Resposta Rápida: Um AVV (Auftragsverarbeitungsvertrag) é um contrato legalmente exigido sob o Artigo 28 do GDPR entre um controlador de dados e um processador de dados. Qualquer organização que processe dados pessoais em nome de outra parte deve ter um em vigor. Operar sem um AVV expõe ambas as partes a multas de até €20 milhões ou 4% do volume de negócios global anual, o que for maior.
Principais Conclusões
- Um AVV é o termo alemão para um Acordo de Processamento de Dados (DPA), exigido sob o Artigo 28 do GDPR sempre que um processador manipula dados pessoais para um controlador.
- O acordo deve especificar o objeto, propósito, duração, tipos de dados, medidas técnicas e organizacionais (TOMs) e regras para sub-processadores.
- A falta de um AVV válido pode resultar em multas regulatórias, independentemente de ter ocorrido uma violação de dados.
- Pequenas empresas não estão isentas: hospedagem em nuvem, software de folha de pagamento e ferramentas de marketing por e-mail normalmente acionam a exigência do AVV.
- Um AVV é um contrato entre duas partes, não um aviso de privacidade, e não implementa por si só medidas de segurança como criptografia.
- Os AVVs devem ser revistos sempre que os sub-processadores mudarem, ocorrerem transferências de dados para países terceiros ou as atividades de processamento forem modificadas.
- Na região DACH (Alemanha, Áustria, Suíça), os AVVs são uma prática padrão com fornecedores de SaaS, provedores de hospedagem e sistemas ERP.
- Modelos estão disponíveis de organizações de conformidade e fornecedores, mas a personalização para refletir as atividades de processamento reais é essencial.
O Que Significa AVV em Processamento de Dados?
Um AVV significa Auftragsverarbeitungsvertrag, uma palavra composta alemã que se traduz diretamente como "acordo de processamento de dados" em inglês. É o instrumento contratual exigido pelo Artigo 28 do Regulamento Geral sobre a Proteção de Dados da UE (GDPR) para reger a relação entre um controlador de dados e um processador de dados.
O termo é específico para jurisdições de língua alemã (Alemanha, Áustria e Suíça), mas o conceito legal subjacente aplica-se universalmente em toda a UE e EEE. Em contextos de língua inglesa, o mesmo documento é chamado de Data Processing Agreement (DPA). Organizações que operam internacionalmente devem garantir que seus AVVs estejam disponíveis nas línguas relevantes para facilitar a compreensão e a conformidade [5].
O AVV não é uma política de privacidade ou um banner de consentimento de cookies. É um contrato bilateral vinculativo que define como um processador pode manipular dados pessoais, sob quais condições e com quais salvaguardas.
Porque os Processadores de Dados Precisam de um AVV?
Um AVV é obrigatório sempre que um controlador de dados contrata um processador para lidar com dados pessoais em seu nome. Isso não é uma orientação opcional; é uma exigência legal rigorosa sob o Artigo 28 do GDPR [1].
Cenários comuns que acionam a exigência do AVV incluem:
- Hospedagem em nuvem e infraestrutura (por exemplo, servidores que armazenam bases de dados de clientes)
- Processamento de folha de pagamento realizado por um fornecedor de RH de terceiros
- Plataformas de marketing por e-mail que armazenam listas de assinantes
- Fornecedores de ERP SaaS que acessam dados de negócios e funcionários
- Ferramentas de análise e rastreamento que processam dados de comportamento de visitantes
Sem um AVV, nenhuma das partes tem uma base legal documentada para a relação de processamento. As autoridades de supervisão tratam a ausência de um AVV como uma violação de conformidade independente, separada de qualquer investigação de violação de dados [3].
Um AVV é o Mesmo que um DPA?
Sim, um AVV e um DPA referem-se ao mesmo documento legal. O AVV é a designação em língua alemã; DPA é o equivalente em inglês usado na maioria dos outros Estados-Membros da UE e em contextos de conformidade internacional [5].
