{"id":7502,"date":"2026-10-07T09:00:00","date_gmt":"2026-10-07T12:00:00","guid":{"rendered":"https:\/\/dponet.com.br\/blog\/?p=7502"},"modified":"2026-10-06T16:12:49","modified_gmt":"2026-10-06T19:12:49","slug":"questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador","status":"publish","type":"post","link":"https:\/\/dponet.com.br\/blog\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\/","title":{"rendered":"Question\u00e1rio anual n\u00e3o \u00e9 gest\u00e3o de terceiros: como monitorar operadores de forma cont\u00ednua e comprovar a verifica\u00e7\u00e3o que a LGPD exige do controlador?"},"content":{"rendered":"\n<div class=\"dponet-post-wrapper\">\n\n  <nav>\n    <h2>\u00cdndice<\/h2>\n    <ol>\n      <li><a href=\"#secao1\">O que a LGPD exige do controlador em rela\u00e7\u00e3o ao operador<\/a><\/li>\n      <li><a href=\"#secao2\">Por que o question\u00e1rio anual falha em escala<\/a><\/li>\n      <li><a href=\"#secao3\">O ciclo de vida do operador: da contrata\u00e7\u00e3o ao encerramento<\/a><\/li>\n      <li><a href=\"#secao4\">A cadeia de subcontratados<\/a><\/li>\n      <li><a href=\"#secao5\">O que o Board e a auditoria interna precisam ver<\/a><\/li>\n      <li><a href=\"#secao6\">Conclus\u00e3o<\/a><\/li>\n      <li><a href=\"#secao7\">Para times de privacidade em opera\u00e7\u00e3o de grande porte<\/a><\/li>\n      <li><a href=\"#faq\">Perguntas frequentes (FAQ)<\/a><\/li>\n    <\/ol>\n  <\/nav>\n\n  <article itemscope itemtype=\"https:\/\/schema.org\/Article\">\n\n    <section id=\"secao1\">\n      <h2>O que a LGPD exige do controlador em rela\u00e7\u00e3o ao operador<\/h2>\n      <p>N\u00f3s observamos, em opera\u00e7\u00f5es com centenas de fornecedores, um padr\u00e3o que se repete: o invent\u00e1rio de terceiros existe, mas a verifica\u00e7\u00e3o se resume a um question\u00e1rio enviado uma vez por ano. O contrato prev\u00ea obriga\u00e7\u00f5es de prote\u00e7\u00e3o de dados, o fornecedor responde &#8220;sim&#8221; a quase tudo e o documento \u00e9 arquivado. O problema aparece quando um fornecedor sofre um incidente. A pergunta deixa de ser se havia contrato e passa a ser se a empresa verificou, de forma comprov\u00e1vel, que o fornecedor cumpria o que prometeu. Nessa hora, o question\u00e1rio arquivado costuma provar menos do que se imaginava.<\/p>\n\n      <h3>Verificar \u00e9 dever legal, n\u00e3o boa pr\u00e1tica<\/h3>\n      <p>O art. 39 da LGPD estabelece que o operador deve realizar o tratamento segundo as instru\u00e7\u00f5es do controlador, que verificar\u00e1 a observ\u00e2ncia das pr\u00f3prias instru\u00e7\u00f5es e das normas sobre a mat\u00e9ria. O verbo \u00e9 &#8220;verificar\u00e1&#8221;: a lei atribui ao controlador uma obriga\u00e7\u00e3o ativa, e n\u00e3o apenas a faculdade de contratar bem. Somado ao princ\u00edpio da responsabiliza\u00e7\u00e3o e presta\u00e7\u00e3o de contas (art. 6\u00ba, X), o dispositivo exige que a verifica\u00e7\u00e3o seja demonstr\u00e1vel.<\/p>\n      <p>O contrato \u00e9 a base necess\u00e1ria dessa rela\u00e7\u00e3o, porque documenta as instru\u00e7\u00f5es. Por\u00e9m, a lei fala em verificar a observ\u00e2ncia, e um contrato assinado n\u00e3o prova que as instru\u00e7\u00f5es est\u00e3o sendo cumpridas. A dist\u00e2ncia entre o prometido e o praticado \u00e9 onde a maior parte dos programas de gest\u00e3o de terceiros se fragiliza.<\/p>\n\n      <h3>Quando o fornecedor deixa de ser mero executor<\/h3>\n      <p>O art. 42, \u00a71\u00ba, da LGPD determina que o operador responde solidariamente pelos danos quando descumpre a legisla\u00e7\u00e3o de prote\u00e7\u00e3o de dados ou n\u00e3o segue as instru\u00e7\u00f5es l\u00edcitas do controlador, hip\u00f3tese em que se equipara a ele. Os controladores diretamente envolvidos no tratamento do qual decorreu o dano tamb\u00e9m respondem solidariamente. O risco do controlador, portanto, n\u00e3o termina na assinatura do contrato.