Resposta Rápida: AVV (Auftragsverarbeitungsvertrag) e DPA (Data Processing Agreement) referem-se ao mesmo contrato legalmente exigido sob o Artigo 28 do GDPR; o termo alemão AVV é utilizado nas jurisdições da região DACH, enquanto DPA é o equivalente em inglês usado na maioria dos outros estados membros da UE e internacionalmente. Ambos regulam como um processador de dados lida com dados pessoais em nome de um controlador. Escolher a estrutura errada ou pular o acordo completamente pode expor sua organização a penalidades regulatórias significativas.
Principais Pontos
- AVV é a abreviação alemã para Auftragsverarbeitungsvertrag; DPA significa Data Processing Agreement, sendo funcionalmente o mesmo instrumento sob o GDPR.
- Ambos os acordos são obrigatórios sob o Artigo 28 do GDPR sempre que um controlador contrata um processador para lidar com dados pessoais.
- A diferença de terminologia é regional: AVV é padrão na Alemanha, Áustria e Suíça; DPA é usado em contextos de língua inglesa e na maioria dos outros contextos da UE.
- Um acordo válido deve cobrir objeto, duração do processamento, categorias de dados, direitos dos titulares de dados, condições de sub-processadores, medidas de segurança e disposições de auditoria. [1]
- Não ter o acordo correto pode resultar em investigações de autoridades supervisórias, multas e disputas contratuais.
- O custo de implementação varia de zero (usando um modelo padrão de fornecedor) a vários milhares de euros para redação legal personalizada.
- Algumas empresas que operam nos mercados DACH e não-DACH usam legitimamente ambos os termos no mesmo acordo para maior clareza.
- Uma Plataforma de Gestão de Consentimento como Biscotti CMP pode apoiar sua postura de conformidade mais ampla com o GDPR, mas não substitui um AVV ou DPA devidamente executado.
O Que Significa AVV em Proteção de Dados, e É o Mesmo Que um DPA?
AVV significa Auftragsverarbeitungsvertrag, o termo em alemão para um Acordo de Processamento de Dados. Em termos legais práticos, um AVV e um DPA são o mesmo documento, ambos atendem ao requisito estabelecido no Artigo 28 do GDPR para um contrato escrito entre um controlador de dados e um processador de dados. [1]
A distinção é puramente linguística e jurisdicional. Profissionais de proteção de dados alemães, austríacos e suíços usam AVV como o termo padrão em contratos, políticas de privacidade e correspondência regulatória. Profissionais de língua inglesa e a maioria dos outros estados membros da UE usam DPA. Quando um fornecedor de SaaS alemão oferece um "AVV", ele está oferecendo o mesmo instrumento legal que um fornecedor baseado no Reino Unido chamaria de "DPA".
Esclarecimento chave: Nenhum dos termos implica um padrão legal diferente. Ambos devem atender aos mesmos requisitos de conteúdo do Artigo 28(3) do GDPR para serem válidos. [1]
Qual É a Diferença Entre AVV e DPA?
A diferença entre AVV e DPA é terminológica, não substancial. Ambos descrevem o contrato exigido pelo Artigo 28 do GDPR entre um controlador de dados (a entidade que determina o propósito e os meios de processamento) e um processador de dados (a entidade que processa dados em nome do controlador).
Onde diferenças genuínas podem surgir é no estilo de redação e na orientação regulatória local:
- Autoridades supervisórias alemãs (Datenschutzbehörden) publicaram cláusulas de modelo específicas e notas de orientação que documentos AVV frequentemente incorporam.
- DPAs em inglês redigidos para jurisdições do Reino Unido ou Irlanda podem referenciar legislação nacional de implementação ao lado do GDPR.
- AVVs suíços também devem considerar a Lei Federal de Proteção de Dados revisada (revFADP), que diverge do GDPR em certos aspectos.
Resumo: Se um fornecedor lhe enviar um AVV e você precisar de um DPA, você recebeu o que precisa, desde que o conteúdo atenda aos requisitos do Artigo 28(3). [1]
Quando Você Precisa de um AVV vs. um DPA?
Você precisa de um desses acordos sempre que sua organização compartilhar dados pessoais com um prestador de serviços terceirizado que processe esses dados sob suas instruções. O gatilho é a relação controlador-processador, não a linguagem do contrato.
Use um AVV quando:
- Seu contraparte estiver baseado na Alemanha, Áustria ou Suíça e seu contrato padrão usar essa terminologia.
- Sua própria organização operar sob a lei de proteção de dados alemã e seus modelos internos seguirem a orientação do BfDI ou da DPA estadual.
