Acordo de tratamento de dados para pequenas empresas

Um acordo de tratamento de dados útil não começa numa página de assinatura. Começa pela atividade real, pela confirmação de que o fornecedor atua como subcontratante e por uma comparação entre os factos e os termos vinculativos. Uma pequena empresa pode fazer este trabalho sem comprar um modelo.

Resposta rápida Um acordo de tratamento de dados é obrigatório quando um subcontratante trata dados pessoais por conta do responsável. Mapeie o serviço, compare todos os termos e use gratuitamente as cláusulas da Decisão 2021/915 quando forem adequadas. Complete os anexos, controle subcontratantes e transferências, atribua responsáveis e teste o instrumento após a assinatura.

Última atualização: 26 de agosto de 2026

A assinatura não é o ponto de partida

Comece por uma atividade, não pelo fornecedor inteiro. Descreva que operação será feita, com que dados e para que finalidade; depois confirme quem determina essa finalidade e os meios essenciais. O artigo 28 aplica-se quando uma parte trata dados pessoais por conta do responsável e segundo instruções documentadas ¹. Se ambas decidirem elementos essenciais em conjunto, ou se cada uma tiver finalidades autónomas, é necessária outra rota.

Termos completos do fornecedor podem constituir o instrumento exigido. Não é indispensável um ficheiro separado com o título «acordo»: as cláusulas podem integrar um contrato principal ou termos incorporados, desde que sejam vinculativas, completas e aplicáveis às entidades certas. Guarde a versão aceite e não confunda uma política informativa, alterável unilateralmente sem limite, com uma obrigação contratual.

Existe uma opção oficial e gratuita. A Decisão de Execução (UE) 2021/915 contém cláusulas contratuais-tipo para responsáveis pelo tratamento e subcontratantes na União e no Espaço Económico Europeu ². A Comissão disponibiliza o recurso e explica a sua utilização ³. Coloque esta rota antes de qualquer redação paga; aconselhamento adicional só faz sentido depois de identificar uma lacuna concreta que o texto oficial ou os termos completos não resolvem.

Crie um dossiê para a atividade: mapa factual, inventário dos documentos, lista de lacunas, rota escolhida, anexos, aprovações e provas de teste. A assinatura conclui a vinculação, mas não completa anexos vazios, não descobre subcontratantes ocultos e não transforma uma descrição genérica numa instrução executável.

Mapeie o serviço real antes de escolher o papel

O mapa deve permitir que alguém acompanhe o percurso dos dados sem depender da apresentação comercial do fornecedor. Preencha sete linhas com factos confirmados e identifique o proprietário de cada resposta; uma expressão vaga como «prestação de serviços» não delimita a operação nem permite testar o contrato.

Confirme o mapa com pessoas que conhecem a execução: proprietário do serviço, segurança, equipa que administra contas e contacto do fornecedor. Um questionário preenchido apenas por compras pode reproduzir promessas; uma configuração observada pode mostrar regiões, integrações ou retenção que os materiais de venda omitem.

Registe desconhecidos como desconhecidos, não como respostas negativas. Uma localização ainda não confirmada, uma cópia de segurança sem prazo ou um subcontratante por identificar impede fechar o anexo correspondente; atribua a investigação e estabeleça uma condição antes da ativação. O mapa não tem de ser elegante, mas tem de separar factos, provas e questões abertas.

Compare todos os termos e anexos do fornecedor

Reúna o contrato principal, condições de serviço, anexo de proteção de dados, política de segurança incorporada, lista de subcontratantes, documento de níveis de serviço e quaisquer condições por referência. Registe URL ou ficheiro, versão, data de aceitação, entidade que publicou e mecanismo de alteração; sem esta fotografia, uma atualização posterior pode substituir silenciosamente a prova original.

Resolva primeiro as partes. O nome comercial pode não ser a entidade que recebe os dados, e a afiliada que fatura pode não operar o serviço. Confirme a entidade do responsável, a entidade do subcontratante e a autoridade de quem aceita os termos. Depois identifique como cada documento entra no contrato e qual prevalece quando duas cláusulas tratam o mesmo tema de forma incompatível.

Construa um registo de lacunas com quatro estados: completo, incompleto, contraditório ou ausente. «Completo» exige texto vinculativo e factos suficientes; «incompleto» indica o elemento que falta; «contraditório» cita as duas regras em conflito; «ausente» prova que o conjunto revisto não contém a obrigação. A classificação deve apontar para a cláusula e para o requisito, nunca para uma impressão geral.

Leia também opções e caixas de seleção. Um anexo pode oferecer autorização geral ou específica para subcontratantes, escolher devolução ou eliminação e definir canais distintos para incidentes. Uma opção deixada em branco pode tornar o conjunto indeterminado, apesar de todas as frases obrigatórias aparecerem algures no modelo.

Confronte cada promessa com o mapa do serviço. Uma cláusula pode enumerar todos os deveres do artigo 28 e continuar incompleta para a operação se o anexo omitir sistemas, localizações, dados, duração ou vias de assistência; se a lista de subcontratantes ou o anexo de segurança contradisserem a configuração observada, marque «contraditório», não «completo». Para cada lacuna, identifique o documento que deve mudar, quem o aprova e a prova que encerrará a linha antes da vinculação.

Escolha entre três rotas proporcionais

A rota resulta do registo de lacunas. Não escreva um contrato paralelo se os termos existentes já forem vinculativos e completos, mas também não aceite uma página de assinatura como substituto de deveres ausentes.

Mapeie primeiro o serviço e compare todos os documentos vinculativos. Se os termos estiverem completos, guarde a versão; caso contrário, escolha cláusulas 2021/915 adequadas e complete os anexos ou prepare uma alteração limitada ². Depois atribua responsáveis e teste o instrumento.

As cláusulas 2021/915 são distintas das cláusulas usadas como mecanismo para certas transferências internacionais. Aqui, a finalidade é cumprir o artigo 28 numa relação entre responsável e subcontratante no âmbito indicado pela Decisão ². Identifique o recurso pela sua decisão e objeto para não anexar um documento que resolve outra questão.

Uma alteração limitada deve explicar o que muda e o que permanece. Se acrescentar um prazo operacional, um formato de notificação ou uma medida de segurança, indique a cláusula complementada; se substituir texto, declare a prevalência. A acumulação de modelos integrais cria contradições sobre auditoria, eliminação e subcontratantes que só aparecem durante um incidente.

Converta os deveres do artigo 28 em cláusulas operacionais

O instrumento deve declarar o objeto e a duração, a natureza e a finalidade, os tipos de dados, as categorias de titulares e os direitos e obrigações do responsável ¹. Depois, cada dever precisa de um mecanismo que uma equipa consiga executar. A tabela preserva nove blocos, sem transformar o artigo numa lista superficial.

O aviso sobre instrução ilícita tem de ser imediato e conduzir a uma decisão. Indique quem recebe o aviso, que informação acompanha a objeção, se a operação afetada é suspensa e quem pode confirmar, alterar ou retirar a instrução. Uma frase que apenas permite ao fornecedor recusar não cria a escalada de que o responsável precisa.

A assistência dos artigos 32 a 36 não termina na notificação de uma violação. Deve cobrir informação e cooperação adequadas para segurança, comunicação à autoridade e às pessoas quando aplicável, avaliação de impacto sobre a proteção de dados e consulta prévia. Defina o método de trabalho sem prometer que o subcontratante decide obrigações que pertencem ao responsável.

Os termos comerciais podem distribuir custos razoáveis de pedidos extraordinários, mas não podem esvaziar o dever. Uma tarifa automática para qualquer pedido de direitos, um prazo incompatível com a obrigação do responsável ou a recusa de fornecer informação essencial torna a assistência impraticável. Resolva a tensão no contrato antes de precisar do mecanismo.

Complete os anexos com factos operacionais

Um anexo eficaz descreve operações, sistemas, dados e pessoas com granularidade suficiente para limitar as instruções. «Dados necessários ao serviço» não mostra o que está autorizado; enumere categorias, origens, ações e exclusões relevantes. Se o serviço evoluir por módulos, identifique quais estão ativos e trate a ativação futura como mudança controlada.

As medidas de segurança precisam de corresponder à execução. Registe controlo de acessos, autenticação, registos, cifragem quando aplicável, continuidade, cópias de segurança, gestão de vulnerabilidades, resposta a incidentes e testes. Evite copiar uma lista ideal que o fornecedor não consegue provar; associe cada medida a evidência atual, proprietário e processo de mudança.

Descreva o fim antes do início. Indique se o responsável escolhe devolução, eliminação ou ambas, em que formato recebe dados, quando o acesso é fechado e como são tratadas cópias de segurança. Uma exceção legal de conservação deve identificar a base e limitar o uso; «podemos conservar conforme necessário» não estabelece fronteira.

Inclua os canais operacionais nos anexos ou numa referência controlada. Pedidos de direitos, incidentes, alterações de subcontratantes e auditorias raramente chegam à mesma equipa. Um endereço não monitorizado transforma um dever correto numa resposta tardia; teste cada canal e registe um suplente.

Controle subcontratantes ulteriores e prova

O responsável deve autorizar a entrada de subcontratantes ulteriores por escrito, de forma específica ou geral. Com autorização geral, o subcontratante inicial informa antecipadamente alterações pretendidas e dá oportunidade de objeção ¹. O processo deve permitir uma decisão real, não um aviso recebido depois da mudança.

Não invente um dever sistemático de recolher e arquivar todos os contratos a jusante. O responsável precisa de garantias suficientes e de informação que permita demonstrar a supervisão, mas a prova pode variar com o risco e com a posição na cadeia. Peça o que responde a uma dúvida concreta; um volume elevado de documentos não compensa uma localização desconhecida ou uma obrigação ausente.

O subcontratante inicial continua plenamente responsável perante o responsável pelo cumprimento das obrigações do subcontratante ulterior ao abrigo do artigo 28(4) ¹. Essa continuidade deve aparecer na cláusula e na resposta a falhas; não aceite que a simples divulgação do nome transfira o risco contratual para o cliente.

Use a Opinião 22/2024 do Comité Europeu para a Proteção de Dados como orientação sobre responsabilidade e cadeia ⁶. A supervisão é baseada em risco, mas precisa de ser capaz de aprofundar quando surgem sinais de mudança, incidentes, informação incoerente ou um tratamento sensível.

Mantenha as transferências numa via separada

As cláusulas do artigo 28 não resolvem, por si, o capítulo V. Sempre que o mapa revelar armazenamento num país terceiro, acesso remoto a partir desse país ou divulgação a uma entidade aí estabelecida, abra uma avaliação de transferência separada; a existência de um subcontratante autorizado não fornece automaticamente o mecanismo necessário.

Registe exportador, importador, dados, frequência, finalidade, país, mecanismo e medidas complementares quando aplicáveis. Verifique também transferências ulteriores na cadeia. Esta avaliação pode referenciar o mesmo mapa factual, mas deve conservar a sua decisão jurídica e a sua prova próprias para que uma alteração de localização não fique escondida numa revisão contratual geral. Não confunda as cláusulas gratuitas da Decisão 2021/915 com instrumentos destinados a transferências: o primeiro documento pode completar a relação do artigo 28, enquanto a transferência exige a rota adequada aos factos; se ambos forem necessários, estabeleça como coexistem sem apresentar um como substituto do outro.

Torne o acordo vinculativo e atribua responsáveis

Confirme os nomes jurídicos, números de registo quando necessários, endereços e capacidade de quem vincula cada parte. Registe a data de entrada em vigor, a versão, os documentos incorporados e a ordem de prevalência. Se uma página externa puder mudar, exija aviso, histórico ou outro mecanismo que preserve o conteúdo aceite.

Atribua proprietários operacionais, não apenas «as partes». Separe o contacto do serviço, que valida instruções e alterações funcionais, do contacto de privacidade, que encaminha direitos, incidentes, subcontratantes, transferências e auditoria; para cada canal, identifique a função titular, um suplente e a escalada do lado do prestador. Esta separação evita que uma decisão jurídica fique parada numa caixa de apoio genérica e impede que a rotação de uma pessoa apague a responsabilidade.

Teste se os canais são monitorizados e se as equipas reconhecem o número do contrato e o serviço. Um incidente enviado ao endereço jurídico errado pode ficar parado apesar de a cláusula ser perfeita. Guarde o resultado do teste e corrija encaminhamentos antes de a operação começar.

Para orientação ou contacto com a autoridade competente em Portugal, use os contactos da Comissão Nacional de Proteção de Dados (CNPD). Esse contacto é uma via para o leitor, não uma fonte nacional que altere os deveres partilhados deste artigo.

Teste o instrumento depois da assinatura

Um acordo não está operacional até sobreviver a cenários previsíveis. Faça exercícios proporcionais ao serviço, com uma entrada concreta, um relógio e uma prova de fecho; o objetivo não é encenar uma crise extensa, mas confirmar que cláusulas, contactos e sistemas produzem o resultado esperado.

Registe falhas como ações, não como observações. Indique impacto, correção, responsável e prazo; se a falha revelar que o contrato promete algo que o sistema não faz, altere a operação ou o instrumento. Repetir o mesmo teste sem reparar a causa apenas cria mais prova do defeito.

Faça um teste inicial antes ou logo após a ativação e repita quando mudar o serviço. Incidentes reais e pedidos também são provas: depois de resolvidos, compare a resposta com a cláusula e incorpore a aprendizagem sem esperar pela revisão periódica.

Se o fornecedor recusar, siga uma escada fixa

Uma recusa não elimina o artigo 28 nem significa que seja preciso começar por litígio. Siga seis passos, conservando a resposta e a decisão em cada um; a sequência separa um problema de localização de documentos de uma impossibilidade real de conformidade.

Não aceite «todos os clientes usam estes termos» como resposta à lacuna, nem presuma que a dimensão da empresa cria uma dispensa. Peça uma posição sobre a cláusula concreta e mantenha o prazo de contratação separado do limiar legal. A pressão operacional deve ser visível ao decisor, não convertida silenciosamente em aceitação.

O redesenho pode ser suficiente quando elimina o tratamento por conta do responsável ou reduz a operação a uma relação diferente, mas precisa de ser real. Desativar um campo na interface sem o retirar de cópias, integrações e apoio não muda o fluxo. Refaça o mapa e o teste de funções antes de concluir que o artigo 28 deixou de se aplicar.

Mantenha o acordo vivo

Defina gatilhos de revisão para mudanças de finalidade, operações, pessoas, dados, sistemas, acessos, localizações, subcontratantes, medidas de segurança, canais e condições de fim. Ligue esses gatilhos a compras e gestão de mudanças, porque a equipa de privacidade não vê automaticamente uma nova integração ou região ativada.

Acrescente uma revisão periódica limitada para encontrar alterações que não acionaram o processo. A frequência deve refletir risco e ritmo do serviço; não use a data como substituto da revisão por evento. Compare mapa, termos, anexos, cadeia, prova de segurança, contactos e testes com a execução atual.

Mantenha um único registo operacional que aponte para cada versão e decisão: atividade, função, instrumento, anexos, subcontratantes, transferências, evidência, proprietários, testes, ações e fecho. Assim, o acordo de tratamento de dados permanece uma forma de governar o serviço, e não uma assinatura esquecida no arquivo.