Contrato de suporte de TI: chamados, acessos, responsabilidades e saída

A empresa abre um chamado de sistema parado; a prestadora responde, identifica que a falha depende de terceiro e aguarda uma decisão. Sem regras e registros, cada parte passa a contar o prazo de modo diferente. Este guia é voltado à contratação e gestão de suporte, cujo objeto difere do simples acesso a um produto SaaS.

Qual ambiente e quais serviços estão cobertos?

Comece por inventário: unidades, equipamentos, usuários, redes, sistemas, serviços de nuvem e versões relevantes. Registre estado inicial e pendências conhecidas. Descreva atendimento remoto ou presencial, horários, franquias, visitas e trabalho extraordinário. Implantação, migração, projeto de rede e desenvolvimento devem aparecer separadamente se contratados.

Defina o que está fora do preço e como solicitar orçamento adicional. A exclusão precisa ser compreensível e coerente com o serviço vendido; o CNPJ do cliente não afasta sozinho eventual incidência do CDC; não basta chamar de terceiro toda falha que a prestadora não quer tratar. Também é necessário distinguir o suporte contratado da assinatura e licença de um produto SaaS.

Quem abre chamados e autoriza alteração?

No celular, deslize a tabela para ver todas as colunas. Pelo teclado, foque a tabela e use as setas.

Se uma intervenção puder interromper operação ou alterar dados, estabeleça análise e autorização compatíveis com o risco e procedimento de emergência. Não compartilhe contas pessoais como atalho contratual. O fato de alguém ter aberto um chamado não prova que podia aprovar qualquer compra, apagar dados ou alterar a infraestrutura.

Como separar resposta, contorno e solução?

Prazo de resposta indica quando começa o atendimento ou a comunicação definida. Contorno é medida provisória; solução é o encerramento técnico do problema. O contrato deve esclarecer horário de contagem, prioridade, dependências, atualização de status e evidência de eventual pausa. Uma resposta automática pode não cumprir o marco que foi prometido.

Defina objetivo, medição e consequência sem oferecer prazo impossível de controlar para qualquer incidente. A atuação de fornecedor de internet, fabricante ou outro prestador pode ser dependência real, mas precisa ser documentada e acompanhada. Uma exclusão genérica de responsabilidade por terceiros não decide todas as situações. Registre tentativa, diagnóstico, escalonamento e retorno, protegendo informação confidencial.

Como registrar a janela e a prova do indicador

Separe o indicador efetivamente medido (SLI), sua meta (SLO) e o acordo com condições e consequências (SLA). Uma meta de resposta a chamados não equivale à disponibilidade do sistema. Se o suporte também assumir monitoramento de disponibilidade, defina qual função será observada, por qual fonte de registros e com quais exclusões; essa distinção segue a referência técnica do Google SRE.

Exemplo fictício de atendimento: a janela combinada é das 9h às 18h, de segunda a sexta, sem feriados no recorte, excluídos os demais horários. Um chamado aberto na sexta às 17h45 recebe resposta na segunda às 9h15: decorreram 30 minutos dentro da janela, embora tenham passado 63 horas e 30 minutos no relógio. A solução concluída às 11h da segunda tem outro marco e outra contagem. Preserve abertura, classificação, resposta, solução e motivo de cada pausa. A janela e as exclusões são premissas de cálculo, sem avaliação de sua validade jurídica. O exemplo não determina que uma meta foi cumprida nem que existe penalidade.

Para calcular um percentual de disponibilidade com período e exclusões informados, veja o exemplo do contrato SaaS ou a calculadora aritmética de disponibilidade. A obrigação de suporte e suas consequências precisam ser lidas no contrato concreto.

Quem fornece licenças, equipamentos e cópias de segurança?

Informe quem contrata licenças, renova assinaturas, compra peças e aprova fornecedores. Verifique se a prestadora apenas acompanha uma rotina de cópia de segurança ou efetivamente a executa, monitora e testa. Cópia concluída e restauração validada são registros diferentes; não prometa recuperação de dados só porque existe uma tarefa agendada.

