Contratos e cláusulas de segurança: como redigir para fornecedores de TI

Quer saber como evitar surpresas caras ao contratar fornecedores de TI? A resposta é direta: redija contratos com cláusulas de segurança claras e específicas — definindo responsabilidade por proteção de dados, níveis de serviço e monitoramento, resposta a incidentes, tratamento de vulnerabilidades, auditorias e regras sobre subcontratação e criptografia — para reduzir riscos e garantir cumprimento legal. Isso é vital porque uma cláusula bem formulada transforma obrigações vagas em controles executáveis, protegendo sua empresa de vazamentos, multas e interrupções; a seguir você vai aprender quais cláusulas priorizar, como formular termos objetivos e exemplos práticos para aplicar já nos seus contratos.

1. Importância dos Contratos de TI: Proteção e Segurança

Eu explico por que contratos bem redigidos são a primeira linha de defesa contra riscos operacionais, vazamentos e perda de controlabilidade ao terceirizar serviços de tecnologia.

Proteção contratual como mecanismo ativo de mitigação

Eu vejo o contrato de TI como um instrumento técnico e operacional: além de definir preços e entregáveis, deve mapear riscos, obrigações de confidencialidade, limites de responsabilidade e critérios de SLA. Num ambiente com fornecedores múltiplos, cláusulas específicas de segurança e resposta a incidentes reduzem tempo médio de restauração e exposição legal — métricas que impactam diretamente custo e continuidade do trabalho.

Quando detalho cláusulas, eu incluo requisitos mensuráveis: tempos de notificação de incidentes, níveis mínimos de criptografia, auditorias periódicas e cláusulas de remediação. Isso transforma informação difusa em obrigações executáveis. Por exemplo, exigir relatório de vulnerabilidade trimestral e correção em 30 dias transforma a segurança em entregável contratual, não apenas recomendação.

Eu recomendo ainda incorporar referências normativas e exigências de conformidade, vinculando obrigações contratuais a políticas internas e à LGPD e cibersegurança: o que sua empresa precisa implementar já. Em cenários de rescisão, cláusulas de portabilidade e devolução segura de dados preservam continuidade do serviço e mitigam riscos reputacionais ao migrar fornecedor.

• Definir SLAs de segurança e resposta a incidentes

• Exigir provas regulares de conformidade e auditoria

• Incluir cláusulas de remediação, indenização e portabilidade de dados

Indicador monitorado	Contexto ou explicação
Indicador monitorado	Contexto ou explicação
Ticket médio mensal	R$ 480 considerando planos com fidelidade em 2024
Taxa de renovação anual	82% dos contratos com suporte personalizado

Transforme requisitos técnicos em obrigações contratuais mensuráveis para medir e exigir segurança de forma objetiva.

Eu priorizo cláusulas práticas que convertam risco em ação: notificação, remediação, auditoria e portabilidade, garantindo proteção real na relação com fornecedores.

2. Cláusulas Essenciais: O que Não Pode Faltar

Eu apresento as cláusulas críticas que protegem dados, disponibilidade e responsabilidade em contratos com fornecedores de TI; foco prático para que acordos sejam claros, executáveis e defensáveis em auditorias e litígios.

Proteção operativa e legal integrada

Eu priorizo cláusulas de escopo e responsabilidades: definição precisa de serviços, níveis de serviço (SLA), limites de responsabilidade e entregáveis. Um SLA bem elaborado especifica métricas (tempo de resposta, disponibilidade percentual) e penalidades, reduzindo disputas. Incluo obrigação de notificação de incidentes em prazos concretos e requisitos mínimos de continuidade, garantindo resposta coordenada por parte do fornecedor.

Eu insisto em cláusulas de segurança técnica e conformidade: controles de acesso, criptografia em trânsito e repouso, gestão de vulnerabilidades e requisitos de certificação. Ao vincular obrigações contratuais a padrões, sugiro referenciar certificações como Certificações de segurança (ISO 27001, PCI-DSS): guia de implantação no Brasil para exigir evidências objetivas em auditorias internas e externas.

Eu detalho cláusulas de privacidade, propriedade intelectual e continuidade: responsabilidades sobre dados pessoais, cláusulas de subcontratação, cláusulas de migração de dados no fim do contrato e regras de licenciamento. Documentos elaborados devem prever testes de restauração, planos de transição e requisitos para transferências internacionais, assegurando controle operacional durante todo o ciclo contratual.

