Cláusulas de segurança em contratos de TI: como redigir

Para redigir contratos com fornecedores de TI, inclua cláusulas objetivas de proteção de dados, SLA com métricas e auditoria. A Simples Solução TI estrutura contratos de suporte e infraestrutura para empresas no Rio de Janeiro e São Paulo, reduzindo riscos e garantindo conformidade com a LGPD.

• Exija SLA com métricas mensuráveis (MTTR, disponibilidade) e penalidades escalonadas.
• Inclua cláusula de resposta a incidentes com prazo de notificação em até 24 horas.
• Vincule o pagamento à conformidade comprovada por auditoria e evidências técnicas.

Quais cláusulas de segurança não podem faltar em contratos de TI?

Cinco cláusulas são obrigatórias para transferir risco de forma controlada: confidencialidade, dever de segurança, resposta a incidentes, auditoria e restrição de subcontratação. Omitir qualquer uma delas deixa o contratante sem instrumento para cobrar o fornecedor após um vazamento ou interrupção. Essas cláusulas devem citar tecnologias e prazos concretos, não apenas exigir "boas práticas".

Veja o risco de omitir cada uma dessas cláusulas:

• Confidencialidade e proteção de dados: impede o fornecedor de usar dados do cliente para finalidade diversa. Sem essa cláusula, o fornecedor pode reutilizar informações em benchmarking ou treinar modelos sem autorização.
• Dever de segurança com tecnologias nomeadas: exige firewall, antivírus, criptografia e backup. Sem especificar ferramentas, o fornecedor pode alegar que "melhor esforço" é suficiente.
• Resposta a incidentes com prazos: obriga notificação em até 24 horas após detecção. Sem prazo, o cliente descobre vazamento pela imprensa.
• Auditoria e conformidade: garante acesso a relatórios e evidências. Sem auditoria, o cliente não tem como provar descumprimento.
• Subcontratação e localização de dados: controla terceiros e país onde dados são armazenados. Sem cláusula, o fornecedor pode transferir dados para fora do Brasil sem consentimento.

A Simples Solução TI inclui esse bloco em contratos de segurança de dados e suporte para clientes no Rio de Janeiro e São Paulo.

Como transformar SLA e métricas em obrigações contratuais executáveis?

SLA executável exige três elementos: métrica mensurável, meta numérica e penalidade proporcional atrelada à fatura. Sem esses três, o fornecedor pode descumprir sem consequência financeira. O contrato também precisa indicar a fonte de medição e o responsável pela auditoria.

A tabela abaixo mostra exemplos de métricas para contratos de suporte, backup e infraestrutura. Os valores servem como referência de negociação, não como padrão universal.

O que torna a penalidade executável

Essas penalidades precisam constar como desconto automático ou crédito na fatura seguinte. A auditoria pode usar relatórios do GLPI ou Zabbix para comprovar disponibilidade e tempo de resposta. A Simples Solução TI aplica esses parâmetros no service desk para contratos B2B.

Como incluir a LGPD sem transferir responsabilidade indevida ao fornecedor?

O contrato deve definir quem é controlador e quem é operador, listar bases legais para cada tratamento e estipular prazo de notificação de incidentes. Transferir toda a responsabilidade para o fornecedor é ilegal: o controlador continua responsável perante a ANPD. A cláusula certa aloca obrigações proporcionais ao papel de cada parte.

Siga estes quatro passos para redigir a cláusula sem criar risco desnecessário:

• Passo 1: Defina controlador e operador. O cliente (controlador) decide a finalidade e os meios do tratamento; o fornecedor (operador) trata dados apenas sob instrução documentada. Sem essa definição, ambos podem responder solidariamente em incidente de segurança.
• Passo 2: Liste as bases legais por categoria de dado. Use execução de contrato (art. 7º, V da LGPD) para dados de funcionários do cliente; obrigação legal (art. 7º, II) para retenções fiscais; legítimo interesse (art. 7º, IX) apenas após teste de proporcionalidade. Não use consentimento para dados de colaboradores, porque pode ser revogado e invalidar o tratamento.
• Passo 3: Especifique obrigações do operador: seguir instruções, manter registro de operações, aplicar medidas de segurança como firewall, criptografia e backup. Exija conformidade com a ISO 27001 como referência desejável, mas não obrigatória.
• Passo 4: Estabeleça notificação de incidente em até 24 horas após detecção, comunicação ao encarregado do controlador e cooperação com a ANPD. Sem esse prazo, o controlador descumpre o art. 48 da LGPD, que exige comunicação em tempo razoável.

