DPA — Data Processing Agreement (Art. 39 LGPD)

Interaction Localization Rule: When locale: pt-BR (or user speaks Portuguese), ALL questions (AskUserQuestion / sk_question), confirmation prompts, and selectable options MUST be translated and presented in Brazilian Portuguese (PT-BR). Any English question text or options in this skill are illustrative examples — NEVER display English questions or options to a Portuguese developer. Internal reasoning, code synthesis, tests, and technical documentation MUST remain in English (except Brazilian statutory compliance documents under .lgpd/).

Contrato entre controlador e operador. Sem cláusulas adequadas, controlador responde pelo operador (Art. 42).

Cláusulas mínimas

1. Identificação das partes e papel de cada uma
2. Objeto — finalidade do tratamento pelo operador
3. Instruções do controlador — operador trata SOMENTE conforme instruções (Art. 39)
4. Confidencialidade — funcionários sob NDA
5. Medidas de segurança — listadas ou referenciadas
6. Sub-operadores — autorização prévia + responsabilidade solidária
7. Auxílio a direitos do titular — operador colabora em DSAR no SLA do controlador
8. Incidentes de segurança — operador notifica controlador imediatamente (recomendado: 24h máx)
9. Devolução/eliminação ao fim do contrato
10. Auditoria — direito do controlador auditar operador
11. Responsabilidade — Art. 42 LGPD aplica
12. Transferência internacional — se houver, cláusulas Res. 19/2024

Template

Ver assets/dpa-template.md.

Vendors comuns e seus DPAs públicos

Vendor	DPA público	Cláusulas BR	Ação
AWS	sim — AWS GDPR DPA + adendo BR	parcial	adotar cláusulas Res. 19/2024
GCP	sim	parcial	mesmo
Datadog	sim	não	exigir adendo BR
Stripe	sim	sim	revisar para LGPD
Discord	termos de serviço	não	considerar contato direto se uso for comercial
Sentry	sim	parcial	exigir adendo

Workflow

1. Liste operadores ativos (input de saas-lgpd-vendor-audit)
2. Para cada um:
   • Existe DPA assinado?
   • Cobre os 12 itens?
   • Inclui transferência internacional se aplicável?
3. Para faltantes: enviar template de DPA
4. Salvar em .lgpd/vendors/{vendor}.md
5. Manter renovação anual em calendário

Status update

## F14 — DPA ✓
- {N} operadores ativos
- {M} com DPA assinado e aderente
- {X} pendentes: {lista}
- Próximo: saas-lgpd-international-transfer