LGPD, propriedade de dados e mecanismos de reajuste

Proteção de dados e propriedade intelectual
Serviços de nuvem processam e armazenam dados institucionais. O TR 403/2025 estabelece regras claras sobre quem é dono dos dados, onde ficam armazenados e o que acontece quando o contrato termina.
Propriedade dos dados (TR 6.14)
Regra absoluta: todos os dados são propriedade exclusiva do IFSP. O credenciado e o provedor são meros custodiantes.
Isso inclui:
Dados de sistemas acadêmicos (notas, matrículas, frequência)
Dados administrativos (contratos, folha, patrimônio)
Dados de pesquisa (projetos, publicações, datasets)
Logs de acesso e auditoria
Configurações de infraestrutura (IaaC, políticas, scripts)
Backups e snapshots
O credenciado não pode:
Usar dados do IFSP para qualquer finalidade própria
Compartilhar dados com terceiros (exceto o CSP, para prestação do serviço)
Reter dados após o encerramento do contrato
Condicionar a devolução de dados a pagamento adicional
Conformidade LGPD (TR 6.13)
O credenciado atua como operador de dados pessoais (Lei 13.709/2018, art. 5º, VII). O IFSP é o controlador. Obrigações do operador:
Obrigação
Evidência exigida
Tratar dados apenas conforme instruções do controlador
Cláusula contratual + política documentada
Manter registro das operações de tratamento
Relatório trimestral ao fiscal
Adotar medidas de segurança (art. 46, LGPD)
Certificações ISO 27001/27017/27018 do CSP
Comunicar incidentes de segurança
Prazo: 24 horas após ciência
Nomear encarregado (DPO)
Identificação no contrato
Permitir auditoria pelo controlador
Acesso irrestrito a logs e configurações
Localização dos dados
O TR exige que dados sejam armazenados prioritariamente no Brasil (data centers em São Paulo ou Rio de Janeiro). Exceções (replicação para disaster recovery em outra região) devem ser previamente autorizadas pelo fiscal técnico.
Incidentes de segurança
Em caso de vazamento ou acesso não autorizado:
Credenciado comunica o IFSP em até 24 horas
IFSP avalia impacto e comunica a ANPD (se necessário, em 72h)
Credenciado implementa contenção imediata
Relatório de incidente entregue em até 5 dias úteis
Plano de ação corretiva em até 10 dias úteis
Manutenção de sigilo (TR 6.12)
Todos os profissionais do credenciado que acessarem dados ou sistemas do IFSP devem assinar:
Termo de Compromisso de Manutenção de Sigilo (modelo do edital)
NDA (Non-Disclosure Agreement) com parceiros/subcontratados
A obrigação de sigilo persiste por 5 anos após o encerramento do contrato.
Reajuste e atualização de preços (TR 8.48-8.55)
O modelo de reajuste do credenciamento é único porque combina três mecanismos simultâneos:
1. ICTI (reajuste anual do integrador)
Parâmetro
Valor
Índice
ICTI (Índice de Custos de Tecnologia da Informação)
Fonte
IPEA (Fundação Instituto de Pesquisa Econômica Aplicada)
Periodicidade
Anual
Data-base
Data da proposta do credenciado
Incide sobre
UFS (sustentação) e HSPi (serviços do integrador)
Formalização
Apostila (não precisa de aditivo)
O ICTI reajusta apenas a parcela de serviço do integrador. Não incide sobre o consumo de nuvem (USN/USN-MP), que é regido pela PTAX.
2. PTAX (atualização cambial mensal)
Parâmetro
Valor
Índice
PTAX de venda
Fonte
Banco Central do Brasil
Periodicidade
Mensal (último dia útil do mês de consumo)
Incide sobre
USN e USN-MP (consumo de nuvem)
Formalização
Automática (faz parte da fórmula de faturamento)
A PTAX não é um "reajuste" no sentido jurídico. É a conversão natural do preço em dólar (tabela do provedor) para reais. Não precisa de aditivo nem de apostila.
3. Price Drops (redução obrigatória)
Parâmetro
Valor
Gatilho
Provedor reduz preço de qualquer serviço
Periodicidade
A qualquer tempo (imediato)
Incide sobre
USN e USN-MP do serviço afetado
Formalização
Automática (tabela pública é a referência)
Obrigação
Repasse integral ao IFSP
Price Drops são o mecanismo que garante que o contrato fica mais barato com o tempo. O credenciado não pode reter a diferença.
O que a AGU vetou
O parecer AGU (§§223-234) vetou cláusulas de "reajuste automático pela variação do dólar" que estavam na versão anterior do TR. O motivo: o art. 318 do Código Civil veda pagamento em moeda estrangeira.
A solução adotada no TR final: a PTAX não é um reajuste contratual. É a conversão natural do preço público do provedor (que é em dólar) para a moeda de pagamento (real). O contrato é em reais. A referência ao dólar é apenas para identificar o preço na tabela do CSP.
Cessão de crédito (TR 8.56)
O credenciado pode ceder créditos decorrentes do contrato a terceiros (factoring, antecipação de recebíveis), desde que:
Comunique previamente a Administração
A cessão não altere obrigações contratuais
O cessionário não tenha restrições para contratar com a APF
Essa cláusula facilita o fluxo de caixa de empresas menores que participam do credenciamento.