Contrato com empresa de SST: cláusulas de LGPD que importam

Contratos de SST costumam ser detalhados no que se refere a preço, prazo e escopo de serviço — e genéricos no que se refere a dados. A cláusula de proteção de dados aparece em uma página padrão, declara que as partes cumprirão a LGPD, define uma como controladora e outra como operadora, e encerra o assunto.

Este conteúdo trata do contrato — das cláusulas que costumam faltar e das perguntas que elas deveriam responder. Para os critérios de escolha do fornecedor, veja Empresa de SST: 10 critérios técnicos para avaliar o fornecedor. Para os conceitos de controlador, operador e bases legais no contexto ocupacional, veja LGPD na Medicina do Trabalho.

Uma ressalva necessária: o que segue descreve práticas de governança, não modelo jurídico. A redação de cláusulas e a análise do caso concreto cabem ao jurídico e ao encarregado da organização.

Delegar execução não é delegar responsabilidade

A confusão começa numa expectativa razoável: contratei uma empresa especializada, logo o assunto está resolvido. Ela executa os exames, emite os documentos, opera o sistema e transmite os eventos. A empresa contratante passa a acompanhar de longe.

Isso funciona para a execução. Não funciona para a responsabilidade.

As obrigações de saúde ocupacional recaem sobre a organização empregadora — é ela que precisa garantir a elaboração e a implementação do programa de controle médico, custear os procedimentos e responder pelas informações prestadas. O que a NR-7 exige da organização está detalhado em NR-7 comentada: guia do PCMSO e exames ocupacionais.

Em proteção de dados, a lógica é parecida. A contratação distribui tarefas; ela não transfere automaticamente a posição de quem decide finalidades e elementos essenciais do tratamento. E, mesmo quando o fornecedor atua sob instruções, isso não retira da contratante o dever de escolher um prestador adequado e acompanhar o que ele faz. O Guia Orientativo da Autoridade Nacional de Proteção de Dados sobre agentes de tratamento reforça que a qualificação de controlador e operador deve considerar as atividades e decisões efetivamente desempenhadas em cada operação, e não apenas o rótulo atribuído no contrato.

Daí decorre o critério prático que orienta todo o resto deste conteúdo: o contrato precisa descrever o que efetivamente vai acontecer com o dado, e não declarar uma classificação. Uma cláusula que afirma quem é controlador e quem é operador, sem descrever operações, não cria realidade — apenas registra uma opinião das partes sobre um fluxo que ninguém desenhou.

As cláusulas que costumam faltar

A tabela abaixo reúne os pontos que, na prática, geram dúvida depois da assinatura. Ao lado de cada um, a pergunta que o contrato deveria conseguir responder.

Cláusula	Pergunta que ela deveria responder	O que costuma acontecer sem ela
Finalidade e dados tratados	Quais categorias de dados o fornecedor recebe, para qual finalidade e por qual canal?	A contratante envia planilhas com mais campos do que o serviço exige
Instruções documentadas	O que o fornecedor pode fazer sem consultar, e o que exige autorização prévia?	Decisões de tratamento tomadas caso a caso, sem registro
Uso para finalidade própria	O fornecedor usa os dados para benchmark, estatística ou desenvolvimento de produto?	Tratamento com finalidade distinta da contratada, sem conhecimento da contratante
Subcontratação	Quem mais toca no dado, e a contratante precisa aprovar?	Laboratório, hospedagem ou software entram na cadeia sem que ninguém saiba
Acesso e credenciais	Quantas pessoas acessam, com qual credencial, e o que ocorre quando uma delas sai?	Login compartilhado e acessos ativos de ex-funcionários
Incidente de segurança	Em quanto tempo a contratante é acionada e o que precisa receber?	A contratante descobre tarde e sem informação para decidir
Solicitações de titulares	O que o fornecedor faz quando um trabalhador pede acesso aos próprios dados?	Pedido respondido de forma improvisada ou simplesmente parado
Retenção e eliminação	Por quanto tempo cada categoria fica com o fornecedor?	Base ativa indefinidamente, sem critério de descarte
Encerramento	O que é devolvido, o que é eliminado e o que precisa permanecer?	Histórico inacessível ou duplicado entre fornecedor antigo e novo
Auditoria	Como a contratante verifica o que foi contratado?	Nenhuma verificação até que algo dê errado

Nenhum desses itens exige contrato extenso. Exige que as respostas existam por escrito antes da primeira transferência de dados — e não depois do primeiro problema.

