CONTEÚDO MÍNIMO DESEJÁVEL DE UM CONTRATO ENTRE CONTROLADOR E OPERADOR. Prever os requisitos de privacidade e segurança de dados no âmbito de contratos firmados com terceiros trata-se apenas de uma das ações de implementação e preservação de uma estrutura de governança de dados bem alinhada com a LGPD, ainda que não haja tal obrigatoriedade na referida Lei. Recomenda-se, dessa maneira, que sejam adotadas cláusulas-padrão que discorram detalhadamente sobre as responsabilidades dos agentes de tratamento em cada fase do ciclo de vida do dado. As empresas devem mapear e registrar todo ciclo de vida de seus dados e disponibilizar um canal para que o usuário, entre outras atividades, solicite a exclusão de seus dados pessoais. Muitas empresas ainda têm contratos que serão modificados e processos manuais a serem revistos; banco de dados que deverão ser anonimizados; dados coletados com devido consentimento e processo de exclusão mapeados. Basicamente serão revistos todos os processos para localizar e entender o ciclo de vida do dado dentro das empresas.69 Nesse sentido, cabe mencionar que, mesmo antes de a LGPD ser promulgada, as empresas atuantes no mercado de prestação de serviços de tecnologia da informação já formalizavam o documento conhecido por Service Level Agreement (SLA), que “funciona como uma espécie de comprovante com tudo o que foi especificado sobre o desenvolvimento e o resultado do serviço. Sendo assim, se algo ocorrer fora do planejado, é possível usar o SLA para contestar e chegar a um acordo.”70 Deste modo, recomenda-se, que também sejam revisados os SLAs e contratos já firmados que estão vigentes, a fim de identificar eventuais violações à legislação de proteção de dados, sendo necessárias minuciosas diligências de due diligence.
