Termos de uso e política de privacidade para SaaS : o front-end jurídico do seu software

É comum tratar “termos e privacidade” como um único documento genérico. Na prática, cada peça responde a uma pergunta diferente e tem um leitor diferente.

Em operações B2B, existe ainda uma quarta peça: o contrato com o cliente corporativo e, quando for o caso, o acordo de tratamento de dados entre as partes. Os termos públicos não substituem esses instrumentos em contas maiores.

Os termos de uso são a base contratual do relacionamento com quem usa o software. Um texto útil descreve o que o produto realmente entrega e o que acontece quando algo sai do esperado. Costumam aparecer:

• objeto e licença de uso: o que o usuário pode fazer (acesso, não propriedade do código) e em quais condições;
• cadastro, credenciais e responsabilidade pela conta;
• planos, preço, forma de pagamento, renovação, cancelamento e reembolso, quando aplicável;
• disponibilidade e suporte (SLA), com limites e exceções, como manutenção programada;
• uso aceitável: o que é proibido, como spam, uso abusivo de API, engenharia reversa ou atividade ilícita;
• suspensão e encerramento da conta, com critérios, aviso e possibilidade de contestação;
• propriedade intelectual da plataforma e titularidade dos dados e conteúdos do cliente;
• confidencialidade e segurança;
• limitação de responsabilidade e tratamento de falhas e indisponibilidade;
• alterações dos termos e forma de comunicação aos usuários;
• lei aplicável e foro.

Cláusulas têm limites

A liberdade de redigir não é absoluta. Quando o usuário é consumidor, cláusulas abusivas podem ser consideradas nulas pelo Código de Defesa do Consumidor (art. 51), e a prática de bloquear a conta “sem aviso e sem explicação” pode ser questionada. Em relações entre empresas, cláusulas muito desequilibradas também podem ser contestadas à luz da boa-fé e da função do contrato. Por isso, a suspensão deve ter critério objetivo, e a limitação de responsabilidade precisa ser razoável.

O aceite precisa poder ser provado

De pouco adianta ter bons termos se não for possível mostrar que o usuário os aceitou. Em geral, o aceite ativo (um clique ou marcação no cadastro, em vez de um aviso discreto no rodapé) é mais forte, e é recomendável registrar a data, a versão do documento e o identificador do usuário. Quando os termos mudam, o registro da versão aceita faz diferença.

A LGPD (Lei 13.709/2018) exige que o titular tenha acesso facilitado a informações claras sobre o tratamento de seus dados. O art. 9º lista o que deve constar, como a finalidade específica, a forma e a duração do tratamento, a identificação e o contato do controlador, informações sobre o compartilhamento e os direitos do titular. Uma boa política de privacidade de SaaS costuma tratar de:

• quais dados são coletados (cadastro, uso, dispositivo, pagamento) e por qual meio;
• para que cada dado é usado, com a respectiva base legal (art. 7º da LGPD), como execução de contrato, legítimo interesse, obrigação legal ou consentimento;
• com quem os dados são compartilhados: provedores de nuvem, gateways de pagamento, ferramentas de analytics, suporte e APIs de terceiros;
• se há transferência internacional de dados, o que é comum em serviços de nuvem;
• por quanto tempo os dados são mantidos e como são descartados;
• como o titular exerce seus direitos (acesso, correção, anonimização, eliminação, entre outros, previstos no art. 18);
• medidas de segurança e como incidentes são tratados;
• o canal de contato e a identificação do encarregado, quando houver.

Controlador ou operador: um ponto decisivo no B2B

Quando o SaaS trata dados de usuários dos seus próprios clientes (por exemplo, uma plataforma de gestão que guarda dados dos clientes finais da empresa contratante), a empresa de software costuma atuar como operadora, tratando os dados em nome do cliente, que é o controlador. Isso muda as obrigações e exige regras contratuais sobre finalidade, segurança, subcontratados, devolução ou eliminação dos dados e apoio no atendimento aos titulares. Já em relação aos dados de cadastro dos próprios clientes, o SaaS é controlador. É comum o mesmo software ocupar os dois papéis.

Cookies e tecnologias similares podem coletar dados pessoais e, por isso, entram no escopo da LGPD. A ANPD publicou um guia orientativo sobre o tema, que ajuda a separar as categorias e a pensar na forma de obter a escolha do usuário.