<\/p>\n      <p>A fronteira entre os pap\u00e9is tamb\u00e9m merece aten\u00e7\u00e3o. Um prestador do setor de marketing que, al\u00e9m de executar campanhas, passa a decidir por conta pr\u00f3pria quais bases cruzar e com quais finalidades j\u00e1 n\u00e3o age como simples operador, e a rela\u00e7\u00e3o precisa ser reclassificada. A verifica\u00e7\u00e3o cont\u00ednua \u00e9 o mecanismo que detecta essa deriva, sen\u00e3o ela s\u00f3 aparece quando o dano j\u00e1 ocorreu.<\/p>\n    <\/section>\n\n    <section id=\"secao2\">\n      <h2>Por que o question\u00e1rio anual falha em escala<\/h2>\n      <p>O question\u00e1rio anual falha por quatro raz\u00f5es. Ele \u00e9 autodeclarado: mede o que o fornecedor afirma, n\u00e3o o que opera. \u00c9 uniforme: trata da mesma forma o prestador que acessa toda a base de clientes e o que apenas recebe nomes para entrega de brindes. \u00c9 pontual: retrata um dia do ano e ignora o que muda nos onze meses seguintes. E \u00e9 isolado: n\u00e3o conversa com o registro das opera\u00e7\u00f5es de tratamento, de modo que o invent\u00e1rio de fornecedores e o invent\u00e1rio de dados divergem.<\/p>\n      <p>Considere uma institui\u00e7\u00e3o do setor financeiro que recebe de seu provedor de nuvem a resposta &#8220;sim&#8221; para criptografia em repouso. A resposta est\u00e1 tecnicamente correta, mas a certifica\u00e7\u00e3o apresentada como evid\u00eancia n\u00e3o cobria o ambiente efetivamente usado pelo contrato. Ningu\u00e9m comparou o escopo. A verifica\u00e7\u00e3o existiu no papel, mas n\u00e3o produziu conhecimento.<\/p>\n      <p>Contudo, o rem\u00e9dio n\u00e3o \u00e9 auditar todos os fornecedores com a mesma profundidade, o que seria invi\u00e1vel. O rem\u00e9dio \u00e9 a proporcionalidade com rastro: verificar mais quem representa mais risco e registrar cada verifica\u00e7\u00e3o de modo que um terceiro consiga reconstitu\u00ed-la.<\/p>\n    <\/section>\n\n    <section id=\"secao3\">\n      <h2>O ciclo de vida do operador: da contrata\u00e7\u00e3o ao encerramento<\/h2>\n      <p>A gest\u00e3o cont\u00ednua de operadores \u00e9 o ciclo em que o controlador classifica cada fornecedor por criticidade, valida seus controles com evid\u00eancia, monitora mudan\u00e7as entre ciclos e registra cada verifica\u00e7\u00e3o, para cumprir o dever legal de verificar a observ\u00e2ncia das instru\u00e7\u00f5es e das normas sobre a mat\u00e9ria.<\/p>\n\n      <div class=\"tb-comparativo-wrap\">\n        <div class=\"tb-comparativo-titulo\">Abordagem gen\u00e9rica <span class=\"tb-comparativo-vs\">vs.<\/span> abordagem enterprise e audit\u00e1vel<\/div>\n        <div class=\"tb-comparativo-colunas\">\n          <div class=\"tb-comparativo-coluna\">\n            <div class=\"tb-comparativo-coluna-titulo\">Abordagem gen\u00e9rica<\/div>\n            <div class=\"tb-comparativo-coluna-subtitulo\">O question\u00e1rio anual autodeclarado, uniforme e arquivado.<\/div>\n          <\/div>\n          <div class=\"tb-comparativo-coluna tb-comparativo-coluna--destaque\">\n            <div class=\"tb-comparativo-coluna-titulo\">Abordagem enterprise e audit\u00e1vel<\/div>\n            <div class=\"tb-comparativo-coluna-subtitulo\">A verifica\u00e7\u00e3o calibrada pela criticidade do fornecedor, apoiada em evid\u00eancia al\u00e9m da declara\u00e7\u00e3o, com gatilhos de reavalia\u00e7\u00e3o e trilha registrada de cada checagem.