Use um DPA quando:
- Seu contraparte operar em uma jurisdição de língua inglesa ou usar o inglês como língua do contrato.
- Você estiver contratando um provedor de nuvem baseado nos EUA, um fornecedor de SaaS do Reino Unido ou qualquer processador internacional cujos modelos padrão sejam "DPA".
Erro comum: Assumir que porque um fornecedor chama seu documento de AVV em vez de DPA, regras legais diferentes se aplicam. Os requisitos de conteúdo são idênticos sob o GDPR. O que importa é a substância, não o rótulo na capa.
Quem Precisa de um AVV e Quem Precisa de um DPA?
Qualquer organização que se qualifique como controlador de dados sob o GDPR e contrate um terceiro para processar dados pessoais em seu nome precisa de um desses acordos. Isso se aplica a:
- Empresas de e-commerce que usam processadores de pagamento ou plataformas de marketing por e-mail de terceiros.
- Empresas que utilizam provedores de infraestrutura em nuvem (IaaS, PaaS, SaaS).
- Agências de marketing online que processam dados de clientes.
- Desenvolvedores que criam aplicativos que lidam com dados pessoais de usuários finais via APIs externas.
- Proprietários de sites que usam ferramentas de análise, CDNs ou sistemas de CRM que processam dados de visitantes.
Organizações baseadas em mercados DACH geralmente encontrarão o rótulo AVV; aquelas que operam internacionalmente lidarão mais frequentemente com DPAs. Ambas as categorias de organização enfrentam a mesma obrigação legal.
O Que Deve Ser Incluído em um AVV vs. um DPA?
Tanto um AVV quanto um DPA devem conter os mesmos elementos obrigatórios sob o Artigo 28(3) do GDPR. A falta de qualquer uma dessas cláusulas torna o acordo não conforme. [1]
| Cláusula Obrigatória | Descrição |
|---|---|
| Objeto e duração | Quais dados são processados e por quanto tempo |
| Natureza e propósito | Por que e como o processamento ocorre |
| Tipos de dados e titulares de dados | Categorias de dados pessoais e indivíduos afetados |
| Direitos e obrigações do controlador | Instruções que o processador deve seguir |
| Medidas de segurança | Salvaguardas técnicas e organizacionais (TOMs) |
| Condições de sub-processadores | Regras para engajar processadores subsequentes |
| Assistência aos direitos dos titulares de dados | Suporte para solicitações de acesso, exclusão, portabilidade |
| Notificação de violação | Obrigação do processador de notificar o controlador sobre incidentes |
| Retorno ou exclusão de dados | O que acontece com os dados ao final do contrato |
| Direitos de auditoria | Direito do controlador de verificar a conformidade |
Caso extremo: Se o modelo de um fornecedor omitir direitos de auditoria ou condições de sub-processadores, não assine-o como está. Estes são não negociáveis sob o Artigo 28(3). [1]
Quanto Custa Configurar um AVV ou DPA?
O custo depende inteiramente de você usar um modelo padrão de fornecedor ou encomendar uma redação legal personalizada.
- Modelo fornecido pelo fornecedor (mais comum): Gratuito. A maioria dos principais provedores de SaaS e nuvem publica um AVV ou DPA padrão que os controladores podem aceitar online ou por meio de um processo de clique.
- Acordo personalizado negociado: Os honorários legais geralmente variam de 500 a 5.000 euros, dependendo da complexidade, jurisdição e taxas de consultoria. Contratos empresariais com volumes significativos de dados ou categorias de dados sensíveis estão na faixa mais alta.
- Desenvolvimento de modelo interno: Um investimento único de tempo de consultoria jurídica para criar um modelo reutilizável; o custo contínuo é mínimo.
Nota prática: Para a maioria das PME e proprietários de sites, o modelo padrão do fornecedor é suficiente. A negociação personalizada é justificada quando o processamento envolve dados de categoria especial (saúde, biométrico, financeiro) ou quando o controlador assume uma exposição significativa à responsabilidade.
Como os Requisitos de AVV e DPA Diferem por País?
Sob o GDPR, os requisitos substantivos são harmonizados em todos os estados membros da UE, portanto, o conteúdo central de um AVV e um DPA é idêntico, esteja você em Berlim, Paris ou Varsóvia. No entanto, existem nuances em nível nacional:
- Alemanha: O BfDI e as DPAs estaduais emitiram orientações detalhadas e cláusulas modelo. AVVs alemães frequentemente incluem documentação mais granular de medidas técnicas e organizacionais (TOMs).
- Suíça: A revFADP (em vigor a partir de setembro de 2023) impõe requisitos adicionais além do GDPR, incluindo disposições específicas para transferências de dados transfronteiriças e prazos de notificação de violação de dados.
