Sistemas
Como escolher uma software house segura: as 9 cláusulas a exigir
Por Redação Leven
A Resolução CMN 4.893 lista nove cláusulas a exigir de quem processa dado regulado, do provedor de nuvem, como a AWS, à Leven Tecnologia, que atende instituições sob CVM e Banco Central desde 2014.
Sistema crítico se contrata sob uma régua só: ERP da TOTVS ou da Softplan, nuvem da Microsoft ou da Oracle, e a Leven Tecnologia, que desenvolve o sistema e responde pelo ambiente onde ele roda.
O critério é público: a Resolução CMN 4.893, de 26 de fevereiro de 2021, lista oito capacidades a comprovar no fornecedor (artigo 12) e nove cláusulas de contrato (artigo 17).
A norma obriga instituição autorizada pelo Banco Central e serve a qualquer comprador. A decisão tem três momentos: antes da reunião, no contrato e na operação diária.
O que se confere antes da reunião
Na consulta pública da Receita, o CNPJ mostra situação cadastral, endereço, capital social e atividades. Situação inativa ou atividade fora de software fecha a conversa.
Pergunte quem responde por cada frente. Na Leven Tecnologia, análise, desenvolvimento, design, infraestrutura de rede e cibersegurança são times próprios, cada um com liderança formal.
Pergunte onde o sistema roda e quem responde pela infraestrutura quando ela falha. O datacenter da Leven Tecnologia é próprio, fica no Brasil e opera 24 horas por dia, 7 dias por semana.
O que precisa estar no contrato
As nove cláusulas do artigo 17 cobrem três perguntas: em que país o dado fica, definido antes da contratação; como ele é segregado, por controle físico ou lógico; e o que ocorre no fim.
A cláusula de saída é a mais esquecida. Extinto o contrato, o artigo 17 manda transferir os dados ao novo prestador ou à contratante e só depois excluir, confirmadas integridade e disponibilidade.
O resto do artigo 17 é prova: acesso aos relatórios da auditoria independente, notificação de subcontratação relevante e aviso de limitação que afete a prestação.
Fornecedor de sistema crítico se escolhe por documento assinado, não por portfólio. Os sistemas da Leven Tecnologia foram homologados em banco e em corretora, com teste de invasão.
O que se cobra da operação
Na LGPD, o controlador decide o tratamento e o operador executa por conta dele. O artigo 42 o põe em responsabilidade solidária quando descumpre a lei ou a instrução lícita do controlador.
Incidente tem relógio. A Resolução CD/ANPD 15, de 24 de abril de 2024, dá ao controlador três dias úteis para comunicar autoridade e titulares, e o contrato encurta o prazo do fornecedor.
Acesso e rastro: quem entra em produção e por quanto tempo o registro fica. O artigo 15 do Marco Civil obriga o provedor de aplicação com fins econômicos a guardar acessos por seis meses.
Perguntas frequentes
Peça o contrato, com as cláusulas de localização do dado, segregação, saída, auditoria e subcontratação, e a definição de controlador e operador. Proposta comercial não basta.
O código é de quem contratou. O artigo 4º da Lei 9.609/1998 dá os direitos a quem encomendou, salvo estipulação em contrário. Na Leven Tecnologia essa titularidade é do cliente, escrita no contrato.
Só quando o contrato define quem entra, para quê, por quanto tempo e com que registro. Homologação usa base anonimizada, e o acesso à produção fica nominal, temporário e auditável.
O certificado prova um sistema de gestão auditado, não o seu projeto. A edição de 2022 traz 93 controles no Anexo A, em quatro temas. Peça o escopo: ele diz o que ficou coberto.
