--- title: "Conformidade com a LGPD: como firmar acordos com fornecedores" description: Veja dicas práticas para incluir cláusulas de tratamento e proteção de dados em contratos com fornecedores. --- [Blogs sobre gestão de viagens corporativas e despesas corporativas](https://www.govoll.com/blog) # [Conformidade com a LGPD: como firmar acordos com fornecedores](https://www.govoll.com/blog/conformidade-lgpd-acordo-com-fornecedores) Escrito por [Luiz Moura](https://www.govoll.com/blog/author/luiz-moura) | 24/10/2025 12:49 A cada reserva de passagem, hospedagem ou aluguel de carro, uma série de **informações pessoais dos colaboradores** é compartilhada com diversas empresas, como agências, companhias aéreas, hotéis, entre outras. Nesse contexto, a [Lei Geral de Proteção de Dados Pessoais (LGPD)](https://www.govoll.com/blog/lgpd?hsLang=pt-br) impõe um olhar mais rigoroso sobre como o mercado lida com o fluxo dessas informações. A sua empresa atua como **controladora dos dados**, ou seja, decide o quê e como tratar as informações dos viajantes, enquanto seus fornecedores atuam como operadores, tratando esses dados em seu nome. A [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) estabelece que essa relação de compartilhamento exige responsabilidade mútua, formalizada por um instrumento jurídico robusto: o **Acordo de Tratamento de Dados** (DTA – Data Transfer Agreement ou DPA – Data Processing Agreement). Neste conteúdo, vamos abordar o DTA de forma prática, no contexto das viagens corporativas, permitindo que você seja capaz de negociar e auditar contratos que protejam sua empresa contra riscos de conformidade, multas e danos à [reputação](https://www.govoll.com/blog/viagens-corporativas-e-reputacao?hsLang=pt-br). Confira! ## A relação entre viagens corporativas e LGPD A [gestão de viagens corporativas](https://www.govoll.com/blog/tudo-sobre-viagens-corporativas?hsLang=pt-br) movimenta um volume significativo de dados pessoais e, por vezes, dados sensíveis. Pense em toda a jornada de um viajante, desde a solicitação da viagem até o check-out e o reembolso, e reflita sobre a quantidade de informações envolvidas: - **Dados pessoais:** nome completo, CPF, RG, data de nascimento, e-mail corporativo, telefone, passaporte, cargo, dados do cartão de crédito corporativo. - **Dados pessoais sensíveis:** restrições alimentares, informações sobre saúde ou necessidades especiais, dados biométricos para acesso a sistemas ou check-in. O compartilhamento desses dados é inerente à prestação do serviço. Para que uma passagem seja emitida e um quarto seja reservado, a agência de viagens precisa enviar essas informações à companhia aérea e ao hotel. A questão central, no âmbito da LGPD, não é o ato de compartilhar, mas sim como esse compartilhamento ocorre e com base em quais fundamentos legais. A **falha na proteção desses dados**, seja por um vazamento, acesso indevido ou uso para finalidade diversa da original, pode gerar responsabilidade solidária entre a sua empresa (controladora) e o fornecedor (operador), resultando em sanções, **danos à imagem e ações judiciais** individuais dos titulares. ## A importância da transparência no tratamento de dados Muitos gestores confiam no [Contrato de Prestação de Serviços](https://www.govoll.com/blog/contrato-de-viagem?hsLang=pt-br) padrão, mas isso é um erro grave. O contrato principal trata da relação comercial (preços, escopo do serviço, SLAs), mas é o **Acordo de Tratamento de Dados** que define, detalhadamente, as responsabilidades de cada parte no tratamento dos dados pessoais. Esse acordo é a prova de que sua empresa agiu com a devida diligência e transparência ao confiar dados de seus colaboradores a terceiros, estabelecendo o [compliance de ponta a ponta](https://www.govoll.com/blog/compliance-viagens-corporativas?hsLang=pt-br) na sua cadeia de valor de viagens. ### A estrutura de responsabilidade: controlador x operador Entender essa distinção é o ponto de partida para a negociação de qualquer Acordo de Tratamento de Dados: - **Sua empresa (controladora):** é quem toma as decisões sobre o tratamento. Você define quais dados são coletados, a finalidade (por exemplo, realizar a viagem de trabalho), a duração do tratamento e a base legal. - **Fornecedor (operador):** é quem realiza o tratamento dos dados em nome do controlador, seguindo as suas instruções (por exemplo, a TMC executa a compra da passagem e o envio dos dados ao sistema da companhia aérea). O Acordo serve, portanto, para que o operador se comprometa a seguir as instruções do controlador e aplicar as **medidas de segurança e transparência exigidas pela LGPD.