Por que a pergunta certa vale mais do que a resposta rápida
Quem escolhe uma nuvem, um CRM, uma plataforma de e-mail marketing ou uma ferramenta de IA raramente é especialista em proteção de dados. Em geral, é alguém de TI, de compras, de marketing ou do jurídico, com prazo apertado e uma lista de fornecedores para comparar. Nós observamos que, nesse cenário, a avaliação de privacidade costuma se resumir a uma pergunta e a uma resposta, e essa troca raramente resiste a um incidente.
Quando o fornecedor armazena ou acessa dados fora do Brasil, a contratação deixa de ser apenas uma decisão técnica e passa a ser uma transferência internacional de dados. A Resolução CD/ANPD nº 19/2024 definiu o regulamento e as cláusulas-padrão contratuais para essas operações, e a Resolução CD/ANPD nº 32/2026 reconheceu a União Europeia como destino adequado. Os demais destinos continuam exigindo outro mecanismo, como as cláusulas-padrão.
Apesar disso, é comum que a decisão seja tomada pelo preço e pela facilidade de integração. Uma rede de academias que contrata uma plataforma de agendamento hospedada no exterior pode descobrir, meses depois, que os dados de saúde e de pagamento dos alunos passam por três países e por subcontratados que nunca constaram da proposta comercial.
Avaliação superficial versus avaliação por critérios verificáveis: onde está a diferença
A diferença está na prova. A primeira avaliação deixa a empresa com uma promessa verbal. A segunda deixa um documento. Se a ANPD ou um titular perguntar, meses depois, por que aquele fornecedor foi escolhido, só a segunda consegue responder com data, critério e evidência.
O checklist: 10 perguntas antes de assinar
A tabela abaixo reúne as perguntas, o motivo pelo qual cada uma importa e o sinal de alerta que indica que a resposta merece insistência.
| # | Pergunta | Por que importa | Sinal de alerta |
|---|---|---|---|
| 1 | Em quais países os dados ficam armazenados e de onde são acessados (inclusive por suporte e backup)? | O destino define o mecanismo de transferência aplicável | Resposta vaga, como “em nuvem global” ou “onde for mais eficiente” |
| 2 | Qual mecanismo do art. 33 da LGPD ampara a transferência para esse destino? | A escolha do mecanismo é de quem exporta o dado | O fornecedor nunca ouviu falar do tema ou diz que “não é problema dele” |
| 3 | O fornecedor aceita as cláusulas-padrão contratuais da ANPD, na íntegra, quando exigíveis? | O modelo é padronizado e não admite reescrita do conteúdo aprovado | Recusa ou insistência em cláusulas próprias alteradas |
| 4 | Quem é controlador e quem é operador nessa relação? | Define quem decide sobre os dados e quem responde perante o titular | Fornecedor que se declara controlador de dados que ele só hospeda |
| 5 | Quais subcontratados têm acesso aos dados, em quais países e com que aviso prévio? | A cadeia de terceiros costuma ser invisível para o contratante | Lista inexistente ou “sujeita a alteração sem aviso” |
| 6 | Quais medidas de segurança são adotadas (criptografia em trânsito e em repouso, controle de acesso, registros de acesso, certificações)? | Demonstra proteção efetiva, e não apenas declarada | Respostas genéricas, sem evidência documental |
| 7 | Em quanto tempo o fornecedor comunica um incidente de segurança? | Cada hora perdida reduz a margem para cumprir os prazos legais | Prazo em dias, ou ausência de prazo |
| 8 | Como e em quanto tempo o fornecedor atende aos pedidos dos titulares encaminhados pela empresa? | A empresa responde ao titular, mesmo que o dado esteja no fornecedor | Sem canal definido ou sem prazo de resposta |
| 9 | O que acontece com os dados ao fim do contrato (devolução, eliminação e comprovação)? | Evita que dados fiquem armazenados indefinidamente após o fim da relação | Retenção “por tempo indeterminado” ou sem comprovação de eliminação |
| 10 | Como o fornecedor trata pedidos de acesso de autoridades estrangeiras e como fica a responsabilidade em caso de falha? | Define o que ocorre quando o dado é requisitado por terceiros ou quando algo dá errado | Limitação de responsabilidade desproporcional ou nenhuma política sobre requisições |
Como interpretar as respostas
Nenhuma resposta isolada decide a contratação. O que importa é o conjunto. Um fornecedor que responde bem às perguntas 1 a 5, mas que hesita nas perguntas 7 e 9, ainda precisa ser negociado. Contudo, três ou mais sinais de alerta em perguntas diferentes costumam indicar que o fornecedor não está preparado para o mercado regulado, e a empresa deve avaliar alternativas.
