Terceiros e Integrações: O Ponto Cego Mais Comum

Um dos maiores riscos de privacidade nas organizações não está dentro de casa. Está nos fornecedores, parceiros e integrações que processam dados pessoais em nome da organização ou em conjunto com ela.

O problema do ponto cego

A maioria das organizações:

• Não sabe quantos terceiros têm acesso a dados pessoais
• Não classifica fornecedores por risco
• Não monitora integrações e APIs
• Não tem visibilidade sobre suboperadores

Quando ocorre um incidente envolvendo terceiros, a organização muitas vezes descobre que:

1. O fornecedor tinha mais acesso do que o necessário
2. Não havia cláusulas contratuais adequadas
3. O terceiro usava suboperadores não autorizados
4. Não existiam evidências do relacionamento

Classificação de terceiros

Por papel na cadeia de tratamento

Por nível de risco

Considere os seguintes fatores para classificar o risco:

Fatores que aumentam o risco:

• Dados sensíveis ou de menores
• Acesso administrativo ou a banco de dados
• Ausência de logs e monitoramento
• Transferência internacional
• Uso de suboperadores
• Grande volume de dados

Níveis de risco:

• Baixo: Dados limitados, acesso restrito, boas práticas demonstradas
• Médio: Dados relevantes, acesso significativo, precisa supervisão
• Alto: Dados sensíveis, acesso amplo, requer due diligence aprofundada

Gestão de integrações

Integrações (APIs, conectores, imports/exports) frequentemente são esquecidas na avaliação de terceiros. Para cada integração, documente:

1. Quais dados transitam: tipos e volume
2. Direção do fluxo: entrada, saída ou bidirecional
3. Mecanismos de controle: autenticação, autorização
4. Logs e auditoria: o que é registrado
5. Responsável interno: quem monitora

Due diligence de terceiros

Para risco baixo

• Cláusulas contratuais mínimas
• Registro da decisão de contratação
• SLA básico de resposta a incidentes

Para risco médio

• Questionário de segurança e privacidade
• Evidências de controles (certificações, relatórios)
• Revisão periódica (anual)
• Cláusulas detalhadas de proteção de dados

Para risco alto

• DPIA ou avaliação de impacto dedicada
• Auditoria ou relatórios de terceiros independentes
• Plano de resposta a incidentes conjunto
• Aprovação da alta gestão
• Monitoramento contínuo

Evidências mínimas

Para cada terceiro relevante, mantenha:

• Registro de decisão de contratação
• Contrato ou DPA assinado
• Classificação de risco documentada
• Logs de acesso (quando aplicável)
• Mapeamento de suboperadores
• Evidência de avaliação periódica

Transferência internacional

Se o terceiro está localizado fora do Brasil ou transfere dados para outros países:

1. Identifique o mecanismo legal aplicável
2. Documente a avaliação de adequação do país de destino
3. Implemente salvaguardas adicionais se necessário
4. Mantenha registro da análise e decisão

Conclusão

Terceiros não são apenas risco legal. São extensão do seu tratamento de dados. A falta de gestão adequada pode transformar o melhor programa de privacidade interno em uma vulnerabilidade crítica através de um único fornecedor mal gerenciado.

---

Este conteúdo é informativo e não constitui aconselhamento jurídico. Consulte um profissional qualificado para orientação específica.