O CRO‑AC contratou uma empresa de tecnologia para desenvolver um sistema de cadastro de profissionais, que inclui a coleta de dados sensíveis. A empresa alega que não é responsável por eventual vazamento, pois apenas cumpre ordens.

Com base nessa situação hipotética e à luz da Lei nº 13.709/2018 (LGPD), assinale a opção correta, quanto à responsabilidade pelo tratamento de dados pessoais.