Acordo de Nível de Serviço (SLA) Brasil

O Acordo de Nível de Serviço (SLA — Service Level Agreement) no Brasil é o instrumento contratual celebrado entre prestador de serviços e contratante para definir, mensurar e garantir parâmetros mínimos de qualidade, disponibilidade e desempenho dos serviços prestados, regido pelo Art. 421 do Código Civil (Lei 10.406/2002), que consagra os princípios da função social do contrato e da boa-fé objetiva (Art. 422 do CC).

O SLA integra ou acompanha o contrato principal de prestação de serviços — seja de tecnologia da informação (TI), computação em nuvem, infraestrutura de redes, suporte técnico, hospedagem de dados (hosting), ou serviços gerenciados (managed services) — e funciona como o acordo de desempenho que traduz as obrigações do prestador em métricas verificáveis. No ecossistema brasileiro de TI, o SLA é instrumento essencial tanto para empresas (B2B — business to business) quanto para prestadores de serviços ao consumidor final (B2C — business to consumer), caso em que incide também o Código de Defesa do Consumidor (CDC — Lei 8.078/1990), especialmente o Art. 20 (responsabilidade pelo vício do serviço) e o Art. 51 (cláusulas abusivas).

A Lei Geral de Proteção de Dados Pessoais (LGPD — Lei 13.709/2018) impõe obrigações adicionais ao SLA quando os serviços envolvem o tratamento de dados pessoais: o SLA deve contemplar os prazos de resposta a incidentes de segurança, os procedimentos de notificação à Autoridade Nacional de Proteção de Dados (ANPD) — criada pela Lei 13.853/2019 — e as obrigações do operador de dados (o prestador de serviços) perante o controlador (o contratante), conforme os Arts. 37 a 40 da LGPD.

Para serviços de telecomunicações, a ANATEL (Agência Nacional de Telecomunicações) regulamenta níveis mínimos de qualidade por meio do Regulamento de Qualidade dos Serviços de Telecomunicações (RGQ — Resolução ANATEL 717/2019), que estabelece indicadores de qualidade de experiência (QoE) para Serviço de Comunicação Multimídia (SCM — banda larga fixa), Serviço Móvel Pessoal (SMP — 4G/5G) e Serviço de TV por Assinatura (SeAC). Para serviços financeiros digitais (fintechs, bancos digitais), o Banco Central do Brasil (BACEN) e a Resolução CMN 4.658/2018 estabelecem requisitos de segurança cibernética que se refletem nos SLAs com provedores de nuvem e infraestrutura.

O Marco Civil da Internet (Lei 12.965/2014) e o Decreto 8.771/2016 estabelecem obrigações de guarda de registros de acesso e conexão que impactam os SLAs de provedores de aplicações e provedores de conexão, especialmente quanto aos prazos de disponibilidade dos logs e dos dados de usuários para fins de investigação judicial.

O Acordo de Nível de Serviço (SLA) no Brasil é necessário em qualquer relação contratual em que o contratante deseje garantir parâmetros mensuráveis de qualidade e disponibilidade dos serviços, com penalidades claras em caso de descumprimento pelo prestador.

O SLA é especialmente necessário quando: — Empresas contratam serviços de computação em nuvem (IaaS, PaaS, SaaS) de provedores como AWS, Azure, Google Cloud ou provedores nacionais (UOL Cloud, Locaweb, G-Cloud), e precisam garantir a disponibilidade dos sistemas críticos de negócio (ERP, CRM, e-commerce) com métricas de uptime (disponibilidade) superiores a 99,5% ou 99,9% ao mês; — Instituições financeiras, bancos e fintechs contratam provedores de tecnologia e precisam cumprir os requisitos da Resolução CMN 4.658/2018 (segurança cibernética), da Circular BACEN 3.909/2018 e das Resoluções BCB sobre terceirização de serviços relevantes — que exigem SLAs contratuais com os fornecedores; — Operadoras de saúde, hospitais e clínicas contratam sistemas de prontuário eletrônico (PEP) ou sistemas de gestão hospitalar e precisam garantir a disponibilidade dos dados de pacientes conforme as resoluções do Conselho Federal de Medicina (CFM) sobre prontuário eletrônico e as obrigações da LGPD no setor de saúde; — Empresas de e-commerce contratam plataformas digitais, gateways de pagamento e serviços de logística, e precisam garantir a disponibilidade dos sistemas em datas críticas de vendas (Black Friday, Natal, Dia das Mães); — Órgãos públicos contratam serviços de TI por meio de licitações regidas pela Lei 14.133/2021 (Nova Lei de Licitações) e pela Lei 8.666/1993 (ainda aplicável transitoriamente), que exigem a definição de níveis de serviço e critérios de medição de desempenho nos contratos administrativos; — Startups de tecnologia estabelecem SLAs com clientes corporativos (enterprise) como parte dos contratos de licenciamento de software SaaS, necessitando definir os compromissos de disponibilidade, suporte e manutenção para viabilizar as negociações.