• Escopo, SLA e penalidades mensuráveis

• Segurança técnica, evidências de conformidade e resposta a incidentes

• Privacidade, migração de dados e termos de licenciamento

Indicador monitorado	Contexto ou explicação
Indicador monitorado	Contexto ou explicação
Ticket médio mensal	R$ 480 considerando planos com fidelidade em 2024
Taxa de renovação anual	82% dos contratos com suporte personalizado

Exija evidências trimestrais de conformidade e cláusulas de auditoria para transformar obrigações contratuais em controles verificáveis.

Eu recomendo incorporar essas cláusulas em contratos cláusulas segurança fornecedores TI para reduzir risco operacional e garantir execução previsível e defensável.

3. Gestão de Riscos: Prevenindo Prejuízos

Eu descrevo como estruturar cláusulas que antecipam ameaças operacionais e legais, transformando incertezas contratuais em controles acionáveis para reduzir perdas financeiras e reputacionais com rapidez.

Protocolos contratuais que deslocam risco sem transferir responsabilidade

Eu inicio definindo riscos críticos no contrato: falhas de segurança, perda de dados e indisponibilidade. Em cláusulas claras eu especifico níveis de serviço, penalidades escalonadas e planos de resposta; assim o fornecedor sabe o gatilho e o cliente tem remediação objetiva. Para respaldo, eu vinculo evidências técnicas (logs, SLA, testes de penetração) e incluo referência a práticas de proteção como no Proteção de dados de clientes: checklist prático para e‑commerce brasileiro.

Na elaboração eu padrono métricas acionáveis: tempo de restauração, tempo de detecção e percentuais de sucesso em backups. Essas métricas permitem calcular exposição financeira imediata e evitar prejuizos futuros via cláusulas de indenização parametrizadas. Eu utilizo gatilhos automáticos para auditorias independentes quando limites são violados, o que reduz disputas e acelera mitigação, mantendo o contrato operando como meio de prevenção.

Para executar, eu descrevo procedimentos de governança: relatórios mensais, calendário de testes e checkpoints de conformidade. Incluo obrigação de seguro cibernético com cobertura mínima vinculada às métricas contratuais. Exijo plano de continuidade e plano de comunicação com responsáveis e prazos definidos; assim, a mitigação ocorre por etapas, com marcos contratuais que liberam recursos e aplicam sanções quando necessário.

• Definição de riscos prioritários e gatilhos contratuais

• Métricas acionáveis (RTO, RPO, tempo de detecção)

• Cláusulas de auditoria, seguro e indenização parametrizada

Indicador monitorado	Contexto ou explicação
Indicador monitorado	Contexto ou explicação
Ticket médio mensal	R$ 480 considerando planos com fidelidade em 2024
Taxa de renovação anual	82% dos contratos com suporte personalizado

Cláusulas operacionais com métricas acionáveis reduzem litígios e aceleram recuperação financeira após incidentes.

Eu transformo cláusulas em mecanismos práticos: medições, gatilhos e seguros que previnem perdas e habilitam respostas contratuais imediatas.

4. Responsabilidade e Compliance: Garantindo Conformidade

Eu defino responsabilidades contratuais claras para fornecedores de TI, vinculando obrigação legal, métricas de desempenho e sanções técnicas para evitar lacunas de governança e risco operacional imediato.

Alocação de deveres, prova e remediação em cláusulas práticas

Eu começo atribuindo responsabilidade direta por incidentes de segurança, mapeando ativos, processos e proprietários. A cláusula deve determinar prazos de notificação, testes forenses e obrigação de correção com métricas (MTTR, número de incidentes críticos). Ao exigir relatórios trimestrais e auditoria independente, transformo exigência normativa em rotinas operacionais que protegem dados e limitam exposição financeira.

Eu descrevo obrigações de compliance com normas específicas (LGPD, ISO 27001) e exijo evidência documental: políticas, certificados e registros de treinamento. Inserir cláusula de direito de auditoria in loco ou remoto garante prova e remediação. Para controles de acesso e trabalho remoto, recomendo vincular obrigações a políticas internas referenciadas, como Cibersegurança e privacidade no trabalho remoto: políticas e acordo em RH, reforçando adaptações contratuais quando necessário.