• Cookies estritamente necessários: sustentam o funcionamento do site, como sessão, autenticação e segurança. Em geral, dispensam consentimento, mas devem ser informados.
• Cookies de desempenho e analytics: medem uso e navegação. Dependendo da forma de coleta e do tipo de dado, podem exigir uma escolha informada.
• Cookies de marketing e publicidade: rastreiam o usuário para direcionar anúncios. Em regra, dependem de consentimento prévio.

Um banner com a única opção “aceitar todos” dificilmente reflete uma escolha genuína. O ideal é permitir aceitar, recusar e personalizar por categoria, e registrar a escolha. E atenção: a política de cookies deve corresponder às ferramentas que realmente estão no site. Cada pixel ou script de terceiros incluído sem revisão é um possível descompasso entre o texto e a prática.

O maior risco de um SaaS não é a ausência de documentos, e sim documentos que não correspondem à realidade. Alguns exemplos de descompasso:

• a política afirma que os dados são apagados após o cancelamento, mas o sistema mantém backups e registros por tempo indeterminado;
• os termos citam um SLA de disponibilidade que a infraestrutura não consegue sustentar;
• o produto passou a usar uma nova ferramenta de analytics ou de IA, mas a política de privacidade não foi atualizada;
• os termos preveem o bloqueio por uso abusivo, mas não há registro técnico (logs) que permita comprovar o abuso.

Por isso, o ponto de partida é sempre um mapeamento do que o produto faz: que dados entram, onde ficam, quem tem acesso, para onde vão e por quanto tempo permanecem. Os documentos são escritos a partir desse mapa, e não o contrário.

Imagine, em um exemplo hipotético, um cliente que usa a API do SaaS para disparar mensagens em massa e acaba prejudicando a reputação e a estabilidade da plataforma. Para agir com segurança, a empresa precisa de três coisas alinhadas:

1. 01 Termos de uso com regra clara de uso aceitável e previsão de suspensão, indicando o que é proibido, o que acontece e se há aviso prévio ou procedimento de contestação.
2. 02 Registros técnicos (logs) que demonstrem o comportamento, tratados de acordo com a política de privacidade, com finalidade de segurança e prevenção de abuso informada.
3. 03 Um procedimento interno de resposta: quem decide, como notifica o cliente e como documenta a decisão.

Se qualquer uma dessas peças faltar, a decisão de suspender pode ser questionada. A regra de uso aceitável sem logs não prova nada, e os logs sem previsão contratual podem gerar discussão sobre a legitimidade da medida.

• Os três documentos existem, estão acessíveis no site e no cadastro e não se contradizem?
• Os termos descrevem os planos, o SLA, o uso aceitável e os critérios de suspensão do produto real?
• O aceite dos termos é registrado com data e versão?
• A política de privacidade lista dados, finalidades, bases legais, compartilhamentos e prazos de retenção reais?
• Os provedores e ferramentas de terceiros (nuvem, pagamento, analytics, suporte, IA) estão mapeados e refletidos nos documentos?
• Há canal para os direitos do titular e procedimento interno para atendê-los?
• O banner de cookies permite escolher por categoria e registra a escolha?
• Para clientes B2B, existe contrato e regras específicas de tratamento de dados quando a empresa é operadora?
• Existe plano de resposta a incidentes de segurança?
• Há processo para revisar e versionar os documentos a cada mudança relevante do produto?

• Copiar modelos de outros softwares sem adaptar ao seu fluxo de dados.
• Publicar a política de privacidade, mas não ter processos internos para cumpri-la.
• Deixar de atualizar os documentos quando o produto muda.
• Usar linguagem excessivamente técnica ou longa, que dificulta a compreensão do usuário.
• Cláusulas unilaterais sem critério, como bloqueio sem aviso nem possibilidade de resposta.
• Ignorar o papel de operador em contratos B2B e não prever as regras de tratamento de dados.
• Não guardar versões antigas dos documentos e o registro de quem aceitou cada uma.

A revisão jurídica agrega mais valor em momentos específicos:

• antes do lançamento ou de uma nova versão importante do produto;
• ao começar a vender para empresas maiores, que costumam exigir contrato, regras de proteção de dados e respostas a questionários de segurança;
• ao incluir novos fornecedores, integrações ou recursos de inteligência artificial;
• diante de uma reclamação de usuário, notificação de autoridade ou incidente de segurança;
• antes de rodadas de investimento ou processos de due diligence;
• sempre que houver dúvida sobre o papel da empresa (controladora ou operadora) em cada fluxo de dados.

A análise inicial avalia o produto, os documentos existentes e os riscos mais relevantes, com orientação sobre as medidas cabíveis. Cada caso é analisado individualmente.