A maioria das empresas tem contrato de cloud. Poucas têm DPA. São documentos diferentes — e a ausência do DPA é uma das lacunas de conformidade LGPD mais comuns e mais graves que existem. Se você usa cloud para tratar dados pessoais de clientes, funcionários ou qualquer outro titular, o DPA não é opcional.
O que é um DPA
DPA — Data Processing Agreement, ou Acordo de Processamento de Dados — é o contrato que formaliza a relação entre o controlador (sua empresa, que decide sobre o tratamento de dados) e o operador (o provedor de cloud, que trata os dados por conta sua, seguindo suas instruções).
O artigo 39 da LGPD é direto:
“O operador deverá realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria.”
Para que o operador possa “seguir suas instruções”, essas instruções precisam estar documentadas — isso é o DPA. Sem ele, não há como verificar se o operador está agindo dentro dos limites que a LGPD exige, e não há como responsabilizá-lo contratualmente por desvios.
O que o DPA deve conter
Um DPA completo e adequado para fins de LGPD precisa cobrir, no mínimo:
Identificação das partes e papéis:
Quem é o controlador, quem é o operador, e confirmação de que o operador age exclusivamente conforme instruções do controlador.
Descrição do tratamento:
- Quais dados pessoais são tratados (categorias, exemplos)
- A finalidade do tratamento (por que o provedor de cloud trata esses dados)
- Os titulares afetados (clientes, funcionários, outros)
- O prazo do tratamento e da retenção
Localização dos dados:
Onde os dados são armazenados — país, região. Para provedores internacionais, isso é crítico para evidenciar conformidade com as regras de transferência internacional da ANPD.
Medidas de segurança:
Quais controles técnicos e organizacionais o operador implementa para proteger os dados. Pode ser por referência a certificações (ISO 27001, SOC 2) ou descrição direta dos controles.
Suboperadores:
O provedor de cloud usa outros provedores para partes do serviço? (CDN, storage de backup, logging?) O DPA deve listar os suboperadores relevantes e estabelecer que eles também estarão vinculados a obrigações equivalentes.
Direitos dos titulares:
Como o operador apoia o controlador no atendimento dos direitos dos titulares (acesso, correção, deleção, portabilidade). Em cloud, isso geralmente significa: ferramentas para o controlador executar buscas e deleções.
Notificação de incidentes:
Prazo e processo para o operador notificar o controlador em caso de incidente de segurança que afete dados pessoais. O prazo deve ser curto o suficiente para o controlador cumprir os prazos da ANPD (3 dias úteis da resolução CD/ANPD 15/2023).
Direito de auditoria:
O controlador deve ter direito contratual de auditar o operador — diretamente ou por terceiro. Para provedores grandes, isso geralmente é cumprido pelo fornecimento de relatórios SOC 2 ou ISO 27001.
Deleção ao fim do contrato:
O que acontece com os dados ao término do contrato — devolvidos ao controlador, deletados de forma segura, com certificado de deleção. Sem essa cláusula, seus dados podem ficar em servidores do provedor indefinidamente após o encerramento do contrato.
Responsabilidade:
Condições em que o operador pode ser responsabilizado — quando age fora das instruções do controlador ou viola a LGPD diretamente.
Diferença DPA vs SLA
É comum confundir ou misturar os dois — mas são documentos com objetivos distintos:
| Aspecto | DPA | SLA |
|---|---|---|
| Foco | Proteção de dados pessoais | Qualidade e disponibilidade do serviço |
| Exige | Lei (LGPD art. 39) | Contrato comercial |
| Conteúdo | Quais dados, finalidade, segurança, direitos, incidentes | Uptime, latência, suporte, penalidades por downtime |
| Quem assina | Controlador e operador | Cliente e provedor |
| Consequência de ausência | Violação da LGPD | Sem garantias contratuais de qualidade |
Você precisa dos dois. O SLA garante que o serviço funciona; o DPA garante que seus dados são tratados corretamente.
Como negociar DPA com provedores grandes
AWS, Azure e GCP têm DPAs padrão — documentos extensos disponíveis para aceitação online no portal do provedor. Para a maioria das empresas, aceitar o DPA padrão é o caminho adequado.
O que você precisa verificar antes de aceitar:
- O DPA cobre todos os serviços que você usa? (Alguns serviços podem não estar no escopo do DPA padrão)
- A cláusula de suboperadores lista os países onde dados podem ser processados?
- O prazo de notificação de incidentes está dentro do que a ANPD exige?
- A cláusula de auditoria aceita SOC 2 como evidência alternativa?
- A deleção ao fim do contrato está documentada?
Para provedores menores — provedores nacionais de cloud, SaaS corporativos — o DPA pode ser negociável. Tenha um template base com os requisitos mínimos da LGPD e exija adequação antes de assinar qualquer contrato que envolva dados pessoais.
Provedores que se recusam a firmar DPA: se um provedor se recusa categoricamente a assinar DPA para serviços que processarão dados pessoais, isso é um sinal de alerta sério. Você não deveria usar esse provedor para tratamento de dados pessoais — independentemente do tamanho ou reputação da empresa.
Checklist de DPA
Antes de considerar o DPA adequado, verifique:
- [ ] Papéis de controlador e operador claramente definidos
- [ ] Descrição dos dados tratados e finalidade
- [ ] Localização dos dados documentada
- [ ] Medidas de segurança descritas ou por referência certificada
- [ ] Lista de suboperadores relevantes
- [ ] Mecanismo de suporte a direitos dos titulares
- [ ] Prazo de notificação de incidentes definido
- [ ] Direito de auditoria previsto
- [ ] Cláusula de deleção ao fim do contrato
- [ ] Governança de mudanças (como notificar sobre mudanças no tratamento)
A Adentro fornece DPA completo e alinhado à LGPD a todos os clientes que usam nossa infraestrutura para tratar dados pessoais — sem negociação, sem custo adicional. Parte do contrato padrão.