Revendedor de ERP responde pelos dados dos clientes? O que diz a LGPD

A Lei Geral de Proteção de Dados (LGPD) transformou a forma como empresas coletam, utilizam, armazenam e compartilham informações pessoais. Desde sua entrada em vigor, tornou-se comum associar a responsabilidade pelo tratamento de dados apenas às empresas que desenvolvem softwares ou aos clientes que utilizam essas soluções. Entretanto, essa percepção nem sempre corresponde à realidade.

No mercado de ERP, o revendedor frequentemente participa de diversas etapas da relação comercial. Além da venda da licença, é comum que ele realize implantação, parametrização do sistema, treinamentos, suporte técnico e atendimento contínuo. Em muitas dessas atividades, acaba tendo contato direto com dados pessoais tratados pelo cliente.

Nesse contexto, surge uma dúvida importante: o revendedor pode ser responsabilizado por eventual incidente envolvendo dados pessoais?

A resposta depende da forma como ele atua na operação. A LGPD não estabelece responsabilidades apenas com base no nome atribuído ao participante da cadeia de negócios, mas considera, principalmente, as atividades efetivamente desempenhadas durante o tratamento dos dados.

Entender esse papel é fundamental para reduzir riscos jurídicos, estruturar contratos mais seguros e implementar boas práticas de conformidade.

Qual o papel do revendedor na cadeia de tratamento de dados

Antes de discutir responsabilidade por incidentes de segurança, é preciso compreender qual posição o revendedor ocupa dentro da operação de tratamento de dados.

A própria LGPD diferencia os agentes de tratamento conforme as decisões que exercem sobre os dados pessoais. Em determinadas situações, o revendedor poderá atuar apenas como um intermediário comercial. Em outras, poderá exercer atividades que o aproximam da figura do operador ou, excepcionalmente, até mesmo do controlador.

Essa classificação depende da realidade de cada operação e não apenas da nomenclatura utilizada no contrato.

O revendedor é controlador, operador ou apenas intermediário?

A LGPD considera controlador a pessoa natural ou jurídica responsável pelas decisões referentes ao tratamento dos dados pessoais. Já o operador realiza o tratamento em nome do controlador, seguindo suas instruções.

Na maioria das operações de revenda de ERP, o cliente que utiliza o sistema costuma assumir a posição de controlador, pois decide quais dados serão inseridos na plataforma, quais finalidades justificam seu tratamento e quem poderá acessá-los.

O fabricante do software e o revendedor, por sua vez, podem exercer papéis distintos conforme os serviços prestados.

Se o revendedor limita sua atuação à comercialização da solução, sem acesso aos dados pessoais ou participação nas atividades de tratamento, sua exposição aos riscos previstos na LGPD tende a ser significativamente menor.

Entretanto, quando participa da implantação, realiza configurações, acessa bases de dados para prestar suporte ou executa atividades técnicas envolvendo informações pessoais, sua posição jurídica merece análise mais cuidadosa.

Por isso, não existe uma classificação única aplicável a todos os revendedores de ERP. Cada operação deve ser avaliada de acordo com a efetiva participação do parceiro no tratamento dos dados.

Isso muda quando o revendedor também acessa dados durante o suporte?

Sim.

É bastante comum que, durante atendimentos técnicos, atualizações do sistema ou resolução de falhas, o revendedor precise acessar informações armazenadas no ERP.

Nessas situações, ainda que esse acesso ocorra exclusivamente para prestar suporte ao cliente, passa a existir efetiva atividade de tratamento de dados pessoais, o que amplia a necessidade de observância das regras previstas na LGPD.

Isso não significa, automaticamente, que o revendedor se tornará controlador. Entretanto, aumenta sua responsabilidade quanto ao cumprimento das medidas de segurança, à confidencialidade das informações acessadas e ao respeito às instruções recebidas do cliente.

Quanto maior for o acesso aos dados pessoais, maior também deverá ser o nível de governança adotado pelo parceiro.

Responsabilidade em caso de vazamento de dados do cliente

Sempre que ocorre um incidente de segurança envolvendo dados pessoais, uma das primeiras perguntas feitas pelos clientes é quem responderá pelos prejuízos causados.

A resposta não depende apenas de quem desenvolveu o sistema ou de quem comercializou o software.

A LGPD estabelece regras próprias de responsabilização, que exigem a análise das condutas praticadas por cada agente envolvido na operação.

O revendedor pode ser responsabilizado se o vazamento ocorrer no servidor do fabricante?

Em princípio, a simples condição de revendedor não torna a empresa automaticamente responsável por todo incidente envolvendo o ERP comercializado.

Se o vazamento decorrer exclusivamente de falha na infraestrutura tecnológica administrada pelo fabricante, sem qualquer participação do revendedor, a responsabilização deverá considerar a origem efetiva do incidente e as atribuições assumidas por cada agente.

Entretanto, essa análise nunca deve ser feita de forma abstrata.

É importante verificar quais obrigações foram previstas contratualmente, quais atividades eram desempenhadas pelo revendedor e se houve alguma contribuição para a ocorrência ou agravamento do problema.

Por essa razão, contratos bem estruturados desempenham papel essencial na adequada distribuição de responsabilidades entre fabricante, revendedor e cliente.