Ambos os documentos cumprem os requisitos do Artigo 28 do GDPR e devem conter os mesmos elementos obrigatórios. Se uma empresa alemã assina um DPA com um fornecedor de SaaS baseado nos EUA, esse DPA funciona como o AVV para fins de conformidade com o GDPR, desde que atenda a todos os requisitos substanciais.
Distinção chave a lembrar: O rótulo no documento importa menos do que seu conteúdo. Um documento intitulado "Data Processing Addendum", "Processing Agreement" ou "AVV" é legalmente equivalente, desde que cubra todos os elementos exigidos.
Quem Precisa de um AVV para Conformidade com o GDPR?
Qualquer organização que seja um controlador de dados e utilize um serviço de terceiros que processe dados pessoais em seu nome precisa de um AVV. Isso se aplica a empresas de todos os tamanhos em todos os setores [1].
Controladores que normalmente precisam de AVVs:
| Cenário | Controlador | Processador |
|---|---|---|
| A empresa usa CRM em nuvem | Empresa | Fornecedor de CRM |
| O site usa análises | Proprietário do site | Provedor de análises |
| RH terceiriza a folha de pagamento | Empregador | Escritório de folha de pagamento |
| Loja online usa ferramenta de e-mail | Varejista | Plataforma de e-mail |
| Agência gerencia anúncios de clientes | Agência | Plataforma de tecnologia publicitária |
Quem não é um processador: Uma parte que determina os propósitos e meios de processamento de forma independente é um controlador por direito próprio, não um processador. Controladores conjuntos requerem um tipo diferente de acordo sob o Artigo 26 do GDPR.
Pequenas empresas frequentemente ignoram esse requisito, assumindo que se aplica apenas a grandes empresas. Essa suposição está incorreta. Qualquer proprietário de site que utilize um fornecedor de hospedagem de terceiros, serviço de newsletter ou sistema de reservas provavelmente precisa ter pelo menos um AVV em vigor [5].
O Que Deve Ser Incluído em um AVV?
Um AVV em conformidade deve conter elementos obrigatórios específicos. A falta de mesmo um pode tornar o acordo insuficiente sob a análise do GDPR [2].
Componentes obrigatórios:
- Objeto e duração do processamento
- Natureza e propósito do processamento
- Tipo de dados pessoais e categorias de titulares de dados
- Obrigações e direitos do controlador
- Medidas técnicas e organizacionais (TOMs) implementadas pelo processador
- Regras que regem o envolvimento de sub-processadores
- Procedimentos para solicitações de direitos dos titulares de dados
- Obrigações de notificação de violação de dados
- Devolução ou eliminação de dados após a rescisão do contrato
- Direitos de auditoria para o controlador
A seção de TOMs é particularmente importante. Embora o AVV em si não implemente medidas de segurança, deve documentar quais medidas o processador tem em vigor, como padrões de criptografia, controles de acesso e práticas de pseudonimização [1].
O Que Acontece Se Você Não Tiver um AVV?
Operar sem um AVV válido expõe tanto o controlador quanto o processador a penalidades regulatórias significativas. Sob o Artigo 83(4) do GDPR, as multas por violações do Artigo 28 podem chegar a €10 milhões ou 2% do volume de negócios global anual, e sob o Artigo 83(5) para infrações mais graves, até €20 milhões ou 4% do volume de negócios global anual, o que for maior [3].
Crucialmente, essas multas podem ser impostas independentemente de ter ocorrido uma violação de dados. Uma autoridade de supervisão que realiza uma auditoria de rotina ou responde a uma reclamação pode identificar a ausência de um AVV e emitir uma multa com base apenas nisso.
