Como este tema funciona no porte da sua empresa
Fornecedores têm acesso a dados da empresa — escritório de contabilidade, sistema de RH, e-mail corporativo — sem nenhuma cláusula de sigilo. O gestor não sabe o que o fornecedor pode fazer com esses dados e não tem instrumento contratual se houver uso indevido ou vazamento.
Contratos estratégicos têm NDA, mas o controle de acesso a dados dos fornecedores não é sistemático. A legislação vigente de proteção de dados exige que contratos com fornecedores que processam dados pessoais incluam cláusula específica sobre tratamento — isso nem sempre foi revisado na carteira ativa.
O Encarregado de Dados (DPO) ou o jurídico cuida das cláusulas de proteção de dados em contratos. O gestor de suprimentos precisa identificar quais fornecedores tratam dados pessoais para escalar ao DPO ou ao jurídico antes da assinatura — a triagem é responsabilidade do gestor, a redação é do jurídico.
Confidencialidade em contratos protege informações comerciais, financeiras e operacionais da empresa contra divulgação pelo fornecedor. Proteção de dados regula como o fornecedor acessa, usa e armazena dados pessoais de clientes ou funcionários da empresa. São instrumentos diferentes — o primeiro cobre sigilo comercial, o segundo cobre obrigações legais específicas — e frequentemente precisam coexistir no mesmo contrato.
O que é cláusula de confidencialidade (NDA) e o que ela protege
A cláusula de confidencialidade — ou NDA, do inglês Non-Disclosure Agreement — proíbe o fornecedor de revelar informações da empresa a terceiros durante e após o contrato. Ela é o instrumento que protege o que a empresa compartilha para viabilizar a prestação do serviço: dados financeiros, processos operacionais, lista de clientes, estratégia comercial, informações de funcionários.
O que deve constar numa cláusula de confidencialidade eficaz:
- Definição do que é confidencial: o contrato deve declarar quais categorias de informação são cobertas. "Todas as informações da empresa" é vago; "dados financeiros, lista de clientes, processos operacionais e informações de funcionários" é executável.
- Obrigações do fornecedor: não revelar a terceiros, usar somente para fins do contrato, adotar medidas de segurança compatíveis com a sensibilidade das informações.
- Prazo de vigência do sigilo: quanto tempo após o encerramento do contrato a obrigação de sigilo continua valendo. Sem prazo declarado, o fornecedor pode entender que a obrigação termina com o contrato.
- Consequência por violação: penalidade definida (valor ou percentual) e direito de indenização por danos — sem isso, a cláusula tem valor moral mas não executável.
A redação da cláusula é responsabilidade do jurídico. O que o gestor faz é identificar quais informações o fornecedor acessará e comunicar isso ao jurídico antes da negociação.
O que é cláusula de tratamento de dados e quando é obrigatória
A cláusula de tratamento de dados — chamada no mercado de DPA, Data Processing Agreement — regula como o fornecedor acessa, usa, armazena e descarta dados pessoais de clientes ou funcionários da empresa. Ela é necessária sempre que o fornecedor opera como processador de dados pessoais no contexto da prestação do serviço.
A legislação brasileira de proteção de dados pessoais estabelece que o contrato entre o controlador (a empresa contratante) e o operador (o fornecedor que processa dados) deve conter obrigações específicas sobre segurança, finalidade do tratamento e o que acontece em caso de incidente. A redação precisa dessa cláusula é responsabilidade do jurídico — o gestor precisa saber quando acioná-lo.
O que a cláusula de tratamento de dados deve cobrir:
- Finalidade do tratamento: para que os dados serão usados pelo fornecedor — somente para fins do contrato, não para uso próprio do fornecedor.
- Categorias de dados tratados: quais dados o fornecedor acessará — nome, CPF, e-mail, dados bancários, informações de saúde etc.
- Medidas de segurança: controles técnicos e organizacionais que o fornecedor adota para proteger os dados.
- Protocolo em caso de incidente: prazo para o fornecedor comunicar a empresa se houver vazamento ou acesso indevido.
- Destino dos dados ao encerrar o contrato: devolução, exclusão ou anonimização — e prazo para isso.
Como identificar se o fornecedor é um operador de dados
O gestor identifica se o fornecedor processa dados pessoais respondendo a uma pergunta simples: durante a prestação do serviço, o fornecedor acessa, usa ou armazena nome, CPF, e-mail, dados bancários, informações de saúde ou qualquer outra informação que identifica ou pode identificar uma pessoa específica — seja cliente, funcionário ou terceiro da empresa?
Se a resposta for sim, o fornecedor opera como processador (operador) de dados pessoais no âmbito da legislação vigente, e o contrato precisa de cláusula específica de tratamento de dados. A redação é do jurídico; a identificação é do gestor.
