<\/p>\n
Em resumo<\/p>\n
Neste artigo<\/p>\n
Um contrato de inform\u00e1tica<\/strong> bem feito n\u00e3o se avalia no dia em que \u00e9 assinado. Avalia-se no dia em que acaba. \u00c9 nesse momento que se descobre se a empresa tem as passwords dos seus pr\u00f3prios sistemas, se existe documenta\u00e7\u00e3o da rede e se os dados voltam inteiros. As cl\u00e1usulas que deve exigir s\u00e3o poucas, simples e f\u00e1ceis de verificar \u2014 desde que as leia antes de assinar.<\/p>\n Escrevemos este guia do lado de quem presta o servi\u00e7o. Em 11 anos de mercado, vimos os mesmos problemas repetirem-se nas mudan\u00e7as de fornecedor \u2014 e quase todos se evitavam com meia d\u00fazia de linhas no contrato.<\/p>\n Enquanto tudo corre bem, ningu\u00e9m pergunta onde est\u00e3o as passwords. O problema surge quando a empresa decide mudar de fornecedor \u2014 por pre\u00e7o, por qualidade ou porque cresceu \u2014 e percebe que:<\/p>\n Nenhuma destas situa\u00e7\u00f5es exige m\u00e1-f\u00e9. Basta um fornecedor que, por comodidade, tratou tudo em seu nome. O resultado \u00e9 o mesmo: a empresa fica ref\u00e9m. Se est\u00e1 nesta situa\u00e7\u00e3o, veja como preparar a transi\u00e7\u00e3o em mudar de empresa de inform\u00e1tica sem riscos<\/a>.<\/p>\n A regra \u00e9 simples: todos os acessos pertencem \u00e0 empresa cliente<\/strong>. O fornecedor trabalha com contas pr\u00f3prias, nominais, que lhe s\u00e3o atribu\u00eddas \u2014 e que podem ser desativadas no dia em que o contrato termina.<\/p>\n Na pr\u00e1tica, isto significa que o contrato deve prever:<\/p>\n Sem documenta\u00e7\u00e3o, o novo fornecedor gasta semanas a descobrir o que existe \u2014 e paga-se esse tempo. O contrato deve obrigar o fornecedor a manter atualizado, e a entregar na sa\u00edda, um dossier com:<\/p>\n Quando um fornecedor de inform\u00e1tica acede aos seus sistemas, acede tamb\u00e9m a dados pessoais \u2014 de clientes, colaboradores, doentes ou h\u00f3spedes. Para o Regulamento Geral sobre a Prote\u00e7\u00e3o de Dados (RGPD), a sua empresa \u00e9 o “respons\u00e1vel pelo tratamento” e o fornecedor \u00e9 um “subcontratante”.<\/p>\n O artigo 28.\u00ba do RGPD exige que esta rela\u00e7\u00e3o esteja regulada por contrato escrito. Entre outros pontos, o contrato deve prever que o subcontratante:<\/p>\n Uma nota importante: a DataRoad implementa as medidas t\u00e9cnicas, mas n\u00e3o presta consultoria jur\u00eddica. Para a reda\u00e7\u00e3o final destas cl\u00e1usulas, valide o texto com o seu jurista ou encarregado de prote\u00e7\u00e3o de dados.<\/p>\n Desconfie de contratos com fideliza\u00e7\u00e3o longa, penaliza\u00e7\u00f5es por sa\u00edda antecipada ou pr\u00e9-avisos dif\u00edceis de cumprir. Prenda-se a um fornecedor pela qualidade do servi\u00e7o, n\u00e3o por uma cl\u00e1usula.<\/p>\n Na DataRoad, o contrato IT Unlimited<\/a> \u00e9 anual, com renova\u00e7\u00e3o autom\u00e1tica, 60 dias de pr\u00e9-aviso e sem fideliza\u00e7\u00e3o. Sessenta dias \u00e9 o tempo necess\u00e1rio para uma passagem de testemunho feita com calma, sem deixar a empresa a descoberto. E se quer perceber porque trabalhamos sempre em contrato, explicamos em Porque n\u00e3o fazemos assist\u00eancia inform\u00e1tica pontual (e porque isso protege a sua empresa)<\/a>.<\/p>\n O contrato deve descrever o que acontece nos \u00faltimos dias da rela\u00e7\u00e3o, e n\u00e3o deixar isso \u00e0 boa vontade de ningu\u00e9m:<\/p>\n Para os tempos de resposta e as penaliza\u00e7\u00f5es durante o contrato, veja o nosso guia sobre SLA em contratos de IT: o que exigir<\/a>.<\/p>\n O grupo France Affiches, impressor de grande formato com sede na regi\u00e3o de Paris e unidades em Fran\u00e7a, Espanha e Portugal, pediu \u00e0 DataRoad uma auditoria completa de IT, feita no local. O \u00e2mbito incluiu a topologia real da rede, o estado de suporte dos equipamentos, as regras da firewall, as contas privilegiadas, a prote\u00e7\u00e3o dos equipamentos e os backups \u2014 incluindo testes de recupera\u00e7\u00e3o.