Uma cláusula merece comentário à parte, porque é a que mais costuma pegar as partes de surpresa: a de uso para finalidade própria. Bases comparativas entre organizações podem ser úteis, mas envolvem uma finalidade adicional que precisa ser analisada quanto à sua compatibilidade, necessidade e hipótese legal aplicável. O contrato precisa dizer se esse uso ocorre e sob quais condições.

Subcontratação: quem mais toca no dado

Esta é a cláusula que a contratante mais deixa em branco e a que mais amplia a cadeia sem que ninguém perceba.

Uma empresa de SST raramente opera sozinha. Ela costuma trabalhar com laboratório para exames complementares, com clínicas credenciadas em outras cidades, com fornecedor de software de gestão, com hospedagem em nuvem e, às vezes, com contabilidade ou consultoria para a transmissão dos eventos.

Cada um desses participantes pode receber uma parte do dado, embora nem todos necessariamente mantenham relação contratual direta com a empresa contratante.

O que o contrato deveria definir:

Quem são os subcontratados na data da assinatura. Uma lista nominal, ainda que curta, transforma a cadeia em algo verificável. "O fornecedor poderá subcontratar terceiros" não informa nada.

Se a inclusão de novos exige aviso ou aprovação. O contrato pode prever aviso prévio, aprovação ou outro mecanismo de controle compatível com o papel das partes e o risco do tratamento. O importante é que a contratante consiga conhecer e acompanhar mudanças relevantes na cadeia.

Que as obrigações se estendem a eles. Segurança, sigilo, retenção e comunicação de incidente precisam alcançar toda a cadeia, e não apenas o primeiro elo.

Quem responde perante a contratante. Se o incidente ocorre no laboratório ou na hospedagem, quem aciona quem, e em qual ordem.

Onde os dados ficam hospedados. Especialmente quando há transferência internacional envolvida — hipótese que pode ocorrer em plataformas de gestão e que tem regras próprias na LGPD.

Vale notar que essas mesmas perguntas se aplicam quando a Medivo é a contratada. São critérios para avaliar qualquer fornecedor, inclusive nós.

Um caso concreto ajuda a ver o efeito. Uma empresa contrata uma clínica em Maringá e passa a enviar a relação mensal de trabalhadores para agendamento. A clínica encaminha os exames complementares a um laboratório parceiro, que usa um sistema próprio hospedado por terceiros. O resultado volta por e-mail e alimenta uma plataforma de gestão contratada separadamente, que transmite o evento ao eSocial.

São diferentes organizações participando do fluxo do mesmo dado de saúde, embora nem todas mantenham relação contratual direta com a empresa contratante.

Acesso e credenciais: o que definir antes da implantação

A cláusula de acesso costuma existir e ser vaga: "o fornecedor adotará medidas técnicas e administrativas adequadas". A frase repete a lei sem dizer o que será feito.

Quatro definições concretas resolvem a maior parte dos problemas dessa etapa.

Credencial individual, nunca compartilhada. Um login por pessoa permite identificar quem acessou determinada informação. O compartilhamento de credenciais reduz a rastreabilidade e dificulta a apuração de acessos indevidos ou incidentes.

Perfis por função. Quem agenda não precisa do mesmo acesso de quem emite documento; quem transmite o evento não precisa ver resultado clínico. O contrato pode remeter a um documento de perfis anexo, que é mais fácil de atualizar que uma cláusula.