Exemplos frequentes de fornecedores que processam dados pessoais na rotina de uma empresa:
- Escritório de contabilidade: acessa dados de funcionários (folha, FGTS, INSS) e dados financeiros de clientes.
- Fornecedor de sistema de RH ou de gestão de benefícios: armazena e processa dados pessoais de todos os funcionários.
- Agência de marketing: acessa lista de e-mails, dados de clientes, campanhas com dados de comportamento de compra.
- Empresa de TI com acesso remoto a sistemas: pode acessar bases de dados com informações de clientes e funcionários.
- Serviço de medicina do trabalho: processa dados de saúde dos funcionários — categoria sensível com proteção adicional.
NDA e DPA: instrumentos diferentes que frequentemente coexistem
O NDA protege informações comerciais e operacionais da empresa — dados financeiros, processos, estratégia, lista de clientes. O DPA regula o tratamento de dados pessoais nos termos da legislação de proteção de dados. Um não substitui o outro.
Um fornecedor de contabilidade precisa de NDA (para sigilo sobre dados financeiros da empresa) e de DPA (porque processa dados pessoais dos funcionários na folha de pagamento). Um fornecedor de limpeza que não tem acesso a sistemas ou a informações sensíveis pode precisar apenas de NDA básica — ou nem disso, dependendo do contrato.
A forma mais prática de tratar os dois é incluí-los como cláusulas do mesmo contrato — ou como anexo único se a empresa usar modelo padrão revisado pelo jurídico. O gestor identifica quais categorias se aplicam; o jurídico decide se ficam no corpo do contrato ou em anexo separado.
O que verificar antes de dar acesso a um fornecedor
Antes de habilitar o acesso de um novo fornecedor a sistemas, documentos ou dados da empresa, o gestor deve responder a quatro perguntas:
- Quais dados ele acessará? Listar as categorias concretas — não "dados da empresa" em geral.
- Por quanto tempo esse acesso é necessário? Acesso permanente quando o serviço é pontual é uma exposição desnecessária.
- Há necessidade real de acesso àqueles dados? O fornecedor de limpeza não precisa de acesso ao sistema de faturamento. O fornecedor de TI precisa de acesso ao servidor — mas a qual base de dados, exatamente?
- Quem na empresa autoriza o acesso? Definir o responsável pela autorização evita que o acesso seja concedido por qualquer funcionário sem critério.
O gestor faz a verificação sozinho antes de contratar. Para novos fornecedores com acesso a dados sensíveis, vale uma consulta pontual ao advogado para garantir que o contrato tem as cláusulas necessárias. O custo é baixo comparado à exposição de não ter cláusula alguma.
O gestor de suprimentos usa um checklist simples de triagem: o fornecedor acessa dados pessoais? Se sim, o contrato vai para o jurídico antes da assinatura. A triagem é operacional; a revisão das cláusulas é jurídica. O processo pode ser estruturado com o jurídico externo em uma reunião de alinhamento.
O processo de aprovação de contrato inclui campo de triagem de dados pessoais. Se o campo indicar "sim", o fluxo vai para o DPO ou para o jurídico antes da aprovação final. O gestor de suprimentos não redige cláusula — ele garante que o processo foi seguido.
Quando revisar contratos existentes para incluir as cláusulas
Nem todos os contratos em vigor precisam ser revisados ao mesmo tempo. A prioridade é clara: contratos com fornecedores que acessam dados pessoais de funcionários ou clientes e que não têm cláusula de tratamento de dados são a primeira fila de revisão.
Os três momentos naturais para incluir as cláusulas sem precisar de revisão extraordinária são: ao renovar o contrato, ao aditar por qualquer outro motivo (mudança de valor, escopo, prazo) e ao detectar que o fornecedor passou a acessar dados que não estavam previstos no contrato original.
Para contratos que não têm renovação próxima e onde a exposição é relevante, vale o esforço de um aditivo específico para incluir as cláusulas. A avaliação de quando isso é necessário é do jurídico — o gestor leva a lista dos contratos sem cobertura e o jurídico prioriza.
Sinais de que sua empresa precisa revisar as cláusulas de confidencialidade e dados
Se você se reconhece em três ou mais cenários abaixo, a carteira de contratos tem exposições de confidencialidade ou proteção de dados que merecem revisão prioritária.
- Fornecedores têm acesso a sistemas e dados da empresa sem nenhuma cláusula de confidencialidade no contrato.
- O contrato com o escritório de contabilidade não tem cláusula de sigilo sobre dados financeiros e de folha de pagamento.
- Fornecedores de TI, RH ou marketing que processam dados de funcionários ou clientes não têm cláusula de tratamento de dados.
