Subprocessadores

A LGPD diferencia três papéis na cadeia de tratamento de dados. O controlador (art. 5º, VI) toma as decisões sobre o tratamento. O operador (art. 5º, VII) realiza o tratamento em nome do controlador. O suboperador é o terceiro contratado pelo operador, mediante autorização prévia do controlador (art. 39). O Grupo OTB é o controlador dos dados pessoais tratados neste site institucional.

Antes de contratar um operador, avaliamos segurança, conformidade, localização do tratamento, capacidade técnica e financeira, contrato e plano de continuidade. A escolha é documentada e revisada periodicamente.

O contrato com cada operador transfere e detalha as obrigações do art. 39 da LGPD. O operador trata os dados exclusivamente conforme nossas instruções e responde pelas medidas de segurança aplicadas.

Lista pública dos operadores utilizados pelo Grupo OTB neste site institucional. Use a busca e os filtros para localizar por categoria, base legal ou região. Fornecedores identificados como "a ser selecionado" ou com status "planejado" ainda não estão ativos e serão publicados neste diretório antes ou na mesma data de sua ativação.

Produtos específicos do ecossistema podem utilizar subprocessadores adicionais, descritos em seus próprios termos.

Quando um subprocessador trata dados fora do Brasil, aplicamos as salvaguardas do Capítulo V da LGPD e da Resolução CD/ANPD nº 4/2023: cláusulas contratuais específicas, decisão de adequação do país receptor, garantias técnicas do provedor e, quando aplicável, consentimento específico do titular.

Combinamos contrato (DPA), criptografia, segregação lógica e governança para reduzir o risco do tratamento por operadores externos.

Nos termos do art. 42 da LGPD, o controlador e o operador respondem solidariamente pelos danos causados pelo tratamento em violação à legislação de proteção de dados, observadas as hipóteses do art. 43 (ausência de tratamento, observância da lei, culpa exclusiva do titular ou de terceiro). O direito de regresso é assegurado por contrato.

Mesmo quando os dados estão em poder de um operador, o controlador continua responsável por atender os direitos do art. 18 da LGPD. Os pedidos são recebidos pelo Encarregado e encaminhados ao operador na medida do necessário, sem ultrapassar os prazos legais.

Operadores devem notificar o controlador em prazo contratual razoável após detecção de incidente envolvendo dados pessoais. O controlador avalia o risco e, quando aplicável, comunica a ANPD e os titulares afetados conforme o art. 48 da LGPD e a Resolução CD/ANPD nº 15/2024.

Toda inclusão, alteração relevante ou remoção de subprocessador segue o processo abaixo, com publicação prévia nesta página.

Além da publicação pública, é possível solicitar notificação dirigida sobre mudanças no diretório.

Para dúvidas sobre subprocessadores, solicitar informações adicionais ou exercer direitos, fale com o Encarregado. Caso entenda que sua solicitação não foi atendida, você também pode acionar a Autoridade Nacional de Proteção de Dados.

Encarregado (DPO) · LGPD art. 41

Encarregado de Dados do Grupo OTB

Responsável por receber comunicações da ANPD, atender titulares, orientar colaboradores e zelar pelas práticas de proteção de dados do Grupo OTB.

Falar com o DPOSaber mais

Autoridade Nacional de Proteção de Dados (ANPD)

Caso considere que sua solicitação não foi atendida adequadamente, você pode apresentar reclamação à ANPD, autoridade competente para fiscalizar a LGPD no Brasil.

Acessar canal da ANPD

Esta página deve ser lida em conjunto com os demais documentos do Programa de Privacidade do Grupo OTB.

Mantemos histórico de alterações relevantes desta página para garantir transparência e rastreabilidade.