Em resumo
- Num contrato de informática, as cláusulas que mais importam são as de saída: quem fica com as passwords, a documentação e os dados quando a relação termina.
- Todos os acessos de administrador devem estar em nome da empresa cliente — nunca só do fornecedor.
- Se o fornecedor acede a dados pessoais, o RGPD (art. 28.º) obriga a um contrato escrito que, entre outros pontos, preveja a devolução ou eliminação dos dados no fim do serviço.
- No fim do artigo tem uma checklist de 10 cláusulas para confirmar no seu contrato.
Neste artigo
- Porque é que a saída é a parte mais importante do contrato
- Passwords e acessos de administrador: de quem são?
- Documentação da rede: o mapa que tem de ficar consigo
- Dados e RGPD: o que diz o artigo 28.º
- Pré-aviso, renovação e fidelização
- Passagem de testemunho: como deve correr a saída
- Checklist: 10 cláusulas a confirmar no seu contrato de informática
- Um caso real: auditoria de IT à France Affiches
- Perguntas frequentes
- Revisão técnica do seu contrato e acessos em 5 dias úteis
Um contrato de informática bem feito não se avalia no dia em que é assinado. Avalia-se no dia em que acaba. É nesse momento que se descobre se a empresa tem as passwords dos seus próprios sistemas, se existe documentação da rede e se os dados voltam inteiros. As cláusulas que deve exigir são poucas, simples e fáceis de verificar — desde que as leia antes de assinar.
Escrevemos este guia do lado de quem presta o serviço. Em 11 anos de mercado, vimos os mesmos problemas repetirem-se nas mudanças de fornecedor — e quase todos se evitavam com meia dúzia de linhas no contrato.
Porque é que a saída é a parte mais importante do contrato
Enquanto tudo corre bem, ninguém pergunta onde estão as passwords. O problema surge quando a empresa decide mudar de fornecedor — por preço, por qualidade ou porque cresceu — e percebe que:
- a conta de administrador do Microsoft 365 está registada no email do técnico antigo;
- o domínio do site foi registado em nome do fornecedor;
- ninguém sabe a password da firewall, e a única forma de entrar é repor o equipamento de fábrica;
- os backups estão numa conta de cloud que não é da empresa.
Nenhuma destas situações exige má-fé. Basta um fornecedor que, por comodidade, tratou tudo em seu nome. O resultado é o mesmo: a empresa fica refém. Se está nesta situação, veja como preparar a transição em mudar de empresa de informática sem riscos.
Passwords e acessos de administrador: de quem são?
A regra é simples: todos os acessos pertencem à empresa cliente. O fornecedor trabalha com contas próprias, nominais, que lhe são atribuídas — e que podem ser desativadas no dia em que o contrato termina.
Na prática, isto significa que o contrato deve prever:
- uma conta de administrador de emergência, em nome da empresa, para cada sistema crítico (Microsoft 365, firewall, servidores, rede Wi-Fi, backups);
- registo dos domínios, licenças e subscrições em nome da empresa;
- um cofre de passwords partilhado a que a administração tem acesso direto. Explicamos como funciona no artigo sobre gestor de passwords na empresa.
Documentação da rede: o mapa que tem de ficar consigo
Sem documentação, o novo fornecedor gasta semanas a descobrir o que existe — e paga-se esse tempo. O contrato deve obrigar o fornecedor a manter atualizado, e a entregar na saída, um dossier com:
- inventário de equipamentos (computadores, servidores, switches, access points, firewall, UPS);
- esquema da rede, endereçamento e VLANs (redes separadas para equipa, convidados, câmaras);
- regras da firewall e acessos remotos (VPN);
- política de backups: o que é copiado, para onde, com que frequência e quando foi o último teste de recuperação;
- lista de licenças, contratos de software e datas de renovação.
Dados e RGPD: o que diz o artigo 28.º
Quando um fornecedor de informática acede aos seus sistemas, acede também a dados pessoais — de clientes, colaboradores, doentes ou hóspedes. Para o Regulamento Geral sobre a Proteção de Dados (RGPD), a sua empresa é o “responsável pelo tratamento” e o fornecedor é um “subcontratante”.
O artigo 28.º do RGPD exige que esta relação esteja regulada por contrato escrito. Entre outros pontos, o contrato deve prever que o subcontratante:
- só trata os dados mediante instruções documentadas da sua empresa;
- garante que quem acede aos dados assumiu um compromisso de confidencialidade;
- adota as medidas de segurança exigidas pelo artigo 32.º;
- só recorre a outro subcontratante com autorização da sua empresa;
- ajuda a responder aos pedidos dos titulares dos dados e a cumprir as obrigações de segurança e notificação;
- no fim do serviço, apaga ou devolve todos os dados pessoais, conforme a escolha da sua empresa, salvo se a lei exigir a sua conservação;
- disponibiliza a informação necessária para demonstrar o cumprimento e permite auditorias.
