Fechar contrato com um fornecedor de campanhas sem revisar as cláusulas certas custa caro depois. Saber o que verificar no contrato de SIPAT evita dor de cabeça com dados de trabalhadores, prazos de suporte e até a perda do conteúdo que sua empresa pagou para criar.
Essa revisão costuma cair na mesa de quem organiza a campanha no dia a dia, não só no jurídico. Por isso, este guia traz um checklist prático, pensado para quem lê a proposta antes de levá-la ao setor jurídico para validação final. Nenhuma informação aqui substitui a análise de um advogado; o objetivo é ajudar você a chegar nessa conversa com as perguntas certas.
Sumário
- 1 O que verificar no contrato de SIPAT antes de assinar
- 2 Dados dos trabalhadores e LGPD no contrato de SIPAT: a cláusula que não pode faltar
- 3 SLA: o que exigir sobre disponibilidade e suporte
- 4 Rescisão e portabilidade no contrato de SIPAT: o que acontece com os dados ao encerrar
- 5 Propriedade do conteúdo: de quem são os criativos e temas da campanha
- 6 Segurança da informação do fornecedor de SIPAT: o que perguntar antes de assinar
- 7 Perguntas frequentes sobre contrato de fornecedor de SIPAT
O que verificar no contrato de SIPAT antes de assinar
Um contrato de plataforma de SIPAT bem estruturado cobre pelo menos quatro frentes:
- Proteção de dados dos trabalhadores.
- Nível de serviço (SLA).
- Regras de rescisão e portabilidade.
- Propriedade do conteúdo criado durante a campanha.
Além disso, vale checar a postura do fornecedor sobre segurança da informação antes de assinar qualquer coisa. Se você ainda não fechou com ninguém, vale revisar antes como escolher a melhor plataforma de SIPAT; este guia foca no que vem depois, na hora de ler o contrato.
Ignorar esses pontos não é só um risco jurídico abstrato. Na prática, significa não saber quem responde se a plataforma sair do ar durante a campanha. Também pode significar perder o layout customizado que a equipe levou semanas para aprovar.
Dados dos trabalhadores e LGPD no contrato de SIPAT: a cláusula que não pode faltar
A cláusula de proteção de dados existe para deixar claro quem faz o quê com as informações dos trabalhadores, e ela é obrigatória mesmo em uma campanha interna. Sem ela, sua empresa fica exposta caso algo dê errado.
Controladora e operadora: quem responde pelo quê
Pela Lei Geral de Proteção de Dados, sua empresa é a controladora dos dados dos trabalhadores. É quem decide a finalidade da coleta, como nome, matrícula e participação nas dinâmicas. O fornecedor da plataforma é o operador: trata esses dados em nome da empresa, seguindo instruções documentadas.
Essa divisão de papéis importa na prática. Rotular alguém como operador no contrato não é suficiente. Segundo orientação da Autoridade Nacional de Proteção de Dados (ANPD), se esse fornecedor decide sozinho como os dados são usados, ele responde como controlador também, e a divisão de responsabilidades do contrato perde efeito.
O que a cláusula de proteção de dados precisa ter
Verifique se o contrato define, no mínimo:
- Finalidade e limite do tratamento: o fornecedor não pode utilizar os dados coletados para finalidades diferentes das previstas no contrato.
- Medidas de segurança: é importante verificar se existem práticas como criptografia, controle de acesso e outros mecanismos de proteção das informações.
- Prazo para comunicação de incidentes: o contrato deve indicar em quanto tempo a empresa será informada caso ocorra algum incidente de segurança.
- Regras para subcontratados: avalie como será o acesso aos dados por terceiros envolvidos na prestação do serviço e quais responsabilidades serão aplicadas.
- Destino dos dados ao final do contrato: verifique se há definição sobre exclusão, devolução ou armazenamento das informações após o encerramento da relação contratual.
O artigo sobre SIPAT e LGPD detalha os cuidados específicos na hora de coletar dados de participação e feedback. Já o texto sobre LGPD e relações de trabalho explica o que a empresa precisa observar quando o titular dos dados é o próprio trabalhador.