A Lei 9.609/1998 rege direitos e licença de software; o contrato de suporte não concede por si só direito de copiar ou instalar qualquer programa. Subcontratação também precisa de escopo e controles: quem acessará, com qual autorização, como acompanhar o trabalho e como tratar sigilo e dados.

Como organizar dados, acesso e incidentes?

A LGPD inclui acesso entre as operações de tratamento de dados pessoais e exige medidas de segurança adequadas. Mapear usuários, categorias de dados e finalidades é anterior à redação da cláusula. Conforme o guia da ANPD, controlador e operador são definidos pela atuação efetiva; não classifique toda prestadora de TI da mesma maneira.

Organize permissões limitadas, registro de acessos, canais seguros para credenciais e comunicação de incidentes. Defina apoio à investigação e preservação de evidências sem apagar registros necessários ou distribuir dados desnecessários. O operador deve informar o incidente ao controlador sem demora injustificada e prestar o apoio devido. A comunicação legal à ANPD e aos titulares, quando exigida, cabe ao controlador; o acordo não transfere esse dever legal. O guia de LGPD para empresas aprofunda a governança geral.

Como transferir informações e revogar acessos no término?

• Conferir inventário, documentação e chamados abertos, com pendências explícitas.

• Identificar contas, chaves, tokens, certificados e acessos concedidos ao prestador.

• Entregar as informações e os arquivos que o contrato e os direitos envolvidos permitam, por canal seguro.

• Programar revogação e troca de credenciais sem interromper a transição indevidamente.

• Definir destino de cópias e registros, respeitando obrigações legais e segurança.

O distrato precisa distinguir valor discutido, serviço concluído e transição. Nem a falta de pagamento autoriza qualquer bloqueio técnico, nem o término impõe entrega irrestrita de todos os métodos e ativos próprios da prestadora. A solução depende do contrato e do regime aplicável. Guarde histórico de chamados, aprovações, relatórios e notificações para uma análise concreta.

Perguntas frequentes

Responder ao chamado equivale a resolver o problema?

Não. Resposta, contorno e solução são etapas diferentes. O contrato deve definir cada marco, sua forma de medir e o tratamento das dependências.

O suporte inclui cópia de segurança automaticamente?

O escopo precisa dizer se a prestadora executa, monitora e testa cópias e restauração ou apenas orienta o cliente. A existência de backup não garante recuperação em qualquer incidente.

O que precisa ser revogado na saída da prestadora?

Os acessos concedidos para o serviço, incluindo contas, chaves e permissões, devem ser inventariados e tratados na transição. A revogação deve ser segura e documentada, junto da entrega de informações devida.

Fontes e alcance deste guia

Fontes oficiais e primárias consultadas para esta edição. As orientações gerais não substituem análise do contrato, dos fatos e das normas aplicáveis à operação.

• Código Civil, arts. 421, 422, 473 e 593 e seguintes — Escopo, boa-fé e término da prestação.

• LGPD, arts. 5º, 39 e 46 a 49 — Tratamento, instruções e segurança.

• ANPD — Guia dos agentes de tratamento, versão 2.0 — Papéis funcionais, sem classificação pelo nome TI.

• Lei 9.609/1998, art. 9º — Licença de uso de programa de computador.

• STJ — pessoa jurídica e relação de consumo — Enquadramento depende da destinação do serviço e da vulnerabilidade no caso concreto.

• ANPD — comunicação de incidente de segurança — Dever do controlador e informação pelo operador, sem demora injustificada.

Documentos para uma análise do contrato

Reúna a proposta, o instrumento e anexos, as alterações aceitas, os comprovantes de execução e as comunicações relevantes. A revisão de contratos empresariais examina esse conjunto para delimitar obrigações, riscos e alternativas no caso concreto.