A Simples Solução TI aplica essas definições em contratos de consultoria de TI e segurança de dados para empresas no Rio de Janeiro e São Paulo.

Que cláusulas previnem problemas com subcontratação e serviços em nuvem?

Exija aprovação prévia por escrito para qualquer subcontratação e mantenha o fornecedor principal como responsável único perante o contrato. Para serviços em nuvem, o contrato precisa especificar onde os dados serão armazenados e quem pode acessá-los.

• Aprovação prévia: subcontratado só entra depois de autorização formal do cliente, com identificação da empresa e do escopo.
• Termo de confidencialidade: subcontratado assina cláusulas de sigilo e deve obedecer ao mesmo SLA.
• Direito de auditoria: cliente pode auditar subcontratado sem aviso prévio em caso de incidente, e com aviso de 30 dias em situações rotineiras.
• Localização de dados: dados devem permanecer em datacenters no Brasil ou em país com decisão de adequação da ANPD, salvo exceção justificada.
• Inventário trimestral: fornecedor deve enviar lista atualizada de subcontratados e provedores cloud a cada trimestre.
• Substituição: cláusula permite exigir troca de subcontratado que descumpra segurança, sem custo adicional ao cliente.

Na contratação de cloud computing, exija que provedores como AWS, Azure ou Google Cloud sejam classificados como operadores, não controladores. O contrato deve obrigar o fornecedor a notificar qualquer mudança de região ou subcontratado em até 5 dias úteis.

Como auditar e aplicar penalidades quando o fornecedor descumpre segurança?

Aplique penalidades apenas depois de definir gatilhos objetivos de auditoria no contrato. Incidente de segurança confirmado, descumprimento de SLA crítico e mudança não aprovada de subcontratado são gatilhos que justificam auditoria imediata.

• Incidente de segurança confirmado ou suspeita de vazamento de dados pessoais.
• Descumprimento de SLA por dois meses consecutivos.
• Notificação da ANPD sobre irregularidade no tratamento de dados LGPD
• Subcontratação sem aprovação prévia.
• Troca de provedor cloud sem comunicação formal.

Para tornar a penalidade executável, use retenção de pagamento proporcional ao prejuízo e crédito automático na fatura seguinte. A retenção só vale se o contrato prever percentual ou valor por dia de atraso. Ela nunca deve ser usada como punição por atraso de pagamento.

Cláusula de substituição

Inclua cláusula que permite rescindir o contrato sem multa se o fornecedor descumprir segurança de forma grave ou reincidente. O fornecedor deve garantir transição assistida por 30 dias, com exportação de dados em formato aberto.

Em um cenário típico, uma clínica de saúde com 25 funcionários contrata suporte de TI e backup. O contrato prevê auditoria semestral. Se o backup não for recuperável no teste, o cliente pode reter a parcela mensal do serviço até a correção.

Como a Simples Solução TI aplica essas cláusulas em contratos B2B no Rio e São Paulo?

A Simples Solução TI já opera com esse modelo contratual em contratos B2B no Rio de Janeiro e em São Paulo. A empresa aceita cláusulas de auditoria, define subcontratados em anexo técnico e responde por incidentes com prazos claros. O atendimento é nacional e remoto.

• Contrato com anexo técnico: lista subcontratados, provedores cloud e localização dos dados.
• Direito de auditoria: cliente pode auditar processos e infraestrutura com agendamento prévio, sem custo extra.
• SLA executável: metas de disponibilidade e tempo de resposta, com crédito automático em caso de descumprimento.
• Cláusula de substituição: aceita encerramento sem multa se houver descumprimento grave e reincidente, com transição assistida.