Procedimento de desligamento. Quando alguém sai do fornecedor ou muda de função, o contrato deve prever em quanto tempo o acesso será revogado e quem confirma essa providência. Manter credenciais desnecessárias após desligamento ou mudança de função amplia o risco de acesso indevido.

Registro de acesso. Se há log, por quanto tempo ele fica disponível e se a contratante pode solicitá-lo. Um log mantido por prazo muito curto pode não ser suficiente para uma investigação posterior.

Há um ponto que costuma ser esquecido e vale definição expressa: o acesso da própria contratante ao sistema do fornecedor. Dependendo da configuração da plataforma, o RH pode receber um perfil amplo, com visibilidade sobre informações clínicas que aquela área não precisa ver. A restrição precisa valer nos dois sentidos da relação.

Sobre o que cada área da contratante precisa efetivamente receber, tratamos em Do exame ao ASO: como circulam os dados do trabalhador.

Incidente: prazo de acionamento e conteúdo da comunicação

Em operações terceirizadas de SST, alguns incidentes podem ser detectados primeiro pelo fornecedor, especialmente quando ele opera sistemas, recebe resultados, processa documentos ou transmite eventos. Por isso, o contrato precisa prever um fluxo rápido de comunicação à contratante.

Como a avaliação e a eventual comunicação recaem sobre quem ocupa a posição de controlador, o contrato precisa garantir que a informação chegue rápido o bastante para que essa avaliação seja possível.

Duas definições bastam.

O prazo de acionamento. Contado a partir do conhecimento do fato pelo fornecedor, e curto o suficiente para deixar margem à contratante. Um prazo excessivamente longo no contrato do fornecedor pode comprometer o tempo disponível para que a contratante avalie o incidente e cumpra os prazos regulatórios aplicáveis.

O que a comunicação precisa conter. Descrição do ocorrido, quando foi detectado, quais categorias de dados e quantos titulares podem estar envolvidos, se houve acesso efetivo, quais sistemas e subcontratados participaram, e as medidas já adotadas. Sem esses elementos, a contratante recebe um aviso e não tem como decidir nada.

Vale acrescentar também o dever de cooperação posterior: preservar evidências, disponibilizar logs e apoiar a apuração. Um fornecedor que comunica e depois some deixa a contratante respondendo por um fato que não consegue reconstruir.

Encerramento: o que volta, o que fica e o que se elimina

Contratos de SST podem durar anos, e a troca de fornecedor é um momento especialmente sensível da relação. Sem previsão contratual adequada, podem surgir dificuldades na transição de documentos, acessos, históricos, bases operacionais e obrigações de conservação.

Aqui existe uma tensão real que precisa ser reconhecida: nem tudo pode ser eliminado ao fim do contrato. Prontuários ocupacionais e outros documentos de saúde estão sujeitos a regras próprias de conservação, custódia e responsabilidade profissional. Uma cláusula que determine "eliminação de todos os dados em 30 dias" pode conflitar com essas obrigações.

Por isso o encerramento precisa separar categorias em vez de tratar tudo como um bloco:

Categoria	Destino usual	O que definir no contrato
Documentos ocupacionais (ASO, PCMSO, relatórios)	Devolução à contratante, em formato utilizável	Prazo, formato e se há custo pela extração
Prontuário clínico	Conservação conforme as regras aplicáveis, com responsabilidade médica sobre o prontuário e deveres de guarda da organização	Quem é o responsável pela custódia e como o histórico é acessado depois
Registros de transmissão ao eSocial	Devolução dos recibos e comprovantes	O que a contratante precisa para demonstrar o cumprimento no período
Base operacional e cópias de trabalho	Eliminação comprovada	Prazo, forma de comprovação e alcance sobre backups
Acessos e credenciais	Revogação imediata nos dois sentidos	Quem executa e quem confirma

Os registros de transmissão também merecem definição contratual. São eles que permitem à contratante demonstrar o que foi informado, quando e com qual conteúdo — assunto tratado em LGPD e eSocial SST: S-2210, S-2220 e S-2240 na prática.

