IT Services Contract Brazil (Contrato de Serviço de TI)

O Contrato de Serviço de TI é o documento empresarial firmado no Brasil com base na CC Art. 593.

A Lei 9.609/1998 (Lei de Software) é a principal norma que regula a propriedade intelectual sobre programas de computador no Brasil — o Art. 4º estabelece que os direitos sobre software desenvolvido por trabalhador assalariado ou prestador de serviços pertencem ao empregador ou contratante, salvo estipulação em contrário. Esta disposição é fundamental para o Contrato de Serviço de TI: a cláusula de cessão de propriedade intelectual deve expressamente prever que todos os códigos, algoritmos, bases de dados e documentação técnica desenvolvidos pelo prestador de serviços durante a execução do contrato são de titularidade do contratante, nos termos do Art. 4º, § 2º, da Lei 9.609/1998. A Lei 9.609/1998 prevê ainda que o prazo de proteção do software é de 50 anos a partir de 1º de janeiro do ano seguinte ao da sua publicação ou criação.

O Instituto Nacional da Propriedade Industrial (INPI) recebe registros voluntários de programas de computador no Brasil (Art. 3º da Lei 9.609/1998 e Instrução Normativa INPI nº 81/2020) — o registro confere ao titular presunção de autoria e data de criação, facilitando a prova em disputas judiciais sobre titularidade e contrafação. O Comitê Gestor da Internet no Brasil (CGI.br — Decreto 4.829/2003) e o Núcleo de Informação e Coordenação do Ponto BR (NIC.br) são entidades que regulam aspectos da infraestrutura e governança da internet no Brasil.

A Autoridade Nacional de Proteção de Dados (ANPD — Lei 13.709/2018, Arts. 55-A a 55-L), autarquia federal vinculada ao Ministério da Justiça e Segurança Pública, é responsável pela fiscalização do cumprimento da LGPD por empresas de TI que tratam dados pessoais de cidadãos brasileiros — seja como controladores (definem a finalidade e os meios do tratamento) ou como operadores (realizam o tratamento em nome do controlador). O Contrato de Serviço de TI que envolva tratamento de dados pessoais deve conter Data Processing Agreement (DPA) ou Contrato de Processamento de Dados alinhado ao Art. 37 da LGPD, que exige contrato formal entre controlador e operador de dados com descrição das categorias de dados, finalidades, medidas de segurança e obrigações de notificação em caso de incidentes.

A forms-legal.com disponibiliza este modelo de Contrato de Serviço de TI para formalizar com segurança jurídica a contratação de serviços de tecnologia no Brasil, em conformidade com a Lei 9.609/1998 e a LGPD.

Contrato de Serviço de TI no Brasil é necessário em todas as situações em que uma empresa ou pessoa física contrata serviços de tecnologia da informação de forma contínua ou por projeto, visando à formalização das obrigações, à proteção da propriedade intelectual e ao cumprimento da LGPD.

O Contrato de Serviço de TI é necessário para o desenvolvimento de software sob encomenda — sistemas ERP (Enterprise Resource Planning), CRM (Customer Relationship Management), e-commerce, aplicativos móveis (iOS e Android), APIs (Application Programming Interface) e plataformas digitais. Sem contrato específico com cláusula de cessão de PI (propriedade intelectual), a empresa contratante pode não ter titularidade sobre o software desenvolvido, ficando dependente da empresa desenvolvedora para atualizações e manutenções futuras. O Art. 4º da Lei 9.609/1998 resolve em favor do contratante (empregador ou tomador de serviços) apenas quando há relação de trabalho ou prestação de serviços formalizada — sem contrato, a titularidade permanece com o desenvolvedor.

O Contrato de Serviço de TI é necessário para serviços contínuos de manutenção, suporte técnico, helpdesk e operação de sistemas — em que o SLA (Service Level Agreement) é crítico para definir os tempos máximos de resposta e resolução de incidentes (ex.: P1 — incidente crítico: resposta em 1 hora, resolução em 4 horas; P2 — incidente alto: resposta em 4 horas, resolução em 8 horas). Empresas que operam e-commerce, sistemas financeiros ou plataformas de saúde digital não podem se dar ao luxo de depender de acordos informais para garantir a continuidade dos serviços.