Para empresas de 10 a 50 funcionários, a Simples Solução TI fornece suporte de TI, backup, firewall e cloud computing sob esse mesmo contrato. Isso permite que o cliente tenha um único responsável pela segurança, sem precisar gerenciar subcontratados.

A empresa atende exclusivamente empresas com CNPJ e operação profissional, tipicamente de 10 a 50 funcionários. Não atende pessoa física, MEI ou uso doméstico. O orçamento sai após diagnóstico, pois o valor depende do número de usuários, volume de dados, SLA e equipamentos.

Perguntas frequentes

Como exigir que o fornecedor cumpra SLA de segurança sem virar briga jurídica?

Inclua no contrato uma cláusula de penalidade progressiva atrelada à fatura mensal, como desconto automático por hora de indisponibilidade acima da meta. Se o fornecedor contestar, exija relatório de monitoramento com logs datados para comprovar o descumprimento. Caso a indisponibilidade ultrapasse 10% do mês, rescinda o contrato sem multa — exceção apenas para falhas causadas por caso fortuito ou ação direta da sua empresa.

O que fazer quando o fornecedor terceiriza parte do serviço sem informar?

Notifique formalmente o fornecedor exigindo a lista completa de subcontratados e o escopo de cada um. A cláusula deve prever aprovação prévia por escrito para qualquer subcontratação; sem isso, considere a terceirização não autorizada como infração grave. Exceção: se o subcontratado for essencial para a continuidade e não houver alternativa no mercado, aceite apenas com responsabilidade solidária do fornecedor principal.

Como redigir cláusula de LGPD sem transferir toda responsabilidade para minha empresa?

Defina no contrato os papéis de controlador e operador para cada operação de dados, listando a base legal correspondente. Exija que o fornecedor notifique sua empresa em até 24 horas sobre qualquer incidente de segurança que afete dados pessoais. Caso o fornecedor descumpra a LGPD, a cláusula deve prever obrigação de indenizar, mas sem transferir a responsabilidade de controlador que sua empresa mantém perante a ANPD.

Qual penalidade incluir para atraso na notificação de incidentes de segurança?

Estipule multa diária progressiva a partir da hora em que o fornecedor teve ciência do incidente, limitada a um percentual do valor mensal do contrato. Se o atraso ultrapassar 48 horas, permita rescisão motivada sem multa para sua empresa. Exceção: se o fornecedor comprovar que a notificação foi impossibilitada por falha de comunicação externa, a penalidade pode ser suspensa mediante evidências.

Quando posso rescindir contrato de TI por falha de segurança sem pagar multa?

Rescinda sem multa quando houver reincidência de descumprimento grave de cláusula de segurança, como vazamento de dados ou indisponibilidade acima do acordado. Inclua no contrato a definição objetiva de 'descumprimento grave' para evitar interpretação subjetiva. Exceção: falhas isoladas corrigidas em prazo acordado não justificam rescisão, apenas aplicação da penalidade proporcional.

Como auditar o fornecedor de TI sem invadir a operação dele?

Agende auditoria técnica com aviso prévio de 30 dias e escopo definido por escrito, focando nos controles de segurança do contrato. Exija relatórios mensais automatizados de métricas de SLA para reduzir a necessidade de auditorias presenciais. Se o fornecedor recusar acesso a logs ou evidências, considere isso violação contratual e aplique as penalidades previstas.

A Simples Solução TI aceita incluir cláusulas de segurança personalizadas em contratos B2B?

Contrate a Simples Solução TI para redigir ou revisar cláusulas de segurança em contratos de suporte, infraestrutura e cloud B2B no Rio de Janeiro e São Paulo. A empresa já opera com modelo contratual que inclui SLA, LGPD e auditoria, sem custo adicional de redação. Exceção: contratos fora do escopo B2B ou envolvendo desenvolvimento sob medida são encaminhados a parceiros.