Contrato de tratamento de dados (contrato com o operador)

A LGPD exige que o operador realize o tratamento segundo as instruções lícitas do controlador (art. 39) e trata da responsabilidade solidária e da segurança nos arts. 42 e 46. O contrato é a forma de documentar essas instruções e demonstrar a prestação de contas. Na prática, os contratos brasileiros cobrem os mesmos temas exigidos pelo GDPR.

O art. 28(3) do GDPR lista o conteúdo mínimo: objeto, duração, natureza e finalidade do tratamento, tipos de dados e categorias de titulares, e compromissos de que o operador age só conforme instruções documentadas, garante confidencialidade, adota medidas de segurança, só usa suboperadores com autorização e cláusulas equivalentes, apoia o atendimento aos titulares e as avaliações de impacto, elimina ou devolve os dados ao final e permite auditorias.

Em serviços de IA, o contrato deve dizer se o fornecedor pode usar dados do cliente para treinar ou melhorar modelos, onde os dados ficam armazenados, por quanto tempo prompts e registros são mantidos e como incidentes serão comunicados. Exemplo: uma empresa que contrata transcrição em nuvem negocia cláusula que proíbe reutilizar gravações para treinamento.