Checklist de gestao de subcontratantes para founders e lideres de compliance

A gestao de subcontratantes funciona melhor como checklist operacional, nao como interpretacao juridica isolada. Uma equipa SaaS deve conseguir identificar quando um fornecedor trata dados pessoais em seu nome, confirmar o papel, rever contrato e evidencias de seguranca, aprovar subcontratantes, documentar transferencias e manter evidencias atualizadas.

O objetivo e que cada relacao tenha owner, finalidade, decisao documentada, pacote de evidencias e trigger de revisao. Sem isso, a equipa nao controla realmente o tratamento por terceiros.

1. Confirmar se se aplica

Aplica-se quando um terceiro trata dados pessoais em nome da organizacao e segundo as suas instrucoes. Tambem se aplica quando a empresa SaaS atua como subcontratante para dados de clientes e usa outros subcontratantes.

Verifique se o fornecedor recebe, guarda, acede, transmite, analisa ou gera dados pessoais; se segue instrucoes documentadas; se decide finalidades proprias; que dados estao envolvidos; e se usa subcontratantes.

As orientacoes do EDPB sao relevantes porque o papel depende do tratamento real, nao apenas do rotulo contratual.

2. Criar um registo utilizavel

Cada subcontratante aprovado precisa de um registo: nome legal, produto, owner interno, finalidade, avaliacao de papel, categorias de dados, titulares, sistemas ligados, localizacao, rota de transferencia, estado do DPA, review de seguranca, subcontratantes, retencao, eliminacao, divulgacao a clientes, ultima review e proximo trigger.

Este registo alinha legal, security, product, procurement, sales e compliance.

3. Rever o artigo 28

O contrato ou outro ato vinculativo deve descrever objeto e duracao, natureza e finalidade, tipos de dados, categorias de titulares e obrigacoes e direitos do responsavel pelo tratamento. Deve tambem cobrir instrucoes documentadas, confidencialidade, seguranca, assistencia, apagamento ou devolucao, informacao para demonstrar compliance, auditorias e condicoes para subcontratantes.

As clausulas-tipo da Comissao Europeia podem servir como referencia estruturada, sem substituir a analise da relacao concreta.

4. Rever garantias e evidencias

Garantias suficientes nao se resumem ao DPA. Reveja controlos de acesso, autenticacao, logs, encriptacao, separacao de clientes, incident response, vulnerabilidades, certificacoes, retencao, eliminacao, acesso de suporte e uso de dados para treino de IA ou melhoria de produto.

A profundidade deve acompanhar o risco. Um fornecedor com conteudo de clientes ou acesso a producao exige mais revisao que uma ferramenta interna de baixo risco.

5. Gerir subcontratantes

Identifique que subcontratantes podem aceder aos dados, que servico prestam, onde ocorre o tratamento, se existem obrigacoes equivalentes, que autorizacao o DPA exige, como clientes sao notificados, quem gere objecoes e quando engineering pode ativar uma nova dependencia.

A lista interna deve corresponder a pagina publica ou ao anexo do DPA.

6. Definir transferencias, evidencias e revisoes

Registe onde os dados sao alojados, de onde podem ser acedidos e que mecanismo de transferencia se aplica. Nao adivinhe. Se a rota nao for clara, o tratamento nao deve comecar.

Guarde DPA, analise de papel, review de seguranca, lista de subcontratantes, mecanismo de transferencia, condicoes de configuracao, ticket de aprovacao, decisao de risco residual e proxima review. Reavalie perante novas funcionalidades, subcontratantes, regioes, IA, renovacoes, compromissos com clientes ou evidencias antigas.

FAQ

Qual e o objetivo pratico?

Tornar controlavel o tratamento por terceiros: quem trata dados, que instrucoes se aplicam, que evidencias existem e quando rever.

Quando se aplica a equipas SaaS?

Quando um fornecedor ou subcontratante trata dados pessoais em nome da equipa, ou quando a empresa SaaS usa subcontratantes para dados de clientes.

O que documentar primeiro?

Comece pelo registo dos fornecedores que tocam dados de cliente ou producao: owner, finalidade, papel, dados, DPA, seguranca, subcontratantes, transferencia, decisao e proximo trigger.

Fontes

• European Union, General Data Protection Regulation.
• European Data Protection Board, Guidelines 07/2020 on the concepts of controller and processor in the GDPR.
• Information Commissioner's Office, Contracts and liabilities between controllers and processors.
• European Commission, Standard contractual clauses for controllers and processors in the EU/EEA.