Resposta direta
A contratação só avança quando cada fluxo de dado pessoal que a automação executa tem base declarada, com responsável nomeado e registro no contrato. Sem isso, a decisão correta é restringir o escopo ou não contratar. Na prática, o anexo de dados do contrato lista os fluxos, a base aplicável, quem a declarou e a data. A automação não cria a base; ela executa o que a área já decidiu e documentou. Quando a base não existe, o caminho é reduzir o escopo até o ponto em que o dado pessoal deixa de ser necessário para a operação.
- Objetivo
- Orientar avaliação e contratação
- Formato indicado
- Workshop executivo
- Atualizado em
O que esta página acrescenta: Desloca a discussão do fornecedor para o fluxo de dado: a base declarada vira condição de escopo do contrato, com responsável nomeado por fluxo.
O que o anexo de dados precisa nomear por fluxo
O ponto de partida é a lista de fluxos de dado pessoal que a automação executa. Cada fluxo recebe a base aplicável, o responsável pela declaração e a data. Essa lista entra como anexo do contrato, com a mesma redação usada no inventário de dados da área.
Se a área não tem inventário, o primeiro entregável é a lista, não a assinatura. Contratar antes disso deixa a discussão de escopo presa a uma descrição genérica de serviço, sem ligação com o dado que a automação lê, grava ou envia.
Quando a base não está declarada
Há três saídas quando a base não está declarada: declarar a base e nomear o responsável; reduzir o escopo até o dado pessoal sair do fluxo; ou não contratar aquele trecho. A escolha é da área que responde pelo tratamento, com registro da decisão.
Reduzir escopo costuma significar trocar identificadores por agregados, restringir campos e mover a etapa de identificação para um sistema que já tem base declarada. O que não se sustenta é deixar a automação em produção e tratar a declaração como pendência administrativa.
O que essa verificação não resolve
A verificação não cria a base nem julga se a base declarada é adequada. Ela checa se existe declaração, com responsável e data. A avaliação jurídica sobre adequação é outro trabalho, feito por quem tem competência para isso.
A lista também envelhece. Cada nova integração, campo ou fornecedor muda o conjunto de fluxos, e a declaração anterior deixa de cobrir o que passou a ser tratado. Fora do escopo ficam os tratamentos feitos pela mesma área sem automação, que seguem a mesma exigência e não são resolvidos por este contrato.
Recurso prático
Cobertura de base declarada por fluxo
CBD = (FBD ÷ FDP) × 100
- FBD
- fluxos
- Fluxos de dado pessoal executados pela automação que têm base declarada, responsável nomeado e data de declaração no anexo do contrato.
- FDP
- fluxos
- Total de fluxos de dado pessoal que a automação executa na versão de escopo em avaliação.
- FSB
- fluxos
- Fluxos sem base declarada, obtidos por FDP menos FBD; é a lista que o responsável pela área precisa resolver antes da assinatura.
O erro mais comum é medir por sistema ou por fornecedor, e não por fluxo. Uma automação com muitos fluxos e poucos declarados aparece coberta no cálculo agregado. A medição também perde validade a cada mudança de escopo, então o número precisa carregar a data e a versão de escopo a que se refere.
Sobre o que está escrito aqui
Conceitos relacionados: base declarada · fluxo de dado pessoal · anexo de dados do contrato · responsável pela declaração · redução de escopo. Exemplos são ilustrativos. Não há cliente, resultado, preço, prazo ou certificação nesta página. Quando o formato indicado é Workshop executivo, ele descreve uma possibilidade de trabalho — a conversa inicial avalia contexto e aderência.
Para continuar
- Governança e controle de automação — Página central do tema
- Acessos excessivos de robôs: desenho do perfi… — acessos excessivos
- Privilégios de automação: como medir o excess… — acessos excessivos
Páginas relacionadas
O mesmo problema em outro objetivo
- Dado pessoal em automação: onde falta base declarada — Diagnosticar
- Automação com dado pessoal sem base declarada: o que comparar — Comparar alternativas
Outras leituras em Governança e controle de automação
- Log sem assinatura: o que medir para confiar no registro — O que medir quando o log não tem assinatura de integridade: corroboração por fontes independentes, teste do registro e grau de confiança de cada evento.
- Segredo em texto no fluxo: onde ele aparece e quem responde — Onde senhas, tokens e chaves ficam em texto no fluxo, quem responde por cada ponto e como o processo de guarda, troca e revogação se sustenta.
- Incidente sem causa raiz: como medir mesmo assim — Indicadores para medir incidentes de automação quando a causa raiz ainda não foi identificada, com base em exposição, tempo e recorrência.
- Automação fora do inventário: onde ela entra no processo — Um processo para receber automações criadas fora do inventário: triagem, dono, critério de entrada e data de regularização, com o que fica de fora.
- Fluxo de quem saiu da empresa: como reorganizar a automação — Processo para levantar automações sem responsável após uma saída, definir dono, revisar credenciais e decidir o que manter ou desligar.