Vendor Audit — Terceiros e Agentes de Tratamento

Avaliação técnica e contratual de todos os fornecedores, SDKs, nuvens e integrações externas que tocam dados do projeto.

Premissas jurídicas corretas (Arts. 39 e 42 LGPD)

Nem todo fornecedor é Operador: antes de cobrar um DPA, classifique o papel jurídico efetivo na operação concreta (Guia Orientativo da ANPD sobre Agentes de Tratamento):
- Operador: trata dados pessoais em nome do controlador e sob suas instruções (ex.: AWS RDS, Resend/SES, Sentry, Datadog).
- Controlador Independente (Singular): define finalidades e meios próprios (ex.: bancos liquidantes, bureaus antifraude independentes, adquirentes em obrigações regulatórias do BCB, redes sociais em login social para fins próprios da rede).
- Controlador Conjunto: decide finalidades e elementos essenciais em conjunto com o controlador (ex.: produto co-branded com base compartilhada e governança comum).
- Sem acesso a dados pessoais: bibliotecas puramente locais (ex.: zod, prisma, better-auth auto-hospedado sem telemetria externa) não são agentes externos de tratamento.
Responsabilidade solidária condicional (Art. 42, § 1º, I):
- O operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da LGPD ou não seguir as instruções lícitas do controlador (e os controladores diretamente envolvidos respondem nos termos do inciso II, observadas as excludentes do Art. 43). A diligência prévia na escolha e instrução documentada do fornecedor protege o controlador e os titulares.