Perguntas para levar ao fornecedor:
- O contrato tem uma cláusula específica de proteção de dados, além dos termos gerais de uso?
- Qual é o prazo que o fornecedor tem para avisar a empresa em caso de incidente de segurança?
- Os dados são compartilhados com algum subcontratado? Se sim, quem são e sob quais condições?
SLA: o que exigir sobre disponibilidade e suporte
O SLA (Service Level Agreement) define, com números, o que a empresa pode cobrar do fornecedor se algo sair do combinado. Sem indicadores mensuráveis, promessas como “melhor esforço” não geram nenhuma obrigação real.
O ponto central é a disponibilidade da plataforma, expressa em percentual de uptime. Cada casa decimal a mais reduz bastante o tempo de instabilidade tolerado:
| Uptime prometido | Indisponibilidade tolerada por mês |
|---|---|
| 99,9% | cerca de 43 minutos |
| 99,95% | cerca de 22 minutos |
| 99,99% | cerca de 4 minutos |
Isso também entra no que verificar no contrato de SIPAT: o número precisa estar na cláusula, não só na página de vendas do fornecedor.
Além do uptime, o contrato deve prever o tempo de resposta e de resolução do suporte, categorizado por gravidade do problema. O mais comum no mercado é o desconto na fatura seguinte em caso de descumprimento, e não indenização em dinheiro.
Perguntas para levar ao fornecedor:
- Qual é o uptime garantido em contrato, e não apenas divulgado no site?
- Existe diferença no tempo de resposta entre um problema simples e uma queda total da plataforma?
- Manutenções programadas têm aviso prévio e horário definido?
Rescisão e portabilidade no contrato de SIPAT: o que acontece com os dados ao encerrar
A cláusula de rescisão precisa cobrir dois cenários. O primeiro é a saída combinada, com aviso prévio definido. O segundo é a saída por descumprimento do fornecedor, como queda recorrente de SLA ou violação de dados.
Verifique também o que acontece com as informações depois que o contrato termina. O ideal é que a empresa consiga exportar todos os dados em formato aberto, como CSV ou JSON, dentro de um prazo definido. Depois disso, o fornecedor deve eliminar as cópias de forma segura, com alguma confirmação por escrito de que isso foi feito.
Contratos sem essa previsão criam o chamado aprisionamento tecnológico. A empresa fica refém da plataforma porque não tem como recuperar o histórico de campanhas anteriores.
Perguntas para levar ao fornecedor:
- Em quanto tempo os dados ficam disponíveis para exportação após o pedido?
- O fornecedor confirma por escrito a exclusão dos dados após o fim do contrato?
- Existe multa ou aviso prévio mínimo para rescisão sem justa causa?
Propriedade do conteúdo: de quem são os criativos e temas da campanha
O software da plataforma continua sendo do fornecedor, e a empresa recebe apenas uma licença de uso durante a vigência do contrato. Isso é normal e não costuma gerar dúvida.
A confusão aparece com os criativos, temas e peças personalizadas feitos especificamente para a campanha da empresa. Sem uma cláusula clara sobre isso, o fornecedor pode reter os direitos sobre esse material, e a empresa perde o investimento na customização caso troque de plataforma depois.
Isso também faz parte do que verificar no contrato de SIPAT: existe previsão específica de propriedade sobre o conteúdo customizado, e não apenas sobre o software em si?
Negocie esse ponto ainda na fase de proposta, quando a empresa tem mais poder de barganha. O ideal é garantir titularidade ou, no mínimo, uma licença perpétua e portável sobre o material criado.
Segurança da informação do fornecedor de SIPAT: o que perguntar antes de assinar
Isso também faz parte do que verificar no contrato de SIPAT, já que a segurança dos dados dos trabalhadores depende diretamente da infraestrutura do fornecedor.
