LGPD, propriedade de dados e mecanismos de reajuste
Proteção de dados e propriedade intelectual
Serviços de nuvem processam e armazenam dados institucionais. O TR 403/2025 estabelece regras claras sobre quem é dono dos dados, onde ficam armazenados e o que acontece quando o contrato termina.
Propriedade dos dados (TR 6.14)
Regra absoluta: todos os dados são propriedade exclusiva do IFSP. O credenciado e o provedor são meros custodiantes.
Isso inclui:
- Dados de sistemas acadêmicos (notas, matrículas, frequência)
- Dados administrativos (contratos, folha, patrimônio)
- Dados de pesquisa (projetos, publicações, datasets)
- Logs de acesso e auditoria
- Configurações de infraestrutura (IaaC, políticas, scripts)
- Backups e snapshots
O credenciado não pode:
- Usar dados do IFSP para qualquer finalidade própria
- Compartilhar dados com terceiros (exceto o CSP, para prestação do serviço)
- Reter dados após o encerramento do contrato
- Condicionar a devolução de dados a pagamento adicional
Conformidade LGPD (TR 6.13)
O credenciado atua como operador de dados pessoais (Lei 13.709/2018, art. 5º, VII). O IFSP é o controlador. Obrigações do operador:
| Obrigação | Evidência exigida |
|---|---|
| Tratar dados apenas conforme instruções do controlador | Cláusula contratual + política documentada |
| Manter registro das operações de tratamento | Relatório trimestral ao fiscal |
| Adotar medidas de segurança (art. 46, LGPD) | Certificações ISO 27001/27017/27018 do CSP |
| Comunicar incidentes de segurança | Prazo: 24 horas após ciência |
| Nomear encarregado (DPO) | Identificação no contrato |
| Permitir auditoria pelo controlador | Acesso irrestrito a logs e configurações |
Localização dos dados
O TR exige que dados sejam armazenados prioritariamente no Brasil (data centers em São Paulo ou Rio de Janeiro). Exceções (replicação para disaster recovery em outra região) devem ser previamente autorizadas pelo fiscal técnico.
Incidentes de segurança
Em caso de vazamento ou acesso não autorizado:
- Credenciado comunica o IFSP em até 24 horas
- IFSP avalia impacto e comunica a ANPD (se necessário, em 72h)
- Credenciado implementa contenção imediata
- Relatório de incidente entregue em até 5 dias úteis
- Plano de ação corretiva em até 10 dias úteis
Manutenção de sigilo (TR 6.12)
Todos os profissionais do credenciado que acessarem dados ou sistemas do IFSP devem assinar:
- Termo de Compromisso de Manutenção de Sigilo (modelo do edital)
- NDA (Non-Disclosure Agreement) com parceiros/subcontratados
A obrigação de sigilo persiste por 5 anos após o encerramento do contrato.
Reajuste e atualização de preços (TR 8.48-8.55)
O modelo de reajuste do credenciamento é único porque combina três mecanismos simultâneos:
1. ICTI (reajuste anual do integrador)
| Parâmetro | Valor |
|---|---|
| Índice | ICTI (Índice de Custos de Tecnologia da Informação) |
| Fonte | IPEA (Fundação Instituto de Pesquisa Econômica Aplicada) |
| Periodicidade | Anual |
| Data-base | Data da proposta do credenciado |
| Incide sobre | UFS (sustentação) e HSPi (serviços do integrador) |
| Formalização | Apostila (não precisa de aditivo) |
O ICTI reajusta apenas a parcela de serviço do integrador. Não incide sobre o consumo de nuvem (USN/USN-MP), que é regido pela PTAX.
2. PTAX (atualização cambial mensal)
| Parâmetro | Valor |
|---|---|
| Índice | PTAX de venda |
| Fonte | Banco Central do Brasil |
| Periodicidade | Mensal (último dia útil do mês de consumo) |
| Incide sobre | USN e USN-MP (consumo de nuvem) |
| Formalização | Automática (faz parte da fórmula de faturamento) |
A PTAX não é um "reajuste" no sentido jurídico. É a conversão natural do preço em dólar (tabela do provedor) para reais. Não precisa de aditivo nem de apostila.
3. Price Drops (redução obrigatória)
| Parâmetro | Valor |
|---|---|
| Gatilho | Provedor reduz preço de qualquer serviço |
| Periodicidade | A qualquer tempo (imediato) |
| Incide sobre | USN e USN-MP do serviço afetado |
| Formalização | Automática (tabela pública é a referência) |
| Obrigação | Repasse integral ao IFSP |
Price Drops são o mecanismo que garante que o contrato fica mais barato com o tempo. O credenciado não pode reter a diferença.
O que a AGU vetou
O parecer AGU (§§223-234) vetou cláusulas de "reajuste automático pela variação do dólar" que estavam na versão anterior do TR. O motivo: o art. 318 do Código Civil veda pagamento em moeda estrangeira.
A solução adotada no TR final: a PTAX não é um reajuste contratual. É a conversão natural do preço público do provedor (que é em dólar) para a moeda de pagamento (real). O contrato é em reais. A referência ao dólar é apenas para identificar o preço na tabela do CSP.
Cessão de crédito (TR 8.56)
O credenciado pode ceder créditos decorrentes do contrato a terceiros (factoring, antecipação de recebíveis), desde que:
- Comunique previamente a Administração
- A cessão não altere obrigações contratuais
- O cessionário não tenha restrições para contratar com a APF
Essa cláusula facilita o fluxo de caixa de empresas menores que participam do credenciamento.