<\/div>\n          <\/div>\n        <\/div>\n      <\/div>\n\n      <p>O ciclo tem cinco momentos: classifica\u00e7\u00e3o antes da contrata\u00e7\u00e3o, instru\u00e7\u00e3o formal por contrato, verifica\u00e7\u00e3o proporcional, monitoramento com gatilhos e encerramento com comprova\u00e7\u00e3o. N\u00f3s recomendamos que a classifica\u00e7\u00e3o ocorra antes da assinatura, porque ela define o que ser\u00e1 exigido do fornecedor desde o primeiro dia, inclusive o prazo de notifica\u00e7\u00e3o de incidentes e o direito de solicitar evid\u00eancias t\u00e9cnicas.<\/p>\n\n      <h3>Classifica\u00e7\u00e3o por criticidade<\/h3>\n      <p>Os n\u00edveis, crit\u00e9rios e frequ\u00eancias abaixo s\u00e3o refer\u00eancias de mercado, e n\u00e3o exig\u00eancias legais. Cada opera\u00e7\u00e3o deve calibr\u00e1-los ao pr\u00f3prio risco.<\/p>\n\n      <div class=\"tb-tabela-wrap\">\n        <table>\n          <thead>\n            <tr><th>N\u00edvel de criticidade<\/th><th>Crit\u00e9rios de enquadramento<\/th><th>Profundidade da verifica\u00e7\u00e3o<\/th><th>Frequ\u00eancia<\/th><th>Evid\u00eancia registrada<\/th><\/tr>\n          <\/thead>\n          <tbody>\n            <tr><td>Cr\u00edtico<\/td><td>Grande volume de titulares, dados sens\u00edveis ou financeiros, acesso a sistemas internos ou subcontrata\u00e7\u00e3o relevante<\/td><td>Valida\u00e7\u00e3o independente: relat\u00f3rio de auditoria ou certifica\u00e7\u00e3o com escopo conferido, revis\u00e3o de controles t\u00e9cnicos e teste do fluxo de notifica\u00e7\u00e3o de incidentes<\/td><td>Semestral, al\u00e9m dos gatilhos<\/td><td>Parecer do avaliador, evid\u00eancias recebidas e plano de a\u00e7\u00e3o com prazo<\/td><\/tr>\n            <tr><td>Relevante<\/td><td>Dados pessoais comuns em volume moderado, sem acesso a sistemas internos<\/td><td>Question\u00e1rio com evid\u00eancia documental por amostragem<\/td><td>Anual, al\u00e9m dos gatilhos<\/td><td>Question\u00e1rio com anexos e conclus\u00e3o do avaliador<\/td><\/tr>\n            <tr><td>Baixo<\/td><td>Pouco ou nenhum dado pessoal, sem acesso a sistemas<\/td><td>Revis\u00e3o das cl\u00e1usulas contratuais e declara\u00e7\u00e3o do fornecedor<\/td><td>Na renova\u00e7\u00e3o do contrato<\/td><td>Registro da classifica\u00e7\u00e3o e das cl\u00e1usulas vigentes<\/td><\/tr>\n          <\/tbody>\n        <\/table>\n      <\/div>\n\n      <h3>Gatilhos de reavalia\u00e7\u00e3o<\/h3>\n      <p>Entre um ciclo e outro, certos eventos devem for\u00e7ar uma nova verifica\u00e7\u00e3o: incidente p\u00fablico no fornecedor ou no seu setor, troca de subcontratado, mudan\u00e7a de escopo do servi\u00e7o, altera\u00e7\u00e3o da localiza\u00e7\u00e3o dos dados, vencimento ou perda de certifica\u00e7\u00e3o e fus\u00e3o ou aquisi\u00e7\u00e3o do fornecedor. Entretanto, os gatilhos s\u00f3 funcionam quando algu\u00e9m \u00e9 respons\u00e1vel por observ\u00e1-los e quando o contrato obriga o fornecedor a comunic\u00e1-los.<\/p>\n      <p>Pense em um laborat\u00f3rio terceirizado, no setor de sa\u00fade, que troca o provedor de armazenamento de exames sem aviso. O contrato exigia comunica\u00e7\u00e3o pr\u00e9via de mudan\u00e7as de subcontratados, mas ningu\u00e9m acompanhava o cumprimento dessa cl\u00e1usula, e a troca foi descoberta meses depois, na renova\u00e7\u00e3o. Um gatilho sem dono equivale a um gatilho inexistente.<\/p>\n\n      <h3>Encerramento e elimina\u00e7\u00e3o<\/h3>\n      <p>A verifica\u00e7\u00e3o n\u00e3o termina quando o contrato termina. N\u00f3s observamos que o encerramento \u00e9 o elo mais esquecido do ciclo: o fornecedor sai da carteira, mas continua com a base. Ao final da rela\u00e7\u00e3o, o controlador deve exigir a devolu\u00e7\u00e3o ou a elimina\u00e7\u00e3o dos dados pessoais, com comprova\u00e7\u00e3o, e registrar essa comprova\u00e7\u00e3o no mesmo reposit\u00f3rio das demais verifica\u00e7\u00f5es.<\/p>\n    <\/section>\n\n    <section id=\"secao4\">\n      <h2>A cadeia de subcontratados<\/h2>\n      <p>Operadores subcontratam, e o controlador raramente tem rela\u00e7\u00e3o direta com os elos seguintes. O dano ao titular, por\u00e9m, n\u00e3o distingue elos. Por isso, o contrato deve exigir autoriza\u00e7\u00e3o pr\u00e9via para subcontrata\u00e7\u00e3o, repasse das mesmas obriga\u00e7\u00f5es de prote\u00e7\u00e3o de dados e lista atualizada dos subcontratados que acessam dados pessoais.<\/p>\n      <p>Apesar disso, \u00e9 comum que a lista de subcontratados seja solicitada uma \u00fanica vez, na contrata\u00e7\u00e3o. A conformidade do fornecedor direto \u00e9 necess\u00e1ria. Todavia, ela n\u00e3o esgota o risco, e a verifica\u00e7\u00e3o do operador deve incluir a forma como ele seleciona, contrata e monitora a pr\u00f3pria cadeia.<\/p>\n    <\/section>\n\n    <section id=\"secao5\">\n      <h2>O que o Board e a auditoria interna precisam ver<\/h2>\n      <p>Tr\u00eas indicadores mostram se o ciclo funciona. O primeiro \u00e9 a propor\u00e7\u00e3o de fornecedores cr\u00edticos com verifica\u00e7\u00e3o vigente. O segundo \u00e9 o tempo entre um gatilho de reavalia\u00e7\u00e3o e a conclus\u00e3o da nova verifica\u00e7\u00e3o. O terceiro \u00e9 o n\u00famero de fornecedores sem classifica\u00e7\u00e3o de criticidade, que revela os pontos cegos do invent\u00e1rio. Ainda assim, indicador sem evid\u00eancia por tr\u00e1s n\u00e3o resiste a uma auditoria: cada n\u00famero deve remeter a um registro.<\/p>\n      <p>O auditor, por sua vez, tende a pedir cinco itens por fornecedor cr\u00edtico: a classifica\u00e7\u00e3o e sua justificativa, a evid\u00eancia recebida, a conclus\u00e3o do avaliador, o plano de a\u00e7\u00e3o com prazo e, quando houver, a comprova\u00e7\u00e3o de encerramento. Um programa que produz esses cinco registros de forma rotineira responde \u00e0 pergunta do Board antes que ela seja feita.<\/p>\n    <\/section>\n\n    <section id=\"secao6\">\n      <h2>Conclus\u00e3o<\/h2>\n      <p>A gest\u00e3o de operadores deixa de ser um exerc\u00edcio anual de coleta de respostas quando o controlador assume que a lei lhe atribui um dever de verificar. Classificar por criticidade, exigir evid\u00eancia al\u00e9m da declara\u00e7\u00e3o, monitorar gatilhos e comprovar o encerramento s\u00e3o as pr\u00e1ticas que transformam esse dever em rotina. O que a empresa ganha, ao final, \u00e9 a capacidade de demonstrar, diante da ANPD, do auditor ou do Board, o que verificou, quando verificou e o que fez com o resultado.<\/p>\n      <p><strong>Leia tamb\u00e9m:<\/strong><\/p>\n      <ul>\n        <li>Os tr\u00eas dias \u00fateis da ANPD n\u00e3o s\u00e3o 72 horas: como estruturar o fluxo de comunica\u00e7\u00e3o de incidentes antes que o prazo comece a correr<\/li>\n        <li>Dosimetria de san\u00e7\u00f5es da ANPD: o que o programa de governan\u00e7a precisa provar para pesar a favor da empresa?<\/li>\n      <\/ul>\n    <\/section>\n\n    <section id=\"secao7\">\n      <h2>Para times de privacidade em opera\u00e7\u00e3o de grande porte<\/h2>\n      <p>Se a sua opera\u00e7\u00e3o precisa avaliar se a gest\u00e3o de terceiros produz evid\u00eancia suficiente para sustentar o dever de verifica\u00e7\u00e3o, o Executive Briefing re\u00fane uma an\u00e1lise direcionada a CISOs, DPOs e \u00e1reas de compliance. Acesse: <a href=\"https:\/\/dponet.com.br\/enterprise-executive-briefing\/\" target=\"_blank\" rel=\"noopener noreferrer\">Executive Briefing<\/a>.<\/p>\n    <\/section>\n\n  <\/article>\n\n  <hr class=\"tb-divisor\" id=\"faq\"\/>\n  <h2 class=\"tb-faq-titulo\">Perguntas frequentes (FAQ)<\/h2>\n  <p class=\"tb-faq-subtitulo\">D\u00favidas comuns sobre o monitoramento cont\u00ednuo de operadores e o dever de verifica\u00e7\u00e3o do controlador<\/p>\n  <div class=\"tb-faq-section\">\n\n    <details class=\"tb-faq-item\" open>\n      <summary class=\"tb-faq-question\">1. O controlador \u00e9 respons\u00e1vel pelos atos do operador?<\/summary>\n      <div class=\"tb-faq-answer\"><p>Em parte. O operador responde solidariamente quando descumpre a legisla\u00e7\u00e3o ou as instru\u00e7\u00f5es l\u00edcitas do controlador, equiparando-se a ele, e os controladores diretamente envolvidos no tratamento tamb\u00e9m respondem solidariamente pelos danos. Por isso, o controlador deve verificar a observ\u00e2ncia das instru\u00e7\u00f5es, como determina o art. 39 da LGPD.<\/p><\/div>\n    <\/details>\n\n    <details class=\"tb-faq-item\">\n      <summary class=\"tb-faq-question\">2. Um contrato com cl\u00e1usulas de prote\u00e7\u00e3o de dados \u00e9 suficiente?<\/summary>\n      <div class=\"tb-faq-answer\"><p>N\u00e3o por si s\u00f3. O contrato documenta as instru\u00e7\u00f5es, mas a LGPD atribui ao controlador o dever de verificar se elas s\u00e3o cumpridas. A empresa precisa de evid\u00eancias dessa verifica\u00e7\u00e3o, e n\u00e3o apenas do documento assinado.<\/p><\/div>\n    <\/details>\n\n    <details class=\"tb-faq-item\">\n      <summary class=\"tb-faq-question\">3. Com que frequ\u00eancia os fornecedores devem ser avaliados?<\/summary>\n      <div class=\"tb-faq-answer\"><p>A LGPD n\u00e3o fixa uma periodicidade. A frequ\u00eancia deve ser proporcional \u00e0 criticidade do fornecedor: mais frequente e mais profunda para os que tratam grandes volumes ou dados sens\u00edveis, al\u00e9m de reavalia\u00e7\u00f5es sempre que ocorrer um gatilho, como incidente, troca de subcontratado ou mudan\u00e7a de escopo.<\/p><\/div>\n    <\/details>\n\n    <details class=\"tb-faq-item\">\n      <summary class=\"tb-faq-question\">4. O que o controlador deve fazer quando o contrato com o operador termina?<\/summary>\n      <div class=\"tb-faq-answer\"><p>Exigir a devolu\u00e7\u00e3o ou a elimina\u00e7\u00e3o dos dados pessoais tratados em seu nome e obter a comprova\u00e7\u00e3o correspondente. Esse registro deve ser guardado junto com as demais verifica\u00e7\u00f5es do fornecedor, como evid\u00eancia do encerramento do ciclo.<\/p><\/div>\n    <\/details>\n\n  <\/div>\n\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Quando um fornecedor sofre um incidente, a pergunta que o Board faz n\u00e3o \u00e9 se existia contrato, mas se a empresa verificou o que o contrato prometia. Um question\u00e1rio anual respondido e arquivado raramente sustenta essa resposta. A LGPD fala em verificar, e verificar, em escala, exige crit\u00e9rio, evid\u00eancia e continuidade.<\/p>\n","protected":false},"author":17,"featured_media":7503,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[160,7,172],"tags":[],"class_list":["post-7502","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-adequacao-a-lgpd","category-artigos","category-lgpd-e-conformidade"],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v28.4 - https:\/\/yoast.com\/product\/yoast-seo-wordpress\/ -->\n<title>Question\u00e1rio anual n\u00e3o \u00e9 gest\u00e3o de terceiros: como monitorar operadores de forma cont\u00ednua e comprovar a verifica\u00e7\u00e3o que a LGPD exige do controlador? - Blog DPOnet<\/title>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/dponet.com.br\/blog\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\/\" \/>\n<meta property=\"og:locale\" content=\"pt_BR\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Question\u00e1rio anual n\u00e3o \u00e9 gest\u00e3o de terceiros: como monitorar operadores de forma cont\u00ednua e comprovar a verifica\u00e7\u00e3o que a LGPD exige do controlador? - Blog DPOnet\" \/>\n<meta property=\"og:description\" content=\"Quando um fornecedor sofre um incidente, a pergunta que o Board faz n\u00e3o \u00e9 se existia contrato, mas se a empresa verificou o que o contrato prometia. Um question\u00e1rio anual respondido e arquivado raramente sustenta essa resposta. A LGPD fala em verificar, e verificar, em escala, exige crit\u00e9rio, evid\u00eancia e continuidade.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/dponet.com.br\/blog\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\/\" \/>\n<meta property=\"og:site_name\" content=\"Blog DPOnet\" \/>\n<meta property=\"article:published_time\" content=\"2026-10-07T12:00:00+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/dponet.com.br\/blog\/wp-content\/uploads\/2026\/10\/monitoramento-continuo-operadores-lgpd-scaled.webp\" \/>\n\t<meta property=\"og:image:width\" content=\"2560\" \/>\n\t<meta property=\"og:image:height\" content=\"1441\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/webp\" \/>\n<meta name=\"author\" content=\"Lucas Sacom\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Escrito por\" \/>\n\t<meta name=\"twitter:data1\" content=\"Lucas Sacom\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. tempo de leitura\" \/>\n\t<meta name=\"twitter:data2\" content=\"10 minutos\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\\\/\"},\"author\":{\"name\":\"Lucas Sacom\",\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/#\\\/schema\\\/person\\\/370419828ed27b251b9a5b262eed49c7\"},\"headline\":\"Question\u00e1rio anual n\u00e3o \u00e9 gest\u00e3o de terceiros: como monitorar operadores de forma cont\u00ednua e comprovar a verifica\u00e7\u00e3o que a LGPD exige do controlador?\",\"datePublished\":\"2026-10-07T12:00:00+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\\\/\"},\"wordCount\":2001,\"image\":{\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/monitoramento-continuo-operadores-lgpd-scaled.webp\",\"articleSection\":[\"Adequa\u00e7\u00e3o \u00e0 LGPD\",\"Artigos\",\"LGPD e Conformidade\"],\"inLanguage\":\"pt-BR\"},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\\\/\",\"url\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\\\/\",\"name\":\"Question\u00e1rio anual n\u00e3o \u00e9 gest\u00e3o de terceiros: como monitorar operadores de forma cont\u00ednua e comprovar a verifica\u00e7\u00e3o que a LGPD exige do controlador? - Blog DPOnet\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\\\/#primaryimage\"},\"image\":{\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/monitoramento-continuo-operadores-lgpd-scaled.webp\",\"datePublished\":\"2026-10-07T12:00:00+00:00\",\"author\":{\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/#\\\/schema\\\/person\\\/370419828ed27b251b9a5b262eed49c7\"},\"breadcrumb\":{\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\\\/#breadcrumb\"},\"inLanguage\":\"pt-BR\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/dponet.com.br\\\/blog\\\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\\\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"pt-BR\",\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\\\/#primaryimage\",\"url\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/monitoramento-continuo-operadores-lgpd-scaled.webp\",\"contentUrl\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/monitoramento-continuo-operadores-lgpd-scaled.webp\",\"width\":2560,\"height\":1441,\"caption\":\"monitoramento-continuo-operadores-lgpd\"},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"In\u00edcio\",\"item\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Question\u00e1rio anual n\u00e3o \u00e9 gest\u00e3o de terceiros: como monitorar operadores de forma cont\u00ednua e comprovar a verifica\u00e7\u00e3o que a LGPD exige do controlador?\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/#website\",\"url\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/\",\"name\":\"Blog DPOnet\",\"description\":\"Tudo o que voc\u00ea precisa saber sobre LGPD\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"pt-BR\"},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/#\\\/schema\\\/person\\\/370419828ed27b251b9a5b262eed49c7\",\"name\":\"Lucas Sacom\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"pt-BR\",\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/09\\\/LUCAS-96x96.jpg\",\"url\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/09\\\/LUCAS-96x96.jpg\",\"contentUrl\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/09\\\/LUCAS-96x96.jpg\",\"caption\":\"Lucas Sacom\"},\"url\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/author\\\/lucas\\\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Question\u00e1rio anual n\u00e3o \u00e9 gest\u00e3o de terceiros: como monitorar operadores de forma cont\u00ednua e comprovar a verifica\u00e7\u00e3o que a LGPD exige do controlador? - Blog DPOnet","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/dponet.com.br\/blog\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\/","og_locale":"pt_BR","og_type":"article","og_title":"Question\u00e1rio anual n\u00e3o \u00e9 gest\u00e3o de terceiros: como monitorar operadores de forma cont\u00ednua e comprovar a verifica\u00e7\u00e3o que a LGPD exige do controlador? - Blog DPOnet","og_description":"Quando um fornecedor sofre um incidente, a pergunta que o Board faz n\u00e3o \u00e9 se existia contrato, mas se a empresa verificou o que o contrato prometia. Um question\u00e1rio anual respondido e arquivado raramente sustenta essa resposta. A LGPD fala em verificar, e verificar, em escala, exige crit\u00e9rio, evid\u00eancia e continuidade.","og_url":"https:\/\/dponet.com.br\/blog\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\/","og_site_name":"Blog DPOnet","article_published_time":"2026-10-07T12:00:00+00:00","og_image":[{"width":2560,"height":1441,"url":"https:\/\/dponet.com.br\/blog\/wp-content\/uploads\/2026\/10\/monitoramento-continuo-operadores-lgpd-scaled.webp","type":"image\/webp"}],"author":"Lucas Sacom","twitter_card":"summary_large_image","twitter_misc":{"Escrito por":"Lucas Sacom","Est. tempo de leitura":"10 minutos"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/dponet.com.br\/blog\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\/#article","isPartOf":{"@id":"https:\/\/dponet.com.br\/blog\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\/"},"author":{"name":"Lucas Sacom","@id":"https:\/\/dponet.com.br\/blog\/#\/schema\/person\/370419828ed27b251b9a5b262eed49c7"},"headline":"Question\u00e1rio anual n\u00e3o \u00e9 gest\u00e3o de terceiros: como monitorar operadores de forma cont\u00ednua e comprovar a verifica\u00e7\u00e3o que a LGPD exige do controlador?","datePublished":"2026-10-07T12:00:00+00:00","mainEntityOfPage":{"@id":"https:\/\/dponet.com.br\/blog\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\/"},"wordCount":2001,"image":{"@id":"https:\/\/dponet.com.br\/blog\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\/#primaryimage"},"thumbnailUrl":"https:\/\/dponet.com.br\/blog\/wp-content\/uploads\/2026\/10\/monitoramento-continuo-operadores-lgpd-scaled.webp","articleSection":["Adequa\u00e7\u00e3o \u00e0 LGPD","Artigos","LGPD e Conformidade"],"inLanguage":"pt-BR"},{"@type":"WebPage","@id":"https:\/\/dponet.com.br\/blog\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\/","url":"https:\/\/dponet.com.br\/blog\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\/","name":"Question\u00e1rio anual n\u00e3o \u00e9 gest\u00e3o de terceiros: como monitorar operadores de forma cont\u00ednua e comprovar a verifica\u00e7\u00e3o que a LGPD exige do controlador? - Blog DPOnet","isPartOf":{"@id":"https:\/\/dponet.com.br\/blog\/#website"},"primaryImageOfPage":{"@id":"https:\/\/dponet.com.br\/blog\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\/#primaryimage"},"image":{"@id":"https:\/\/dponet.com.br\/blog\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\/#primaryimage"},"thumbnailUrl":"https:\/\/dponet.com.br\/blog\/wp-content\/uploads\/2026\/10\/monitoramento-continuo-operadores-lgpd-scaled.webp","datePublished":"2026-10-07T12:00:00+00:00","author":{"@id":"https:\/\/dponet.com.br\/blog\/#\/schema\/person\/370419828ed27b251b9a5b262eed49c7"},"breadcrumb":{"@id":"https:\/\/dponet.com.br\/blog\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\/#breadcrumb"},"inLanguage":"pt-BR","potentialAction":[{"@type":"ReadAction","target":["https:\/\/dponet.com.br\/blog\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\/"]}]},{"@type":"ImageObject","inLanguage":"pt-BR","@id":"https:\/\/dponet.com.br\/blog\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\/#primaryimage","url":"https:\/\/dponet.com.br\/blog\/wp-content\/uploads\/2026\/10\/monitoramento-continuo-operadores-lgpd-scaled.webp","contentUrl":"https:\/\/dponet.com.br\/blog\/wp-content\/uploads\/2026\/10\/monitoramento-continuo-operadores-lgpd-scaled.webp","width":2560,"height":1441,"caption":"monitoramento-continuo-operadores-lgpd"},{"@type":"BreadcrumbList","@id":"https:\/\/dponet.com.br\/blog\/questionario-anual-nao-e-gestao-de-terceiros-como-monitorar-operadores-de-forma-continua-e-comprovar-a-verificacao-que-a-lgpd-exige-do-controlador\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"In\u00edcio","item":"https:\/\/dponet.com.br\/blog\/"},{"@type":"ListItem","position":2,"name":"Question\u00e1rio anual n\u00e3o \u00e9 gest\u00e3o de terceiros: como monitorar operadores de forma cont\u00ednua e comprovar a verifica\u00e7\u00e3o que a LGPD exige do controlador?"}]},{"@type":"WebSite","@id":"https:\/\/dponet.com.br\/blog\/#website","url":"https:\/\/dponet.com.br\/blog\/","name":"Blog DPOnet","description":"Tudo o que voc\u00ea precisa saber sobre LGPD","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/dponet.com.br\/blog\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"pt-BR"},{"@type":"Person","@id":"https:\/\/dponet.com.br\/blog\/#\/schema\/person\/370419828ed27b251b9a5b262eed49c7","name":"Lucas Sacom","image":{"@type":"ImageObject","inLanguage":"pt-BR","@id":"https:\/\/dponet.com.br\/blog\/wp-content\/uploads\/2026\/09\/LUCAS-96x96.jpg","url":"https:\/\/dponet.com.br\/blog\/wp-content\/uploads\/2026\/09\/LUCAS-96x96.jpg","contentUrl":"https:\/\/dponet.com.br\/blog\/wp-content\/uploads\/2026\/09\/LUCAS-96x96.jpg","caption":"Lucas Sacom"},"url":"https:\/\/dponet.com.br\/blog\/author\/lucas\/"}]}},"_links":{"self":[{"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/posts\/7502","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/users\/17"}],"replies":[{"embeddable":true,"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/comments?post=7502"}],"version-history":[{"count":1,"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/posts\/7502\/revisions"}],"predecessor-version":[{"id":7504,"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/posts\/7502\/revisions\/7504"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/media\/7503"}],"wp:attachment":[{"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/media?parent=7502"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/categories?post=7502"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/tags?post=7502"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}