A resposta fundamenta-se nos incisos VI e VII do artigo 5º da LGPD (Lei nº 13.709/2018):

Art. 5º Para os fins desta Lei, considera-se:

VI - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

VII - operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

Quem é o "dono" das regras e finalidades? Controlador.

Quem põe a "mão na massa" executando as ordens do controlador? Operador.

Como a Câmara Municipal definiu as instruções e as finalidades do tratamento da base de dados dos seus servidores, ela exerce a figura de Controladora. Como a empresa contratada apenas hospeda e processa esses dados seguindo as instruções dadas pela Câmara, ela atua estritamente como Operadora.