Consequências adicionais incluem:
- Danos à reputação e perda de confiança dos clientes
- Responsabilidade contratual entre controlador e processador
- Suspensão potencial das atividades de processamento até a remediação
AVV vs. Acordo de Processamento de Dados: Principais Diferenças
O AVV e o DPA são substancialmente o mesmo documento sob diferentes nomes. No entanto, existem diferenças práticas que vale a pena notar para organizações internacionais.
| Dimensão | AVV | DPA |
|---|---|---|
| Língua | Alemão | Inglês (ou local) |
| Foco jurisdicional | Região DACH | UE/EEE de forma ampla |
| Contexto de uso comum | Contratos em língua alemã | Acordos internacionais de SaaS |
| Base legal | Artigo 28 do GDPR | Artigo 28 do GDPR |
| Requisitos de conteúdo | Idênticos | Idênticos |
A região DACH (Alemanha, Áustria, Suíça) tem uma cultura de aplicação particularmente forte em torno dos AVVs, tornando-os uma prática padrão em contratos de fornecedores com provedores de hospedagem, fornecedores de ERP SaaS e outros parceiros de serviço [1].
Quanto Custa um AVV?
O custo de um AVV varia dependendo de como é criado e revisado.
- AVV baseado em modelo: Muitos fornecedores fornecem seu próprio AVV como parte de seus termos de serviço, geralmente sem custo adicional. Organizações como a NexDeck oferecem modelos detalhados de AVV, incluindo listas de sub-processadores [4].
- Revisão por consultoria jurídica: Ter um advogado de proteção de dados para redigir ou revisar um AVV personalizado geralmente custa entre €300 e €2,000, dependendo da complexidade e jurisdição.
- Redação assistida por DPO: Organizações com um Encarregado de Proteção de Dados (DPO) interno ou externo podem frequentemente usar esse recurso para redigir AVVs sem custo marginal além do retentor do DPO.
Para pequenas empresas, a abordagem mais prática é começar com um modelo respeitável e tê-lo revisado por um profissional qualificado antes de assinar.
Como Criar um Modelo de AVV?
Criar um AVV começa com a identificação de todas as relações de processamento onde um terceiro manipula dados pessoais em seu nome. A partir daí, o processo segue estas etapas:
- Inventariar seus processadores: Liste todos os fornecedores, ferramentas ou serviços que acessam dados pessoais que você controla.
- Obter ou redigir o AVV: Muitos processadores (especialmente fornecedores de SaaS) fornecem seu próprio AVV padrão. Revise-o em relação aos elementos obrigatórios listados acima.
- Personalizar a seção de TOMs: Assegure-se de que as medidas técnicas e organizacionais reflitam as práticas de segurança reais do processador.
- Listar sub-processadores: Inclua um anexo identificando quaisquer sub-processadores que o processador utiliza, juntamente com seus papéis e localizações.
- Definir mecanismos de transferência de dados: Se os dados forem transferidos para fora da UE/EEE, especifique o mecanismo legal de transferência (por exemplo, Cláusulas Contratuais Padrão).
- Assinar e reter: Ambas as partes devem assinar o AVV. Mantenha uma cópia com seus registros de processamento de dados.
Modelos de organizações focadas em conformidade fornecem uma base estrutural sólida, mas cada AVV deve ser adaptado à atividade de processamento específica que rege [2].
Requisitos de AVV para Pequenas Empresas
Pequenas empresas não estão isentas da exigência do AVV. Qualquer organização sujeita ao GDPR que utilize um processador de terceiros deve ter um AVV em vigor, independentemente do tamanho da empresa ou do número de funcionários [1].
Para pequenas empresas, o ônus prático é menor do que pode parecer:
- A maioria dos principais fornecedores de SaaS (plataformas de e-mail, sistemas de reservas, ferramentas de análise) já fornece um AVV ou DPA padrão como parte de seus termos de serviço. Aceitar esses termos geralmente constitui um acordo válido.
- A tarefa chave é garantir que você realmente revisou e aceitou esses termos, em vez de assumir que eles existem.
- Mantenha um registro simples de seus processadores e os respectivos AVVs.
