O tratamento de dados pessoais por fornecedores, prestadores de serviço e parceiros deverá sempre observar os princípios estabelecidos na LGPD, que são fundamentos essenciais para garantir a privacidade, a proteção e a segurança dos dados dos titulares. São eles:

Finalidade:
O tratamento de dados deve ser realizado para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades.
Os dados só podem ser usados para os objetivos claramente definidos no contrato ou na relação comercial, vedando usos genéricos, ocultos ou abusivos.

Adequação:
O tratamento deve ser compatível com as finalidades informadas ao titular, de acordo com o contexto da atividade.
As operações de tratamento precisam fazer sentido em relação à finalidade. Por exemplo, não se deve coletar dados pessoais ou pessoais sensíveis se não forem necessários para a execução do serviço contratado.

Necessidade:
Limitar o tratamento ao mínimo necessário para a realização de suas finalidades, abrangendo apenas os dados pertinentes, proporcionais e não excessivos.
O fornecedor deve evitar a coleta desnecessária de dados. Se algum dado não for exigido para determinada atividade, ele não deve ser solicitado.

Livre Acesso:
O fornecedor deve garantir aos titulares de dados a consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais.
O titular pode, a qualquer momento, solicitar informações sobre quais dados seus estão sendo tratados e para quais finalidades.

Qualidade dos Dados:
Assegurar que os dados pessoais sejam exatos, claros, relevantes e estejam atualizados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento.
O fornecedor ou parceiro deve manter os dados corretos. Se souber que algum dado está incorreto, deve atualizar ou permitir que o titular o atualize.

Transparência:
Garantir aos titulares informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e seus respectivos agentes de tratamento, observados os segredos comercial e industrial.
O fornecedor deve informar, de forma clara, sobre o tratando dos dados pessoais, para que fim, por quanto tempo, e se há compartilhamento com terceiros.

Segurança:
Deve estabelecer a adoção de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.
É obrigação dos fornecedores e parceiros implementarem sistemas, processos e controles que evitem vazamentos, acessos indevidos e outros incidentes.

Prevenção:
Determinar a adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais.
Além de reagir a incidentes, os fornecedores devem agir proativamente, criando procedimentos e medidas de segurança para evitar que eles ocorram.

Não Discriminação:
Vedar o tratamento de dados pessoais para fins discriminatórios, ilícitos ou abusivos.
É proibido usar dados para práticas discriminatórias, como negação de serviços ou diferenciação baseada em origem, saúde, raça, orientação sexual, religião, etc.

Responsabilização e Prestação de Contas:
O agente de tratamento (fornecedor, parceiro ou prestador) deve demonstrar que adota medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais, bem como da eficácia dessas medidas.
Deve estar apto a provar, por meio de documentos, políticas, relatórios e registros, que cumpre a LGPD. Apenas dizer que cumpre não basta — é necessário demonstrar.