Quando uma agência, um freelancer ou uma plataforma trata dados pessoais por conta de uma empresa, o RGPD exige um contrato que defina o que pode e não pode fazer. Muitas contas de anúncios funcionam sem este enquadramento escrito. Conhecer o essencial evita surpresas.
O essencial numa definição
Os contratos de tratamento de dados definem as responsabilidades entre o anunciante, as plataformas e as agências quando há tratamento de dados pessoais. O RGPD exige acordos escritos com subcontratantes e, em certos casos, responsabilidade conjunta. O CEPD e a CNPD publicam orientações sobre estes papéis, que convém confirmar com apoio jurídico.
Quem é quem
A empresa que decide as finalidades e os meios do tratamento é, em regra, o responsável pelo tratamento. Quem trata dados em seu nome (agência, fornecedor de ferramentas) é o subcontratante. Algumas plataformas assumem papéis próprios, que dependem dos termos de cada serviço.
Esta distinção determina responsabilidades, obrigações e o que deve constar do contrato.
O que o contrato deve prever
Objeto e duração do tratamento, tipos de dados e de titulares, finalidades, obrigação de tratar só segundo instruções, confidencialidade, medidas de segurança, regras para subcontratantes adicionais, apoio nos pedidos dos titulares, notificação de incidentes e destino dos dados no fim.
Valide a redação com apoio jurídico. Este texto é informativo e não substitui aconselhamento.
Pôr o tratamento de dados no papel
- Identificar responsável e subcontratantes
- Verificar o contrato com cada fornecedor
- Guardar os termos aceites das plataformas
- Rever acessos e contratos todos os anos
Plataformas e termos padrão
As grandes plataformas oferecem termos de tratamento de dados que aceita ao usar os serviços. Leia-os e perceba o que cobrem: que dados, para que fins, com que garantias. Verifique se há transferências para fora da UE e que mecanismos as legitimam.
Guarde cópia das versões aceites e das alterações.
O que não está escrito dificilmente se prova.
Prática no dia a dia
Mantenha uma lista de fornecedores com acesso a dados, o contrato correspondente e a data de revisão. Controle quem tem acesso às contas e remova acessos quando alguém sai.
Quando mudar de agência, garanta a devolução ou eliminação dos dados e a transferência das contas, conforme previsto no contrato.
Quadro de decisão
| Relação | Papel típico | O que exigir por escrito |
|---|---|---|
| Anunciante e agência | Responsável e subcontratante | Finalidades, medidas de segurança, subsubcontratantes |
| Anunciante e plataforma | Depende do serviço; pode haver responsabilidade conjunta | Termos de tratamento de dados da plataforma |
| Anunciante e fornecedor de ferramentas | Subcontratante | Localização dos dados, retenção, auditoria |
| Parcerias entre marcas | Responsáveis conjuntos ou independentes | Quem responde por quê e como se exercem direitos |
Erros comuns a evitar
- Aceitar termos sem ler. Verifique papéis, localização dos dados e subcontratantes.
- Não ter contrato com a agência. A lei exige um acordo escrito quando há tratamento por conta de outrem.
- Não atualizar. Contratos devem refletir os serviços atuais.
Como medir o resultado
Mantenha um registo de fornecedores com data do contrato, finalidades e revisão anual; acompanhe pedidos de titulares e o tempo de resposta.
Limitações e exceções
Os contratos não substituem as boas práticas: um acordo bem escrito não protege se, na prática, os dados são usados para outros fins ou se as medidas de segurança falham. A qualificação dos papéis (responsável, subcontratante, conjuntos) pode ser complexa e depender dos factos. Não use este conteúdo como aconselhamento jurídico; consulte um profissional para o seu caso e reveja os acordos quando os serviços mudarem.
Exemplo ilustrativo
Exemplo ilustrativo: uma empresa lista todos os fornecedores que tocam em dados de clientes (plataformas, agência, ferramenta de e-mail, painel de relatórios) e verifica se há acordo de tratamento com cada um. Descobre que a ferramenta de painéis não tem. Resolve antes de continuar, e guarda uma tabela com fornecedores, finalidades e localização dos dados.
Perguntas frequentes
Preciso de contrato com a agência?
Se a agência trata dados pessoais por sua conta, o RGPD exige um enquadramento escrito.
E com as plataformas?
Aplicam-se os termos de tratamento de dados da plataforma. Leia e guarde cópia.
Quem valida o texto?
Um jurista ou o encarregado de proteção de dados.
A agência é sempre subcontratante?
Em muitos casos sim, mas depende da forma como os dados são decididos e usados; confirme com apoio jurídico.
As plataformas têm termos de tratamento?
Normalmente sim, e convém lê-los e aceitá-los de forma consciente.
O RGPD exige acordos escritos que definam papéis, finalidades, segurança e subcontratantes entre o anunciante, as plataformas e as agências; um registo de fornecedores facilita a verificação.
Fontes e leitura recomendada
- Regulamento Geral sobre a Proteção de Dados (RGPD)
- Comité Europeu para a Proteção de Dados (CEPD)
- Comissão Nacional de Proteção de Dados (CNPD)
Última revisão editorial: outubro de 2026. Conteúdo informativo; confirme sempre as condições atuais nas fontes oficiais antes de decidir.