SaaS e Contratos de Nuvem

Quando classificar um caso como LS-05

Use a LS-05 quando o software é consumido como serviço — o cliente não possui instalação nem acesso à infraestrutura; acessa pela internet, mediante assinatura. Isso muda a perícia: quase toda a evidência está sob controle do provedor, e a preservação precisa ser imediata e, muitas vezes, judicial. Se houve projeto de implantação com escopo próprio, avalie concurso com LS-01.

Tipologia (com critério)

• LS-05.1 — Indisponibilidade e perda de dados. O serviço caiu além do SLA, ou dados sumiram/corromperam sem backup acessível ao cliente.
• LS-05.2 — Lock-in e portabilidade. O cliente quer sair e não consegue: exportação inexistente, formato proprietário, dados incompletos, prazos abusivos.
• LS-05.3 — Alteração unilateral do serviço. Funcionalidade removida/alterada, plano descontinuado, limite reduzido — sem consentimento ou aviso pactuado.
• LS-05.4 — LGPD no SaaS. O provedor (operador) descumpriu segurança, notificação de incidente ou eliminação ao término.

Protocolo executável — 5 etapas

1. Etapa 1 — Preservação do que o cliente alcança.
   Objetivo: capturar a evidência acessível ANTES que o provedor mude qualquer coisa.
   Execução: gravação de sessão navegando no serviço (tela + horário), com ata notarial quando o valor do caso justificar; exportações disponíveis (relatórios, CSVs); e-mails de status/incidente do provedor; página de status pública (e seu histórico via Wayback).
   Entregável: dossiê de evidências do lado cliente, datado e íntegro.
2. Etapa 2 — Requisição formal/judicial do lado provedor.
   Objetivo: obter o que só o provedor tem.
   Execução: listar objetivamente o que pedir: logs de disponibilidade e de acesso, registros de backup e restauração, trilha de auditoria da conta, comunicações de incidente, DPA e registros do art. 37 da LGPD; fundamentar prazo (retenção expira).
   Entregável: rol de exibição de documentos técnico e específico (genérico = negado).
3. Etapa 3 — Medição contra o SLA.
   Objetivo: quantificar a indisponibilidade/perda.
   Execução: cruzar monitoramento independente (quando o cliente tiver — UptimeRobot, Pingdom, healthchecks internos) com os logs do provedor e a definição contratual; para perda de dados, comparar último estado conhecido (exportações, relatórios, integrações) com o estado atual.
   Entregável: planilha de disponibilidade e inventário do dado perdido.
4. Etapa 4 — Teste de portabilidade (LS-05.2).
   Objetivo: demonstrar objetivamente se a saída é viável.
   Execução: executar a exportação oferecida e auditar: formato (aberto ou proprietário?), completude (todos os campos? anexos? histórico?), integridade (contagens batem?), prazo e custo; documentar cada lacuna.
   Entregável: relatório de portabilidade com a lista do que fica preso.
5. Etapa 5 — Conformidade LGPD e laudo.
   Execução: verificar DPA, medidas de segurança declaradas × praticadas, notificação de incidente (art. 48), eliminação ao término (art. 16); consolidar tudo em laudo com linha do tempo.
   Entregável: laudo/parecer com achados e responsabilidade.

Checklist do advogado

• Preservar HOJE: gravação de sessão, exportações, e-mails do provedor, print da página de status;
• Pedir exibição dos logs do provedor com urgência fundamentada em retenção;
• Reler o contrato: definição de indisponibilidade, limitação de responsabilidade, foro/arbitragem, prazo de devolução de dados no término.

Erros comuns

• Esperar meses para agir — logs do provedor expiram e a página de status muda;
• Rol de exibição genérico ("todos os logs") — especificar sistema, período e tipo;
• Ignorar o monitoramento próprio do cliente como fonte independente de medição.

Base legal

CDC (B2C) e CC (B2B). LGPD: arts. 16 (eliminação), 37 (registros), 46 (segurança), 48 (incidente). Marco Civil (Lei 12.965/14). Contrato de assinatura + SLA + DPA.

Quesitos-modelo

• "Queira o Sr. Perito, com base nos logs exibidos pelo provedor e no monitoramento do Requerente, calcular a disponibilidade do serviço no período X–Y conforme a definição contratual, indicando os eventos de indisponibilidade e sua duração."
• "Queira o Sr. Perito executar o procedimento de exportação de dados oferecido pelo provedor e informar se ele devolve a integralidade dos dados do Requerente, em formato aberto e íntegro, apontando lacunas."