** ## Cláusulas essenciais: como garantir um tratamento de dados adequado? Um contrato eficaz deve abordar, de forma clara, os seguintes pilares: ### 1. Definição do escopo e bases legais A LGPD exige uma **base legal para todo tratamento de dados**. No contexto de viagens corporativas, as bases mais comuns e robustas para o tratamento dos dados dos colaboradores são a **execução de contrato** ou de procedimentos preliminares relacionados ao contrato (do contrato de trabalho ou da execução da viagem), ou o **legítimo interesse** da empresa (por exemplo, [gestão de risco](https://www.govoll.com/blog/voce-sabe-o-que-e-gestao-de-risco-em-viagens-corporativas?hsLang=pt-br)s e segurança do viajante). Por isso, o contrato deve **listar a finalidade específica e definir que o tratamento deve ser realizado unicamente para os propósitos legítimos do contrato de viagem** (por exemplo: emissão de bilhete, reserva de hospedagem, seguro-viagem, monitoramento de segurança do viajante). Qualquer finalidade secundária (como marketing do fornecedor) deve ser expressamente proibida ou exigir um consentimento separado e específico do titular, o que é mais complexo. O contrato deve, também, **delimitar o tipo de dado**: indique, de forma taxativa, quais dados (nome, CPF, passaporte etc.) são necessários, reforçando o princípio da minimização de dados. ### 2. Princípio da minimização e prazos de retenção O [gestor de viagens](https://www.govoll.com/blog/gestor-de-viagens-habilidades-e-competencias?hsLang=pt-br) precisa garantir que o operador (fornecedor) não armazene dados “por precaução” e que o **acesso esteja limitado ao estritamente necessário**. Defina, em contrato, que o fornecedor só deve acessar dados de saúde (dados sensíveis) se forem estritamente necessários para a reserva (por exemplo: restrição alimentar ou de mobilidade) e que deve tratar essas informações com segurança reforçada. Após a prestação do serviço e o cumprimento das obrigações legais de retenção (como a prestação de contas fiscais), o fornecedor deve se comprometer a **eliminar ou anonimizar os dados**, seguindo o prazo estipulado pelo controlador (sua empresa) e em conformidade com a política interna de retenção. Exija evidências desse processo. ### 3. Transferências internacionais A compra de uma passagem em uma companhia aérea internacional ou a reserva em uma rede hoteleira global implica em transferência de **dados pessoais para fora do Brasil.** A LGPD permite esse tipo de transferência em situações específicas, como para países com grau de proteção adequado ou mediante a adoção de cláusulas contratuais-padrão aprovadas pela Autoridade Nacional de Proteção de Dados (ANPD). O fornecedor deve atestar que as transferências internacionais que realiza (por exemplo, para o sistema de reservas global) estão em conformidade com o art. 33 da LGPD e com as regulamentações da ANPD. ### 4. Sub-operadores Sua [TMC/agência](https://www.govoll.com/blog/como-escolher-agencia-de-viagens-corporativas?hsLang=pt-br) frequentemente contrata outros operadores para prestar o serviço (por exemplo: um motorista de carro executivo, um parceiro de hotelaria). Esses são os **sub-operadores**.  O contrato deve especificar que a agência obtenha autorização prévia e específica para cada sub-operador ou, alternativamente, que sejam autorizadas categorias de sub-operadores (por exemplo: “companhias aéreas”). Além disso, imponha as mesmas obrigações de segurança e privacidade ao sub-operador que sua empresa impôs à TMC.  Para garantir mais transparência a esse processo, a agência deve **fornecer a lista de seus principais parceiros**, como plataformas de pagamento, redes de hotéis, etc. Qualquer inclusão de um novo sub-operador deve ser comunicada e aprovada por você. ### 5. Gestão de incidentes de dados Vazamentos de dados são riscos reais, e a forma como o fornecedor reage a um incidente é decisiva para reduzir danos e evitar sanções. A LGPD exige que o controlador (sua empresa) comunique a ANPD e o titular em “prazo razoável”. Para que isso seja possível, o fornecedor deve se comprometer a **notificá-lo em um prazo curtíssimo**, idealmente em até 24 ou 48 horas após tomar conhecimento da suspeita ou do incidente. Exija que o fornecedor possua um **plano de resposta a incidentes formal** e comprove a adoção de medidas técnicas e administrativas