# LGPD, propriedade de dados e mecanismos de reajuste

## Proteção de dados e propriedade intelectual

Serviços de nuvem processam e armazenam dados institucionais. O TR 403/2025 estabelece regras claras sobre quem é dono dos dados, onde ficam armazenados e o que acontece quando o contrato termina.

---

## Propriedade dos dados (TR 6.14)

Regra absoluta: **todos os dados são propriedade exclusiva do IFSP**. O credenciado e o provedor são meros custodiantes.

Isso inclui:

- Dados de sistemas acadêmicos (notas, matrículas, frequência)
- Dados administrativos (contratos, folha, patrimônio)
- Dados de pesquisa (projetos, publicações, datasets)
- Logs de acesso e auditoria
- Configurações de infraestrutura (IaaC, políticas, scripts)
- Backups e snapshots

O credenciado não pode:

- Usar dados do IFSP para qualquer finalidade própria
- Compartilhar dados com terceiros (exceto o CSP, para prestação do serviço)
- Reter dados após o encerramento do contrato
- Condicionar a devolução de dados a pagamento adicional

---

## Conformidade LGPD (TR 6.13)

O credenciado atua como **operador** de dados pessoais (Lei 13.709/2018, art. 5º, VII). O IFSP é o **controlador**. Obrigações do operador:

<table id="bkmrk-obriga%C3%A7%C3%A3o-evid%C3%AAncia-"><thead><tr><th>Obrigação</th><th>Evidência exigida</th></tr></thead><tbody><tr><td>Tratar dados apenas conforme instruções do controlador</td><td>Cláusula contratual + política documentada</td></tr><tr><td>Manter registro das operações de tratamento</td><td>Relatório trimestral ao fiscal</td></tr><tr><td>Adotar medidas de segurança (art. 46, LGPD)</td><td>Certificações ISO 27001/27017/27018 do CSP</td></tr><tr><td>Comunicar incidentes de segurança</td><td>Prazo: 24 horas após ciência</td></tr><tr><td>Nomear encarregado (DPO)</td><td>Identificação no contrato</td></tr><tr><td>Permitir auditoria pelo controlador</td><td>Acesso irrestrito a logs e configurações</td></tr></tbody></table>

### Localização dos dados

O TR exige que dados sejam armazenados **prioritariamente no Brasil** (data centers em São Paulo ou Rio de Janeiro). Exceções (replicação para disaster recovery em outra região) devem ser previamente autorizadas pelo fiscal técnico.

### Incidentes de segurança

Em caso de vazamento ou acesso não autorizado:

1. Credenciado comunica o IFSP em até **24 horas**
2. IFSP avalia impacto e comunica a ANPD (se necessário, em 72h)
3. Credenciado implementa contenção imediata
4. Relatório de incidente entregue em até 5 dias úteis
5. Plano de ação corretiva em até 10 dias úteis

---

## Manutenção de sigilo (TR 6.12)

Todos os profissionais do credenciado que acessarem dados ou sistemas do IFSP devem assinar:

- **Termo de Compromisso de Manutenção de Sigilo** (modelo do edital)
- **NDA (Non-Disclosure Agreement)** com parceiros/subcontratados

A obrigação de sigilo persiste por **5 anos** após o encerramento do contrato.

---

## Reajuste e atualização de preços (TR 8.48-8.55)

O modelo de reajuste do credenciamento é único porque combina três mecanismos simultâneos:

### 1. ICTI (reajuste anual do integrador)

<table id="bkmrk-par%C3%A2metro-valor-%C3%8Dndi"><thead><tr><th>Parâmetro</th><th>Valor</th></tr></thead><tbody><tr><td>Índice</td><td>ICTI (Índice de Custos de Tecnologia da Informação)</td></tr><tr><td>Fonte</td><td>IPEA (Fundação Instituto de Pesquisa Econômica Aplicada)</td></tr><tr><td>Periodicidade</td><td>Anual</td></tr><tr><td>Data-base</td><td>Data da proposta do credenciado</td></tr><tr><td>Incide sobre</td><td>UFS (sustentação) e HSPi (serviços do integrador)</td></tr><tr><td>Formalização</td><td>Apostila (não precisa de aditivo)</td></tr></tbody></table>

O ICTI reajusta apenas a parcela de serviço do integrador. Não incide sobre o consumo de nuvem (USN/USN-MP), que é regido pela PTAX.

### 2. PTAX (atualização cambial mensal)

<table id="bkmrk-par%C3%A2metro-valor-%C3%8Dndi-1"><thead><tr><th>Parâmetro</th><th>Valor</th></tr></thead><tbody><tr><td>Índice</td><td>PTAX de venda</td></tr><tr><td>Fonte</td><td>Banco Central do Brasil</td></tr><tr><td>Periodicidade</td><td>Mensal (último dia útil do mês de consumo)</td></tr><tr><td>Incide sobre</td><td>USN e USN-MP (consumo de nuvem)</td></tr><tr><td>Formalização</td><td>Automática (faz parte da fórmula de faturamento)</td></tr></tbody></table>

A PTAX não é um "reajuste" no sentido jurídico. É a conversão natural do preço em dólar (tabela do provedor) para reais. Não precisa de aditivo nem de apostila.

### 3. Price Drops (redução obrigatória)

<table id="bkmrk-par%C3%A2metro-valor-gati"><thead><tr><th>Parâmetro</th><th>Valor</th></tr></thead><tbody><tr><td>Gatilho</td><td>Provedor reduz preço de qualquer serviço</td></tr><tr><td>Periodicidade</td><td>A qualquer tempo (imediato)</td></tr><tr><td>Incide sobre</td><td>USN e USN-MP do serviço afetado</td></tr><tr><td>Formalização</td><td>Automática (tabela pública é a referência)</td></tr><tr><td>Obrigação</td><td>Repasse integral ao IFSP</td></tr></tbody></table>

Price Drops são o mecanismo que garante que o contrato fica mais barato com o tempo. O credenciado não pode reter a diferença.

### O que a AGU vetou

O parecer AGU (§§223-234) vetou cláusulas de "reajuste automático pela variação do dólar" que estavam na versão anterior do TR. O motivo: o art. 318 do Código Civil veda pagamento em moeda estrangeira.

A solução adotada no TR final: a PTAX não é um reajuste contratual. É a conversão natural do preço público do provedor (que é em dólar) para a moeda de pagamento (real). O contrato é em reais. A referência ao dólar é apenas para identificar o preço na tabela do CSP.

---

## Cessão de crédito (TR 8.56)

O credenciado pode ceder créditos decorrentes do contrato a terceiros (factoring, antecipação de recebíveis), desde que:

- Comunique previamente a Administração
- A cessão não altere obrigações contratuais
- O cessionário não tenha restrições para contratar com a APF

Essa cláusula facilita o fluxo de caixa de empresas menores que participam do credenciamento.