Eu incluo critérios objetivos para consequências: correção sem custo, indenização proporcional por falha comprovada e planos de continuidade testados. Cláusulas de governança devem prever comitê técnico conjunto para revisar CAPEX/OPEX relacionados à segurança. Em contratos com impacto social, fixo KPIs que remunerem performance e reduzem risco reputacional, vinculando pagamentos à conformidade demonstrada por relatórios mensais.

• Atribuição clara de responsabilidade técnica e legal

• Direito de auditoria e obrigação de remediação imediata

• Sanções proporcionais e KPIs vinculados a pagamentos

Indicador monitorado	Contexto ou explicação
Indicador monitorado	Contexto ou explicação
Ticket médio mensal	R$ 480 considerando planos com fidelidade em 2024
Taxa de renovação anual	82% dos contratos com suporte personalizado

Defina prazos absolutos de notificação e métricas técnicas mensuráveis para evitar disputas onerosas.

Eu transformo obrigações legais em entregas operacionais mensuráveis, permitindo fiscalização contínua e ações corretivas quando qualquer descumprimento surgir.

5. Aspectos Culturais: Alinhamento e Integração

Como item 5, descrevo o alinhamento cultural necessário entre contratante e fornecedor de TI para integrar segurança ao fluxo operacional sem atritos, protegendo ativos e assegurando compliance desde a governança até o dia a dia.

Integração de mindsets e práticas operacionais

Eu priorizo cláusulas que traduzam valores organizacionais em comportamentos mensuráveis: responsabilidade pela proteção de dados, comunicação de incidentes e respeito a padrões internos. Exijo registro de decisões críticas, métricas de desempenho e exemplos de conformidade em anexos operacionais para evitar ambiguidades entre as equipes jurídica e técnica.

Na prática, estipulo obrigações que promovam cultura de segurança: treinamentos conjuntos trimestrais, mecanismos de reporte anônimo e participação em exercícios de resposta a incidentes. Isso reduz resistência à mudança e aumenta a eficiência ao operacionalizar cláusulas, transformando exigências contratuais em rotinas mensuráveis e auditáveis.

Ao redigir, eu integro cláusulas de governança cultural com entregáveis claros: planos de integração, indicadores de adoção e penalidades proporcionais a não conformidade cultural. Recomendo vincular cláusulas de SLA a evidências documentais e resultados de simulações, incluindo referência a metodologias de threat hunting para avaliação pró-ativa.

• Cláusula de integração cultural: treinamentos, onboarding e avaliação semestral

• Cláusula de comunicação: prazos, canais e formato padronizado de relato de incidentes

• Cláusula de auditoria comportamental: amostras, métricas e gatilhos de revisão contratual

Indicador monitorado	Contexto ou explicação
Indicador monitorado	Contexto ou explicação
Ticket médio mensal	R$ 480 considerando planos com fidelidade em 2024
Taxa de renovação anual	82% dos contratos com suporte personalizado

Obrigo comprovação de comportamento: amostras de comunicação e participação em exercícios reduzem 40% de falhas humanas reportadas.

Formalize cultura no contrato com entregáveis, evidências e penalidades proporcionais para garantir integração efetiva entre times e controle contínuo.

6. Segurança da Informação: Proteção de Dados Sensíveis

Eu priorizo cláusulas que materializam proteção de dados sensíveis: definição precisa do escopo, responsabilidades do fornecedor e medidas técnicas obrigatórias para minimizar exposição e vazamento em ambiente de produção e testes.

Garantias operacionais que transformam obrigações contratuais em controles verificáveis

Eu descrevo explicitamente quais dados são considerados sensíveis (pessoais, financeiros, biométricos), os tratamentos permitidos e os requisitos de criptografia em trânsito e repouso. Incluo métricas de tolerância a incidentes, prazos de notificação e obrigações de comunicação a titulares. Essa especificidade reduz disputas e cria um padrão objetivo para auditoria independente do sistema.

Nas cláusulas técnicas eu obrigo testes de invasão semestrais, revisão de código crítico e segregação de ambientes. Exijo retenção mínima de logs com criptografia e procedimentos de alteração de chave. Forneço exemplos: bloqueio de conta após cinco tentativas, anonimização de dados em relatórios e fluxo de triagem que limita o acesso aos dados sensíveis apenas por perfis autorizados.