O que muda se o vazamento ocorrer por erro do próprio revendedor?

O cenário é diferente quando o incidente decorre da atuação do próprio parceiro.

Imagine, por exemplo, que um colaborador do revendedor compartilhe credenciais de acesso, utilize equipamentos inseguros, envie informações para destinatários incorretos ou mantenha cópias de bases de dados sem autorização do cliente.

Nessas hipóteses, a conduta do revendedor poderá ser determinante para a ocorrência do incidente, ampliando significativamente sua exposição à responsabilização prevista na LGPD.

Além das consequências legais, situações dessa natureza costumam gerar impactos reputacionais relevantes, perda de confiança dos clientes e riscos contratuais expressivos.

Por isso, investir em segurança da informação deve ser encarado como parte integrante da própria prestação do serviço.

Cláusulas de proteção de dados que todo revendedor deveria ter no contrato

Boa parte dos riscos enfrentados pelos revendedores pode ser reduzida por meio de contratos bem elaborados.

Embora a LGPD imponha deveres legais independentemente da existência de cláusulas específicas, um instrumento contratual detalhado permite definir responsabilidades, disciplinar acessos e estabelecer procedimentos claros para o tratamento dos dados.

Também facilita a gestão de incidentes e reduz conflitos entre fabricante, revendedor e cliente.

O que incluir sobre acesso, retenção e exclusão de dados de clientes?

O contrato deve estabelecer, de forma objetiva, em quais situações o revendedor poderá acessar dados pessoais, quais informações serão efetivamente necessárias para a prestação do suporte e quais medidas de segurança deverão ser observadas durante esse acesso.

Também é recomendável disciplinar por quanto tempo eventuais registros poderão ser mantidos, em quais hipóteses poderão ser compartilhados e quais procedimentos deverão ser adotados para eliminação segura das informações após o encerramento da relação contratual ou da prestação do serviço.

Outro aspecto relevante consiste em prever protocolos de comunicação para incidentes de segurança, definindo responsabilidades, prazos para notificação e cooperação entre as partes caso ocorra qualquer evento envolvendo dados pessoais.

Quanto mais claras forem essas regras, maior será a segurança jurídica da operação.

É preciso nomear um encarregado (DPO) mesmo sendo um pequeno revendedor?

Essa é uma dúvida bastante comum.

A LGPD prevê a figura do encarregado pelo tratamento de dados pessoais, responsável por atuar como canal de comunicação entre a organização, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD).

Entretanto, a própria ANPD editou regulamentação específica que flexibiliza essa obrigação para determinados agentes de tratamento de pequeno porte, desde que observados os requisitos estabelecidos pela autoridade.

Isso significa que nem todo pequeno revendedor será obrigado, automaticamente, a indicar um encarregado formal. Ainda assim, independentemente dessa dispensa, permanece a necessidade de cumprir as demais obrigações previstas na LGPD, adotando medidas adequadas de governança e segurança da informação.

Boas práticas operacionais para reduzir risco de exposição

A conformidade com a LGPD não depende apenas da redação dos contratos.

Na prática, grande parte dos incidentes decorre de falhas operacionais, acessos indevidos ou procedimentos internos inadequados.

Por isso, a adoção de uma cultura de proteção de dados deve fazer parte da rotina das empresas que atuam com implantação e suporte de sistemas de gestão.

Como limitar o acesso do revendedor aos dados sensíveis do cliente?

O primeiro passo consiste em aplicar o princípio do menor privilégio: cada colaborador deve acessar apenas as informações estritamente necessárias para executar sua atividade.

Também é recomendável utilizar credenciais individuais, autenticação multifator, registros de acesso, conexões seguras e mecanismos que permitam rastrear as operações realizadas durante o suporte técnico.

Outra boa prática consiste em evitar a manutenção de cópias locais das bases de dados dos clientes sempre que isso não for indispensável para a execução do serviço.

Além disso, treinamentos periódicos sobre proteção de dados, políticas internas de segurança e planos de resposta a incidentes contribuem significativamente para reduzir riscos e demonstram maior comprometimento da empresa com a conformidade legal.

Perguntas frequentes

O revendedor de ERP precisa ter política de privacidade própria?

Em regra, sim. Sempre que o revendedor tratar dados pessoais em suas próprias atividades — como informações de clientes, colaboradores, fornecedores ou visitantes de seu site — deverá observar as obrigações previstas na LGPD, incluindo a disponibilização de informações claras sobre esse tratamento quando aplicável.

Quem é multado pela ANPD em caso de incidente: o fabricante ou o revendedor?

Não existe uma resposta única. A eventual responsabilização dependerá da análise do caso concreto, das atribuições exercidas por cada agente de tratamento, da origem do incidente e do grau de participação de cada um nos fatos. Por isso, contratos bem estruturados e procedimentos internos adequados são fundamentais para reduzir riscos.

Contratos assinados antes da LGPD precisam ser revisados?

Embora continuem válidos, é altamente recomendável que contratos celebrados antes da entrada em vigor da LGPD sejam revisados. A atualização das cláusulas relativas ao tratamento de dados, à segurança da informação, à confidencialidade e à responsabilização contribui para adequar a relação contratual às exigências atuais da legislação e reduzir potenciais conflitos futuros.