode ser aceitável, mas decida de forma deliberada e verifique se a anonimização é real.
Qual é o modelo de sub-operador e o direito de objeção? Confirme que você receberá aviso e poderá se opor. Solicite a lista atual de sub-operadores antes de assinar.
Com que rapidez eles devem notificá-lo de uma violação? Especifique o prazo. "Sem demora indevida" sozinho é muito vago.
Onde seus dados são processados e armazenados? Identifique todos os países envolvidos, incluindo sub-operadores, e confirme o mecanismo de transferência para cada um.
Como a responsabilidade é limitada? Rastreie o limite até o contrato principal. Certifique-se de que as violações de dados não estejam enterradas sob um limite geral baixo.
O que acontece com os dados ao sair? Confirme a eliminação ou devolução, o formato de qualquer devolução e o prazo.
As medidas de segurança realmente dizem algo concreto? Um anexo que lista controles específicos vale mais do que um que repete "medidas técnicas e organizacionais adequadas" e para por aí.

Fazer isso de forma consistente em dezenas de DPAs recebidos é onde as equipes falham, porque o vigésimo rascunho de fornecedor recebe menos atenção do que o primeiro. É exatamente neste tipo de revisão repetitiva e de alto risco que uma ferramenta de IA justifica seu lugar: ela lê a versão de cada fornecedor em relação às suas posições e identifica os desvios, de modo que um humano revisa as exceções em vez de reler o mesmo boilerplate. O GenieAI suporta esse fluxo de trabalho de revisão e negociação de acordo com um playbook que você define, e como funciona dentro do Word, o redline acontece onde sua equipe já trabalha. O GenieAI é certificado pela ISO/IEC 27001:2022, o que importa quando os próprios documentos dizem respeito à proteção de dados.

Como a elaboração e a revisão com IA se encaixam de fato no trabalho com DPAs

Bem utilizada, uma ferramenta de IA desempenha três funções distintas nos DPAs, e é útil mantê-las separadas:

Geração. Produzir um rascunho inicial que já contenha todas as oito obrigações do Artigo 28, suas posições negociadas preferidas e o mecanismo de transferência correto, preenchido com os detalhes de processamento que você fornece.
Revisão em relação a um padrão. Receber o rascunho de um fornecedor e compará-lo à sua linha de base, sinalizando cláusulas obrigatórias ausentes e termos abaixo das suas posições sobre sub-operadores, responsabilidade, aviso de violação e auditoria.
Consistência em um portfólio. Aplicar o mesmo padrão sempre, de modo que o DPA que você assina em dezembro seja tão robusto quanto o que você examinou em janeiro.

O objetivo é a gestão de riscos, não o tempo de resposta. Um DPA assinado rapidamente, mas que limita a responsabilidade por violação de dados a um mês de honorários, não custou nada em tempo e custou muito em exposição. As equipes que mais se beneficiam das ferramentas são as que primeiro definem suas posições de negociação, as registram como um playbook e depois deixam a ferramenta aplicar esse playbook em escala. Setores com grandes cadeias de fornecedores e dados sensíveis, como empresas de tecnologia e empresas de energia, tendem a sentir isso mais, porque o volume de DPAs torna a consistência manual impraticável. Para uma visão de como isso se encaixa na contratação comercial mais ampla, veja como equipes de vendas e comerciais lidam com acordos em volume, e a postura de segurança subjacente que o torna adequado para documentos de proteção de dados.

Nada disso elimina a necessidade de julgamento. Se deve aceitar um determinado limite de responsabilidade, ou se uma transferência para determinado país é defensável, é uma decisão que depende do seu apetite ao risco e dos fatos. A ferramenta garante que você tome essa decisão de forma consciente, com base em um documento completo e corretamente redigido, em vez de descobrir a lacuna após um incidente.

Perguntas frequentes

Uma ferramenta de IA pode redigir um DPA juridicamente conforme?

Sim, uma ferramenta de IA pode gerar um DPA contendo todas as cláusulas obrigatórias do Artigo 28 e preencher os detalhes de processamento que você fornecer. O que ela não pode fazer é verificar os fatos por você, como quais países seus dados alcançam ou se um determinado limite de responsabilidade é adequado para o seu risco. Trate o resultado como um rascunho inicial sólido que uma pessoa com conhecimento confirma em relação às suas disposições reais de processamento.

O Artigo 28(3) exige oito termos essenciais: processamento com base em instruções documentadas, confidencialidade dos funcionários autorizados, medidas de segurança do Artigo 32, controles sobre sub-operadores, assistência com direitos dos titulares de dados, assistência com obrigações de conformidade mais amplas, eliminação ou devolução dos dados ao final e direitos de auditoria e informação. Deve também registrar o objeto, a duração, a natureza e a finalidade do processamento, os tipos de dados pessoais e as categorias de titulares de dados.

Preciso de um DPA se meu fornecedor estiver em um país com adequação?

Sim. A adequação afeta apenas se você precisa de um mecanismo de transferência adicional para dados pessoais que saem do Reino Unido. Ela não remove o requisito de um contrato escrito do Artigo 28. Se um fornecedor processa dados pessoais em seu nome, você precisa de um DPA independentemente de onde ele esteja localizado.

Qual é a diferença entre o IDTA e o UK Addendum?

Ambos são mecanismos válidos do Reino Unido para transferências internacionais restritas. O IDTA é um acordo de transferência autônomo do Reino Unido. O UK Addendum é um documento curto que se acopla às Cláusulas Contratuais Padrão da UE para que funcionem no regime do Reino Unido. A escolha geralmente é determinada pelo que a contraparte já utiliza; a proteção é comparável.

Qual é o problema mais comum no DPA de um fornecedor?

Um anexo de processamento vazio ou genérico, seguido de perto por um limite de responsabilidade que coloca as violações de dados sob um limite geral baixo. O anexo define o que o operador está efetivamente autorizado a fazer, portanto um anexo em branco torna todo o acordo vago. Sempre verifique se o anexo reflete seus dados e finalidades reais, e trace o limite de responsabilidade até o contrato principal.

Com que rapidez um operador deve me informar sobre uma violação de dados?

A lei não estabelece um prazo fixo para o operador, mas você deve reportar violações qualificáveis à ICO dentro de 72 horas após tomar conhecimento. Para cumprir isso, negocie um prazo de notificação firme no DPA, tipicamente de 24 a 48 horas a partir do momento em que o operador tomar conhecimento, com detalhes suficientes para você avaliar suas próprias obrigações de reporte. A redação vaga de "sem demora indevida" sozinha não é suficiente.

O GenieAI pode revisar um DPA que um fornecedor nos enviou?

Sim. Muitas equipes usam o GenieAI somente para revisão, comparando um DPA recebido de um fornecedor com suas posições acordadas e sinalizando cláusulas ausentes do Artigo 28 e termos abaixo do esperado em sub-operadores, responsabilidade, auditoria ou aviso de violação. Funciona dentro do Word, de modo que os redlines acontecem onde sua equipe já redige, e aplica o mesmo padrão a cada rascunho de fornecedor.

Um DPA é o mesmo que um acordo de compartilhamento de dados?

Não. Um DPA rege uma relação controlador-operador nos termos do Artigo 28, em que o operador age conforme suas instruções. Um acordo de compartilhamento de dados rege uma relação controlador-controlador, em que cada parte decide suas próprias finalidades. Usar o documento errado deixa a relação real sem cobertura, portanto confirme o papel de cada parte antes de escolher o documento.

Como Redigir e Revisar um Acordo de Processamento de Dados (DPA)

O que é um DPA e quando você realmente precisa de um