<\/p>\n O resultado foi um relat\u00f3rio escrito que classifica cada ponto como risco imediato, d\u00edvida t\u00e9cnica a planear ou aceit\u00e1vel. \u00c9 exatamente este tipo de levantamento que deve existir \u2014 e ficar na posse da empresa \u2014 quando muda de fornecedor. Leia o caso France Affiches<\/a>.<\/p>\n Pode us\u00e1-las durante o contrato, mas n\u00e3o deve ser o \u00fanico a t\u00ea-las. Todas as contas de administrador devem pertencer \u00e0 empresa, com c\u00f3pia num cofre de passwords a que a administra\u00e7\u00e3o tem acesso direto.<\/p>\n Sim, sempre que o fornecedor tenha acesso a dados pessoais nos seus sistemas. O artigo 28.\u00ba do RGPD exige um contrato escrito com o subcontratante, que inclua, entre outros pontos, a devolu\u00e7\u00e3o ou elimina\u00e7\u00e3o dos dados no fim do servi\u00e7o.<\/p>\n O contrato IT Unlimited \u00e9 anual, com renova\u00e7\u00e3o autom\u00e1tica, 60 dias de pr\u00e9-aviso e sem fideliza\u00e7\u00e3o.<\/p>\n A documenta\u00e7\u00e3o atualizada da rede e dos sistemas, todas as credenciais de administrador, a confirma\u00e7\u00e3o de que os dom\u00ednios, licen\u00e7as e backups est\u00e3o em nome da empresa e a devolu\u00e7\u00e3o ou elimina\u00e7\u00e3o dos dados, confirmada por escrito.<\/p>\n Verificamos quem det\u00e9m os acessos de administrador, os dom\u00ednios, as licen\u00e7as e os backups da sua empresa, e entregamos a lista do que falta para n\u00e3o ficar dependente de ningu\u00e9m. Para empresas com mais de 10 postos \u00b7 contrato de assist\u00eancia \u00b7 suporte remoto, local e telef\u00f3nico.<\/p>\n Revis\u00e3o de acessos e dados em 5 dias \u00fateis<\/p>\n Saiba se a sua empresa controla as chaves dos pr\u00f3prios sistemas.<\/p>\nPorque \u00e9 que a sa\u00edda \u00e9 a parte mais importante do contrato<\/h2>\n
\n
Passwords e acessos de administrador: de quem s\u00e3o?<\/h2>\n
\n
Documenta\u00e7\u00e3o da rede: o mapa que tem de ficar consigo<\/h2>\n
\n
Dados e RGPD: o que diz o artigo 28.\u00ba<\/h2>\n
\n
Pr\u00e9-aviso, renova\u00e7\u00e3o e fideliza\u00e7\u00e3o<\/h2>\n
Passagem de testemunho: como deve correr a sa\u00edda<\/h2>\n
\n
Checklist: 10 cl\u00e1usulas a confirmar no seu contrato de inform\u00e1tica<\/h2>\n
\n\n
\n \n#<\/th>\n Cl\u00e1usula<\/th>\n O que confirmar<\/th>\n<\/tr>\n<\/thead>\n \n 1<\/td>\n Titularidade dos acessos<\/td>\n Todas as contas de administrador pertencem \u00e0 empresa; o fornecedor usa contas nominais pr\u00f3prias.<\/td>\n<\/tr>\n \n 2<\/td>\n Dom\u00ednios e licen\u00e7as<\/td>\n Registados em nome da empresa, n\u00e3o do fornecedor.<\/td>\n<\/tr>\n \n 3<\/td>\n Cofre de passwords<\/td>\n A administra\u00e7\u00e3o tem acesso direto e permanente.<\/td>\n<\/tr>\n \n 4<\/td>\n Documenta\u00e7\u00e3o<\/td>\n Invent\u00e1rio, esquema de rede, firewall e backups mantidos atualizados e entregues na sa\u00edda.<\/td>\n<\/tr>\n \n 5<\/td>\n Backups<\/td>\n Contas de backup em nome da empresa; testes de recupera\u00e7\u00e3o registados.<\/td>\n<\/tr>\n \n 6<\/td>\n Acordo de subcontrata\u00e7\u00e3o RGPD<\/td>\n Contrato escrito com os elementos do art. 28.\u00ba, n.\u00ba 3.<\/td>\n<\/tr>\n \n 7<\/td>\n Devolu\u00e7\u00e3o ou elimina\u00e7\u00e3o dos dados<\/td>\n No fim do servi\u00e7o, \u00e0 escolha da empresa, com confirma\u00e7\u00e3o escrita.<\/td>\n<\/tr>\n \n 8<\/td>\n Pr\u00e9-aviso e fideliza\u00e7\u00e3o<\/td>\n Pr\u00e9-aviso razo\u00e1vel, sem fideliza\u00e7\u00e3o nem penaliza\u00e7\u00f5es de sa\u00edda.<\/td>\n<\/tr>\n \n 9<\/td>\n Passagem de testemunho<\/td>\n Procedimento descrito: reuni\u00e3o t\u00e9cnica, entrega de credenciais, desativa\u00e7\u00e3o de contas.<\/td>\n<\/tr>\n \n 10<\/td>\n N\u00edveis de servi\u00e7o<\/td>\n Tempos de resposta e hor\u00e1rios de cobertura escritos, sem ambiguidade.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Um caso real: auditoria de IT \u00e0 France Affiches<\/h2>\n
Perguntas frequentes<\/h2>\n
O fornecedor de inform\u00e1tica pode ficar com as passwords da minha empresa?<\/h3>\n
Preciso de um acordo RGPD com a empresa de inform\u00e1tica?<\/h3>\n
Qual \u00e9 o pr\u00e9-aviso do contrato da DataRoad?<\/h3>\n
O que devo receber quando termino o contrato?<\/h3>\n
Revis\u00e3o t\u00e9cnica do seu contrato e acessos em 5 dias \u00fateis<\/h2>\n