Contrato SaaS: acesso, dados, disponibilidade e encerramento

Para a fornecedora de software, um plano comercial não pode prometer tudo que a plataforma talvez faça. Para a empresa contratante, o preço mensal não esclarece sozinho implantação, integrações, suporte e acesso aos dados na saída. O roteiro compara esses pontos para uma negociação concreta.

O que a assinatura permite acessar?

Identifique produto, módulos, ambiente, número e perfil de usuários, armazenamento, limites de uso e integrações incluídas. Esclareça se implantação, migração e treinamento são contratados à parte, com marcos de entrega próprios. Registre a versão da proposta e dos termos aceitos, além da regra de prevalência entre documentos.

A Lei 9.609/1998 trata da licença de uso de programa de computador. A assinatura de um serviço em nuvem não significa aquisição automática de código-fonte ou transferência da titularidade do software. Customização, desenvolvimento específico e componentes de terceiros merecem descrição própria. No desenvolvimento contratado, confira também a regra de titularidade do art. 4º da Lei 9.609/1998 e eventual estipulação em contrário; ela não se confunde com a assinatura do software preexistente.

Como expor usuários, preço e exclusões?

No celular, deslize a tabela para ver todas as colunas. Pelo teclado, foque a tabela e use as setas.

Defina ciclo de cobrança, reajuste, acréscimos e procedimento de suspensão. A autorização de débito recorrente não deve substituir informação sobre aumento de escopo. Suspensão, redução de recursos e alteração unilateral precisam ser avaliadas conforme o contrato, a boa-fé e eventual regime de consumo; uma cláusula ampla não resolve toda hipótese. Ter CNPJ não exclui automaticamente o CDC: examine destinação do serviço e eventual vulnerabilidade.

Como medir disponibilidade e suporte?

Um percentual de disponibilidade é incompleto sem período, função medida, ponto de observação, fórmula, fonte de registros e tratamento de manutenção e eventos externos. Diferencie indisponibilidade do produto, lentidão e falha na internet do usuário. Defina como o cliente comunica incidente e acompanha o resultado.

A distinção técnica entre indicador, objetivo e acordo de nível de serviço ajuda a desenhar a medição. O contrato deve esclarecer consequências de descumprimento, prazo de solicitação e evidência necessária. Crédito de assinatura não deve ser apresentado como solução exclusiva válida para todo dano. A validade da distribuição de riscos depende do regime, da negociação e do fato concreto.

Também separe suporte ao uso do produto de administração da infraestrutura da contratante. A obrigação de atender não é sempre obrigação de resolver qualquer incidente em prazo fixo. Quando houver serviço próprio de gestão de ambiente, o contrato de suporte de TI exige um mapa específico de chamados e acessos.

Disponibilidade, resposta e solução medem coisas diferentes

Disponibilidade, no indicador por tempo deste exemplo, mede a proporção do intervalo elegível em que a função esteve utilizável; resposta mede o marco de atendimento combinado para um chamado; solução mede a restauração ou o encerramento técnico pactuado. Registre separadamente os três indicadores. O indicador (SLI) é a medida, o objetivo (SLO) é a meta e o acordo (SLA) estabelece as condições e consequências, conforme a referência técnica do Google SRE; essas expressões não decidem uma indenização.

Exemplo fictício: considere um mês-calendário de 30 dias com serviço previsto 24 horas por dia: 43.200 minutos. Suponha que o ajuste exclua expressamente 60 minutos de manutenção programada, sem sobreposição com a falha. Restam 43.140 minutos elegíveis; com 30 minutos de indisponibilidade nesse intervalo, o cálculo é (43.140 − 30) ÷ 43.140 × 100 = 99,9305%, aproximadamente. Outra janela ou exclusão muda o resultado. A exclusão de manutenção é apenas uma premissa de cálculo, sem avaliação de sua validade jurídica. A conta não demonstra, sozinha, descumprimento, crédito, multa ou dever de indenizar.

