LGPD para agências e consultorias: papéis, contrato, acesso e retenção

A Agência Pinha (empresa fictícia) roda anúncios e e-mails para uma loja de móveis. Para isso, recebe a planilha de clientes da loja, com nome, e-mail e telefone, e salva uma cópia no drive da equipe. Meses depois o contrato acaba e ninguém sabe se a planilha foi apagada. A LGPD trata exatamente desse tipo de rotina.

Quando a agência é controladora e quando é operadora?

A lei define o papel pela função. Controlador é quem toma as decisões sobre o tratamento do dado; operador é quem trata o dado em nome do controlador (art. 5º, VI e VII). A agência pode ser as duas coisas, em dados diferentes, para o mesmo cliente.

O que decide o papel é quem decide sobre o tratamento, não o nome no contrato. A agência que usa a base do cliente para um fim que ele não pediu sai das instruções (art. 39). Pelo art. 42, § 1º, I, o operador que descumpre as instruções lícitas do controlador responde solidariamente e se equipara a ele.

O que o contrato com o cliente precisa dizer sobre dados?

Como operadora, a agência trata os dados segundo as instruções do cliente, que verifica se elas são seguidas (art. 39). O contrato é onde essas instruções ficam escritas. Sem elas, ninguém sabe o que a agência pode fazer com a base recebida.

• Finalidade e instruções: para que a agência pode usar os dados e o que não pode.
• Quais dados: as categorias e o volume, sem copiar a base para dentro do contrato.
• Quem acessa: pessoas e ferramentas autorizadas, incluindo gravadores, planilhas e IA.
• Segurança: medidas para proteger os dados de acesso não autorizado, que o art. 46 pede dos agentes de tratamento.
• Incidentes: em quantas horas a agência avisa o cliente. A comunicação à ANPD e ao titular é do controlador (art. 48), então ele precisa saber rápido.
• Fim do contrato: devolução e eliminação dos dados, com prazo (arts. 15 e 16).

O sigilo fica no modelo de acordo de confidencialidade, e a estrutura geral, no modelo de contrato de marketing digital. A cláusula de dados entra como capítulo próprio. O texto-base abaixo serve de ponto de partida para o seu advogado.

CLÁUSULA [número]. DA PROTEÇÃO DE DADOS PESSOAIS

[número].1 Para a execução deste contrato, a CONTRATADA poderá tratar dados pessoais fornecidos pela CONTRATANTE, na qualidade de operadora, seguindo as instruções documentadas da CONTRATANTE, que atua como controladora, nos termos da Lei nº 13.709/2018 (LGPD).

[número].2 A finalidade do tratamento é exclusivamente [descrever o serviço, ex.: a execução e a mensuração de campanhas de mídia]. A CONTRATADA não usará os dados para outra finalidade, nem os compartilhará com terceiros, salvo mediante autorização escrita da CONTRATANTE.

[número].3 Os dados tratados são: [categorias, ex.: nome, e-mail e telefone de clientes da CONTRATANTE].

[número].4 O acesso aos dados fica restrito às pessoas da CONTRATADA que precisem deles para o serviço, todas sujeitas a dever de confidencialidade. A CONTRATADA adotará medidas de segurança técnicas e administrativas aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração ou comunicação.

[número].5 A CONTRATADA informará à CONTRATANTE, em até [prazo] horas após tomar conhecimento, qualquer incidente de segurança que envolva os dados tratados neste contrato.

[número].6 A CONTRATADA encaminhará à CONTRATANTE, em até [prazo] dias úteis, os pedidos de titulares de dados que receber sobre os dados tratados neste contrato.

[número].7 A CONTRATADA relacionará as ferramentas e os fornecedores que tratam os dados em seu nome, inclusive os de gravação, transcrição e inteligência artificial, e avisará a CONTRATANTE sobre mudanças.

[número].8 Encerrado o contrato, a CONTRATADA devolverá ou eliminará os dados em até [prazo] dias, conforme a escolha da CONTRATANTE, salvo se a lei exigir a sua conservação.

Quem na agência deve acessar os dados do cliente?

Só quem precisa para entregar o serviço. É o princípio da necessidade (art. 6º, III), somado ao dever de proteger os dados de acessos não autorizados (art. 46). Na prática: acesso por projeto e por cargo, nada de planilha circulando por e-mail e acessos removidos no dia em que alguém sai.