Vale checar diretamente com o fornecedor:
- Certificações de segurança: verifique se o fornecedor possui certificações reconhecidas, como ISO 27001 ou SOC 2, que demonstram a adoção de boas práticas de proteção da informação.
- Criptografia de dados: confirme se as informações são protegidas por criptografia tanto durante a transmissão quanto no armazenamento.
- Resposta a incidentes: avalie se existe um plano formal para identificar, tratar e comunicar possíveis falhas de segurança.
- Testes de segurança: verifique se a plataforma realiza testes de invasão (pentests) com frequência, preferencialmente de forma periódica, como uma vez ao ano.
Plataformas mais maduras costumam ser transparentes sobre esses pontos sem que a empresa precise insistir muito. A Weex, por exemplo, já validou seu método em mais de duas mil campanhas, e esse tipo de histórico costuma vir acompanhado de práticas de segurança mais consolidadas. Se sua empresa também está estruturando ações de conscientização sobre o tema, vale conferir como fazer uma campanha de cyber segurança e segurança da informação.
Perguntas para levar ao fornecedor:
- O fornecedor tem alguma certificação de segurança da informação? Pode compartilhar o relatório?
- Os servidores ficam no Brasil ou em outro país? Se for outro país, como funciona a transferência internacional de dados?
- Com que frequência a plataforma passa por testes de segurança independentes?
Portanto, revisar essas cinco frentes antes de assinar evita boa parte dos problemas que só aparecem meses depois do contrato fechado. Nenhuma orientação deste artigo substitui a análise do time jurídico, que deve revisar a versão final antes da assinatura. Se você ainda está na fase de comparar fornecedores, o checklist completo para SIPAT reúne outros pontos organizacionais que vale revisar em paralelo ao contrato.
Perguntas frequentes sobre contrato de fornecedor de SIPAT
Sim. Pela LGPD, dado pessoal é qualquer informação relacionada a pessoa identificada ou identificável (art. 5º, inciso I), o que inclui nome, matrícula, cargo e o desempenho do trabalhador em rankings e dinâmicas de gamificação. A lei não abre exceção para campanhas internas: o caráter fechado da iniciativa ou o número de participantes não isenta a empresa de exigir essa cláusula do fornecedor.
Sim, quando o incidente pode causar risco ou dano relevante aos trabalhadores. Pela Resolução CD/ANPD nº 15/2024, a empresa controladora tem até três dias úteis, a partir do momento em que constata esse risco, para comunicar a ANPD e os titulares afetados. Como esse prazo corre a partir do aviso do fornecedor, negociar uma notificação contratual de 24 a 48 horas é o que garante margem real para cumprir a obrigação legal.
Depende do que o contrato prevê, mas o risco maior não é só o atraso na exportação: sem cláusula de portabilidade, a empresa também pode perder o histórico de participação acumulado, como o ranking dos trabalhadores e as evidências de conclusão usadas em auditorias de SIPAT. Peça no contrato o formato exato do arquivo de exportação, uma planilha estruturada, não print de tela ou PDF, e o prazo máximo para a entrega dos dados após a solicitação.
Sim. Contratos de fornecedores de tecnologia costumam ser contratos de adesão, com cláusulas padronizadas que a empresa contratante tem pouca margem para negociar linha a linha. Pelo Código Civil (art. 423), cláusulas ambíguas nesse tipo de contrato são interpretadas a favor de quem aderiu, mas isso só ajuda depois que o problema já aconteceu. Revisar antes de assinar, mesmo com um fornecedor consolidado, evita depender dessa interpretação a posteriori.
Pode, e é recomendável. Além de proteger informações estratégicas da campanha, a cláusula de confidencialidade recíproca dá respaldo civil ao que a Lei de Propriedade Industrial (Lei nº 9.279/1996, art. 195) já trata como concorrência desleal: divulgar ou usar, sem autorização, informação confidencial obtida por relação contratual, mesmo depois do fim dele. Defina no texto o prazo de vigência da obrigação após o encerramento e as exceções, como divulgação exigida por lei ou decisão judicial.
