# Contrato controlador-operador: cláusulas que não podem faltar Guia · UNIFOKAL · 1 de setembro de 2026 · 5 min de leitura · LGPD e compliance Quem contrata verificação de identidade é controlador; o fornecedor, operador. As cláusulas que a LGPD pressupõe nesse contrato, da instrução documentada ao destino dos dados no término. Quando uma empresa contrata um fornecedor de verificação de identidade, ela não está só comprando tecnologia: está entregando dados pessoais dos próprios clientes, inclusive dados sensíveis como biometria, para outra organização tratar. A LGPD tem nomes para os dois lados dessa mesa e consequências para os dois, e o contrato entre eles é o documento que decide, com anos de antecedência, como as perguntas difíceis serão respondidas: quem avisa quem no incidente, quem atende o titular, o que acontece com os dados no fim. Este artigo mapeia os papéis, a responsabilidade que a lei distribui e as cláusulas que um contrato controlador-operador de KYC precisa ter para proteger os dois lados, na ordem em que elas costumam faltar. ## Quem é quem: os papéis do artigo 5º A LGPD, Lei 13.709/2018, define no artigo 5º o controlador (inciso VI) como quem toma as decisões referentes ao tratamento, e o operador (inciso VII) como quem realiza o tratamento em nome do controlador. No arranjo típico de verificação de identidade, a empresa contratante é controladora: ela decide verificar seus usuários, com qual profundidade e para qual finalidade. O fornecedor é operador: verifica porque foi instruído, nos limites da instrução. O artigo 39 dá a regra de ouro do arranjo: o operador realiza o tratamento segundo as instruções fornecidas pelo controlador, e cabe ao controlador verificar a observância dessas instruções. Duas obrigações numa frase: o operador não inventa finalidade, e o controlador não terceiriza a consciência. E o artigo 37 obriga ambos a manter registro das operações de tratamento que realizarem, o que o contrato deve refletir como obrigação recíproca, não como cortesia. ## Por que o contrato importa: a responsabilidade é pegajosa O artigo 42, parágrafo 1º, inciso I, estabelece que o operador responde solidariamente pelos danos quando descumprir as obrigações da legislação ou quando não seguir as instruções lícitas do controlador. A leitura de negócio: o operador que trata fora da instrução compra o passivo junto; o controlador que instrui mal, ou não instrui, não se esconde atrás do fornecedor. Nenhum contrato revoga a lei, mas é o contrato que prova qual era a instrução, e sem essa prova a discussão de responsabilidade vira arqueologia de e-mails. ## As cláusulas, na ordem em que fazem falta - Objeto e instruções documentadas. O que exatamente o operador faz com os dados, por escrito e versionado: módulos de verificação executados, categorias de dados tratadas, fontes consultadas. Instrução vaga ("prestar serviços de verificação") não orienta operação nem defende ninguém. - Finalidade e vedação de uso próprio. Os dados servem à verificação instruída e a nada mais. A cláusula que veda ao operador usar os dados para fins próprios, inclusive treinar modelos ou enriquecer bases comerciais, é a que separa operador de sócio oculto do dado. - Suboperadores. Quem o operador subcontrata (nuvem, comunicação, fontes de dados), com dever de transparência sobre a lista, obrigação de impor por escrito o mesmo regime de proteção e regras para mudanças. Sem essa cláusula, o controlador não sabe por quantas mãos o dado passa. - Segurança e sigilo. As medidas do artigo 46 traduzidas em compromissos verificáveis, criptografia em repouso e em trânsito, controle de acesso, segregação por cliente, e o compromisso de confidencialidade do pessoal com acesso. - Incidente de segurança. A lei põe o dever de comunicar à ANPD e ao titular na cabeça do controlador (artigo 48), mas quem detecta o incidente na infraestrutura é o operador. O contrato precisa criar o dever espelho, o operador avisa o controlador em prazo definido e curto, com informação suficiente para a avaliação de risco, porque o relógio regulatório de três dias úteis corre para o controlador, como detalha o artigo sobre [incidente com dado biométrico](https://unifokal.com/blog/incidente-com-dado-biometrico). - Atendimento aos titulares. Pedidos de acesso, correção e eliminação chegam ao controlador, mas parte das respostas mora nos sistemas do operador. Prazos e formato dessa colaboração entram no contrato, com a régua do que pode e do que não pode ser apagado descrita no artigo sobre [direitos do titular em KYC](https://unifokal.com/blog/direitos-do-titular-em-kyc). - Término: devolução ou eliminação, com exceção nomeada. No fim da relação, os dados são devolvidos ou eliminados, ressalvada a guarda que a lei impõe, como os prazos regulatórios de retenção do setor financeiro. A exceção precisa estar escrita com fonte, senão o "guardamos por obrigação legal" vira licença genérica para reter tudo. - Verificação da observância. Se o artigo 39 manda o controlador verificar as instruções, o contrato precisa dizer como: relatórios periódicos do operador, direito de solicitar evidências das medidas de segurança e prazo de resposta. Cláusula de verificação que não define mecanismo é promessa sem motor. - Encarregado e canais. Os pontos de contato de proteção de dados dos dois lados, com a figura do encarregado descrita no artigo sobre [o papel do DPO](https://unifokal.com/blog/encarregado-de-dados-dpo). ## Antes de assinar: a diligência que o contrato não substitui Cláusula boa não conserta fornecedor ruim. A avaliação técnica do operador, como ele armazena mídia, como segrega clientes, como trata subprocessadores, vem antes da assinatura e tem roteiro no artigo sobre [como avaliar um fornecedor de KYC](https://unifokal.com/blog/como-avaliar-fornecedor-de-kyc). E a decisão anterior a todas, se faz sentido operar verificação em casa assumindo o papel integral de controlador de biometria, tem a conta completa no artigo sobre [construir ou comprar verificação](https://unifokal.com/blog/construir-ou-comprar-verificacao). O contrato controlador-operador é o documento menos glamouroso da contratação e o mais consultado da crise. Escrevê-lo bem custa uma tarde de trabalho conjunto entre jurídico e engenharia; escrevê-lo mal custa exatamente uma crise. ## Fontes citadas - Lei 13.709/2018 (LGPD), artigos 5º, 37, 39, 41, 42, 46 e 48, disponível no portal do Planalto: [planalto.gov.br](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) - ANPD, Agência Nacional de Proteção de Dados, portal oficial, orientações a agentes de tratamento: [gov.br/anpd](https://www.gov.br/anpd/pt-br)