Acordo de Proteção de Dados Modelo para Brasil

Você precisa de um Acordo de Proteção de Dados sempre que sua empresa compartilha dados sensíveis com fornecedores, parceiros ou prestadores de serviços. Isso inclui contratar provedores de armazenamento em nuvem, trabalhar com agências de marketing que acessam informações de clientes, ou contratar terceirizados de TI que podem visualizar registros de funcionários.

O acordo se torna crucial ao compartilhar dados protegidos pela LGPD e outras regulações brasileiras. Por exemplo, provedores de saúde precisam de um antes de permitir que empresas de faturamento processem registros de pacientes, e firmas financeiras devem ter um ao terceirizar análise de dados de clientes. Implementar esse acordo antes de compartilhar qualquer informação sensível protege ambas as partes e ajuda a prevenir incidentes custosos de vazamento de dados.

• Acordo Padrão de Proteção de Dados: A versão básica cobre tratamento de dados, medidas de segurança e notificação de incidentes. Perfeito para a maioria das relações comerciais envolvendo compartilhamento de dados rotineiro.
• Acordo Controlador-Operador: Usado quando uma empresa processa dados em nome de outra, com requisitos detalhados para tratamento de dados e proteções alinhadas à LGPD.
• Acordo Específico por Setor: Contém salvaguardas adicionais para setores regulados como saúde ou serviços financeiros, alinhado à conformidade regulatória brasileira.
• Acordo Multipartes: Desenvolvido para relacionamentos complexos onde dados fluem entre várias organizações, definindo claramente os papéis e responsabilidades de cada parte.

• Controladores de Dados: Empresas que coletam e possuem dados pessoais, como varejistas com bancos de dados de clientes ou hospitais com registros de pacientes.
• Operadores de Dados: Fornecedores terceirizados que tratam dados em nome dos controladores, como provedores de armazenamento em nuvem ou empresas de análise de marketing.
• Equipes Jurídicas: Assessoria interna ou advogados externos que elaboram e revisam esses acordos para garantir conformidade com a lei brasileira de proteção de dados.
• Encarregados de Proteção de Dados: Profissionais de conformidade que supervisionam práticas de proteção de dados e monitoram a aderência aos termos do acordo.
• Equipes de Segurança de TI: Pessoal técnico responsável pela implementação das medidas de segurança especificadas no acordo.

• Inventário de Dados: Liste todos os tipos de dados compartilhados, incluindo informações pessoais, registros de clientes ou dados comerciais proprietários.
• Requisitos de Segurança: Documente medidas de segurança específicas necessárias, como padrões de criptografia, controles de acesso e procedimentos de notificação de vazamento.
• Verificação de Conformidade: Identifique quais regulamentações brasileiras se aplicam (LGPD, normas do Banco Central) e colete requisitos de conformidade relevantes.
• Detalhes dos Parceiros: Colete informações sobre operadores de dados, incluindo suas certificações de segurança e práticas de tratamento de dados.
• Mapa de Fluxo de Dados: Crie um diagrama mostrando como as informações se movem entre as partes e onde são armazenadas ou processadas.

• Partes e Escopo: Identificação clara do controlador de dados, operador de dados e tipos exatos de dados cobertos.
• Medidas de Segurança: Salvaguardas técnicas e organizacionais específicas necessárias para proteger os dados.
• Termos de Tratamento de Dados: Regras para processamento, armazenamento, acesso e transferência de informações protegidas.
• Protocolo de Vazamento: Procedimentos detalhados para notificação e resposta a incidentes de segurança de dados.
• Estrutura de Conformidade: Referências a leis brasileiras (LGPD) e requisitos regulatórios aplicáveis.
• Direitos de Rescisão: Condições para encerramento do acordo e requisitos para devolução ou destruição de dados.

Um Acordo de Proteção de Dados difere significativamente de um Acordo de Processamento de Dados em vários aspectos importantes, embora frequentemente sejam confundidos. Embora ambos tratem da manipulação de dados, seu escopo e funções primárias são distintos.

• Propósito Principal: Acordos de Proteção de Dados focam em medidas gerais de segurança e salvaguardas para qualquer informação sensível compartilhada entre partes, enquanto Acordos de Processamento especificam como uma parte pode manipular e processar dados em nome de outra.
• Escopo de Cobertura: Acordos de Proteção cobrem protocolos de segurança mais amplos e todos os tipos de dados confidenciais, enquanto Acordos de Processamento tipicamente focam em atividades de processamento de dados pessoais e conformidade com a Lei Geral de Proteção de Dados.
• Requisitos Legais: Acordos de Proteção são comumente usados em relacionamentos comerciais gerais envolvendo compartilhamento de dados, enquanto Acordos de Processamento são frequentemente obrigatórios sob regulações de privacidade específicas como a LGPD ou ao atuar como operador de dados.
• Relacionamentos entre Partes: Acordos de Proteção funcionam para vários tipos de relacionamentos comerciais, enquanto Acordos de Processamento governam especificamente relacionamentos controlador-operador.