Contratos SaaS: cláusulas essenciais para reduzir riscos

SLA e Disponibilidade

Defina metas objetivas (ex.: 99,9% de uptime mensal), janelas de manutenção, exclusões claras (força maior, provedores terceiros) e créditos de serviço progressivos. Inclua RTO/RPO quando houver requisitos de continuidade e diferencie disponibilidade de performance.

• Métricas: disponibilidade, latência, taxa de erro, tempo médio de resposta ao incidente.
• Severidade e prazos de atendimento (S1, S2, S3) com tempos de resposta e solução.
• Relatórios mensais de SLA e mecanismo de contestação pelo cliente.

Segurança, LGPD e DPA

O contrato deve conter um DPA (Data Processing Addendum) descrevendo papéis (controlador/processador), finalidades, tipos de dados, medidas técnicas e organizacionais (encriptação, segregação, gestão de acessos), subprocessadores e fluxo de notificação de incidentes (ex.: em até 48h).

• ANEXO TÉCNICO: controles de segurança, padrões (ISO 27001/27701, SOC2), testes de intrusão e gestão de vulnerabilidades.
• Localização e transferência internacional de dados com salvaguardas contratuais.
• Direitos dos titulares: suporte a acesso, correção, exclusão, portabilidade e registro (ROPA).

Propriedade Intelectual e Licenças

Conceda ao cliente uma licença limitada, não exclusiva e intransferível de uso. Deixe claro que o código, modelos e know-how permanecem com o fornecedor; já os dados do cliente pertencem ao cliente. Preveja uso de feedback de forma agregada e anonimizada.

• Restrições: engenharia reversa, scraping fora da API, cessão para terceiros sem autorização.
• Open Source: Software Bill of Materials e conformidade com licenças.
• Marcas: autorização limitada para referências comerciais (logo/caso de sucesso).

Suporte, Manutenção e Roadmap

Defina canais (e-mail, portal, chat), horários (business hours vs. 24/7) e escala de severidade. Diferencie bug fix de evolução e documente política de mudanças de produto e depreciação de recursos com aviso prévio razoável.

Portabilidade e Backup de Dados

Garanta que o cliente possa exportar os dados em formato aberto (CSV/JSON/Parquet) e que haja cópias de segurança com retenção definida. Em término de contrato, preveja janela para extração e posterior eliminação segura (com relatório).

Auditoria, Logs e Compliance

Preveja direito de auditoria proporcional (visitas ou relatórios de terceiros independentes), logs de acesso por período mínimo, e obrigações de conformidade regulatória (financeiro, saúde, educação, etc.).

Limitação de Responsabilidade e Indenizações

Estabeleça limite de responsabilidade (ex.: até o total pago nos 12 meses anteriores), exclusões (lucros cessantes, danos indiretos) e exceções (dolo, violação de PI, incidentes por negligência grave). Inclua indenização por reclamações de terceiros e cobertura de seguro quando aplicável.

Preços, Reajustes e Impostos

Detalhe o modelo de precificação (usuários, volume, consumo), política de overages, índice de reajuste anual, impostos e condições de pagamento. Trate de suspensão por inadimplência e multas com prazos de cura razoáveis.

Rescisão, Migração e Continuidade

Defina hipóteses de término (por conveniência com aviso prévio, por descumprimento, força maior) e plano de migração assistida. Preveja escrow ou compromissos de continuidade para serviços críticos, quando exigido.

Checklist de cláusulas

• SLA (uptime, severidade, créditos) e janelas de manutenção.
• DPA/LGPD com papéis, subprocessadores e incident response.
• PI: titularidade do código, dados do cliente, uso de feedback.
• Suporte: canais, horários, prazos de resposta/solução.
• Portabilidade: exportação em formatos abertos e eliminação segura.
• Auditoria e relatórios de conformidade (ISO/SOC, pen tests).
• Limitação de responsabilidade, indenização, seguros.
• Preços, reajustes, impostos, overages, suspensão por inadimplência.
• Rescisão por conveniência/justa causa e plano de migração.
• Jurisdição, lei aplicável e solução de disputas.