Erro comum: Proprietários de pequenas empresas frequentemente assumem que, porque um fornecedor é grande e respeitável, a documentação legal é automaticamente tratada. A aceitação de um AVV deve ser um passo ativo e documentado.
Requisitos de Rastro de Auditoria de AVV
Um AVV deve incluir disposições que concedam ao controlador o direito de auditar a conformidade do processador. Este direito de auditoria é um elemento obrigatório sob o Artigo 28(3)(h) do GDPR [2].
Na prática, os requisitos de rastro de auditoria significam:
- O processador deve manter registros das atividades de processamento sob o Artigo 30(2) do GDPR.
- O controlador tem o direito de realizar auditorias ou contratar auditores de terceiros para verificar a conformidade.
- Muitos processadores satisfazem esse requisito por meio de certificações de terceiros, como ISO 27001 ou SOC 2, que podem substituir auditorias no local em muitos casos.
O AVV é diretamente relevante para os controles A.5.19 a A.5.22 do Anexo A da ISO 27001, que regem as relações com fornecedores e a segurança da informação nas cadeias de suprimento [2]. Organizações com um Sistema de Gestão de Segurança da Informação (ISMS) formal devem garantir que seus AVVs estejam integrados em seus processos de gestão de fornecedores.
AVV para Transferências Internacionais de Dados
Quando um processador está localizado fora da UE/EEE, o AVV deve abordar o mecanismo legal para transferir dados pessoais para esse terceiro país. As Cláusulas Contratuais Padrão (SCCs) são o mecanismo mais comumente utilizado e geralmente são incorporadas como um anexo ao AVV [2].
Considerações chave para AVVs internacionais:
- Identifique se o país do processador possui uma decisão de adequação da UE.
- Se não, incorpore as SCCs apropriadas (controlador-para-processador ou controlador-para-controlador, dependendo da relação).
- Realize uma Avaliação de Impacto de Transferência (TIA) quando necessário.
- Assegure-se de que o AVV esteja disponível nas línguas de ambas as partes contratantes [5].
Com Que Frequência Você Deve Atualizar Seu AVV?
Um AVV deve ser revisado e atualizado sempre que ocorrerem mudanças materiais na relação de processamento. Não há um intervalo de revisão estatutário fixo, mas as melhores práticas apontam para pelo menos uma revisão anual [2].
Gatilhos para uma atualização imediata do AVV:
- O processador contrata um novo sub-processador ou remove um existente
- As atividades de processamento mudam em natureza, propósito ou escopo
- Os dados são transferidos para um novo terceiro país
- As TOMs do processador são significativamente atualizadas
- A legislação aplicável ou a orientação regulatória mudam
A revisão proativa dos AVVs é uma disciplina central de conformidade. Acordos desatualizados que não refletem mais as atividades de processamento reais criam a mesma exposição regulatória que ter nenhum AVV.
Erros Comuns ao Configurar um AVV
Mesmo organizações que entendem a exigência do AVV frequentemente cometem erros na implementação.
Erro 1: Tratar o modelo padrão do fornecedor como automaticamente suficiente. Um modelo de AVV fornecido pelo fornecedor pode não cobrir suas atividades de processamento específicas. Sempre revise-o em relação aos elementos obrigatórios.
Erro 2: Omitir ou descrever vagamente as TOMs. As autoridades de supervisão analisam a seção de TOMs de perto. Linguagem vaga como "medidas de segurança apropriadas" sem especificidades é insuficiente.
Erro 3: Esquecer sub-processadores. O AVV deve listar sub-processadores. Não atualizar essa lista quando um processador muda seus sub-processadores é uma lacuna comum de conformidade [2].
Erro 4: Não reter cópias assinadas. Um AVV que não pode ser produzido durante uma auditoria não oferece proteção legal. Mantenha registros organizados.
Erro 5: Confundir o AVV com uma política de privacidade. Estes são documentos totalmente diferentes que servem a propósitos diferentes. Uma política de privacidade informa os titulares de dados; um AVV rege a relação controlador-processador [1].
