Acordo de processamento de dados

O que é um acordo de processamento de dados?

Um acordo de processamento de dados (DPA) é um contrato juridicamente vinculativo entre um controlador (controller) e um operador (processor) que lida com dados pessoais em nome do controlador. É exigido diretamente pelo artigo 28 do RGPD e deve estabelecer a finalidade do processamento, sua duração, os tipos de dados pessoais envolvidos e as obrigações do operador em relação à segurança, subcontratados (sub-processors) e auxílio no cumprimento dos direitos dos titulares dos dados. O acordo em si não constitui base legal para o processamento — você ainda precisa de uma base legal (como o consentimento) nos termos do artigo 6.º.

Por que um acordo de processamento de dados é importante?

Em uma loja virtual, você compartilha continuamente dados de clientes — nomes, endereços, e-mails, histórico de pedidos — com fornecedores que os processam para você. Sem um DPA em vigor, você carece de provas de que o processamento é lícito e, como controlador, continua sendo responsável caso um fornecedor vaze os dados. O acordo define a responsabilidade, concede a você o direito de auditar o operador e o obriga a excluir ou devolver os dados quando o relacionamento terminar.

Casos de uso comuns

• Shopify como plataforma. O Shopify processa os dados de seus clientes e é, portanto, um operador para você como controlador.
• Aplicativos de terceiros. Aplicativos de e-mail marketing, avaliações, análise e processamento de pedidos (fulfillment) que acessam dados de clientes exigem, cada um, um DPA.
• Agências e freelancers. Qualquer parte externa que tenha acesso aos dados pessoais de sua loja deve estar coberta.
• Mudança de fornecedores. O acordo garante que os dados sejam excluídos ou migrados corretamente na rescisão contratual.

Perspectiva do Shopify

O Shopify incorpora seu Adendo de Processamento de Dados (Data Processing Addendum) diretamente em seus termos comerciais, de modo que você está coberto ao aceitá-los — não há um acordo separado para assinar com o Shopify em si. A responsabilidade, no entanto, recai sobre você de garantir que um DPA esteja em vigor para cada aplicativo da App Store instalado. Mantenha um registro de seus subcontratados e analise minuciosamente os aplicativos vinculados ao consentimento de cookies e ao RGPD em particular antes de tocarem nos dados dos clientes.