Contrato, termos de uso e política de uso aceitável para provedor de cloud

Documento jurídico é o bloco que provedor novo deixa para depois, e é onde o custo aparece com atraso. Você só descobre a cláusula que faltava no momento em que precisa dela: o cliente que minera criptomoeda e satura o cluster, o que some sem pagar e depois exige os dados, o que abre chamado exigindo compensação por uma indisponibilidade que o seu SLA não cobria, o que hospeda conteúdo que gera notificação judicial.

Este texto não substitui advogado — e vale dizer isso com clareza, porque o objetivo aqui é outro: mostrar quais decisões operacionais precisam estar definidas antes de a redação jurídica acontecer. Quem chega ao advogado com essas decisões tomadas sai com um documento que corresponde à operação real.

Os quatro documentos e o que cada um faz

Separá-los importa por uma razão prática: a política de uso aceitável precisa ser atualizável sem renegociar contrato. Coloque no contrato uma referência a ela e o mecanismo de comunicação de alterações.

O contrato: as decisões que ele exige

• Objeto preciso. Quantidade de recurso, características, onde fica fisicamente.
• Prazo e renovação. Automática ou não, com qual aviso prévio.
• Reajuste. Índice e periodicidade. Sem cláusula, você fica com custo subindo e preço congelado.
• Rescisão. Prazo de aviso, multa se houver, e o que acontece com os dados.
• Escopo de responsabilidade. Onde termina a sua e começa a do cliente — o item mais importante do documento.
• Limitação de responsabilidade. Teto de indenização, e exclusão explícita de lucros cessantes.
• Subcontratação. Se você usa datacenter ou plataforma de terceiros, isso precisa estar previsto.
• Confidencialidade e tratamento de dados, alinhado à LGPD.
• Foro e resolução de conflitos.

A matriz de responsabilidade merece um anexo próprio, porque é o que evita a discussão mais cara que existe:

Sem essa tabela, toda indisponibilidade vira discussão sobre de quem é a culpa. Com ela, a conversa dura dois minutos.

O SLA: prometa o que você mede

Três decisões que precisam ser tomadas antes da redação, e que quase todo provedor novo erra:

1. O que exatamente é medido. "Disponibilidade da VM" e "disponibilidade da aplicação do cliente" são coisas diferentes. Você mede a primeira. Escreva isso.

2. Como é medido. Por sua ferramenta? Por monitoramento externo? De onde? Em qual intervalo? Sem definição, qualquer número vira discussão.

3. O que está excluído. E aqui a lista precisa ser explícita:

• Manutenção programada, com aviso prévio definido (e um limite anual de horas, o que é justo com o cliente).
• Falha causada por ação do cliente.
• Indisponibilidade da aplicação por causa do próprio cliente.
• Ataque de negação de serviço acima da capacidade contratada de mitigação.
• Caso fortuito e força maior.
• Suspensão por inadimplência ou violação da política de uso.

E a regra que não se negocia: não prometa mais do que os seus fornecedores entregam. Se o datacenter dá 99,9% e o link dá 99,9%, a disponibilidade combinada é menor que qualquer um dos dois isoladamente. Faça a conta antes de publicar o número.

Por fim, defina a compensação: crédito em serviço, proporcional, com teto e com prazo para o cliente solicitar. Crédito é preferível a devolução em dinheiro porque preserva a relação e não quebra o fluxo de caixa.

A política de uso aceitável: o documento que mais te protege

É o que permite agir rápido quando algo dá errado. Precisa cobrir:

Conteúdo e atividade proibidos: material ilegal, violação de direitos autorais, spam, distribuição de malware, phishing, invasão de sistemas de terceiros, ataques de negação de serviço a partir da sua rede.

Uso de recursos: mineração de criptomoeda, uso de CPU que degrade vizinhos, tráfego desproporcional ao contratado. Seja específico — "uso abusivo" sozinho não sustenta uma suspensão contestada.

Responsabilidade por sublocação: se o cliente revende, ele responde pelos clientes dele. Sem essa cláusula, você fica responsável por quem nem sabe que existe.

Segurança: obrigação de manter o sistema atualizado, de não compartilhar credenciais, de comunicar comprometimento.

Procedimento de resposta, e este é o núcleo:

1. Notificação e prazo para corrigir, no caso comum.
2. Suspensão imediata sem aviso nos casos graves — conteúdo ilegal, ataque em curso, comprometimento ativo. Esses precisam estar listados.
3. Escalonamento até o encerramento.
4. Direito de resposta do cliente.

Sem procedimento escrito, você fica entre agir e ser processado, ou não agir e ser corresponsável.

Tratamento de dados e LGPD

As definições que a operação exige:

• Papéis definidos. Em geral, o cliente é controlador e você é operador dos dados que ele hospeda — mas para os dados cadastrais dele, você é controlador. Os dois casos precisam estar escritos.
• Finalidade e limites do que você acessa. Suporte que entra na VM do cliente precisa de base definida e de registro.
• Subprocessadores identificados, com mecanismo de comunicação de mudança.
• Notificação de incidente: em quanto tempo você avisa, com qual conteúdo.
• Localização física dos dados e dos backups, incluindo a cópia externa.
• Eliminação ao término, com prazo e método.

Cliente corporativo vai pedir um acordo específico de tratamento de dados. Ter o modelo pronto acelera venda.

Encerramento: as regras que evitam a briga

O momento de maior atrito, e o menos planejado. Defina:

• Prazo de retenção após o encerramento. Quanto tempo os dados ficam disponíveis para o cliente baixar. Algo entre 15 e 30 dias é razoável.
• Formato de devolução. Imagem da VM, arquivo, acesso temporário? Com ou sem custo?
• Retenção em caso de inadimplência. Suspender o acesso mantendo o dado por um período, antes de destruir. Destruir dado de quem deve é juridicamente perigoso e comercialmente pior.
• Destruição efetiva, com método e evidência. É obrigação legal e é risco de segurança — volume liberado sem limpeza pode ser realocado.
• Certificado de destruição, se o cliente solicitar.

A régua de inadimplência precisa estar escrita e ser seguida com consistência: quando avisa, quando restringe, quando suspende, quando encerra, quando destrói. Decidir caso a caso produz tratamento desigual, e tratamento desigual é problema jurídico.

Erros comuns

• Começar a operar sem contrato, com proposta por e-mail.
• SLA com número bonito e sem definição de medição.
• Prometer disponibilidade maior que a dos fornecedores.
• Nenhuma exclusão explícita no SLA.
• Sem matriz de responsabilidade, e toda falha vira discussão de culpa.
• Política de uso aceitável genérica, que não sustenta suspensão.
• Nenhum procedimento escrito de suspensão por violação.
• Sem cláusula de reajuste, com custo subindo e preço parado.
• Sem previsão de subcontratação, com o cliente descobrindo o fornecedor depois.
• Sem regra de devolução de dados, e o encerramento vira conflito.
• Destruir dado de inadimplente sem prazo e sem aviso.
• Régua de inadimplência aplicada caso a caso.
• Nenhum modelo de acordo de tratamento de dados pronto para cliente corporativo.
• Canal de abuso publicado sem ninguém lendo.

O conselho prático

Leve ao advogado as decisões, não a pergunta. Chegue com: a matriz de responsabilidade preenchida, o número de disponibilidade que você calculou a partir dos seus fornecedores, a lista de exclusões, a régua de inadimplência, o prazo de retenção pós-encerramento e a lista de usos proibidos com o procedimento de resposta.

Com isso em mãos, o custo e o prazo da consultoria jurídica caem bastante, e o documento resultante descreve a sua operação real — não um modelo genérico que ninguém consegue cumprir.

Onde a Solvefy/Cloud entra

Não fazemos a peça jurídica, e não fingimos que fazemos. O que entregamos é a parte que o documento precisa refletir: a matriz de responsabilidade por camada, o cálculo de disponibilidade a partir dos seus fornecedores reais, o que a plataforma consegue medir e comprovar para sustentar o SLA, a régua de inadimplência implementada na cobrança, a retenção e a destruição de dados no encerramento com cifragem por cliente, e os relatórios que servem de evidência em auditoria. É o que transforma cláusula em prática verificável.

Quer estruturar a operação antes de fechar os documentos? Fazemos um diagnóstico gratuito, sem compromisso, em solvefy.cloud.

Solvefy/Cloud — Infraestrutura que cresce com você.