Acordo de tratamento de dados pessoais
O encarregado do órgão pede este documento antes de liberar acesso de servidor a sistema de terceiro — e costuma pedir depois que o jurídico já aprovou, que é o pior momento para o processo travar. Anexo ao contrato, nos termos da Lei nº 13.709/2018.
ANEXO AO CONTRATO Nº · PROCESSO Nº
CONTROLADOR: (o órgão contratante), que define as finalidades e os meios do tratamento dos dados pessoais de seus agentes.
OPERADORA: (CNPJ em constituição — informado nesta página assim que emitido), que trata os dados em nome e sob as instruções do CONTROLADOR.
CLÁUSULA 1ª — DO OBJETO E DA DELIMITAÇÃO
Este acordo rege o tratamento, pela OPERADORA, dos dados pessoais dos agentes públicos indicados pelo CONTROLADOR para acessar a plataforma.
Parágrafo único — o que NÃO é objeto deste acordo. Os dados de contratações públicas processados pela plataforma provêm de fontes públicas oficiais (PNCP, Compras.gov.br, Portal da Transparência, SICONFI, entre outras), não são fornecidos pelo CONTROLADOR e sobre eles não se estabelece relação de controlador e operador. Quanto a esses dados, a OPERADORA atua como controladora própria. O tratamento observa o art. 7º, § 3º, da Lei nº 13.709/2018, que determina considerar a finalidade, a boa-fé e o interesse público que justificaram a disponibilização desses dados — finalidade aqui restrita ao controle do gasto público e à pesquisa de preços.
CLÁUSULA 2ª — DOS DADOS TRATADOS E DA FINALIDADE DE CADA UM
A OPERADORA trata exclusivamente os dados abaixo, cada um para a finalidade indicada:
| Dado | Finalidade | Base legal |
|---|---|---|
| Nome e e-mail funcional | identificar quem acessa e a qual conta pertence | execução de política pública (art. 7º, III c/c art. 23) |
| Senha (armazenada como hash) | autenticar o acesso | execução de política pública (art. 7º, III c/c art. 23) |
| Identificador de sessão (hash) | manter a sessão ativa e permitir revogá-la | execução de política pública (art. 7º, III c/c art. 23) |
| Registro de entregável produzido | comprovar ao CONTROLADOR o que a assinatura entregou | execução de política pública (art. 7º, III c/c art. 23) |
| Vínculo da conta com o município | abrir o painel do ente correto | execução de política pública (art. 7º, III c/c art. 23) |
| Atos administrativos sobre a conta | trilha de auditoria da prestação do serviço | cumprimento de obrigação legal/regulatória (art. 7º, II) |
§ 1º A OPERADORA declara que não registra endereço IP, cookie de rastreamento nem identificador de sessão, e que não vincula navegação a pessoa identificada ou identificável; que contabiliza acessos por caminho de página, de forma agregada e sem identificador, exclusivamente para medir o funil de contratação; que não realiza decisão automatizada com efeito sobre os titulares; e que não utiliza os dados para finalidade publicitária.
§ 2º Qualquer tratamento além do descrito nesta cláusula depende de instrução documentada do CONTROLADOR.
CLÁUSULA 3ª — DAS OBRIGAÇÕES DA OPERADORA
- Tratar os dados somente conforme as instruções do CONTROLADOR e nos limites deste acordo (art. 39 da LGPD).
- Manter a confidencialidade, inclusive após o término do contrato, e vincular a ela quem tenha acesso.
- Adotar medidas de segurança compatíveis, incluindo tráfego cifrado, armazenamento de senha apenas como hash e revogação imediata de sessão a pedido do CONTROLADOR.
- Não subcontratar outro operador para estes dados sem autorização prévia e por escrito do CONTROLADOR.
- Auxiliar o CONTROLADOR no atendimento aos pedidos dos titulares (art. 18) e às requisições da autoridade nacional, nos prazos que ele indicar.
- Comunicar incidente de segurança na forma da cláusula 5ª.
CLÁUSULA 4ª — DAS OBRIGAÇÕES DO CONTROLADOR
- Indicar os agentes autorizados e comunicar seus desligamentos.
- Orientar seus agentes quanto ao caráter pessoal e intransferível das credenciais.
- Informar à OPERADORA qualquer instrução que altere finalidade ou meio de tratamento.
CLÁUSULA 5ª — DO INCIDENTE DE SEGURANÇA
Verificado incidente que possa acarretar risco ou dano relevante aos titulares, a OPERADORA comunicará o CONTROLADOR em até horas do conhecimento do fato, informando: a natureza dos dados atingidos, os titulares envolvidos, as medidas técnicas adotadas, os riscos e as providências de mitigação.
Parágrafo único. A comunicação à autoridade nacional e aos titulares, na forma do art. 48 da LGPD, é atribuição do CONTROLADOR, a quem a OPERADORA prestará as informações necessárias.
CLÁUSULA 6ª — DO TÉRMINO DO TRATAMENTO
Encerrado o contrato, a OPERADORA, mediante instrução do CONTROLADOR, eliminará os dados pessoais tratados ou os devolverá em formato aberto, no prazo de dias.
Parágrafo único — exceção declarada. Preserva-se o registro de entregáveis produzidos e a trilha de atos administrativos, pelo prazo de guarda aplicável, por comporem a comprovação do serviço prestado a órgão público — hipótese do art. 16, I, da LGPD. Nesses registros, os dados são desvinculados da pessoa natural sempre que a finalidade de comprovação o permitir.
CLÁUSULA 7ª — DOS ENCARREGADOS
Encarregado do CONTROLADOR: · contato:
Encarregado da OPERADORA: Gabriel Henrique Braga Miguel · contato: gabriel@gruporaro.com.br
Texto-modelo, ponto de partida para o encarregado e a assessoria jurídica do órgão — não substitui a análise própria. O inventário da cláusula 2ª descreve o que a plataforma trata hoje e é atualizado quando o tratamento muda; a política pública está em /privacidade.