Domínio 9
Terceiros, fornecedores e cadeia de valor
Requisitos, avaliação e monitoramento aplicados a parceiros, fornecedores e integrações que podem afetar crianças e adolescentes.
Por que este domínio é necessário?
- Reduz o risco de que práticas protetivas internas sejam anuladas por terceiros.
- Sustenta os direitos à privacidade, à segurança e à proteção contra exploração.
- Boa parte da experiência digital depende de integrações e serviços externos.
- Contratos claros facilitam resposta rápida em incidentes.
Direitos relacionados
- Privacidade
- Segurança
- Proteção contra exploração
Objetivos
- Estabelecer requisitos protetivos contratuais.
- Avaliar fornecedores conforme o risco.
- Monitorar a cadeia ao longo da relação.
Capacidades
Capacidades interdependentes que compõem este domínio.
Requisitos contratuais
Em validaçãoCláusulas que estabelecem obrigações protetivas para parceiros e fornecedores.
Abrir capacidadeAvaliação de fornecedores
Em validaçãoAnálise prévia de riscos e capacidades protetivas antes da contratação.
Abrir capacidadeMonitoramento da cadeia
Em validaçãoAcompanhamento contínuo do desempenho protetivo de parceiros e integrações.
Abrir capacidadeEncerramento e transição
Em validaçãoProcedimentos para término de contratos com preservação de direitos e dados.
Abrir capacidade
Práticas esperadas
- Cláusulas padrão de proteção infantojuvenil e de dados.
- Obrigação de comunicação de incidentes.
- Direito de auditoria proporcional ao risco.
- Classificação de fornecedores por risco.
- Questionário de avaliação proporcional.
- Registro da decisão de contratação.
- Rotina de acompanhamento por criticidade.
- Registro de ocorrências e tratativas.
- Escalonamento em caso de descumprimento.
- Plano de devolução ou eliminação de dados.
- Registro formal do encerramento.
- Continuidade dos serviços protetivos essenciais.
Evidências
- Cláusulas contratuais de proteção infantojuvenil
- Questionário de avaliação de fornecedores
- Registro de monitoramento e auditorias
- Plano de transição ou encerramento
As evidências apresentadas são exemplos orientativos. A pertinência e a suficiência devem ser avaliadas considerando porte, setor, risco e contexto da organização.
Indicadores
| Indicador | Objetivo | Cálculo | Periodicidade |
|---|---|---|---|
| Cobertura contratual | Verificar quantos contratos relevantes contêm requisitos protetivos. | Contratos com cláusulas protetivas dividido pelo total de contratos no escopo. | Semestral |
Indicadores sugeridos. As metas devem ser definidas pela organização conforme porte, setor e risco.
Perguntas orientadoras
- Existe uma prática formal documentada?Ver no Assessment
- Há responsável definido?Ver no Assessment
- A prática é aplicada de maneira consistente?Ver no Assessment
- Existem evidências disponíveis?Ver no Assessment
- Os resultados são monitorados?Ver no Assessment
- Há revisão periódica?Ver no Assessment
- Crianças, adolescentes ou seus representantes são considerados?Ver no Assessment
- A alta liderança recebe informações sobre o tema?Ver no Assessment
- Fornecedores e terceiros estão incluídos?Ver no Assessment
- Incidentes geram aprendizado e ajustes?Ver no Assessment
Relação com os níveis de maturidade
Nível 1 · Reativo
Fornecedores avaliados apenas por preço e prazo.
Nível 2 · Estruturado
Cláusulas existem em parte dos contratos.
Nível 3 · Preventivo
Avaliação por risco e monitoramento periódico.
Nível 4 · Proativo e sistêmico
Cadeia gerida com indicadores, auditorias e cooperação em incidentes.
Recursos e referências
- LGPD - operadores e compartilhamento
- ISO/IEC 27001 - fornecedores