Uma nota importante: a DataRoad implementa as medidas técnicas, mas não presta consultoria jurídica. Para a redação final destas cláusulas, valide o texto com o seu jurista ou encarregado de proteção de dados.
Pré-aviso, renovação e fidelização
Desconfie de contratos com fidelização longa, penalizações por saída antecipada ou pré-avisos difíceis de cumprir. Prenda-se a um fornecedor pela qualidade do serviço, não por uma cláusula.
Na DataRoad, o contrato IT Unlimited é anual, com renovação automática, 60 dias de pré-aviso e sem fidelização. Sessenta dias é o tempo necessário para uma passagem de testemunho feita com calma, sem deixar a empresa a descoberto. E se quer perceber porque trabalhamos sempre em contrato, explicamos em Porque não fazemos assistência informática pontual (e porque isso protege a sua empresa).
Passagem de testemunho: como deve correr a saída
O contrato deve descrever o que acontece nos últimos dias da relação, e não deixar isso à boa vontade de ninguém:
- entrega do dossier de documentação atualizado;
- entrega ou confirmação de todas as credenciais de administrador;
- uma reunião técnica com o novo fornecedor;
- desativação das contas do fornecedor que sai, depois de confirmados os acessos do novo;
- devolução ou eliminação dos dados, com confirmação por escrito.
Para os tempos de resposta e as penalizações durante o contrato, veja o nosso guia sobre SLA em contratos de IT: o que exigir.
Checklist: 10 cláusulas a confirmar no seu contrato de informática
| # | Cláusula | O que confirmar |
|---|---|---|
| 1 | Titularidade dos acessos | Todas as contas de administrador pertencem à empresa; o fornecedor usa contas nominais próprias. |
| 2 | Domínios e licenças | Registados em nome da empresa, não do fornecedor. |
| 3 | Cofre de passwords | A administração tem acesso direto e permanente. |
| 4 | Documentação | Inventário, esquema de rede, firewall e backups mantidos atualizados e entregues na saída. |
| 5 | Backups | Contas de backup em nome da empresa; testes de recuperação registados. |
| 6 | Acordo de subcontratação RGPD | Contrato escrito com os elementos do art. 28.º, n.º 3. |
| 7 | Devolução ou eliminação dos dados | No fim do serviço, à escolha da empresa, com confirmação escrita. |
| 8 | Pré-aviso e fidelização | Pré-aviso razoável, sem fidelização nem penalizações de saída. |
| 9 | Passagem de testemunho | Procedimento descrito: reunião técnica, entrega de credenciais, desativação de contas. |
| 10 | Níveis de serviço | Tempos de resposta e horários de cobertura escritos, sem ambiguidade. |
Um caso real: auditoria de IT à France Affiches
O grupo France Affiches, impressor de grande formato com sede na região de Paris e unidades em França, Espanha e Portugal, pediu à DataRoad uma auditoria completa de IT, feita no local. O âmbito incluiu a topologia real da rede, o estado de suporte dos equipamentos, as regras da firewall, as contas privilegiadas, a proteção dos equipamentos e os backups — incluindo testes de recuperação.
O resultado foi um relatório escrito que classifica cada ponto como risco imediato, dívida técnica a planear ou aceitável. É exatamente este tipo de levantamento que deve existir — e ficar na posse da empresa — quando muda de fornecedor. Leia o caso France Affiches.
Perguntas frequentes
O fornecedor de informática pode ficar com as passwords da minha empresa?
Pode usá-las durante o contrato, mas não deve ser o único a tê-las. Todas as contas de administrador devem pertencer à empresa, com cópia num cofre de passwords a que a administração tem acesso direto.
Preciso de um acordo RGPD com a empresa de informática?
Sim, sempre que o fornecedor tenha acesso a dados pessoais nos seus sistemas. O artigo 28.º do RGPD exige um contrato escrito com o subcontratante, que inclua, entre outros pontos, a devolução ou eliminação dos dados no fim do serviço.
Qual é o pré-aviso do contrato da DataRoad?
O contrato IT Unlimited é anual, com renovação automática, 60 dias de pré-aviso e sem fidelização.
O que devo receber quando termino o contrato?
A documentação atualizada da rede e dos sistemas, todas as credenciais de administrador, a confirmação de que os domínios, licenças e backups estão em nome da empresa e a devolução ou eliminação dos dados, confirmada por escrito.
Revisão técnica do seu contrato e acessos em 5 dias úteis
Verificamos quem detém os acessos de administrador, os domínios, as licenças e os backups da sua empresa, e entregamos a lista do que falta para não ficar dependente de ninguém. Para empresas com mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico.
Revisão de acessos e dados em 5 dias úteis
Saiba se a sua empresa controla as chaves dos próprios sistemas.
![Logótipo mun[it], agência de marketing digital — cliente da DataRoad](https://www.dataroad.pt/wp-content/uploads/2026/09/logo-cliente-munit.png){kind=logo}