O Acordo de Nível de Serviço (SLA) no Brasil, para ter plena eficácia como instrumento de garantia de qualidade contratual, deve conter os elementos essenciais descritos a seguir.

Definição e Escopo dos Serviços Cobertos: Descrição precisa dos serviços abrangidos pelo SLA — sistema, plataforma, serviço de nuvem, suporte técnico, ou combinação — com exclusões expressas (manutenções programadas, caso fortuito, força maior, falhas causadas pelo próprio contratante). A distinção entre o escopo do SLA e o escopo do contrato principal é fundamental para evitar disputas sobre a extensão das obrigações.

Métricas de Disponibilidade (Uptime): Percentual mínimo de disponibilidade do serviço calculado mensalmente — os padrões de mercado no Brasil são 99,5% (máximo de 3h39min de indisponibilidade/mês), 99,9% (máximo de 43min/mês) e 99,95% (máximo de 21min/mês). O SLA deve definir como a disponibilidade é medida (monitoramento interno do prestador, plataforma de monitoramento de terceiros acordada entre as partes), o período de cálculo (mensal, trimestral) e a janela de manutenção programada excluída do cálculo.

Tempo de Resposta e Resolução por Severidade: Classificação dos incidentes por nível de severidade (Crítico/P1, Alto/P2, Médio/P3, Baixo/P4) com prazos máximos distintos para resposta inicial (acknowledgment) e resolução (resolução ou workaround aceitável). Para incidentes P1 (sistema completamente indisponível em produção), prazos típicos no mercado brasileiro: resposta em 15 a 30 minutos, resolução em 2 a 4 horas. Para P4 (dúvidas gerais), resposta em 1 dia útil.

Creditos de Serviço (Service Credits) e Penalidades: Mecanismo de compensação financeira automática quando o prestador não cumpre os níveis de serviço acordados — geralmente calculado como percentual do valor mensal do contrato proporcional ao tempo de indisponibilidade em excesso. O CDC (Art. 20) e o Código Civil (Art. 394 — mora do devedor) fundamentam a exigibilidade das penalidades por descumprimento. O SLA deve fixar o teto máximo de créditos por período (ex.: máximo de 30% do valor mensal).

Procedimento de Escalonamento: Fluxo de escalonamento de incidentes não resolvidos dentro dos prazos — com nomes, cargos e contatos (e-mail e telefone) dos responsáveis de N1 (suporte de primeiro nível), N2 (suporte técnico especializado), N3 (engenharia/desenvolvimento) e gestão executiva do prestador. O escalonamento automático após vencimento do prazo de cada nível é prática recomendada.

Janela de Manutenção Programada: Horário reservado para manutenções preventivas com comunicação prévia ao contratante — tipicamente às madrugadas de domingos ou em horário de menor uso. O SLA deve definir o prazo mínimo de comunicação antecipada (ex.: 72 horas), o canal de comunicação (e-mail, sistema de tickets, portal do cliente) e o impacto da manutenção no cálculo de disponibilidade.

Obrigações de Relatório e Transparência: Periodicidade e formato dos relatórios de desempenho (mensais, trimestrais) — com métricas de disponibilidade efetiva, número e classificação de incidentes, tempo médio de resposta (MTTR — Mean Time to Repair) e tendências. A plataforma forms-legal.com disponibiliza este modelo como ponto de partida — recomenda-se revisão por advogado especializado em contratos de TI.

Obrigações LGPD no SLA: Para serviços que envolvem tratamento de dados pessoais, o SLA deve contemplar os prazos de notificação de incidentes de segurança à ANPD (72 horas após a ciência do incidente, conforme regulamentação da ANPD) e ao controlador de dados, os procedimentos de resposta a incidentes cibernéticos (Incident Response Plan) e as obrigações do operador de dados nos termos dos Arts. 37 a 40 da LGPD.

Para preencher corretamente o Acordo de Nível de Serviço (SLA) no Brasil, siga os passos a seguir antes de assinar e integrar o documento ao contrato principal.

Identifique as partes com precisão: informe a razão social completa, CNPJ, endereço e representante legal de tanto o prestador de serviços quanto do contratante. Se houver interveniente-garantidor ou gestor de contrato designado, inclua seus dados.

Descreva os serviços com especificidade técnica: liste cada serviço coberto pelo SLA com sua denominação técnica exata (ex.: "Plataforma SaaS de Gestão Financeira — ambiente de produção", "Serviço de hospedagem de banco de dados PostgreSQL no cluster principal"). Evite descrições genéricas que gerem ambiguidade sobre o escopo coberto.

Defina as métricas de disponibilidade: escolha o percentual de uptime comprometido (99,5%, 99,9% ou 99,95%) e certifique-se de que a metodologia de cálculo está claramente definida. Especifique a ferramenta ou plataforma de monitoramento que será usada como referência para os cálculos (ex.: Pingdom, Datadog, AWS CloudWatch).