A linha dos backups também merece atenção. Eliminação em sistema ativo é simples; em rotina de backup, os dados podem permanecer por semanas até o ciclo se completar. Uma cláusula realista reconhece isso e define o prazo em que o expurgo se conclui, em vez de exigir algo tecnicamente impossível.

E vale pensar no cenário de saída desde a entrada. A pergunta útil antes de assinar é simples: se esta relação terminar em três anos, a empresa consegue levar o histórico consigo em formato utilizável, ou vai depender da boa vontade do fornecedor?

Auditoria: como verificar o que foi contratado

Cláusulas de auditoria podem existir sem definir como a verificação ocorrerá, com que frequência ou a partir de quais evidências. Quando isso acontece, o direito de auditoria corre o risco de permanecer apenas no papel.

Uma abordagem proporcional funciona melhor que o direito amplo e inerte:

Verificação documental periódica. Uma vez por ano, o fornecedor responde a um questionário curto: lista atualizada de subcontratados, quem tem acesso, mudanças de hospedagem, incidentes ocorridos no período, política de retenção vigente. É uma medida proporcional e pode revelar boa parte das informações relevantes para o acompanhamento.

Relatório de acessos sob demanda. A contratante pode solicitar, com prazo definido, o registro de quem acessou determinado conjunto de informações. Útil especialmente quando há suspeita ou reclamação.

Auditoria aprofundada em hipóteses definidas. Após incidente relevante, diante de indício concreto ou por exigência de autoridade. Definir as hipóteses evita a discussão sobre se cabe ou não cabe no momento em que ela mais atrapalha.

Se o fornecedor possui certificação de segurança ou relatório de auditoria independente, aceitá-los como evidência reduz o esforço das duas partes — desde que o escopo do certificado cubra o serviço efetivamente contratado, e não outra operação da mesma empresa.

O que não se terceiriza

Existe uma diferença entre delegar a execução de uma tarefa e delegar o julgamento sobre ela. A primeira é o motivo de contratar; a segunda cria um vácuo que nenhum contrato preenche.

Quatro coisas permanecem com a organização contratante, independentemente do quanto ela terceirize.

A decisão sobre finalidade. Para que os dados dos trabalhadores são coletados, o que será feito com eles e o que não será. O fornecedor executa dentro do escopo; ele não define o escopo.

A escolha e o acompanhamento do fornecedor. Selecionar quem trata dados sensíveis dos seus trabalhadores é ato da contratante, e acompanhar se o contratado cumpre o combinado também. Um fornecedor inadequado não é problema exclusivo dele.

A leitura do que chega. Relatórios, pendências, prazos vencidos e alertas técnicos precisam de alguém na contratante que os leia e decida. Quando ninguém lê, o serviço vira produção de documento sem consequência.

A comunicação com o trabalhador. Ele é empregado da contratante. Quando pede acesso aos próprios dados, questiona uma restrição ou reclama de um encaminhamento, a resposta institucional vem de quem o emprega, ainda que a informação técnica venha do fornecedor.

Há um sintoma que costuma indicar quando esse limite foi ultrapassado: a contratante não consegue responder, sem ligar para o fornecedor, perguntas básicas sobre a própria operação — quantos exames estão vencidos, quais eventos foram transmitidos no mês, onde está o PCMSO vigente.

Depender do fornecedor para executar é normal. Depender dele para saber o que está acontecendo é outra coisa.

Checklist em quatro momentos

O que muda entre um momento e outro não é a lista de temas, e sim quem consegue responder. Antes da proposta, a contratante responde sozinha; na negociação, o fornecedor responde; depois, os dois verificam.

