DPA — Data Processing Agreement (Art. 39 LGPD)

Contrato entre controlador e operador. Sem cláusulas adequadas, controlador responde pelo operador (Art. 42).

Cláusulas mínimas

1. Identificação das partes e papel de cada uma
2. Objeto — finalidade do tratamento pelo operador
3. Instruções do controlador — operador trata SOMENTE conforme instruções (Art. 39)
4. Confidencialidade — funcionários sob NDA
5. Medidas de segurança — listadas ou referenciadas
6. Sub-operadores — autorização prévia + responsabilidade solidária
7. Auxílio a direitos do titular — operador colabora em DSAR no SLA do controlador
8. Incidentes de segurança — operador notifica controlador imediatamente (recomendado: 24h máx)
9. Devolução/eliminação ao fim do contrato
10. Auditoria — direito do controlador auditar operador
11. Responsabilidade — Art. 42 LGPD aplica
12. Transferência internacional — se houver, cláusulas Res. 19/2024