No Mentrun, cada pessoa vê o que o cargo dela permite, e pastas e documentos podem ter acesso restrito por cargo ou por pessoa. O Histórico de atividades mostra quem criou, editou, aprovou ou excluiu o quê, com o antes e o depois de cada mudança. O controle de documentos detalha versões e leitura obrigatória.

Por quanto tempo guardar os dados e como devolvê-los?

A LGPD manda eliminar o dado quando o tratamento termina, com exceções como o cumprimento de obrigação legal (arts. 15 e 16). Entre agência e cliente, o prazo e a forma de devolução ficam para o contrato. Defina o prazo por tipo de material e escreva.

Em Empresa › Dados e privacidade, o Mentrun deixa escolher por quanto tempo as transcrições ficam guardadas (3 meses, 6 meses, 1 ano, 2 anos ou 5 anos). Passado o prazo, o texto das calls é apagado, e análises, notas e resumos continuam. O Dono exporta todos os dados da empresa em um arquivo JSON, com verificação em duas etapas, e pode pedir a exclusão da empresa, que é apagada depois de 30 dias.

O que fazer quando o titular faz um pedido ou acontece um incidente?

O titular pode obter do controlador acesso, correção e eliminação (art. 18) e fazer o pedido a qualquer agente de tratamento (art. 18, § 3º). Pedido sobre dados que a agência trata como operadora vai ao cliente no prazo combinado. Em incidente com risco ou dano relevante, quem comunica a ANPD e o titular é o controlador (art. 48).

Por isso o contrato fixa em quanto tempo a agência avisa o cliente. Se a agência grava reuniões com clientes, vale o cuidado extra: voz e imagem de uma pessoa identificável podem ser dados pessoais, porque a lei chama de dado pessoal qualquer informação ligada a pessoa identificada ou identificável (art. 5º, I). O blog gravar reunião com cliente e a LGPD traz base legal, aviso e retenção. No Mentrun, a tela Dados e privacidade lembra de avisar os participantes no início de cada reunião.

Qual checklist de LGPD cabe na rotina da agência?

Faça a conferência abaixo no início de cada contrato novo e uma vez por semestre nos contratos em andamento. Ela não substitui a revisão do seu advogado: organiza o que levar a ele.

CHECKLIST DE LGPD PARA A ROTINA DA AGÊNCIA
Cliente: [nome] · Data: [dd/mm/aaaa] · Quem conferiu: [nome]

PAPÉIS
[ ] Sei quais dados deste cliente tratamos como controladora e quais como operadora.
[ ] O contrato registra a finalidade e as instruções para os dados que o cliente repassa.

CONTRATO
[ ] Existe cláusula de proteção de dados com incidentes, pedidos de titulares e fim do contrato.
[ ] Existe acordo de confidencialidade assinado.
[ ] A lista de ferramentas e fornecedores que tocam os dados foi informada ao cliente.

ACESSO
[ ] Só as pessoas do projeto acessam os dados deste cliente.
[ ] Ninguém guarda cópia da base em e-mail, chat ou computador pessoal.
[ ] Os acessos de quem saiu da equipe foram removidos.

RETENÇÃO E EXPORTAÇÃO
[ ] O prazo de guarda de cada tipo de material está definido.
[ ] Sabemos devolver ou eliminar a base do cliente no fim do contrato.
[ ] Sabemos exportar os dados da empresa quando for preciso.

REUNIÕES
[ ] Os participantes são avisados de que a reunião é gravada ou transcrita.
[ ] O prazo de guarda das transcrições está ajustado.

AÇÕES
1. [ação] · responsável: [nome] · prazo: [dd/mm]

Quais modelos e blogs ajudam a cuidar da LGPD na agência?

Cada parte do contrato com o cliente tem um modelo de apoio. Comece pelos dois primeiros e leve o resultado para a revisão do advogado.

• Sigilo: o modelo de acordo de confidencialidade protege o que o cliente compartilha.
• Contrato de serviço: o modelo de contrato de prestação de serviços traz a base onde a cláusula de dados entra.
• Reuniões gravadas: o blog gravar reunião com cliente e a LGPD tem textos de aviso para copiar.