Contrato de software e SaaS: cláusulas

Software virou infraestrutura de qualquer empresa, e quase sempre é contratado por adesão: o fornecedor apresenta termos padronizados e a empresa aceita. Mas é no contrato que se define o que acontece quando o sistema cai, quando há vazamento de dados, quando o preço sobe ou quando a empresa quer trocar de fornecedor. Este artigo resume o que a lei diz e as cláusulas que merecem negociação.

resposta curta

O uso de software no Brasil depende de contrato de licença, que deve informar o prazo de validade técnica, e quem comercializa o programa deve prestar serviços técnicos nesse período (Lei 9.609/1998, arts. 7º a 9º). Quando o fornecedor trata dados pessoais do cliente, atua como operador e deve seguir as instruções do controlador (LGPD, art. 39). Entre empresas, vale a alocação de riscos pactuada (Código Civil, art. 421-A), com os limites dos contratos de adesão (arts. 423 e 424).

Licença, nuvem e SaaS

A Lei do Software determina que o uso de programa de computador no país seja objeto de contrato de licença (Lei 9.609/1998, art. 9º). O contrato ou o documento fiscal deve informar o prazo de validade técnica da versão (art. 7º), e quem comercializa o programa deve assegurar, nesse prazo, serviços técnicos para o seu adequado funcionamento (art. 8º).

No modelo SaaS (software as a service), o programa não é instalado na empresa: é acessado pela internet, e o fornecedor cuida da infraestrutura, das atualizações e, muitas vezes, dos dados. O contrato passa a combinar licença de uso e prestação de serviço, e por isso precisa tratar de temas que a licença tradicional não cobre: disponibilidade, suporte, segurança e destino dos dados.

As cláusulas que merecem atenção

Cláusula	O que verificar
Objeto e escopo	Funcionalidades, número de usuários, limites de uso e o que é cobrado à parte
Nível de serviço (SLA)	Disponibilidade mínima, forma de medição, janelas de manutenção e consequência do descumprimento, como desconto ou rescisão
Suporte	Canais, horários, prazos de resposta e de solução por gravidade
Preço e reajuste	Índice, periodicidade e aviso prévio de aumento
Dados pessoais	Papel de cada parte, instruções de tratamento, segurança, subcontratados, localização dos dados
Incidentes de segurança	Prazo para o fornecedor avisar o cliente, informações a entregar e cooperação na comunicação à ANPD
Saída do contrato	Exportação dos dados em formato utilizável, prazo de transição e eliminação comprovada depois
Responsabilidade e multa	Limites de responsabilidade, exclusões e valor das penalidades
Propriedade	De quem são os dados, as configurações e o que for desenvolvido sob medida

Dados pessoais: o fornecedor como operador

Na LGPD, controlador é quem decide sobre o tratamento, e operador é quem trata dados em nome do controlador (art. 5º, VI e VII). No SaaS, o fornecedor que armazena e processa os dados do cliente, segundo as instruções dele, atua como operador e deve seguir essas instruções, cuja observância o controlador verifica (art. 39). Por isso o contrato deve:

descrever as instruções de tratamento e as finalidades permitidas;
prever medidas de segurança técnicas e administrativas compatíveis com os dados tratados (art. 46);
regular a subcontratação de outros fornecedores;
indicar onde os dados ficam: a transferência internacional só é permitida nas hipóteses da LGPD, como país com proteção adequada ou garantias contratuais (art. 33);
fixar prazo para o fornecedor comunicar incidentes ao cliente. O controlador tem 3 dias úteis para comunicar à ANPD e aos titulares os incidentes relevantes (Resolução CD/ANPD nº 15/2024, arts. 6º e 9º), e depende do aviso rápido do fornecedor. Veja o que fazer em caso de vazamento.

O operador responde solidariamente pelos danos quando descumpre a legislação ou não segue as instruções lícitas do controlador (LGPD, art. 42, § 1º, I).

Responsabilidade, multa e contratos de adesão

Entre empresas, o Código Civil presume que os contratos são paritários e simétricos, manda respeitar a alocação de riscos definida pelas partes e trata a revisão como excepcional (art. 421-A). Isso dá força ao que for negociado, inclusive limites de responsabilidade. Há, porém, limites:

nos contratos de adesão, cláusulas ambíguas são interpretadas a favor do aderente, e são nulas as que impõem renúncia antecipada a direito resultante da natureza do negócio (arts. 423 e 424);
a multa contratual não pode exceder o valor da obrigação principal e deve ser reduzida se for manifestamente excessiva ou se houver cumprimento parcial (arts. 412 e 413);
a limitação de responsabilidade vale entre as partes, mas não afasta a responsabilidade perante os titulares dos dados prevista na LGPD (arts. 42 e 43).

Antes de assinar

Mapeie o que o sistema vai fazer e quais dados vai tratar.
Peça a minuta completa, com anexos de SLA, segurança e tratamento de dados.
Negocie o essencial: disponibilidade, aviso de incidente, exportação dos dados e limite de responsabilidade.
Confirme a localização dos dados e os subcontratados.
Envolva o encarregado de dados, que deve assistir a empresa nos instrumentos contratuais sobre dados pessoais (Resolução CD/ANPD nº 18/2024, art. 16, VII). Veja o papel do encarregado.
Planeje a saída desde o início: formato de exportação, prazo de transição e eliminação.

Perguntas frequentes

Qual lei regula o contrato de software?

A Lei 9.609/1998 (Lei do Software) determina que o uso de programa de computador no país seja objeto de contrato de licença (art. 9º), exige a informação do prazo de validade técnica (art. 7º) e obriga quem comercializa o programa a prestar serviços técnicos durante esse prazo (art. 8º). As demais regras vêm do Código Civil e, quando há dados pessoais, da LGPD.

No SaaS, o fornecedor é controlador ou operador de dados?

Quando trata dados pessoais em nome do cliente e segundo as instruções dele, o fornecedor atua como operador (LGPD, arts. 5º, VII, e 39). O contrato deve dizer quais são essas instruções, as medidas de segurança e o que acontece com os dados ao fim do contrato.

A cláusula que limita a responsabilidade do fornecedor é válida?

Entre empresas, o Código Civil presume contratos paritários e manda respeitar a alocação de riscos definida pelas partes (art. 421-A). Mas, em contrato de adesão, são nulas as cláusulas de renúncia antecipada a direito resultante da natureza do negócio (art. 424), e a limitação entre as partes não afasta a responsabilidade perante os titulares de dados prevista na LGPD (arts. 42 e 43).

A multa contratual pode ser reduzida?

Sim. A cláusula penal não pode exceder o valor da obrigação principal (Código Civil, art. 412), e o juiz deve reduzi-la se a obrigação foi cumprida em parte ou se o valor for manifestamente excessivo (art. 413).

Os dados podem ficar em servidores no exterior?

A transferência internacional de dados pessoais só é permitida nas hipóteses da LGPD, como para países com grau de proteção adequado ou mediante garantias como cláusulas contratuais específicas ou padrão (art. 33). O contrato deve indicar onde os dados ficam e qual fundamento legal se aplica.