Quem decide e quem executa o tratamento de dados?

Mapeie categorias de dados, finalidades, instruções, acessos e terceiros envolvidos. Pela LGPD e pelo guia orientativo da ANPD, o papel de controlador ou operador depende das decisões e atividades efetivas. Uma empresa pode ter papéis diferentes em operações distintas; o rótulo fornecedora SaaS não basta.

• Registrar instruções para o tratamento e quem pode alterá-las.

• Definir acessos, medidas de segurança e apoio ao atendimento de titulares.

• Examinar subcontratação, localização e eventual transferência internacional de dados.

• Organizar aviso do operador ao controlador sem demora injustificada e apoio diante de incidente; a comunicação legal à ANPD e aos titulares, quando exigida, cabe ao controlador.

Cláusula contratual, política de privacidade e prática operacional precisam ser coerentes. A portabilidade de dados pessoais dos titulares e a exportação empresarial de todo o banco de dados são questões diferentes. Saiba mais sobre LGPD para empresas.

O que acontece com os dados e o acesso no encerramento?

Combine aviso, data de corte, janela de acesso, formato de exportação, conteúdo incluído, metadados e eventual custo de auxílio à migração. Testar uma exportação durante a relação ajuda a revelar dependências; isso não garante compatibilidade com qualquer sistema futuro. Defina quem confere os arquivos e quando conclui a transição.

O término não autoriza prometer eliminação instantânea de todo registro nem retenção indefinida por conveniência. A LGPD disciplina término e conservação nas hipóteses do art. 16, além das medidas de segurança. É preciso distinguir dados de produção, cópias de segurança e registros sujeitos a obrigação de guarda, informando o procedimento aplicável.

Para analisar uma falha ou rescisão, reúna proposta, termos aceitos e versões, registros de implantação, chamados, relatórios de disponibilidade, notificações e testes de exportação. Um print da tela de erro pode ajudar, mas não substitui o histórico necessário para reconstruir causa e consequência.

Perguntas frequentes

Pagar a assinatura me torna dono do software?

Não automaticamente. A assinatura normalmente organiza acesso e uso. Titularidade, customização e eventual entrega de código dependem do objeto e das regras aplicáveis, inclusive da Lei 9.609/1998.

SLA de 99,9% garante que o sistema nunca falhará?

Não. É necessário definir período, função, forma de medir, exclusões e consequências. O percentual isolado não demonstra cumprimento nem resolve toda responsabilidade.

A fornecedora SaaS é sempre operadora na LGPD?

Não. Os papéis dependem das decisões e atividades em cada tratamento. O contrato deve refletir esse mapa e não atribuir uma função apenas pelo nome do serviço.

Fontes e alcance deste guia

Fontes oficiais e primárias consultadas para esta edição. As orientações gerais não substituem análise do contrato, dos fatos e das normas aplicáveis à operação.

• Lei 9.609/1998, arts. 4º e 7º a 11 — Titularidade, licença e obrigações próprias.

• LGPD, arts. 5º, 16, 18, 39 e 46 a 49 — Papéis, conservação e segurança.

• ANPD — Guia dos agentes de tratamento, versão 2.0 — Orientação não vinculante; papéis pela atividade efetiva.

• Google Cloud — SLI, SLO e SLA — Referência técnica primária, sem definir consequência jurídica brasileira.

• STJ — pessoa jurídica e relação de consumo — Enquadramento depende da destinação e da vulnerabilidade no caso concreto.

• ANPD — comunicação de incidente de segurança — Dever do controlador e informação pelo operador, sem demora injustificada.

Documentos para uma análise do contrato

Reúna a proposta, o instrumento e anexos, as alterações aceitas, os comprovantes de execução e as comunicações relevantes. A revisão de contratos empresariais examina esse conjunto para delimitar obrigações, riscos e alternativas no caso concreto.