O Contrato de Serviço de TI é necessário para serviços de hospedagem (hosting), infraestrutura em nuvem (cloud computing — IaaS, PaaS, SaaS), gestão de servidores e bancos de dados. A LGPD (Lei 13.709/2018) exige que o contrato entre o contratante (controlador de dados) e o provedor de TI (operador de dados) formalize as obrigações de proteção de dados pessoais — conforme o Art. 37 da LGPD, o operador deve tratar os dados pessoais de acordo com as instruções do controlador e implementar medidas técnicas e organizacionais adequadas para proteger os dados contra acessos não autorizados, perda ou destruição.

O Contrato de Serviço de TI é necessário para projetos de integração de sistemas (middleware, APIs, webservices), migração de dados, implantação de ERPs (SAP, TOTVS, Oracle), e auditoria de segurança da informação (pentest, análise de vulnerabilidades — conforme ABNT NBR ISO/IEC 27001:2022 e ABNT NBR ISO/IEC 27002:2022).

Contrato de Serviço de TI válido e eficaz no Brasil deve conter os elementos essenciais que regulam a complexidade técnica e jurídica dos serviços de tecnologia, protegendo os interesses do contratante e do prestador de serviços.

Identificação das Partes e Escopo: Qualificação completa do contratante e do prestador de serviços de TI. Descrição detalhada do escopo dos serviços — tipo de serviço (desenvolvimento, manutenção, suporte, hospedagem, consultoria), tecnologias e linguagens de programação utilizadas (ex.: Java, Python, React, Node.js), metodologia de desenvolvimento (Scrum, Kanban, PMBOK), e entregáveis com critérios de aceite claros. Para projetos de desenvolvimento, inclua cronograma com milestones e datas de entrega de cada fase.

SLA — Acordo de Nível de Serviço: Definição dos indicadores de desempenho mensuráveis — disponibilidade do sistema (uptime mínimo de 99,5% ou 99,9% por mês), tempo de resposta para abertura de chamados por severidade (P1/P2/P3), tempo máximo de resolução de incidentes, janelas de manutenção programada, e penalidades (Service Credits) por descumprimento do SLA. O SLA é o coração de qualquer contrato de TI de manutenção e suporte — sua ausência torna difícil comprovar o descumprimento contratual e exigir compensações.

Propriedade Intelectual e Cessão de Direitos: Cláusula expressa de cessão onerosa ou gratuita de todos os direitos patrimoniais sobre o software desenvolvido ao contratante, nos termos do Art. 4º da Lei 9.609/1998. A cessão deve abranger: código-fonte e código objeto, documentação técnica (arquitetura, especificações, manuais), bases de dados, interfaces gráficas (UX/UI), e nome de domínio registrado para o projeto. Para softwares que incorporam bibliotecas de terceiros (open source), a cláusula deve definir as obrigações de conformidade com as licenças open source aplicáveis (MIT, Apache 2.0, GPL — GNU General Public License). A manutenção dos direitos autorais morais pelo criador (Art. 24 da Lei 9.610/1998) não impede a cessão dos direitos patrimoniais.

Sigilo e Confidencialidade: Cláusula de não divulgação (NDA — Non-Disclosure Agreement) abrangendo: código-fonte, algoritmos proprietários, dados de clientes, estratégias de negócio, e qualquer informação técnica ou comercial confidencial. O prazo de confidencialidade deve ser de, no mínimo, 5 anos após o término do contrato para informações técnicas e indefinido para segredos de negócio (trade secrets). A violação do sigilo pode ensejar responsabilidade civil (Art. 186 do CC) e criminal (Art. 195 da Lei 9.279/1996 — Lei da Propriedade Industrial).

Tratamento de Dados Pessoais — LGPD: Para serviços que envolvam acesso ou tratamento de dados pessoais (nomes, e-mails, CPFs, dados bancários, dados de saúde) do contratante ou de seus clientes, o contrato deve incluir DPA (Data Processing Agreement) alinhado ao Art. 37 da LGPD (Lei 13.709/2018) — categorias de dados tratados, finalidades, base legal, medidas de segurança (ISO 27001, criptografia, controle de acesso), prazo de retenção, obrigação de notificação em caso de incidente (Art. 48 da LGPD — prazo de 72 horas), e mecanismo de exclusão ou devolução dos dados ao término do contrato. A ANPD pode aplicar sanções de até 2% do faturamento da empresa no Brasil (Art. 52 da LGPD) por violações. A forms-legal.com disponibiliza este modelo de Contrato de Serviço de TI com cláusulas LGPD para contratos de tecnologia no Brasil.