- Reino Unido (pós-Brexit): O GDPR do Reino Unido se aplica; os DPAs devem referenciar a orientação da ICO do Reino Unido em vez das autoridades supervisórias da UE. As cláusulas contratuais padrão diferem das SCCs da UE.
- Outros estados membros da UE: O Artigo 28 do GDPR se aplica diretamente; a orientação local da DPA pode complementar, mas não pode reduzir os requisitos mínimos.
Escolha a cláusula de lei aplicável com cuidado. Um AVV sob a lei alemã e um DPA sob a lei irlandesa podem parecer semelhantes, mas serão interpretados por tribunais e autoridades supervisórias diferentes.
Você Pode Usar um AVV em Vez de um DPA, ou Usar Ambos ao Mesmo Tempo?
Sim, um AVV pode substituir um DPA porque são instrumentos legalmente equivalentes. Uma empresa que opera em mercados DACH e não-DACH pode incluir ambos os termos no mesmo cabeçalho do contrato (por exemplo, "Acordo de Processamento de Dados / Auftragsverarbeitungsvertrag") para evitar confusão; isso é prática comum em contratos empresariais bilíngues e é totalmente permitido.
Usar ambos os rótulos simultaneamente não cria duas obrigações legais separadas. Isso simplesmente garante que as partes de língua alemã e inglesa entendam que estão olhando para o mesmo documento.
Quais São os Erros Comuns ao Escolher Entre AVV e DPA?
Os erros mais consequentes não dizem respeito a qual termo você usa, mas ao que o acordo contém e se ele existe ou não.
- Pular o acordo completamente porque uma relação de fornecedor parece informal ou de baixo risco. Sob o GDPR, a obrigação é acionada pelo ato de processamento, não pelo nível de risco percebido.
- Aceitar um modelo incompleto que omite cláusulas de sub-processadores ou direitos de auditoria, acreditando que a versão do fornecedor é automaticamente conforme.
- Confundir um DPA com um acordo de compartilhamento de dados. Um DPA regula relações de processadores; um acordo de compartilhamento de dados regula trocas de dados entre controladores conjuntos ou de controlador para controlador. Estes são instrumentos diferentes.
- Falhar em atualizar acordos quando um processador contrata novos sub-processadores ou muda a natureza do processamento.
- Assumir que a conformidade com o GDPR cobre a lei suíça. Organizações com titulares de dados suíços devem garantir que seu AVV também satisfaça os requisitos da revFADP.
Quais São as Consequências Legais de Errar na Escolha entre AVV e DPA?
Não ter um acordo válido e completo expõe tanto controladores quanto processadores a responsabilidade regulatória e civil.
Sob o Artigo 83(4) do GDPR, violações do Artigo 28 (o requisito de DPA/AVV) podem resultar em multas administrativas de até 10 milhões de euros ou 2% do faturamento global anual, o que for maior. As autoridades supervisórias na Alemanha demonstraram disposição para investigar e multar organizações por acordos de processamento ausentes ou deficientes.
Além das multas, as consequências incluem:
- Auditorias de autoridades supervisórias e ordens corretivas.
- Impossibilidade de fazer cumprir os termos contratuais contra um processador não conforme.
- Exposição à responsabilidade civil se ocorrer uma violação de dados sem um acordo válido documentando as obrigações de segurança.
- Danos à reputação em contextos B2B onde clientes empresariais realizam a devida diligência sobre fornecedores.
Como Você Sabe Qual Acordo Sua Empresa Realmente Precisa?
A decisão é simples uma vez que você identifica a relação e a jurisdição.
Passo 1: Determine se sua organização é o controlador (você decide por que e como os dados são processados) ou o processador (você processa dados sob as instruções de outra pessoa).
Passo 2: Identifique a linguagem e a jurisdição de seu contraparte. Se eles estiverem na região DACH, espere um AVV. Se estiverem em outro lugar, espere um DPA.
Passo 3: Verifique se o documento que você recebe contém todos os dez elementos obrigatórios sob o Artigo 28(3) do GDPR. [1]
Passo 4: Se sua organização também precisar gerenciar o consentimento do usuário para cookies e tecnologias de rastreamento, uma Plataforma de Gestão de Consentimento como Biscotti CMP aborda essa camada de conformidade com o GDPR, mas opera ao lado, e não em vez de, um AVV ou DPA devidamente executado.
Regra de decisão: Se você processa dados pessoais em nome de outra organização, precisa de um DPA ou AVV, independentemente de como a relação é chamada comercialmente. Se outra organização processa dados em seu nome, você é responsável por garantir que esse acordo esteja em vigor antes que o processamento comece.
