# Modelo — acordo de tratamento de dados (DPA)

## 1. Partes e objeto
- controlador:
- operador/subprocessador:
- escopo do tratamento:

## 2. Obrigações de proteção de dados
- tratamento só conforme as instruções documentadas do controlador, vedado o uso dos dados para finalidade própria (art. 39);
- confidencialidade;
- segurança da informação (art. 46);
- subcontratação: lista de suboperadores, aviso prévio de mudança e mesmas obrigações estendidas a eles;
- cooperação com direitos do titular;
- registro das operações realizadas (art. 37).

## 3. Incidentes
- prazo de notificação ao controlador, compatível com a comunicação à ANPD em até 3 dias úteis (Res. CD/ANPD nº 15/2024);
- conteúdo mínimo da notificação;
- responsabilidades de mitigação.

## 4. Transferência internacional
- base legal e mecanismos de salvaguarda;
- mecanismo do art. 33 aplicável a cada destino, escolhido entre:
  - **decisão de adequação** — para a União Europeia, conforme Resolução CD/ANPD nº 32/2026 (dispensa apenas o mecanismo do art. 33 — CPC; base legal, informação ao titular, contrato de operador e garantias do art. 46 permanecem obrigatórios);
  - **cláusulas-padrão contratuais (CPC)** da Resolução CD/ANPD nº 19/2024 — obrigatórias para os demais destinos, sem período de adaptação desde 23/08/2025;
  - cláusulas contratuais específicas, normas corporativas globais ou selos, quando aprovados pela ANPD;
- anexo de CPC incorporado ao contrato, com identificação de versão e data;
- vedação de alteração das CPC que reduza o nível de proteção;
- lista de subprocessadores com país de destino e mecanismo do art. 33 de cada um;
- obrigação do operador de estender as mesmas garantias a subprocessadores de segundo nível;
- procedimento de comunicação prévia ao controlador em caso de mudança de país de hospedagem.

## 5. Retenção e descarte
- regras de devolução/exclusão ao término do contrato.