A cláusula chega em anexo, com nove ou dez perguntas que parecem jurídicas e são todas técnicas. Quem responde não é o advogado do seu cliente nem o seu: é o seu sistema. E o contrato fica parado enquanto alguém do seu lado tenta descobrir se a resposta honesta é sim.
Este texto não é parecer jurídico e não declara conformidade de ninguém. É a leitura de engenharia de um documento comercial: o que aquelas perguntas cobram do sistema, que evidência responde cada uma, e onde a resposta costuma não existir.
Primeiro, quem é quem no contrato
Quando você vende um SaaS que guarda dado dos clientes do seu cliente, o normal é que ele seja o controlador e você o operador. Isso não é rótulo de política de privacidade, tem consequência direta: pelo art. 42, §1º, I da Lei nº 13.709/2018, o operador responde solidariamente quando descumpre a legislação de proteção de dados ou quando não segue as instruções lícitas do controlador. O registro das operações de tratamento do art. 37 é obrigação dos dois, não só de quem contrata. E o dever de segurança do art. 46 vem com o §2º dizendo que as medidas devem ser observadas desde a fase de concepção do produto.
É por isso que a cláusula é dura com você mesmo quando o dado não é seu. O seu cliente está distribuindo obrigação que ele tem, e o instrumento que ele usa para isso é o contrato que você vai assinar.
A autoridade começou pelos itens mais básicos
Em julho de 2026, a ANPD publicou o resultado da primeira fase de dois monitoramentos que checavam duas coisas apenas: se o encarregado estava indicado e se o canal de comunicação entre controlador e titular existia e funcionava. Foram 56 agentes de tratamento monitorados, 39 órgãos públicos e 17 empresas privadas. Vinte e sete atenderam integralmente, oito ficaram com pendência e prazo de 10 dias úteis para regularizar, e 21 simplesmente não responderam, seguindo para a coordenação de fiscalização. O comunicado está no gov.br.
Duas leituras úteis. A primeira é que a varredura não foi sobre criptografia nem sobre arquitetura: foi sobre ter um responsável indicado e um endereço que alguém atende. A segunda é que o caminho mais rápido para virar processo foi não responder. Isso vale igual quando quem pergunta é o jurídico do cliente: silêncio não é neutro, é resposta.
A cláusula de fornecedor deixou de ser enfeite
Em 21 de maio de 2026, o CTIR Gov publicou recomendação sobre o vazamento massivo de bancos de dados, repositórios de código-fonte e arquivos internos de uma fornecedora brasileira de sistemas de interceptação e monitoramento da qual dependem mais de 150 instituições públicas e de segurança. As orientações imediatas incluem aplicar correção ou isolar interfaces de configuração expostas na internet, auditar credenciais e rotacionar chaves de API que possam estar nos repositórios vazados, e monitorar superfície de ataque de forma contínua. A recomendação está publicada.
Repare no que sobra para quem contratou aquela fornecedora: rotacionar credencial que talvez esteja em código de terceiro. Você só consegue fazer isso se souber quais chaves existem, onde elas são usadas e quem as tem. É exatamente o que a cláusula de subcontratação está perguntando quando pede a lista dos seus fornecedores, e é a pergunta que mais atrasa resposta na prática, porque quase ninguém mantém essa lista.
Se algum desses fornecedores trata dado fora do Brasil, existe forma obrigatória. A Resolução CD/ANPD nº 19, publicada em 26 de agosto de 2024, aprovou as cláusulas-padrão contratuais para transferência internacional, exige adoção integral e sem alteração do texto da autoridade, e deu prazo de até 12 meses da publicação para os agentes incorporarem essas cláusulas aos contratos existentes, o que venceu em agosto de 2025. A resolução está no gov.br.
Na prática, a pergunta "onde os dados ficam hospedados e em que país" nunca é sobre curiosidade geográfica. É o começo de outra: se sai do país, com qual mecanismo. Responder "está na nuvem" não fecha item nenhum.
As nove perguntas, e a evidência que responde cada uma
A cláusula muda de redação, mas o conteúdo é sempre este. Ao lado de cada pergunta está o que serve como resposta, e nenhuma delas é um parágrafo de política de privacidade:
- Onde o dado fica hospedado, em que país, e com qual mecanismo se sai do Brasil. Evidência: a configuração da região do banco e do storage, mais o contrato de cada fornecedor com as cláusulas-padrão anexadas.
- Como o dado de um cliente é isolado do de outro. Evidência: a regra de isolamento no banco, a lista de tabelas cobertas e um teste que tenta atravessar e falha, na leitura e na escrita.
- Quem tem acesso ao dado pessoal, e como isso fica registrado. Evidência: a matriz de papéis e a trilha de auditoria com autor e origem. Aqui a resposta honesta costuma ser que não existe trilha, e é o item que mais trava contrato.
- Como a autenticação funciona, e se existe segundo fator para acesso administrativo. Evidência: a configuração de sessão, a política de senha e o fluxo de segundo fator.
- O que é cifrado, em trânsito e em repouso, e quais campos são cifrados no nível do dado. Evidência: a configuração e a lista dos campos, não a promessa de que "tudo é criptografado".
- Qual o prazo de guarda por tipo de dado e como o expurgo acontece. Evidência: a tabela de retenção e a rotina que apaga, com log da última execução.
- Como um pedido de titular é atendido, por qual canal, em quanto tempo. Evidência: o canal existindo de fato, com alguém responsável, mais o procedimento escrito.
- Qual o procedimento e o prazo em caso de incidente. Evidência: o runbook escrito antes, com quem decide, quem comunica e de onde saem os números do formulário.
- Quais fornecedores tratam dado seu, para quê, e a situação de transferência internacional de cada um. Evidência: o inventário de fornecedores, atualizado.
Uma régua que economiza semanas: o que não existe se escreve como não existe, com data prevista, em vez de "em implementação". Comprador corporativo experiente lida bem com pendência datada. Ele não lida bem com descobrir depois da assinatura que a resposta era otimista.
Três armadilhas de prazo, e a terceira é a que dói
A primeira é o prazo de incidente. A lei não fixa esse prazo, e quem fixa é a Resolução CD/ANPD nº 15, de 2024: comunicação em 3 dias úteis contados do conhecimento do incidente, com registro guardado por no mínimo cinco anos, e o incidente que não é comunicável ainda assim é registrado, com os motivos documentados. A orientação oficial da ANPD está no gov.br.
A segunda é o prazo de titular. A LGPD tem prazo em dias apenas para a declaração completa do art. 19, II, que é de até 15 dias, e o agente de tratamento de pequeno porte tem esse prazo em dobro pela Resolução CD/ANPD nº 2/2022. Os demais pedidos do art. 18 não têm prazo em dias na lei.
A terceira é a que custa dinheiro de verdade: assinar prazo mais curto do que a norma te impôs. Cláusula prometendo notificar o cliente em 24 horas, ou responder qualquer pedido de titular em 5 dias, cria obrigação contratual que a lei não criou, e agora é você que precisa honrar, com multa contratual do outro lado. Negociar isso não é resistência a proteção de dados. É reconhecer que prazo em contrato é requisito de engenharia com data, e requisito com data é a coisa mais cara que existe.
O que fazer antes da próxima cláusula chegar
- Escrever em uma página quais dados pessoais o sistema guarda, por qual finalidade, por quanto tempo e quem consegue ler.
- Listar todo fornecedor que toca dado, com país, finalidade e situação de transferência internacional.
- Verificar se existe trilha de auditoria de acesso a dado pessoal com autor e origem, e testar se ela responde "quem leu este registro".
- Abrir o canal do titular de verdade, com alguém responsável por olhar, porque endereço que ninguém lê é pior que endereço inexistente.
- Escrever o runbook de incidente antes, com o relógio de 3 dias úteis já contado para o seu caso.
Os cinco são comportamento de sistema, e comportamento de sistema se prova com evidência técnica ou não se prova. Nenhum deles precisa de advogado para começar, e o quinto é o único que ninguém consegue improvisar depois.
Leitura recomendada
- ANPD, resultado do monitoramento de encarregados e canais de atendimento ao titular, julho de 2026: gov.br/anpd
- Resolução CD/ANPD nº 19/2024, cláusulas-padrão contratuais de transferência internacional: gov.br/anpd
- CTIR Gov, Recomendação 05/2026, vazamento em fornecedora usada por mais de 150 instituições: gov.br/gsi
- ANPD, comunicação de incidente de segurança, prazos e critérios: gov.br/anpd
- Lei nº 13.709/2018, texto integral: planalto.gov.br
Se a cláusula já está na sua mesa
A página fabership.com.br/lgpd explica o que a gente faz quando as perguntas chegam por escrito e com prazo, e o que a gente não faz: não emitimos parecer jurídico e não declaramos conformidade de ninguém. A porta de entrada continua sendo o autodiagnóstico que você mesmo roda, sem falar com ninguém.
A Fabership faz engenharia de software e de segurança da informação. Não somos escritório de advocacia, não emitimos parecer jurídico e não declaramos conformidade de ninguém à LGPD. Quando o caso pede assinatura de advogado, trabalhamos com advogada parceira especializada em proteção de dados.