aptas a proteger os dados (como criptografia e controle de acesso). O contrato deve detalhar a **obrigação do fornecedor em cooperar integralmente com a investigação**, fornecendo informações sobre a natureza do incidente, os dados afetados e as medidas adotadas para remediar e evitar recorrências, incluindo o ressarcimento por eventuais multas aplicadas à sua empresa em decorrência de falha do operador. ### Dica extra: matriz de acessos Além do texto principal do Acordo, os anexos fornecem a clareza e o detalhamento técnico que a LGPD valoriza, tornando o contrato mais rastreável e auditável. Um anexo especialmente útil pode ser uma **matriz de acessos**, com informações claras sobre quem tem acesso a quais dados. Exija que o fornecedor anexe sua matriz de acessos ou, ao menos, uma **descrição dos papéis e permissões**, como nos exemplos abaixo: - O agente de reservas tem acesso ao passaporte. - O setor financeiro tem acesso aos dados do [cartão corporativo](https://www.govoll.com/blog/cart%C3%A3o-corporativo-como-us%C3%A1-lo-para-garantir-conformidade?hsLang=pt-br) (e se esses dados são mascarados ou tokenizados). - O time de marketing não tem acesso a dados de viagem. A matriz comprova que o acesso aos dados é concedido apenas a quem realmente precisa, conforme o **princípio do Need to Know**, limitando o risco de vazamentos internos. ## VOLL: conformidade e segurança garantidas A agência de viagens é, na prática, a ponte entre sua empresa e a cadeia de fornecedores (companhias aéreas, locadoras, hotéis). Por isso, é essencial contar com uma agência que não só esteja **100% adequada à LGPD**, mas que também ofereça **camadas extras de segurança**. A [**VOLL**](https://www.govoll.com/?hsLang=pt-br)**, maior agência de viagens corporativas digital da América Latina**, adota os mais altos padrões de segurança da informação para proteger os dados pessoais e sensíveis tratados durante a jornada dos viajantes corporativos. Toda a arquitetura da plataforma é desenvolvida com base em princípios como [privacidade por design](https://www.govoll.com/blog/compliance-by-design?hsLang=pt-br), criptografia ponta a ponta e controle de acesso por perfil, garantindo que cada dado seja coletado, armazenado e processado com máxima segurança. Além de proteger informações, essas medidas também blindam a empresa contra riscos jurídicos, incidentes de vazamento e inconsistências em auditorias internas e externas. Toda essa governança de dados fez da VOLL a **primeira agência de viagens corporativas no Brasil a conquistar a** [**certificação ISO 27001**](https://www.govoll.com/blog/iso-27001-agencia-viagens-corporativas?hsLang=pt-br), principal referência internacional em Sistemas de Gestão de Segurança da Informação (SGSI). Com governança madura e processos auditáveis, essa certificação reforça a solidez da VOLL, prevenindo acessos indevidos e assegurando o uso responsável das informações, sempre em [conformidade com leis como a LGPD](https://www.govoll.com/blog/voll-e-lgpd?hsLang=pt-br). Em paralelo, nosso time consultivo realiza treinamentos periódicos com todas as áreas envolvidas no processamento de dados, do atendimento ao suporte técnico, garantindo que todos os envolvidos conheçam seus papéis e obrigações. Se você deseja contar com uma agência que oferece tecnologia inovadora, atendimento especializado e proteção total de ponta a ponta, [entre agora em contato com a VOLL e solicite uma demonstração!](https://www.govoll.com/?hsLang=pt-br#contato) [Visualizar publicação completa](https://www.govoll.com/blog/conformidade-lgpd-acordo-com-fornecedores) ```json { "@context" : "http://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "Luiz Moura" }, "dateModified" : "2025-12-11T17:37:03.309Z", "datePublished" : "2025-10-24T12:49:46Z", "headline" : "Conformidade com a LGPD: como firmar acordos de tratamento de dados com fornecedores?", "image" : { "@type" : "ImageObject", "height" : 991, "url" : "https://conheca.govoll.com/hubfs/IMAGEM%20DESTACADA%20BLOG%20-%20Conformidade%20com%20a%20LGPD%20como%20firmar%20acordos%20de%20tratamento%20de%20dados%20com%20fornecedores.webp", "width" : 1790 }, "mainEntityOfPage" : "https://www.govoll.com/blog/conformidade-lgpd-acordo-com-fornecedores", "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "height" : 60.0, "url" : "https://conheca.govoll.com/hubfs/voll-squarelogo-1598018771538.png", "width" : 60.000004 }, "name" : "VOLL Blog | Gestão de viagens e despesas corporativas" } } ```