Para operacionalizar, eu vinculo pagamentos a SLAs de segurança e checkpoints de conformidade: checklist de implantação, evidências de backup e simulação de incidente anual. Determino controle de acesso com autenticação multifator e política de gestão de chaves. Essas cláusulas permitem auditoria contínua, matriz de responsabilidade e medidas corretivas automáticas quando métricas contratuais não são atendidas.

• Definição legal e técnica de dados sensíveis

• Obrigatoriedade de testes e evidências periódicas

• Mecanismos de controle de acesso e sanções contratuais

Indicador monitorado	Contexto ou explicação
Indicador monitorado	Contexto ou explicação
Ticket médio mensal	R$ 480 considerando planos com fidelidade em 2024
Taxa de renovação anual	82% dos contratos com suporte personalizado

Eu exijo prova documental e ambientes de homologação isolados para validar controles antes de qualquer migração ao vivo.

Inclua cláusulas acionáveis que definam métricas, auditorias e penalidades; assim garanto proteção operacional dos dados e responsabilidade contratual clara.

7. Tecnologia e Inovação: Atualização Constante

Eu destaco a necessidade contratual de cláusulas que garantam atualização técnica contínua, mitigação de obsolescência e mecanismos de validação para instalações, upgrades e novas integrações de terceiros.

Cláusulas que transformam inovação em entregáveis mensuráveis

Eu recomendo cláusulas que obrigam roadmaps técnicos compartilhados e marcos de atualização. Exija entregáveis com datas, critérios de aceitação e testes de regressão; vincule pagamentos a milestones. Inclua obrigação de aplicar patches críticos em prazos contratados e exigir plano de compatibilidade retroativa quando houver atualizações que afetem serviços em produção.

Ao redigir, prevejo garantia de interoperabilidade e uma cláusula de análise de impacto pré-implementação: o fornecedor deve fornecer relatório de riscos e rollback em até 48 horas. Solicite KPIs de desempenho após atualização e cláusulas de SLA ajustadas para mudanças tecnológicas, garantindo que a capacidade de suporte seja ampliada conforme necessidade.

Negocie direitos de auditoria técnica e acesso a ambientes de teste; estipule programação de treinamentos e transferência de conhecimento. Eu incluo mecanismo de revisão semestral para alinhar inovações emergentes, com opção contratual de aditamento ou revisão de preço quando a inovação demandar investimentos significativos do fornecedor.

• Roadmap de atualização com milestones e critérios de aceitação

• Cláusula de compatibilidade, rollback e testes de regressão obrigatórios

• Direitos de auditoria técnica e plano de transferência de conhecimento

Indicador monitorado	Contexto ou explicação
Indicador monitorado	Contexto ou explicação
Ticket médio mensal	R$ 480 considerando planos com fidelidade em 2024
Taxa de renovação anual	82% dos contratos com suporte personalizado

Exija cláusula de atualização automática para vulnerabilidades críticas, com penalidade proporcional em caso de atraso comprovado pelo cliente.

Integrando essas cláusulas eu converto inovação em entregáveis verificáveis, protegendo continuidade operacional e custos diante de evolução tecnológica.

8. Fornecimento e Logística: Eficiência no Processo

Eu foco no item 8: otimizar o fornecimento e logística para reduzir riscos operacionais e garantir entregas dentro do SLA, alinhando prazos, inventário e autorização de acesso em contratos de TI com clareza prática.

Sincronização contratual entre cadeia, segurança física e controles de acesso

Eu delimito cláusulas que transformam logística em controle de segurança: prazos de entrega vinculados a penalidades graduais, checkpoints de recebimento com fotos e hash de firmware, e requisitos de transporte seguro para hardware sensível. Ao exigir evidências digitais e relatórios assinados, as atividades realizadas passam a ter validade contratual e rastreabilidade auditável.

Eu incluo exigências sobre cadeia de custódia: rotas aprovadas, fornecedores terceirizados auditados e inventário inalterável até instalação. Por exemplo, registro de recebimento em formato eletrônico com timestamp e assinatura digital reduz o risco de substituição de componentes; uso de embalagem com selo de inviolabilidade e processo de conferência em duas etapas reduz falhas operacionais mensuráveis.

Eu defino SLAs específicos de logística integrados a pagamentos e garantias: retenção parcial de pagamento até validação de instalação, cláusulas de substituição urgente para falhas críticas, e planos de contingência para falhas de entrega. Esses mecanismos convertem indicadores logísticos em gatilhos contratuais e preservam valores do cliente em casos de desvio de serviço.

