DPA — Data Processing Agreement (Art. 39 LGPD)
Contrato entre controlador e operador. Sem cláusulas adequadas, controlador responde pelo operador (Art. 42).
Cláusulas mínimas
- Identificação das partes e papel de cada uma
- Objeto — finalidade do tratamento pelo operador
- Instruções do controlador — operador trata SOMENTE conforme instruções (Art. 39)
- Confidencialidade — funcionários sob NDA
- Medidas de segurança — listadas ou referenciadas
- Sub-operadores — autorização prévia + responsabilidade solidária
- Auxílio a direitos do titular — operador colabora em DSAR no SLA do controlador
- Incidentes de segurança — operador notifica controlador imediatamente (recomendado: 24h máx)
- Devolução/eliminação ao fim do contrato
- Auditoria — direito do controlador auditar operador
- Responsabilidade — Art. 42 LGPD aplica
- Transferência internacional — se houver, cláusulas Res. 19/2024
Template
Ver assets/dpa-template.md.
Vendors comuns e seus DPAs públicos
| Vendor | DPA público | Cláusulas BR | Ação |
|---|---|---|---|
| AWS | sim — AWS GDPR DPA + adendo BR | parcial | adotar cláusulas Res. 19/2024 |
| GCP | sim | parcial | mesmo |
| Datadog | sim | não | exigir adendo BR |
| Stripe | sim | sim | revisar para LGPD |
| Discord | termos de serviço | não | considerar contato direto se uso for comercial |
| Sentry | sim | parcial | exigir adendo |
Workflow
- Liste operadores ativos (input de
lgpd-vendor-audit) - Para cada um:
- Existe DPA assinado?
- Cobre os 12 itens?
- Inclui transferência internacional se aplicável?
- Para faltantes: enviar template de DPA
- Salvar em
.lgpd/vendors/{vendor}.md - Manter renovação anual em calendário
Status update
markdown## F14 — DPA ✓ - {N} operadores ativos - {M} com DPA assinado e aderente - {X} pendentes: {lista} - Próximo: lgpd-international-transfer