Onde procurar as respostas
Muitas dessas respostas já existem, mas ficam espalhadas. Elas costumam estar no contrato principal, em um aditivo de tratamento de dados (DPA), em um portal de segurança ou de confiança do fornecedor e na lista pública de subcontratados. Uma pequena agência de marketing que contrata uma ferramenta de automação, por exemplo, pode encontrar a lista de subcontratados e a política de retenção em um portal que ninguém na equipe jamais abriu.
Todavia, o fato de a informação estar disponível não dispensa a confirmação por escrito. O que consta de uma página institucional pode mudar sem aviso. O que consta do contrato ou de um anexo assinado obriga as partes.
O que fazer quando o fornecedor recusa ou enrola
Fornecedores de grande porte costumam oferecer um contrato padrão e dizer que ele “não é negociável”. Entretanto, isso não significa que a empresa deva assinar sem avaliar. Há três caminhos práticos. O primeiro é solicitar o aditivo de tratamento de dados, que a maioria dos fornecedores de médio e grande porte já mantém pronto. O segundo é escolher a região de armazenamento, quando o serviço permite, preferindo destinos com decisão de adequação. O terceiro é registrar, por escrito, o risco aceito, caso a empresa decida seguir mesmo com pontos em aberto.
Uma indústria de embalagens que contrata um sistema de gestão hospedado no exterior, por exemplo, pode não conseguir alterar o contrato, mas consegue escolher a região de hospedagem e documentar que avaliou as alternativas. Isso é muito diferente de nunca ter perguntado, senão descobrir a falha apenas durante um incidente.
Como registrar a decisão
O checklist só gera valor jurídico se for guardado. Uma planilha simples, com o nome do fornecedor, a data da avaliação, as respostas recebidas, o mecanismo de transferência escolhido e o contrato correspondente, já cumpre essa função. A LGPD valoriza a capacidade de demonstrar diligência, e esse registro é a forma mais econômica de fazê-lo.
Vale ainda definir uma revisão periódica. Fornecedores mudam de subcontratados, de região e de condições comerciais, de modo que uma avaliação feita há dois anos pode já não refletir a realidade. Uma revisão anual, ou a cada renovação contratual, mantém o registro atualizado.
Conclusão
Contratar um fornecedor que armazena dados fora do Brasil não precisa ser um processo jurídico pesado. Precisa, antes de tudo, de perguntas objetivas, respostas documentadas e um registro simples da decisão. Essas dez perguntas transformam uma consulta informal em uma avaliação que a empresa consegue defender, e fazem com que a escolha do fornecedor deixe de ser apenas uma questão de preço e integração.
Para aprofundar temas relacionados, vale consultar os artigos Transferência Internacional de Dados na LGPD: Usar uma Nuvem com Servidor no Exterior Já Exige Garantias Formais? e LGPD em APIs e Integrações entre Sistemas: Como Estruturar Cláusulas de Proteção de Dados entre Parceiros Técnicos? no blog da DPOnet.
Perguntas frequentes (FAQ)
Dúvidas comuns sobre a avaliação de fornecedores que armazenam dados fora do Brasil
1. Por que não basta o fornecedor afirmar que está em conformidade com a LGPD?
Porque a afirmação genérica não informa onde os dados ficam, qual mecanismo ampara a transferência internacional, quem são os subcontratados e como os incidentes são comunicados. Sem esses pontos documentados, a empresa não tem como demonstrar que avaliou o fornecedor.
2. Toda contratação de fornecedor no exterior exige cláusulas-padrão contratuais?
Não. Quando o destino tem decisão de adequação, como a União Europeia, a transferência pode se apoiar diretamente nesse reconhecimento. Para os demais destinos, as cláusulas-padrão da ANPD são o mecanismo mais utilizado, entre outros previstos no art. 33 da LGPD.
3. O que fazer se o fornecedor se recusar a negociar o contrato?
A empresa pode solicitar o aditivo de tratamento de dados, escolher uma região de armazenamento com decisão de adequação, quando o serviço permitir, e registrar por escrito a avaliação realizada e o risco aceito, ou buscar um fornecedor alternativo.
4. Com que frequência o checklist deve ser revisado?
O ideal é revisar a avaliação anualmente e sempre que o contrato for renovado ou o fornecedor alterar subcontratados, regiões de armazenamento ou condições de segurança.