Momento	Pergunta	Situação esperada
Antes da proposta	Quais dados a contratante precisa enviar para que o serviço funcione?	Lista definida internamente, sem campos por conveniência
Antes da proposta	Quem, dentro da contratante, vai acessar o sistema do fornecedor?	Perfis por função definidos antes da implantação
Antes da proposta	Quem responde internamente pelo contrato no dia a dia?	Responsável nomeado, com o encarregado ciente
Negociação	Quem são os subcontratados e onde os dados ficam hospedados?	Lista nominal e regra para inclusão de novos
Negociação	Em quanto tempo a contratante é acionada em caso de incidente?	Prazo curto e conteúdo mínimo da comunicação definidos
Negociação	O fornecedor usa os dados para finalidade própria?	Resposta expressa no contrato, seja qual for
Negociação	O que acontece com cada categoria no encerramento?	Devolução, guarda e eliminação separadas por tipo
Implantação	As credenciais são individuais dos dois lados?	Nenhum login compartilhado, nem no fornecedor nem na contratante
Implantação	Os acessos concedidos correspondem aos perfis definidos?	Conferência feita antes da primeira transferência de dados
Implantação	O fluxo de transmissão ao eSocial está definido?	Origem do dado, quem valida, quem transmite e onde fica o recibo
Gestão contínua	A lista de acessos foi revisada no último ano?	Revisão periódica, com remoção de desligados
Gestão contínua	Houve mudança de subcontratado ou de hospedagem?	Comunicação recebida e registrada
Gestão contínua	A contratante consegue responder sobre a própria operação sem ligar para o fornecedor?	Relatórios acompanhados por alguém com autonomia para decidir

Erros comuns

Decidir apenas por preço. Serviços de SST têm custo técnico. Uma proposta muito abaixo das demais costuma indicar escopo menor, estrutura enxuta ou terceirização não declarada — e essa última amplia a cadeia de dados sem que ninguém saiba. A comparação de propostas é tratada em Empresa de SST: como comparar preços e propostas.

Usar cláusula genérica de LGPD. Uma página declarando que as partes cumprirão a lei não responde a nenhuma pergunta prática. O valor da cláusula está na especificidade, não na extensão.

Declarar papéis sem descrever operações. Definir quem é controlador e quem é operador sem dizer o que cada um faz registra uma opinião, não um fluxo.

Deixar a subcontratação em aberto. É a cláusula que mais amplia a cadeia e a que mais fica genérica.

Compartilhar credenciais. Vale para os dois lados. Sem credencial individual, a rastreabilidade fica comprometida e a apuração posterior pode se tornar muito mais difícil.

Aceitar prazo longo de acionamento em incidente. Um prazo folgado no contrato do fornecedor consome o prazo de quem responde perante a autoridade e os titulares.

Tratar o encerramento como assunto do futuro. A troca de fornecedor é um momento especialmente sensível da relação e precisa ser prevista para evitar dificuldades com documentos, acessos, históricos e obrigações de conservação.

Terceirizar a leitura. Receber relatório não é acompanhar. Quando ninguém na contratante lê o que chega, o serviço vira produção de documento sem consequência.

Perguntas frequentes

Contratar uma empresa de SST transfere a responsabilidade da contratante?

Não automaticamente. A contratação distribui a execução de tarefas, mas as obrigações de saúde ocupacional recaem sobre a organização empregadora, e a posição de quem decide finalidades e elementos essenciais do tratamento não muda por cláusula. O contrato define quem faz o quê; ele não redefine sozinho quem responde.

Basta incluir uma cláusula de LGPD no contrato?

Uma cláusula genérica declarando que as partes cumprirão a lei não define subcontratação, acessos, prazo de acionamento em incidente, retenção nem encerramento. O que dá utilidade à cláusula é ela descrever o que efetivamente vai acontecer com o dado em cada uma dessas situações.

A empresa contratante precisa aprovar os subcontratados do fornecedor?