FAQ
P: Um AVV é legalmente válido fora da Alemanha?
Um AVV é legalmente válido em qualquer lugar onde o GDPR se aplica, desde que atenda aos requisitos de conteúdo do Artigo 28(3). A terminologia alemã não limita sua aplicabilidade em outras jurisdições da UE.
P: Um DPA precisa ser assinado por ambas as partes?
Sim. O Artigo 28(9) do GDPR exige que o acordo esteja por escrito, o que inclui forma eletrônica. Tanto o controlador quanto o processador devem estar vinculados por seus termos.
P: Um DPA online de clique de um fornecedor pode satisfazer os requisitos do GDPR?
Sim, se o conteúdo atender aos requisitos do Artigo 28(3). Muitos provedores de nuvem importantes oferecem DPAs de clique que foram revisados por autoridades supervisórias.
P: O que é um sub-processador e por que isso importa em um DPA ou AVV?
Um sub-processador é um terceiro contratado pelo processador para realizar atividades de processamento. O DPA ou AVV deve especificar as condições sob as quais sub-processadores podem ser contratados, incluindo o direito do controlador de se opor. [1]
P: Preciso de um novo AVV ou DPA toda vez que um processador atualizar sua lista de sub-processadores?
Nem sempre. Muitos acordos incluem uma autorização geral para mudanças de sub-processadores, desde que o processador notifique o controlador e o controlador mantenha o direito de se opor dentro de um período especificado.
P: Um DPA cobre transferências de dados fora da UE?
Um DPA regula a relação de processamento, mas não autoriza por si só transferências de dados transfronteiriças. Mecanismos de transferência separados (Cláusulas Contratuais Padrão, decisões de adequação) são necessários para transferências para países terceiros.
P: Quanto tempo um DPA ou AVV deve ser mantido?
Mantenha o acordo durante a relação de processamento e por um período razoável depois, tipicamente pelo menos três a cinco anos, para demonstrar conformidade em caso de uma investigação de autoridade supervisória.
P: Qual é a diferença entre um DPA e uma DPIA?
Um DPA (Acordo de Processamento de Dados) é um contrato entre controlador e processador. Uma DPIA (Avaliação de Impacto sobre a Proteção de Dados) é uma avaliação interna de risco exigida para atividades de processamento de alto risco. Eles servem a propósitos diferentes e nenhum substitui o outro.
P: Um freelancer ou pequena agência pode ser obrigado a assinar um AVV ou DPA?
Sim. A obrigação se aplica independentemente do tamanho do processador. Um desenvolvedor freelancer que lida com dados de clientes é um processador e deve assinar um DPA ou AVV com cada controlador cliente.
P: O Biscotti CMP substitui a necessidade de um DPA ou AVV?
Não. Biscotti CMP é uma Plataforma de Gestão de Consentimento que ajuda a gerenciar o consentimento do usuário para cookies e rastreamento, um requisito separado de conformidade com o GDPR. Um DPA ou AVV ainda é necessário para qualquer relação de processador envolvendo dados pessoais.
Conclusão
A questão AVV vs. DPA se resolve rapidamente uma vez que você reconhece que ambos os termos descrevem o mesmo instrumento legalmente exigido sob o Artigo 28 do GDPR. O verdadeiro desafio não é escolher entre eles, mas garantir que qualquer documento que governe suas relações com processadores contenha todas as cláusulas obrigatórias, seja devidamente executado e seja mantido atualizado à medida que as atividades de processamento evoluem.
Próximos passos acionáveis:
- Audite todos os relacionamentos atuais com fornecedores para confirmar que um DPA ou AVV válido está em vigor para cada processador que lida com dados pessoais em seu nome.
- Revise os acordos existentes em relação aos dez elementos obrigatórios do Artigo 28(3) do GDPR e solicite emendas para quaisquer lacunas. [1]
- Se operar na Suíça, verifique se os acordos também satisfazem os requisitos da revFADP além da linha de base do GDPR.
- Estabeleça um processo interno para a integração de novos processadores; nenhum processamento deve começar antes que o acordo seja assinado.
- Para gestão de consentimento e conformidade com cookies em seu site ou aplicativo, avalie Biscotti CMP como parte de sua estrutura mais ampla de conformidade com o GDPR.
A conformidade com a proteção de dados não é um projeto único. Os acordos precisam ser revisados quando o processamento muda, quando sub-processadores são adicionados e quando a orientação regulatória evolui. Construir essa cadência de revisão em seu programa de conformidade é a salvaguarda mais prática contra a exposição regulatória.
Referências
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai