Contrato com fornecedor de tecnologia: o que o escritório precisa exigir por escrito
Segurança · · 5 min de leitura · Equipe Adv3
No contrato com fornecedor de tecnologia, quem contrata continua respondendo perante o cliente: pela LGPD, o escritório é controlador e o fornecedor é operador, e a responsabilidade não se terceiriza junto com o serviço. Oito cláusulas resolvem quase tudo, e a mais esquecida é a do fim: o que acontece com o acervo quando a relação acaba.
Ninguém lê o contrato com fornecedor de tecnologia antes de clicar em aceitar. Em escritório de advocacia essa leitura tem um motivo a mais, e ele não é o preço: os dados que entram ali são dos clientes, e a conta chega no seu nome.
Por que o contrato com fornecedor de tecnologia é diferente para advogado
Porque o dado não é seu. Quando o escritório contrata um sistema, ele coloca lá dentro nome, documento, endereço, valor de causa e, com frequência, dado sensível do cliente. A LGPD chama de controlador quem decide sobre esse tratamento, e de operador quem trata em nome dele: o escritório é o primeiro, o fornecedor é o segundo.
Isso tem uma consequência prática que a maior parte das propostas comerciais não menciona: contratar não transfere a responsabilidade. Se vazar, quem o cliente procura é você, e a discussão com o fornecedor vem depois, pelo contrato. O regime de responsabilidade dos agentes de tratamento está nos arts. 42 e seguintes da LGPD, e o dever do operador de seguir as instruções do controlador, no art. 39.
As oito cláusulas que precisam estar lá
| Cláusula | O que ela responde | Por que dói sem ela |
|---|---|---|
| Papéis | Quem é controlador e quem é operador | Sem isso, cada lado lê o contrato do seu jeito |
| Finalidade e instruções | O fornecedor trata os dados só para prestar o serviço | Uso do acervo para outra coisa fica cinzento |
| Segurança | Criptografia, controle de acesso, cópia | Vira promessa de marketing, não obrigação |
| Subcontratação | Quem mais toca nos dados, e se você é avisado | O fornecedor do seu fornecedor é invisível |
| Incidente | Prazo para o fornecedor te avisar | Você descobre pelo cliente, e é tarde |
| Transferência internacional | Se sai do país e com qual base legal | Você não sabe responder ao cliente empresarial |
| Devolução | Formato e prazo de entrega do acervo | Saída vira negociação |
| Eliminação | Quando o fornecedor apaga a cópia dele | Seu acervo continua na base de um ex-fornecedor |
A cláusula que mais falta é a do fim
Todo contrato descreve bem o começo: o que está incluído, quanto custa, como se paga. O fim aparece em duas linhas genéricas, e é exatamente ali que mora o risco do escritório.
Duas perguntas que precisam ter resposta escrita: em quanto tempo e em que formato você recebe tudo o que é seu, e em quanto tempo o fornecedor elimina a cópia dele. Sem a primeira, trocar de sistema custa meses; sem a segunda, o acervo do cliente segue hospedado em uma empresa com quem você não tem mais relação. O procedimento de saída ordenada está em exportar os dados do sistema jurídico, e a discussão sobre propriedade, em quem é dono dos dados do escritório.
Prazo de aviso de incidente: o número que você precisa fixar
A LGPD obriga o controlador a comunicar incidente relevante à autoridade nacional e aos titulares. O escritório só consegue cumprir isso se o fornecedor avisar primeiro, e num prazo compatível.
Contrato que diz "o fornecedor comunicará em tempo razoável" não serve, porque razoável para quem hospeda é diferente de razoável para quem explica ao cliente. Peça um prazo em horas, contado da ciência do fornecedor. O que o escritório precisa fazer depois de receber esse aviso, e a quem comunicar, está na parte de incidentes de LGPD no escritório de advocacia.
O que não adianta exigir
Três exigências aparecem em minuta de contrato e não sobrevivem ao contato com a realidade:
- Servidor exclusivo para o seu escritório. Software em nuvem é compartilhado por desenho, e exigir o contrário é mudar de produto, não de cláusula.
- Responsabilidade ilimitada do fornecedor. Praticamente nenhum contrato de assinatura mensal aceita, e insistir costuma travar a contratação sem ganho real.
- Proibição total de subcontratados. Todo fornecedor usa provedor de nuvem e serviço de e-mail. O que se exige é transparência e aviso, não ausência.
O que rende, em vez disso, é insistir nas cláusulas de incidente, devolução e eliminação, que são as três que custam caro quando faltam.
Onde o escritório erra sozinho
O melhor contrato do mundo não protege de quem já está dentro. Acesso concedido e nunca revogado, conta compartilhada e documento de cliente saindo por WhatsApp pessoal são incidentes que nascem em casa. O primeiro passo prático está em senha compartilhada.
Perguntas frequentes
Preciso de um contrato separado de proteção de dados?
Não necessariamente. Muitos fornecedores tratam o assunto num anexo dos termos de uso. O que importa é que as obrigações estejam escritas em algum documento vinculante, não que ele tenha um nome específico.
O fornecedor pode usar meus dados para treinar inteligência artificial?
Só se você autorizar, e isso precisa estar claro. Leia a cláusula de finalidade: se ela permitir uso para melhoria do produto sem mais detalhe, pergunte por escrito o que isso inclui.
Quem responde se o fornecedor vazar dados dos meus clientes?
Perante o cliente, o escritório responde como controlador, e pode buscar o fornecedor pelo contrato e pelo regime de responsabilidade da LGPD. É por isso que a cláusula de incidente e a de segurança valem mais que qualquer selo na página de vendas.
Vale a pena contratar advogado para revisar esses termos?
Se o escritório trata volume relevante de dado sensível, vale. Na maior parte dos casos, ler as oito cláusulas da tabela acima e pedir por escrito o que faltar já resolve.
Como o Adv3 trata isso
Os termos do Adv3 descrevem o papel de operador, onde os dados ficam e o que acontece na saída, e o escritório exporta o acervo a qualquer momento, sem pedir liberação. Quando há inteligência artificial no meio, o texto diz que o conteúdo da conversa vai ao provedor do modelo, porque isso precisa ser sabido antes e não depois. O que ele não oferece é contrato negociado cláusula a cláusula nem instalação em servidor do cliente: a contratação é por adesão, com os termos à vista antes do pagamento.
Todos os artigos · Adv3: software jurídico para escritórios de advocacia · Criar uma conta