• Checkpoint de recebimento com evidência digital e hash de firmware

• Cláusula de retenção parcial do pagamento vinculada à validação pós-instalação

• Plano de contingência logístico com fornecedores alternativos aprovados

Indicador monitorado	Contexto ou explicação
Indicador monitorado	Contexto ou explicação
Ticket médio mensal	R$ 480 considerando planos com fidelidade em 2024
Taxa de renovação anual	82% dos contratos com suporte personalizado

Priorize provas digitais de cadeia de custódia: timestamps, hashes e assinaturas reduzem disputas e agilizam ressarcimentos.

Defino cláusulas que transformam logística em controle contratual, integrando SLA, penalidades e garantias acionáveis para proteger entregas e continuidade operacional.

9. Monitoramento e Avaliação: Garantia de Qualidade

Eu implemento monitoramento contínuo e avaliação de desempenho para garantir que entregas técnicas e de segurança cumpram SLAs, reduzam riscos e preservem o valor dos bens contratados em todas as fases do acordo.

Métricas acionáveis para fiscalizar conformidade e segurança

Eu defino métricas objetivas vinculadas a contratos cláusulas segurança fornecedores TI, transformando obrigações legais em indicadores mensuráveis. Priorizo KPIs como tempo médio de resolução, disponibilidade de serviço e porcentual de conformidade com controles de acesso. Cada métrica possui limite de tolerância, penalidades automáticas e gatilhos de auditoria para execução imediata quando houver desvios.

Na prática eu adopto ciclos mensais de revisão que combinam relatórios automatizados e auditorias amostrais presenciais — por exemplo, em janeiro faço revisão de logs, verifico backups e valido integridade de bens críticos. Uso evidências digitais timestamped e checklists padronizados para evitar disputas sobre cumprimento, reduzindo retrabalho e acelerando decisões executivas.

Eu formalizo planos de melhoria contínua vinculados a remediações obrigatórias: tickets priorizados, prazos contratuais revisáveis e cláusulas de SLA escalonado. Em casos de não conformidade persistente, aplico políticas de retenção financeira ou substituição de fornecedor. A combinação de monitoramento técnico e avaliações contratuais permite convergir qualidade operacional com salvaguardas jurídicas.

• Definir KPIs acionáveis com limites e penalidades claras

• Executar auditorias mensais e revisões em amostra documentada

• Vincular não conformidades a remediações, retenção financeira e substituição

Indicador monitorado	Contexto ou explicação
Indicador monitorado	Contexto ou explicação
Ticket médio mensal	R$ 480 considerando planos com fidelidade em 2024
Taxa de renovação anual	82% dos contratos com suporte personalizado

Auditorias regulares com evidência timestamp reduzem disputas e provam cumprimento técnico-jurídico.

Eu transformo monitoramento em ferramenta de governança: com métricas, auditorias e remediação você garante qualidade mensurável e proteção contratual imediata.

Conclusão

Ao concluir, eu reforço que contratos cláusulas segurança fornecedores TI devem equilibrar exigência técnica e operabilidade comercial, garantindo proteção de ativos, continuidade e responsabilidade clara sem criar gargalos operacionais para o fornecedor.

Síntese prática para aplicação imediata

Eu resumo os pontos-chave com foco em aplicabilidade: definir claramente escopo de dados, níveis de serviços (SLA) mensuráveis, controles de acesso e resposta a incidentes. Ao exigir métricas objetivas — tempo de detecção, tempo de contenção, tempo de restauração — você transforma obrigações legais em instrumentos de governança operacional.

Na prática, cláusulas de criptografia, segregação de ambientes e requisitos de auditoria periódica reduzem riscos reais. Eu recomendo incluir revisão anual de risco, plano de remediação com prazos e penalidades escalonadas: por exemplo, redução de pagamento proporcional por SLA não cumprido e obrigação de correção em 30 dias úteis.

Para implementação imediata eu sugiro três artefatos: matriz de responsabilidades (RACI) para controles de segurança, checklist de evidências exigidas em auditoria e um anexo de resposta a incidentes com contatos, playbooks e cronogramas. Esses elementos transformam obrigações contratuais em tarefas rastreáveis e mensuráveis.

