Uma grande rede de comércio varejista (controladora) contratou uma empresa especializada em tecnologia da informação (operadora) para realizar o processamento e o armazenamento do banco de dados de seus clientes. Sem o conhecimento da rede varejista, a empresa de tecnologia descumpriu as diretrizes de segurança combinadas e efetuou o tratamento dos dados em total desconformidade com as instruções lícitas fornecidas e com as normas legais, o que resultou no vazamento de informações sensíveis e causou danos morais e materiais aos consumidores. Em razão do incidente, um grupo de clientes ingressou com uma ação judicial de reparação de danos.
Com base na situação hipotética apresentada e nas regras relativas aos agentes de tratamento de dados pessoais e às responsabilidades previstas na Lei Geral de Proteção de Dados Pessoais (LGPD), assinale a opção correta.