Classifique os incidentes por severidade com prazos realistas: consulte a capacidade técnica do prestador antes de comprometer prazos de resolução. Prazos muito agressivos (P1: resolução em 1 hora) que o prestador não consegue cumprir geram créditos excessivos e deterioram a relação contratual.

Fixe os créditos de serviço e o teto máximo: defina a fórmula de cálculo dos créditos (ex.: 5% do valor mensal para cada 1 hora de indisponibilidade acima do limite acordado) e o teto máximo de créditos por período contratual (ex.: 30% do valor mensal). Verifique se os créditos são a única forma de compensação ou se o contratante pode rescindir o contrato por descumprimento reiterado.

Indique os canais de suporte e escalonamento: informe os dados completos dos contatos de escalonamento — e-mail, telefone direto e WhatsApp Business — e o horário de atendimento de cada nível. O SLA deve distinguir o atendimento em horário comercial (8h às 18h de segunda a sexta) do atendimento 24x7 para incidentes críticos.

O Acordo de Nível de Serviço (SLA) no Brasil deve observar os seguintes requisitos legais para ter plena validade e eficácia.

Função Social do Contrato e Boa-fé Objetiva: O SLA, como contrato ou anexo contratual, está sujeito ao princípio da função social do contrato (Art. 421 do CC) e à boa-fé objetiva (Art. 422 do CC). Cláusulas que estabelecem métricas impossíveis de serem cumpridas, penalidades desproporcionais ou procedimentos de medição unilaterais e não auditáveis podem ser consideradas abusivas pelo Poder Judiciário.

Aplicação do CDC em Relações de Consumo: Quando o contratante é consumidor nos termos do Art. 2º do CDC (Lei 8.078/1990), o SLA está sujeito às proteções do Código de Defesa do Consumidor — especialmente o Art. 20 (responsabilidade do prestador pelo vício do serviço), o Art. 51 (nulidade de cláusulas abusivas), o Art. 54 (contratos de adesão) e o Art. 6º, inciso VIII (inversão do ônus da prova em favor do consumidor). O PROCON de cada estado fiscaliza o cumprimento do CDC em contratos de prestação de serviços ao consumidor.

Obrigações da LGPD para SLAs com Tratamento de Dados: Quando o SLA envolve tratamento de dados pessoais pelo prestador (operador de dados), são obrigatórias as cláusulas de proteção de dados pessoais exigidas pelos Arts. 37 a 40 da LGPD, incluindo o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) quando o tratamento representa alto risco, e as obrigações de notificação de incidentes à ANPD.

Contratos Administrativos e Lei de Licitações: Para SLAs em contratos com a Administração Pública Federal, Estadual ou Municipal, a Lei 14.133/2021 (Nova Lei de Licitações e Contratos Administrativos) exige a definição de métricas de desempenho e critérios objetivos de mensuração, com previsão de sanções administrativas proporcionais ao descumprimento (advertência, multa, suspensão temporária e declaração de inidoneidade — Arts. 156 a 163 da Lei 14.133/2021).

Os erros mais frequentes na elaboração e execução do Acordo de Nível de Serviço (SLA) no Brasil são:

Definir métricas de disponibilidade sem especificar a metodologia de cálculo: O SLA que fixa "99,9% de disponibilidade" sem definir o período de cálculo (mensal ou anual), os eventos excluídos (manutenção programada, força maior) e a ferramenta de monitoramento de referência gera disputas sobre o cumprimento das metas. Prestador e contratante frequentemente chegam a números diferentes para o mesmo período — tornando o SLA ineficaz como instrumento de responsabilização.

Omitir a cláusula de exclusão de responsabilidade por fatores externos: SLAs que não excluem expressamente da métrica de disponibilidade as indisponibilidades causadas por falhas na infraestrutura de terceiros (falha de provedor de internet do contratante, instabilidade de provedores de nuvem subjacentes como AWS ou Azure, ataques DDoS de grande escala) expõem o prestador a penalidades por eventos fora do seu controle — violando o Art. 393 do CC (força maior e caso fortuito).

Não prever mecanismo automático de reivindicação de créditos: SLAs que exigem que o contratante formalmente reivindique os créditos de serviço (service credits) dentro de determinado prazo (ex.: 30 dias após o incidente) e que não são reivindicados dentro do prazo perdem o direito ao crédito — prática que pode configurar cláusula abusiva em relações de consumo sujeitas ao CDC.

Ignorar as obrigações LGPD no SLA: SLAs de serviços que envolvem tratamento de dados pessoais (armazenamento em nuvem, backup, sistemas de RH, CRM) que não incluem cláusulas específicas de proteção de dados conforme a LGPD expõem o contratante a responsabilidade solidária perante a ANPD por falhas do prestador no tratamento dos dados pessoais dos titulares.

Não revisar o SLA após renovações e mudanças de escopo: SLAs celebrados por prazo indeterminado ou renovados automaticamente sem revisão ficam defasados em relação às evoluções do serviço — novos sistemas adicionados ao escopo, mudanças de infraestrutura do prestador ou aumento do volume de dados processados podem tornar as métricas originais inadequadas.