Não há um único arranjo correto. O contrato pode prever aprovação, aviso prévio ou outro mecanismo de controle sobre a inclusão de novos participantes na cadeia. O importante é que a contratante consiga conhecer os participantes relevantes e que as obrigações de segurança, sigilo e comunicação de incidente alcancem toda a cadeia.

O que acontece com os prontuários quando o contrato termina?

Prontuários têm prazos próprios de conservação e permanecem sob a responsabilidade profissional aplicável, o que os distingue dos documentos administrativos devolvidos à contratante. Por isso o encerramento precisa separar categorias: o que é devolvido, o que permanece sob guarda e o que é eliminado com comprovação.

Em quanto tempo o fornecedor deve comunicar um incidente?

O contrato deveria fixar um prazo curto, contado do conhecimento do fato, e deixar margem suficiente para que a contratante avalie e cumpra os prazos que recaiam sobre ela. Além do prazo, vale definir o conteúdo mínimo da comunicação — sem os elementos básicos, a contratante recebe um aviso e não tem como decidir nada.

Como verificar se o fornecedor cumpre o que foi contratado?

Uma verificação documental periódica costuma revelar a maior parte do que interessa: lista atualizada de subcontratados, quem tem acesso, mudanças de hospedagem, incidentes do período e política de retenção vigente. Auditoria aprofundada faz sentido em hipóteses definidas — após incidente relevante ou diante de indício concreto.

Conclusão: o contrato descreve o que vai acontecer

Boa parte dos problemas de proteção de dados em operações de SST não nasce de má-fé nem de falha técnica. Nasce de perguntas que ninguém fez antes de assinar — e que só aparecem quando um resultado vai para o destinatário errado, quando um ex-funcionário ainda tem acesso, ou quando o contrato termina e o histórico fica preso no sistema de outra empresa.

Nada disso exige contrato extenso. Exige que o documento descreva o que efetivamente vai acontecer com o dado: quem toca, com qual credencial, por quanto tempo, o que ocorre em caso de incidente e o que sobra no encerramento.

E exige reconhecer o que não se delega. A escolha do fornecedor, a decisão sobre finalidade, a leitura do que chega e a comunicação com o trabalhador continuam sendo da organização contratante — por melhor que seja quem ela contratou.

Para os critérios de avaliação técnica do fornecedor, continue em Empresa de SST: perguntas e sinais de alerta antes de contratar. Para o tratamento de dados de saúde na rotina ocupacional, veja LGPD na Medicina do Trabalho: como proteger dados de saúde.

Se sua empresa está revisando a contratação de serviços de saúde ocupacional ou organizando o fluxo de dados com o fornecedor atual, a equipe da Medivo pode apoiar esse trabalho, em Maringá e região.

Fontes e referências

• Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD), especialmente arts. 5º, 6º, 11, 33 a 37, 39 e 42 a 50
• Autoridade Nacional de Proteção de Dados (ANPD) — Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado
• Autoridade Nacional de Proteção de Dados (ANPD) — Resolução CD/ANPD nº 15/2024 — Regulamento de Comunicação de Incidente de Segurança
• Norma Regulamentadora nº 7 (NR-7) — Programa de Controle Médico de Saúde Ocupacional (PCMSO)
• eSocial — Manual de Orientação do eSocial, versão vigente na data desta publicação
• Conselho Federal de Medicina — normas aplicáveis a prontuário, sigilo e guarda documental
• Lei nº 13.787/2018 — digitalização, utilização de sistemas informatizados e guarda de prontuários de pacientes

Leia também

• Empresa de SST: 10 critérios técnicos para avaliar o fornecedor
• Empresa de SST: perguntas e sinais de alerta antes de contratar
• LGPD na Medicina do Trabalho: como proteger dados de saúde
• LGPD e eSocial SST: S-2210, S-2220 e S-2240 na prática
• Do exame ao ASO: como circulam os dados do trabalhador