ANX-LGPD-001 – Cláusulas Contratuais de Proteção de Dados Pessoais para Fornecedores

Controle Documental

Campo	Informação
Código	ANX-LGPD-001
Versão	1.1
Data de Emissão	Abril/2025
Responsável	DPO
Classificação	Uso Interno
Referência	PSI-018; PSI-012 (Política de Gestão de Fornecedores); LGPD art. 39
Guarda	Vigência do contrato + 5 anos

Histórico de Revisões

Versão	Data	Autor	Descrição
1.0	Abr/2025	DPO	Emissão inicial
1.1	Mar/2026	DPO	Revisão periódica do documento

Instrução de uso: Este documento é um addendum contratual a ser anexado aos contratos com fornecedores que tratem dados pessoais em nome da METRA ou em acesso a dados pessoais da METRA. Preencher os campos identificados com [...] para cada contrato específico.

Quando obrigatório: Sempre que o fornecedor puder acessar, processar, armazenar ou transmitir dados pessoais de titulares da METRA ou de clientes da METRA.

Exemplos de fornecedores que exigem este addendum: SOC, laboratórios, clínicas parceiras, contabilidade, Microsoft (DPA já existente), provedores de nuvem, GLPI.

ADDENDUM DE PROTEÇÃO DE DADOS PESSOAIS

CONTROLADOR / CONTRATANTE: METRA – Medicina e Segurança do Trabalho CNPJ: [CNPJ da METRA] Representada por: [Nome do representante legal] ("METRA" ou "Contratante")

OPERADOR / CONTRATADO: [Razão Social do Fornecedor] CNPJ: [CNPJ do fornecedor] Representado por: [Nome do representante] ("Fornecedor" ou "Operador")

Contrato Principal: [Número/título do contrato principal ao qual este addendum se vincula]

Data do Addendum: //______

Cláusula 1 – Objeto e Definições

1.1 Este Addendum estabelece as obrigações e responsabilidades das partes em relação ao tratamento de dados pessoais realizado pelo Fornecedor no contexto da execução do Contrato Principal.

1.2 Definições conforme a LGPD (Lei nº 13.709/2018):

Termo	Definição
Dados Pessoais	Informação relacionada a pessoa natural identificada ou identificável
Dados Sensíveis	Dados sobre saúde, origem racial, convicção religiosa, entre outros (art. 5º, II, LGPD)
Controlador	A METRA, que determina as finalidades e os meios do tratamento
Operador	O Fornecedor, que realiza o tratamento em nome do Controlador
Titular	A pessoa natural a quem se referem os dados pessoais
Incidente	Acesso não autorizado ou tratamento inadequado de dados pessoais
ANPD	Autoridade Nacional de Proteção de Dados

Cláusula 2 – Natureza do Tratamento

2.1 O Fornecedor tratará dados pessoais da seguinte natureza:

Item	Descrição
Categorias de dados	[Ex.: dados de identificação, dados de saúde ocupacional, dados de colaboradores]
Categorias de titulares	[Ex.: trabalhadores de empresas clientes da METRA, colaboradores da METRA]
Finalidade	[Ex.: gestão de prontuários de saúde ocupacional]
Operações de tratamento	[Ex.: armazenamento, acesso, processamento, transmissão]
Duração	Durante a vigência do Contrato Principal

Cláusula 3 – Obrigações do Fornecedor (Operador)

O Fornecedor compromete-se a:

3.1 Instrução do Controlador: Tratar os dados pessoais exclusivamente de acordo com as instruções documentadas da METRA, salvo obrigação legal em contrário. Ao identificar obrigação legal que exija tratamento diverso, notificar imediatamente a METRA antes de realizá-lo.

3.2 Confidencialidade: Garantir que todos os colaboradores, prestadores e subcontratados autorizados a tratar os dados pessoais estejam sujeitos a obrigações formais de confidencialidade, e que recebam treinamento adequado sobre proteção de dados.

3.3 Segurança: Implementar medidas técnicas e organizacionais apropriadas para proteger os dados pessoais contra acesso não autorizado, destruição acidental ou ilícita, alteração, divulgação ou qualquer forma de tratamento inadequado, incluindo, no mínimo:

Controle de acesso com autenticação individual;
Criptografia de dados em repouso e em trânsito (quando aplicável);
Registros de auditoria (logs) de acesso;
Procedimentos de backup e recuperação;
Gestão de vulnerabilidades e atualização de sistemas.

