Análise, BI e plataformas de dados

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 28
• Directive 2002/58/EC — ePrivacy for device access
• Regulation (EU) 2023/2854 — Data Act for cloud switching

Quem tem de designar

Fornecedores fora da União que oferecem serviços de análise ou plataformas de dados a clientes da UE. Quando a plataforma apenas processa o que o cliente envia, o fornecedor é um processador; quando enriquece, compara ou treina com dados do cliente, torna-se um controlador para esses fins.

Limiares e isenções

Sem limite. A análise de produtos incorporada na aplicação de um cliente lê e grava nos dispositivos dos usuários finais, o que traz a exigência de consentimento da ePrivacy independentemente da análise do RGPD.

O que deve constar do rótulo

Não físico. A identidade do representante no aviso de privacidade e nos termos de processamento voltados para o cliente, e uma declaração clara sobre o que o fornecedor faz com os dados do cliente para seus próprios fins.

Campos nos marketplaces

Compradores empresariais da UE exigem os termos do Artigo 28, a lista de subprocessadores, a análise de transferência e, desde a Lei de Dados, termos contratuais sobre troca e portabilidade de dados. Compradores do setor público exigem mais.

Documentação a conservar

Registros de processador do Artigo 30(2), acordos de processamento com cada cliente e subprocessador, a designação do Artigo 27, cláusulas contratuais padrão com avaliações de impacto de transferência, procedimentos de retenção e exclusão, e os termos de troca da Lei de Dados.

Normas e ensaios

Não aplicável, embora os clientes exerçam direitos de auditoria e esperem certificações como ISO 27001 ou SOC 2 como evidência de suporte, em vez de conformidade.

Requisitos linguísticos

Documentação do cliente na língua do mercado; avisos para usuários finais na língua dos usuários.

A partir de quando

O representante antes do início do processamento. As disposições de troca da Lei de Dados serão implementadas a partir de setembro de 2025, com taxas de saída retiradas a partir de janeiro de 2027.

Prazo de conservação

Dados do cliente apenas pelo período contratado mais a janela de exclusão acordada, com exclusão verificada na saída.

Em caso de incumprimento

Até €20 milhões ou 4% do faturamento por processamento ilegal, e €10 milhões ou 2% pela falta de representante. O uso de dados do cliente para treinar modelos sem uma base é a falha estrutural recorrente neste setor.

Quem fiscaliza

Autoridades de proteção de dados em toda a União e autoridades nacionais designadas para a Lei de Dados.

Onde está a fronteira

A agregação não anonimiza automaticamente: conjuntos de dados de referência construídos a partir de dados do cliente frequentemente permanecem dados pessoais, e usá-los para os próprios fins do fornecedor necessita de sua própria base e transparência, não apenas uma cláusula contratual.

Perguntas frequentes

Podemos usar dados do cliente para benchmarks?

Apenas com uma base legal própria e transparência para os indivíduos envolvidos. Uma permissão no contrato do cliente não resolve isso.

A coleta de endereços IP é processamento?

Sim. Endereços IP são dados pessoais nas mãos de um serviço que pode vinculá-los a um usuário, o que o Tribunal de Justiça confirmou.