Garantia e Suporte Pós-Entrega: Para projetos de desenvolvimento, inclua período de garantia de 90 dias após a entrega para correção gratuita de bugs e defeitos (Art. 18 do CDC — Lei 8.078/1990, para relações de consumo; Art. 441 do CC, para relações B2B). Defina o procedimento de reporte de bugs, o prazo máximo de correção por severidade, e o que configura defeito passível de garantia versus solicitação de mudança (change request) cobrada à parte.

Para preencher corretamente o Contrato de Serviço de TI no Brasil usando o formulário da forms-legal.com, siga as orientações para cada campo.

Dados do Contratante: Informe a razão social exata conforme o CNPJ (consulte em cnpj.receita.fazenda.gov.br), o CNPJ com pontuação, o endereço completo e o nome e cargo do representante legal. Se o contratante for pessoa física, informe o nome completo, CPF e endereço. Para projetos com controlador e operador de dados distintos (ex.: empresa contratante como controlador, prestadora de TI como operador), identifique expressamente esses papéis conforme a LGPD.

Dados do Prestador de TI: Informe a razão social ou nome do profissional autônomo, o CNPJ ou CPF, e, quando aplicável, o número de registro no Conselho Regional de Engenharia e Agronomia (CREA — para projetos de engenharia de software com impacto em segurança ou infraestrutura) ou na Sociedade Brasileira de Computação (SBC). Inclua o nome do responsável técnico pelo projeto.

Escopo dos Serviços: Seja detalhado — liste cada módulo, funcionalidade ou serviço separadamente. Para desenvolvimento de software, inclua: linguagem de programação, banco de dados (MySQL, PostgreSQL, MongoDB), servidor (AWS, Azure, Google Cloud, ou servidor próprio), APIs a integrar, e número estimado de usuários simultâneos. Para suporte técnico, informe o número de horas mensais incluídas, o canal de atendimento (telefone, e-mail, chat, sistema de tickets), e o horário de cobertura (8h-18h, 24h, 24x7).

SLA e Penalidades: Defina claramente os níveis de severidade de incidentes e os tempos de resposta e resolução. Ex.: P1 (sistema indisponível) — resposta em 1 hora, resolução em 4 horas, penalidade de 5% dos honorários mensais por hora de atraso acima do SLA. Inclua a forma de mensuração da disponibilidade (uptime) — ex.: excluindo janelas de manutenção programada comunicadas com 48 horas de antecedência.

Honorários: Para contratos de desenvolvimento por projeto (fixed price), informe o valor total e o cronograma de pagamentos por milestone. Para contratos de manutenção e suporte mensal (time & materials ou retainer), informe o valor fixo mensal e o valor por hora adicional. Defina o índice de reajuste anual (IPCA/IBGE ou IGP-M/FGV). Para projetos com escopo variável (metodologia ágil), use modalidade de contrato por sprints ou por horas consumidas, com valor hora e limite mensal de horas.

O Contrato de Serviço de TI no Brasil está sujeito a requisitos legais estabelecidos pelo Código Civil, pela Lei 9.609/1998 (Lei de Software), pela Lei 9.610/1998 (Lei de Direitos Autorais), pelo Marco Civil da Internet (Lei 12.965/2014) e pela LGPD (Lei 13.709/2018).

Propriedade Intelectual — Lei de Software: O Art. 4º da Lei 9.609/1998 estabelece que os direitos sobre software desenvolvido na vigência de contrato de prestação de serviços pertencem ao contratante (tomador dos serviços), salvo estipulação em contrário. Esta presunção legal beneficia o contratante — mas para evitar qualquer ambiguidade, o contrato deve incluir cláusula expressa de cessão de todos os direitos patrimoniais, incluindo código-fonte, documentação, e dados de treinamento de modelos de inteligência artificial eventualmente criados durante a prestação dos serviços.

Marco Civil da Internet: A Lei 12.965/2014 (Marco Civil da Internet) disciplina os direitos e deveres dos prestadores de serviços de internet no Brasil — vedando a guarda de dados de usuários em servidores fora do Brasil para determinadas hipóteses (Art. 11), estabelecendo a responsabilidade civil dos provedores por danos de terceiros (Art. 19), e reconhecendo a neutralidade de rede como princípio fundamental. Para contratos de hospedagem e infraestrutura em nuvem com dados de brasileiros, verifique a localização dos servidores e as obrigações de geolocalização dos dados.