3.4 Suboperadores: Não subcontratar o tratamento de dados pessoais a terceiros sem autorização prévia e por escrito da METRA. Caso autorizado, o Fornecedor garante que o suboperador adote obrigações equivalentes às deste Addendum. O Fornecedor permanece responsável perante a METRA pelas ações do suboperador.

3.5 Direitos dos Titulares: Cooperar com a METRA para atender solicitações de exercício de direitos dos titulares (acesso, correção, eliminação etc.), fornecendo as informações necessárias no prazo máximo de 5 (cinco) dias úteis a partir do pedido da METRA.

3.6 Notificação de Incidente: Notificar a METRA imediatamente — e em prazo não superior a 24 (vinte e quatro) horas após a detecção — sobre qualquer incidente de segurança que envolva dados pessoais objeto deste Addendum, contendo:

Descrição da natureza do incidente;
Categorias e volume estimado de dados e titulares afetados;
Possíveis consequências do incidente;
Medidas adotadas ou propostas.

3.7 Cooperação com a ANPD: Cooperar com a METRA em eventuais auditorias, investigações ou solicitações da ANPD relacionadas ao tratamento objeto deste Addendum.

3.8 Avaliação de Impacto: Fornecer à METRA as informações necessárias para a elaboração ou atualização do RIPD, quando solicitado.

3.9 Proibição de Uso para Fins Próprios: Não utilizar os dados pessoais recebidos da METRA para fins próprios, comerciais ou de qualquer outra natureza não relacionada ao Contrato Principal.

Cláusula 4 – Obrigações da METRA (Controlador)

A METRA compromete-se a:

4.1 Fornecer ao Fornecedor instruções claras e documentadas sobre o tratamento dos dados pessoais;

4.2 Garantir que os dados pessoais fornecidos ao Fornecedor foram coletados com base legal válida conforme a LGPD;

4.3 Notificar o Fornecedor sobre quaisquer alterações nas instruções de tratamento;

4.4 Responder tempestivamente às dúvidas do Fornecedor sobre a aplicação deste Addendum.

Cláusula 5 – Retenção e Descarte de Dados

5.1 Ao término ou rescisão do Contrato Principal, o Fornecedor deverá, conforme escolha documentada da METRA:

Opção	Descrição
Devolução	Devolver todos os dados pessoais à METRA em formato estruturado, no prazo de 30 dias
Eliminação	Eliminar todos os dados pessoais de forma definitiva e irreversível, com fornecimento de certificado de destruição

5.2 O Fornecedor poderá manter cópia dos dados pessoais somente se houver obrigação legal que o exija, devendo comunicar a METRA sobre tal necessidade.

5.3 Para dados de saúde, observar os prazos de retenção legal aplicáveis (mínimo 20 anos conforme NR-7), conforme acordado entre as partes.

Cláusula 6 – Auditoria

6.1 A METRA reserva-se o direito de auditar o cumprimento das obrigações deste Addendum, mediante notificação prévia de 10 (dez) dias úteis.

6.2 O Fornecedor cooperará integralmente com as auditorias, fornecendo acesso a sistemas, documentos e colaboradores relevantes.

6.3 O Fornecedor poderá atender à obrigação de auditoria mediante apresentação de certificações de segurança vigentes (ISO/IEC 27001, SOC 2 ou equivalente), quando aceitas pela METRA.

Cláusula 7 – Responsabilidade

7.1 O Fornecedor será responsável pelos danos causados aos titulares ou à METRA em decorrência de tratamento de dados pessoais em desacordo com a legislação ou com as instruções deste Addendum.

7.2 O Fornecedor não será responsável se demonstrar que não causou o dano ou que agiu em conformidade com as instruções da METRA.

7.3 A responsabilidade solidária entre Controlador e Operador perante os titulares é regida pelo art. 42 da LGPD.

Cláusula 8 – Disposições Finais

8.1 Este Addendum complementa o Contrato Principal e prevalece sobre disposições contrárias relativas ao tratamento de dados pessoais.

8.2 Qualquer alteração neste Addendum deve ser formalizada por escrito e assinada por ambas as partes.

8.3 O presente Addendum é regido pela LGPD (Lei nº 13.709/2018) e demais normas aplicáveis, e seu foro é o da sede da METRA.

Assinaturas

Local e Data: ___________________, //

Parte	Nome / Cargo	Assinatura
METRA – Controlador (DPO ou representante legal)
[Fornecedor] – Operador (representante legal)

Controle de Addendums Firmados

Fornecedor	CNPJ	Contrato Principal	Data	Revisão Necessária
SOC				☐
Laboratórios parceiros				☐
Clínicas parceiras				☐
Contabilidade				☐
Microsoft (DPA próprio)				☐
GLPI				☐