Terceirização e responsabilidade da empresa

O que permanece com a empresa após terceirizar

A terceirização muda quem executa — não quem responde pelo resultado. Independentemente do fornecedor contratado, a empresa mantém três responsabilidades que não são transferíveis pelo contrato:

Responsabilidade pelo resultado da atividade

O cliente final contrata a empresa — não o fornecedor que executa parte do serviço. Se o terceirizado entrega com qualidade abaixo do acordado, a empresa responde perante o cliente. O contrato com o fornecedor protege internamente — e permite a cobrança do fornecedor — mas não desobriga a empresa da entrega contratada com o cliente.

Responsabilidade pela conformidade com LGPD quando há acesso a dados

Quando o fornecedor terceirizado acessa, processa ou armazena dados pessoais de clientes ou colaboradores da empresa — para executar o serviço contratado — a empresa contratante é o controlador dos dados. O fornecedor atua como operador. A empresa continua responsável pelo cumprimento das obrigações da Lei Geral de Proteção de Dados em relação a esses dados, mesmo que o processamento seja feito pelo fornecedor.

A medida contratual necessária nesse caso é o DPA — Data Processing Agreement — que formaliza as obrigações do fornecedor como operador: como os dados serão usados, por quanto tempo serão retidos, quais medidas de segurança serão adotadas e o que acontece em caso de incidente. A ausência do DPA não desobriga a empresa; apenas a deixa sem mecanismo contratual para responsabilizar o fornecedor no caso de um problema.

Responsabilidade sobre as condições de trabalho dos profissionais do fornecedor nas instalações da empresa

Quando os profissionais do fornecedor trabalham nas instalações da empresa e realizam atividades sob a supervisão diária da equipe interna, há situações em que a empresa contratante pode ser responsabilizada por obrigações trabalhistas não cumpridas pelo fornecedor. Essa exposição — conhecida como responsabilidade solidária — depende do tipo de serviço, do modelo de contratação e da forma como a supervisão é exercida na prática.

A avaliação do risco concreto e a estruturação das cláusulas contratuais que reduzem essa exposição exigem apoio jurídico especializado. O artigo não substitui esse apoio — orienta o gestor sobre o que monitorar e quando buscar assessoria.

O que o contrato deve prever para reduzir a exposição

O contrato com o fornecedor terceirizado é o principal instrumento de proteção da empresa contratante. As cláusulas que reduzem a exposição incluem:

1. Representações e garantias do fornecedor: declaração formal de que o fornecedor está em dia com todas as obrigações trabalhistas, previdenciárias e fiscais na data da assinatura e se compromete a manter essa regularidade ao longo do contrato.
2. Obrigação de conformidade contínua: o fornecedor deve manter a regularidade ao longo do contrato e comprovar quando solicitado — não apenas na contratação inicial.
3. Direito de auditoria: a empresa contratante tem o direito de solicitar documentos que comprovem a regularidade do fornecedor — certidões negativas, comprovantes de pagamento — em qualquer momento do contrato.
4. Penalidade por descumprimento: o que acontece se o fornecedor descumprir a obrigação de regularidade — desconto no pagamento, retenção de valores, rescisão contratual.
5. Indenização por responsabilidade derivada: se a empresa contratante for responsabilizada por obrigação que era do fornecedor, o fornecedor é contratualmente obrigado a ressarcir a empresa.
6. DPA para dados pessoais: quando há acesso a dados de clientes ou colaboradores, o DPA deve ser parte integrante do contrato ou adendo específico.

Cláusulas de indenização, penalidades e direito de auditoria têm implicações contratuais que variam conforme o tipo de serviço e o regime de responsabilidade aplicável. A revisão com apoio jurídico antes da assinatura é a medida mais eficaz para garantir que as cláusulas protegem de fato — e não são apenas texto sem efeito prático.

Verificação de regularidade do fornecedor: na contratação e ao longo do contrato

A verificação de regularidade do fornecedor na contratação é um passo que a maioria das empresas realiza. O que falta — e que é onde a exposição ocorre — é a verificação periódica ao longo do contrato. Um fornecedor que era regular na contratação pode acumular passivos fiscais ou trabalhistas nos meses seguintes, e a empresa contratante continua exposta enquanto o serviço é prestado.

Os documentos que o gestor deve verificar na contratação e periodicamente ao longo do contrato são:

• Certidão Negativa de Débitos Federais (emitida pela Receita Federal e PGFN) — comprova regularidade com tributos federais e contribuições previdenciárias.
• Certidão Negativa de Débitos Trabalhistas (CNDT) — emitida pelo Tribunal Superior do Trabalho, comprova que o fornecedor não tem dívidas trabalhistas em execução.
• Certificado de Regularidade do FGTS (CRF) — emitido pela Caixa Econômica Federal, comprova regularidade com o recolhimento do FGTS dos colaboradores.

A frequência recomendada de verificação varia com o risco do contrato: a cada seis meses para fornecedores de serviços gerais; mensalmente para fornecedores cujos profissionais atuam nas instalações da empresa ou que têm acesso a dados sensíveis.

LGPD e a responsabilidade da empresa contratante pelo operador

A proteção de dados pessoais é um aspecto de responsabilidade que aumentou de relevância com o amadurecimento da aplicação da Lei Geral de Proteção de Dados. A lógica operacional é direta: se o fornecedor acessa dados pessoais para prestar o serviço, a empresa contratante permanece responsável por esses dados perante os titulares e perante a Autoridade Nacional de Proteção de Dados.

Exemplos de terceirizações que tipicamente envolvem dados pessoais e exigem DPA:

• BPO de RH — folha de pagamento, benefícios, admissão e demissão
• BPO financeiro — quando há acesso a dados de clientes para cobrança ou faturamento
• Suporte de TI — quando o fornecedor acessa sistemas com dados de clientes ou colaboradores
• Contabilidade — quando inclui processamento de dados de colaboradores para obrigações trabalhistas
• Central de atendimento ao cliente terceirizada

O DPA deve especificar: as categorias de dados que serão processadas, a finalidade do processamento, as medidas de segurança que o fornecedor adotará, o prazo de retenção dos dados, as obrigações em caso de incidente de segurança e a obrigação de destruição dos dados ao final do contrato. Para fornecedores que processam volume relevante de dados ou dados sensíveis, a estruturação do DPA deve ser feita com apoio jurídico.