LGPD — Responsabilidades de Controlador e Operador: A Lei 13.709/2018 (LGPD) impõe ao controlador de dados (geralmente o contratante) a responsabilidade pela conformidade no tratamento de dados pessoais, e ao operador (prestador de TI) a obrigação de tratar dados apenas conforme as instruções do controlador e implementar medidas de segurança adequadas. O descumprimento pode gerar sanções da ANPD de até R$ 50 milhões por infração (Art. 52 da LGPD) e responsabilidade civil solidária de controlador e operador perante os titulares dos dados afetados (Art. 42 da LGPD).

Normas ABNT de Segurança da Informação: Para contratos de TI que envolvam tratamento de dados sensíveis (financeiros, de saúde, de identificação pessoal), é recomendável incluir obrigação de conformidade com a ABNT NBR ISO/IEC 27001:2022 (Sistemas de Gestão de Segurança da Informação — SGSI) e a ABNT NBR ISO/IEC 27002:2022 (Controles de Segurança da Informação), que são as normas internacionais de segurança adotadas no Brasil pela Associação Brasileira de Normas Técnicas (ABNT).

ISSQN — Imposto Sobre Serviços: Os serviços de TI são tributados pelo ISS (Imposto Sobre Serviços de Qualquer Natureza — LC 116/2003) com alíquota entre 2% e 5%, dependendo do município. O Decreto-Lei 406/1968 (recepcionado pela CF/1988) e a LC 116/2003 listam os serviços de informática e tecnologia nos subitens 1.01 a 1.09 da Lista de Serviços. O prestador de TI deve emitir Nota Fiscal de Serviços Eletrônica (NFS-e) para cada faturamento.

Na formalização de Contratos de Serviço de TI no Brasil, erros frequentes comprometem a proteção da propriedade intelectual do contratante, o nível de serviço esperado e a conformidade com a LGPD.

Não incluir cláusula expressa de cessão de propriedade intelectual: O erro mais custoso em contratos de desenvolvimento de software é não incluir cláusula expressa de cessão dos direitos patrimoniais sobre o software ao contratante. Embora o Art. 4º da Lei 9.609/1998 preveja a titularidade do contratante no contexto de prestação de serviços, a ausência de cláusula expressa pode gerar disputas, especialmente quando o prestador usa frameworks, bibliotecas ou código pré-existente de sua propriedade. Inclua cláusula detalhada que abranja código-fonte, documentação técnica, bases de dados, modelos de IA e interfaces gráficas.

Não definir SLA com penalidades mensuráveis: Contratos sem SLA ou com SLA genérico ('serviços de qualidade') tornam impossível a comprovação do descumprimento contratual e a exigência de penalidades. Defina métricas precisas — percentual de uptime mensal, tempo médio de resposta (MTTR), número máximo de incidentes P1 permitidos por mês — com penalidades automáticas (service credits) calculadas a partir do descumprimento comprovado nos logs do sistema de tickets.

Ignorar as obrigações da LGPD no contrato de TI: A maioria dos contratos de TI envolve o tratamento de dados pessoais (clientes, funcionários, leads). Sem DPA (Data Processing Agreement) alinhado à LGPD, a empresa contratante fica exposta a sanções da ANPD e a ações de titulares de dados em caso de vazamentos ou usos inadequados pelo prestador de TI. Inclua obrigações mínimas de segurança, procedimento de notificação de incidentes em 72 horas, e cláusula de exclusão de dados ao término do contrato.

Não especificar critérios de aceite dos entregáveis: Em contratos de desenvolvimento de software, a ausência de critérios de aceite claros (definição de 'done', casos de teste, critérios de homologação) gera disputas sobre se os entregáveis estão completos e se o pagamento é devido. Inclua em cada milestone uma lista de critérios de aceite mensuráveis e um período de homologação com prazo definido (ex.: 10 dias úteis para o contratante testar e aprovar ou rejeitar formalmente cada entrega).

Esquecer de incluir cláusula de escrow de código-fonte: Sem cláusula de escrow de código-fonte (depósito do código-fonte em custódia de terceiro neutro), o contratante fica sem acesso ao código do sistema caso a empresa de TI encerre as atividades, entre em recuperação judicial ou se recuse a transferir o código. Inclua cláusula de depósito periódico do código-fonte em plataforma segura (ex.: GitHub privado com acesso do contratante, ou serviço de escrow especializado) como garantia de continuidade.