DOCSP 08/10/2026 - Diario Oficial da Cidade de Sao Paulo - Edicao 257

TEXTO OFICIAL · ÍNTEGRA

quinta-feira, 08 de outubro de 2026

608 – São Paulo, 71 (257)────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────quinta-feira, 08 de outubro de 2026

Incluem-se nesta obrigação o cumprimento de determinações de órgãos reguladores e/ou fiscalizadores relativos à matéria.

Quando requerido pela CONTRATANTE ou pela Autoridade Nacional de Proteção de Dados (ANPD), a CONTRATADA deverá colaborar com a elaboração de Relatório de Impacto à Proteção de Dados Pessoais (RIPD), fornecendo informações técnicas e operacionais necessárias à sua confecção.

O MUNICÍPIO, na qualidade de Controlador, é responsável por definir as finalidades e os meios do tratamento de dados pessoais. A CONTRATADA, na qualidade de Operadora, deverá seguir estritamente as instruções documentadas do MUNICÍPIO e implementar medidas técnicas e administrativas aptas a proteger os dados pessoais, conforme o art. 39 da LGPD.

Tratamento pela CONTRATADA em Nome do MUNICÍPIO: Caso a execução do objeto contratual envolva o tratamento de dados pessoais pela CONTRATADA em nome e por conta do MUNICÍPIO (atuando como Operadora), a CONTRATADA deverá:

Seguir estritamente as finalidades e instruções documentadas do MUNICÍPIO.

manter registro atualizado das operações de tratamento realizadas no âmbito deste contrato, incluindo categoria de dados, base legal, finalidades, medidas de segurança aplicadas e prazos de retenção, disponibilizando tais informações à CONTRATANTE quando solicitado.

Cooperar com o MUNICÍPIO para responder às solicitações dos titulares e às fiscalizações da Autoridade Nacional de Proteção de Dados (ANPD).

Notificar o MUNICÍPIO em até 24 (vinte e quatro) horas sobre qualquer incidente de segurança envolvendo os dados tratados sob este contrato.

Garantir por si própria ou quaisquer de seus empregados, prepostos, sócios, diretores, representantes ou terceiros contratados, a confidencialidade, integridade e segurança dos dados, conforme exigido pela LGPD, não podendo a CONTRATADA utilizar os dados pessoais para outros fins, com exceção daqueles adstritos à execução do objeto do presente contrato.

A CONTRATADA deverá assegurar que seus funcionários, colaboradores e terceirizados com acesso a dados pessoais recebam treinamentos adequados sobre proteção de dados, privacidade e sigilo, compatíveis com a criticidade das informações tratadas.

Observar as hipóteses de tratamento determinadas pelo MUNICÍPIO para o tratamento dos dados pessoais, abstendo-se de coletar dados ou solicitar consentimento de titulares sem prévia e expressa autorização do MUNICÍPIO.

A CONTRATADA deverá eliminar quaisquer dados pessoais recebidos em decorrência deste CONTRATO sempre que determinado pela CONTRATANTE e, com expressa anuência da CONTRATANTE, nas seguintes hipóteses:

os dados se tornarem desnecessários;

término de procedimento de tratamento específico para o qual os dados se faziam necessários;

A CONTRATADA não poderá transferir dados pessoais tratados no âmbito deste contrato para fora do território nacional sem prévia e expressa autorização da CONTRATANTE, devendo, quando aplicável, atender aos requisitos do art. 33 da LGPD.

Permitir a realização de auditorias pela CONTRATANTE e pelos órgãos de controle competentes, mediante aviso prévio e preservação de informações confidenciais, disponibilizando as evidências necessárias à comprovação do cumprimento das obrigações previstas nesta cláusula.

Ao término do contrato, proceder à devolução ou eliminação segura dos dados, conforme instrução do MUNICÍPIO, no prazo máximo de 10 (dez) dias úteis, ressalvadas as hipóteses legais de guarda.

Ocorrendo qualquer descumprimento das obrigações previstas nesta cláusula, inclusive incidentes de segurança, a CONTRATADA deverá notificar formalmente a CONTRATANTE no prazo máximo de 24 (vinte e quatro) horas a contar da ciência do fato.

Na ocorrência de incidente de segurança no âmbito da execução do contrato, a CONTRATADA deverá, além da notificação formal prevista na Cláusula 10.4, encaminhar à CONTRATANTE, no prazo de até 24 (vinte e quatro) horas a contar da ciência do incidente, relatório contendo, no mínimo, as seguintes informações:

data e hora da detecção do incidente e, quando possível, da ocorrência;

descrição da natureza do incidente e dos dados pessoais afetados, especificando, quando aplicável, se envolveu dados sensíveis ou de crianças e adolescentes;

quantidade de titulares afetados, ainda que estimada;

descrição das possíveis consequências do incidente;

medidas técnicas e administrativas já implementadas para conter ou mitigar os efeitos do incidente;

medidas corretivas e preventivas planejadas ou em curso;

identificação e dados para contato do encarregado pelo tratamento de dados pessoais (DPO) da CONTRATADA, ou do responsável técnico designado para acompanhar a ocorrência junto à CONTRATANTE.

As informações referidas nos incisos da subcláusula 10.3.11 deverão ser atualizadas continuamente, à medida que novos dados forem obtidos ou medidas forem adotadas.

A CONTRATADA deverá prestar todo o suporte técnico, jurídico e administrativo necessário à CONTRATANTE para a eventual comunicação do incidente à Autoridade Nacional de Proteção de Dados (ANPD), aos titulares afetados, bem como a outros órgãos competentes, conforme previsto no art. 48 da Lei nº 13.709/ 2018.

A CONTRATADA compromete-se a cooperar com a CONTRATANTE no atendimento tempestivo e adequado às solicitações dos titulares de dados pessoais, nos termos do art. 18 da Lei nº 13.709/2018 (LGPD), exclusivamente mediante requisição formal da CONTRATANTE.

A CONTRATADA deverá viabilizar, no prazo máximo de 5 (cinco) dias úteis a contar do recebimento da requisição da CONTRATANTE, o fornecimento de todas

──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────── Publicado em https://diariooficial.prefeitura.sp.gov.br com assinatura eletrônica qualificada Arquivo Publico Municipal | Rol registrado no processo 6013.2026/0008157-1 protocolo 166588155, CRC A150BFC6