Conclusão
O Guia Definitivo sobre AVVs: Porque Cada Processador de Dados Precisa de Um resume-se a uma realidade de conformidade simples: se dados pessoais mudam de mãos entre um controlador e um processador, um AVV válido deve existir antes que esse processamento comece. Não há isenções de tamanho, não há exclusões de setor e não há períodos de graça para organizações que já operam sob o GDPR.
Próximos passos acionáveis para 2026:
- Audite cada fornecedor de terceiros que acesse dados pessoais que você controla e confirme que um AVV está em vigor para cada um.
- Revise os AVVs existentes em relação à lista de verificação dos elementos obrigatórios, prestando atenção especial às TOMs e listas de sub-processadores.
- Estabeleça um lembrete no calendário para revisões anuais de AVV e atualizações acionadas quando as atividades de processamento mudarem.
- Para organizações que gerenciam consentimento e conformidade com cookies juntamente com seus AVVs, considere emparelhar sua documentação de processamento de dados com uma Plataforma de Gestão de Consentimento em conformidade, como Biscotti CMP, para manter uma postura de conformidade completa e defensável.
- Consulte um profissional qualificado em proteção de dados para qualquer AVV envolvendo atividades de processamento complexas ou transferências internacionais de dados.
O custo de acertar os AVVs é mínimo. O custo de errá-los não é.
FAQ
O que é um AVV em termos simples? Um AVV é um contrato escrito entre uma empresa que possui dados pessoais (o controlador) e uma empresa que processa esses dados em seu nome (o processador). Especifica quais dados são processados, por que, como são protegidos e quais obrigações ambas as partes têm.
Um AVV é exigido para cada relação com fornecedores? Apenas para fornecedores que processam dados pessoais em seu nome. Um fornecedor que apenas fornece uma ferramenta que você usa para processar dados por conta própria (sem acesso aos dados) geralmente não é um processador e não requer um AVV.
Um acordo verbal pode substituir um AVV? Não. O Artigo 28 do GDPR exige explicitamente que o acordo de processamento esteja por escrito, incluindo em forma eletrônica.
Um AVV protege contra multas do GDPR? Ter um AVV válido reduz significativamente o risco regulatório, mas não oferece imunidade absoluta. Multas ainda podem ser emitidas por outras violações. Um AVV demonstra conformidade com o Artigo 28 especificamente.
Qual é a diferença entre um sub-processador e um processador? Um processador lida diretamente com os dados para o controlador. Um sub-processador é contratado pelo processador para ajudar com esse processamento. O controlador deve ser informado sobre os sub-processadores, e o processador deve vincular os sub-processadores a obrigações equivalentes.
Por quanto tempo um AVV deve ser retido? Não há um período de retenção explícito especificado no GDPR para AVVs, mas eles devem ser retidos durante a duração da relação de processamento e por um período razoável após, geralmente alinhado com o prazo de prescrição para ação regulatória na jurisdição relevante.
Um DPA assinado com uma empresa dos EUA conta como um AVV? Sim, desde que contenha todos os elementos exigidos pelo Artigo 28 do GDPR e incorpore mecanismos de transferência apropriados, como Cláusulas Contratuais Padrão.
O processador pode usar dados pessoais para seus próprios fins? Não. Um processador só pode processar dados pessoais sob as instruções documentadas do controlador. O processamento para os próprios fins do processador reclassificaria essa parte como um controlador, com obrigações legais separadas.
O que é uma TOM no contexto de um AVV? TOM significa Medida Técnica e Organizacional. Estas são as práticas de segurança que um processador implementa para proteger dados pessoais, como criptografia, controles de acesso e pseudonimização. O AVV deve documentar essas medidas.
Os AVVs precisam ser notariados? Não. O GDPR não exige notariação. Um acordo escrito assinado (incluindo assinaturas eletrônicas) é suficiente.
Referências
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai