Vazaram os dados. O seu contrato com o fornecedor diz quem avisa quem, e em quanto tempo?

Na quinta-feira, 12 de novembro, a Caixa Seguridade informou ao mercado que sua subsidiária Caixa Vida e Previdência sofreu um ataque cibernético no dia 6. Foram expostos dados cadastrais de 7,6 milhões de clientes ativos, além de ex-clientes: CPF, endereço, telefone, e-mail e data de nascimento. Segundo a empresa, não há indícios de acesso a dados financeiros ou de autenticação. A ANPD, outras autoridades e os titulares foram comunicados no dia 11.

Cinco dias entre o ataque e a comunicação. Para um caso desse tamanho, é um prazo apertado, e ele só é possível quando a empresa sabe rapidamente o que aconteceu, onde e com quais dados.

Agora imagine o mesmo incidente acontecendo não dentro da sua empresa, mas em um fornecedor: o call center que atende seus clientes, a empresa de folha de pagamento, o sistema de CRM na nuvem, a gráfica que imprime boletos. Os dados são seus. O problema é seu. Mas quem descobre primeiro é ele.

A pergunta que define o tamanho do prejuízo é simples: o contrato com esse fornecedor diz quem avisa quem, em quanto tempo e com quais informações?

O relógio começa antes de você saber

A regulamentação da ANPD fixa um prazo de três dias úteis para o controlador, que é a empresa dona da relação com o titular, comunicar à autoridade e aos titulares um incidente que possa gerar risco ou dano relevante. Esse prazo conta a partir do momento em que o controlador toma conhecimento do incidente.

Quando o incidente acontece dentro de um fornecedor, há uma etapa a mais: o fornecedor precisa perceber o problema, avaliar o que foi afetado e avisar a empresa contratante. Se o contrato não diz como e quando isso acontece, esse aviso pode levar dias, chegar por um e-mail genérico para o comercial ou nem chegar.

E a LGPD não livra a empresa contratante só porque a falha foi do fornecedor. O controlador continua responsável perante o titular e a fiscalização. O fornecedor, que a lei chama de operador, responde junto quando descumpre a lei ou as instruções do controlador. Na prática, a forma como os dois dividem a conta depende do que está no contrato.

O que o contrato com o fornecedor precisa dizer

Prazo de aviso. Um número em horas, e não expressões como “em prazo razoável” ou “assim que possível”. Se a empresa tem três dias úteis para comunicar a ANPD, o fornecedor precisa avisar bem antes disso, em geral em até 24 ou 48 horas depois de tomar conhecimento.

Canal e destinatário. Para quem o aviso vai: o encarregado de dados, o jurídico, a segurança da informação? Por qual meio? Um e-mail para um endereço que ninguém lê não conta como aviso.

Conteúdo mínimo. O que foi afetado, quais categorias de dados, quantos titulares, quando o incidente começou, quando foi descoberto, o que já foi feito para contê-lo e quem é o contato técnico do fornecedor. Sem essas informações, a empresa não consegue fazer a própria comunicação à ANPD.

Cooperação na investigação. Acesso a registros, relatórios técnicos e resultados da perícia, em prazo definido.

Quem comunica os titulares. Em regra, essa comunicação é do controlador. O contrato deve deixar claro que o fornecedor não pode falar com os clientes ou com a imprensa sem alinhamento prévio.

Custos e responsabilidade. Quem paga a perícia, a comunicação aos titulares, o atendimento aos clientes afetados e eventuais indenizações quando a falha é do fornecedor. E se existe seguro de riscos cibernéticos cobrindo esse cenário.

Subcontratados. Se o fornecedor usa outros fornecedores, como hospedagem, suporte ou desenvolvimento terceirizado, as mesmas obrigações precisam valer para eles.

Saída e devolução dos dados. Em caso de incidente grave, a empresa pode encerrar o contrato? Como os dados são devolvidos ou eliminados, e como isso é comprovado?

O erro mais comum: a cláusula genérica de LGPD

Muitas empresas acreditam que estão protegidas porque o contrato tem uma cláusula dizendo que “as partes se comprometem a cumprir a Lei Geral de Proteção de Dados”. Essa frase não define prazo, canal, conteúdo do aviso, divisão de custos nem regras para subcontratados. Na hora do incidente, ela não responde a nenhuma das perguntas que importam.

O outro erro é não saber quais fornecedores têm acesso a dados pessoais. Sem esse mapa, a empresa não sabe nem quais contratos revisar.

Checklist para esta semana

1. Liste os fornecedores que acessam, armazenam ou processam dados pessoais de clientes e empregados.

2. Para cada contrato, verifique se há prazo de aviso de incidente em horas, canal definido e conteúdo mínimo da comunicação.

3. Confira quem paga a conta em caso de falha do fornecedor e se há seguro cibernético.

4. Veja se as obrigações se estendem aos subcontratados.

5. Teste o caminho: o contato indicado no contrato ainda existe? O fornecedor sabe para quem ligar?

6. Priorize aditivos para os fornecedores com mais dados e mais acesso.

Como o Contrato Revisado ajuda

Revisar dezenas de contratos de fornecedores à procura de uma cláusula específica é exatamente o tipo de trabalho que trava o jurídico. Como software de análise de contratos, o Contrato Revisado permite criar um grupo de critérios de análise para proteção de dados e aplicar sobre toda a base de uma vez. A IA identifica quais contratos têm prazo de aviso de incidente, canal definido, divisão de responsabilidade e regras para subcontratados, e aponta os que só têm a cláusula genérica.

Na plataforma de revisão de contratos, a IA sugere a redação das cláusulas que faltam, que entram no documento somente depois da aprovação do advogado. E, na gestão de contratos do dia a dia, as obrigações do fornecedor ficam registradas com alertas e trilha de auditoria, para que a empresa saiba exatamente o que foi combinado quando o telefone tocar.

O próximo incidente pode não acontecer dentro da sua empresa. Mas o prazo para agir vai correr do mesmo jeito.

Sobre o Contrato Revisado

O Contrato Revisado é uma plataforma CLM, sigla de contract lifecycle management, criada para a gestão do ciclo de vida do contrato nas empresas brasileiras. Como software de gestão de contratos, reúne em um só lugar a criação, a revisão e o acompanhamento de cada documento, e apoia a gestão contratual empresarial de ponta a ponta.

Para quem quer criar contrato com IA, a plataforma funciona como gerador de contratos por IA. A criação de contratos com IA parte dos modelos da própria empresa, a redação de contratos com IA segue as políticas do jurídico, e toda elaboração de contratos com IA passa pela aprovação de um advogado.

Na revisão, é um software de revisão de contratos e de análise de contratos que permite revisar contrato com IA, com revisão de contrato automatizada a partir de critérios definidos pela equipe. A mesma plataforma de revisão de contratos acompanha prazos, obrigações e reajustes, o que faz dela também um software de análise contratual e um sistema de gestão de contratos completo.

Disponível na web como app CLM e app de revisão de contratos, o Contrato Revisado é a plataforma de contratos e a plataforma de gestão de contratos para quem busca um CLM software ou sistema CLM brasileiro, um software de contratos seguro e um software de gestão contratual aderente à LGPD. Conheça em contratorevisado.com.br.