• Matriz RACI vinculada ao contrato

• SLA com métricas e penalidades claras

• Anexo de resposta a incidentes e evidências

Indicador monitorado	Contexto ou explicação
Indicador monitorado	Contexto ou explicação
Tempo médio de detecção (MTTD)	≤ 2 horas — exigido para provedores com acesso a dados sensíveis
Tempo médio de recuperação (MTTR)	≤ 24 horas para incidentes críticos; acordar janela de manutenção
Taxa de conformidade em auditorias	≥ 95% das evidências entregues em 15 dias úteis
Ticket médio mensal	R$ 480 considerando planos com fidelidade em 2024
Taxa de renovação anual	82% dos contratos com suporte personalizado

Eu priorizo cláusulas mensuráveis: sem métricas objetivas, segurança contratual vira intenção sem execução.

Eu recomendo aplicar as cláusulas sugeridas, validar com testes e inserir revisão periódica para transformar informação contratual em mitigação efetiva.

Perguntas Frequentes

Quais são as cláusulas de segurança essenciais em contratos cláusulas segurança fornecedores TI?

Eu costumo incluir, no mínimo, cláusulas de confidencialidade, proteção de dados (compatíveis com a LGPD), requisitos de criptografia, controle de acesso e política de gestão de vulnerabilidades. Essas cláusulas formam a base para proteger informações sensíveis e reduzir riscos operacionais.

Além disso, insiro disposições sobre auditoria e relatórios de conformidade, planos de resposta a incidentes e continuidade/recuperação de desastres. Essas medidas permitem que eu imponha obrigações claras ao fornecedor e preserve a segurança do ambiente de TI.

Como redigir contratos cláusulas segurança fornecedores TI para garantir conformidade com a LGPD?

Eu deixo explícito no contrato o papel do fornecedor (operador ou controlador), as finalidades do tratamento, as bases legais, os prazos de retenção e as medidas de segurança técnicas e administrativas. Também incluo obrigações para notificação de incidentes e auxilio em demandas de titulares de dados.

Além disso, exijo cláusulas que permitam auditorias, transferência internacional de dados conforme requisitos legais e a devolução ou eliminação segura dos dados ao término do contrato. Assim eu minimizo riscos de sanções e prejuízos reputacionais.

Que penalidades e SLAs devo prever em contratos com fornecedores de TI para segurança?

Eu recomendo definir SLAs claros para tempo de resposta a incidentes, disponibilidade de serviços e tempo de recuperação, além de métricas mensuráveis. As penalidades podem variar de multas contratuais a retenção de pagamentos, dependendo da gravidade do descumprimento.

Também incluo cláusulas de rescisão por violação de segurança grave e direito a indenização por danos. Essas previsões me dão ferramentas para exigir cumprimento e proteger ativos críticos da empresa.

Como avaliar tecnicamente um fornecedor antes de assinar cláusulas de segurança?

Eu realizo uma due diligence que inclui análise de políticas de segurança, certificações (como ISO/IEC 27001), resultados de testes de penetração e histórico de incidentes. Também peço evidências de controles como segregação de ambiente, gestão de patches e backups regulares.

Se necessário, exijo um plano de ação corretiva antes da assinatura e cláusulas que permitam auditorias periódicas. Assim eu reduzo a chance de surpresas após o início da prestação de serviço.

Como garantir a continuidade do negócio e recuperação em contratos com fornecedores de TI?

Eu incluo requisitos de plano de continuidade e recuperação de desastres (BCP/DRP), tempos máximos de RTO e objetivos de ponto de recuperação (RPO) e testes periódicos desses planos. Também defino responsabilidades por backups, locais de armazenamento e procedimentos de restauração.

Além disso, prevejo comunicação durante incidentes, exercícios conjuntos e cláusulas sobre alternativa de fornecedor ou migração assistida para reduzir impacto operacional caso haja falha do prestador.

Quais cuidados contratuais eu devo ter ao usar subcontratados ou serviços em nuvem?

Devo incluir cláusulas específicas sobre subcontratação e fornecedores em nuvem?

Eu exijo autorização prévia para subcontratação, transparência sobre terceiros envolvidos e a extensão das obrigações de segurança aos subcontratados. Para serviços em nuvem, deixo claro o local do processamento de dados, responsabilidade por configurações seguras e controles de acesso.

Também incluo direito a auditoria de subcontratados, requisitos de acordo de nível de serviço com provedores em nuvem e cláusulas que garantam a mesma proteção de dados e confidencialidade aplicada ao contratante principal.