- A empresa não sabe quais fornecedores acessam dados pessoais — não há mapeamento dos fornecedores que operam como processadores de dados.
- Contratos antigos nunca foram revisados para incluir cláusulas de confidencialidade ou proteção de dados.
- O gestor não tem resposta clara para "o que acontece com os dados da empresa se esse fornecedor tiver um vazamento?".
Caminhos para revisar os contratos quanto à confidencialidade e proteção de dados
O gestor pode conduzir a triagem de forma interna; a revisão e a redação das cláusulas demandam apoio jurídico.
O gestor mapeia quais fornecedores acessam dados pessoais e identifica os contratos sem cobertura — a lista é o insumo para o jurídico priorizar a revisão.
- Perfil necessário: gestor administrativo ou de suprimentos com visão da carteira de fornecedores e dos sistemas acessados por terceiros.
- Tempo estimado: 1 a 2 semanas para o mapeamento inicial; a revisão dos contratos depende do jurídico.
- Faz sentido quando: o gestor faz a triagem e leva ao jurídico a lista priorizada — não tenta redigir as cláusulas sozinho.
- Risco principal: identificar exposição mas não escalar ao jurídico por considerar o assunto resolvido após a triagem.
Revisão da carteira para conformidade com legislação de proteção de dados, redação de cláusulas de DPA e estruturação do processo de triagem para novos contratos.
- Tipo de fornecedor: Assessoria Jurídica/Contratos para revisão das cláusulas; Consultoria em Conformidade e LGPD para estruturação do processo completo de triagem e gestão de operadores de dados.
- Vantagem: cláusulas redigidas por especialista, modelo padrão para novos contratos e processo de triagem documentado para o time de suprimentos.
- Faz sentido quando: a carteira tem muitos fornecedores com acesso a dados pessoais sem cobertura contratual, ou quando há fornecedor que processa dados sensíveis (saúde, dados financeiros de clientes).
- Resultado típico: modelos de cláusula aprovados, carteira revisada e processo de triagem operacional para novos contratos.
Precisa de apoio para revisar os contratos com fornecedores quanto à confidencialidade e proteção de dados?
Se adequar os contratos com fornecedores à legislação de proteção de dados virou prioridade, o oHub conecta a sua empresa, de forma gratuita, a especialistas em assessoria jurídica e conformidade. Em menos de 3 minutos você descreve a necessidade e recebe propostas, sem compromisso.
Encontrar fornecedores de Gestão no oHub
Sem custo, sem compromisso. Você recebe propostas e decide se e com quem avançar.
Perguntas frequentes
O que é cláusula de confidencialidade em contrato?
É a cláusula que proíbe o fornecedor de revelar informações da empresa a terceiros — dados financeiros, processos operacionais, lista de clientes, estratégia — durante e após o contrato. Deve definir o que é considerado confidencial, as obrigações do fornecedor, o prazo de vigência do sigilo e a consequência por violação.
Todo contrato com fornecedor precisa de NDA?
Não necessariamente. Fornecedores que não têm acesso a informações sensíveis da empresa podem não exigir NDA. Mas qualquer fornecedor que acessa dados financeiros, operacionais, de clientes ou de funcionários deve ter cláusula de confidencialidade. A avaliação caso a caso é do gestor — a redação é do jurídico.
Como tratar a proteção de dados em contratos com fornecedores?
O gestor identifica se o fornecedor acessa dados pessoais de clientes ou funcionários. Se sim, o contrato precisa de cláusula de tratamento de dados que defina finalidade, medidas de segurança, protocolo em caso de incidente e destino dos dados ao encerrar o contrato. A identificação é responsabilidade do gestor; a redação da cláusula é do jurídico.
O que é operador de dados na proteção de dados pessoais?
É o fornecedor que acessa, usa ou armazena dados pessoais em nome da empresa contratante no contexto do serviço prestado. Exemplos: escritório de contabilidade (dados de folha), fornecedor de RH (dados de funcionários), agência de marketing (dados de clientes). Quando o fornecedor é operador, o contrato precisa de cláusula específica de tratamento de dados.
O que deve constar no contrato com fornecedor que acessa dados pessoais?
A cláusula de tratamento de dados deve cobrir: finalidade do uso (somente para fins do contrato), categorias de dados tratados, medidas de segurança adotadas pelo fornecedor, prazo para comunicar incidentes à empresa e o que acontece com os dados ao encerrar o contrato (devolução, exclusão ou anonimização).
Fontes e referências
- Autoridade Nacional de Proteção de Dados (ANPD). Guia orientativo para agentes de tratamento de pequeno porte. ANPD. Disponível em: gov.br/anpd.
- Sebrae. Proteção de dados e contratos com fornecedores: orientações para pequenas e médias empresas. Portal Sebrae.