Conteúdo revisado em 11/08/2026.
Toda vez que uma empresa contrata um SaaS, é provável que dados pessoais de clientes, funcionários ou fornecedores passem a circular naquela ferramenta.
E existe um ponto importante: esses dados continuam sob responsabilidade da empresa contratante mesmo quando estão armazenados em uma plataforma de terceiros.
A utilização de softwares em nuvem trouxe enormes ganhos de produtividade, mas também aumentou a necessidade de avaliar segurança, privacidade e responsabilidades contratuais antes de escolher um fornecedor.
Sob a Lei Geral de Proteção de Dados (LGPD), o fato de um dado estar armazenado “na nuvem” não elimina as obrigações relacionadas ao tratamento dessas informações.
Este artigo é informativo e não substitui orientação jurídica especializada.
A Lei nº 13.709/2018, conhecida como Lei Geral de Proteção de Dados Pessoais (LGPD), estabelece regras sobre o tratamento de dados pessoais realizado por pessoas físicas ou jurídicas, inclusive em ambientes digitais.
Fonte oficial: Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) .
Por que LGPD e SaaS andam juntos
Quando uma empresa utiliza um SaaS para armazenar contatos de clientes, informações de funcionários, dados comerciais ou registros de atendimento, existe uma atividade de tratamento de dados pessoais acontecendo.
A LGPD considera tratamento uma série de operações realizadas com dados pessoais, incluindo coleta, armazenamento, utilização, compartilhamento e eliminação.
Na prática, uma empresa que utiliza uma ferramenta SaaS precisa entender:
- Quais dados estão sendo enviados para a plataforma;
- Qual finalidade desses dados;
- Quem possui acesso às informações;
- Quais responsabilidades pertencem ao fornecedor e ao contratante.
Em muitos cenários, a empresa contratante atua como controladora dos dados, pois define por que e como aquelas informações serão utilizadas.
Já o fornecedor SaaS normalmente atua como operador quando realiza o tratamento seguindo as instruções da empresa contratante.
Controlador e operador: entenda os papéis
A diferença entre controlador e operador é uma das partes mais importantes para entender a relação entre empresas e fornecedores SaaS.
De forma simplificada:
- Controlador: pessoa ou empresa responsável pelas decisões referentes ao tratamento dos dados pessoais.
- Operador: pessoa ou empresa que realiza o tratamento em nome do controlador seguindo suas instruções.
Essa definição está prevista na própria LGPD, especialmente nos conceitos apresentados no artigo 5º da legislação.
Fonte oficial: Lei nº 13.709/2018 – definições de controlador e operador .
Um erro comum é imaginar que, ao contratar um SaaS, toda responsabilidade passa automaticamente para o fornecedor.
Isso não acontece.
A empresa continua responsável por definir finalidades, escolher fornecedores adequados, controlar acessos e garantir que o tratamento realizado esteja de acordo com a legislação.
Por isso, avaliar privacidade e segurança deve fazer parte do processo de escolha de qualquer software utilizado pela organização.
O que verificar antes de contratar um SaaS
A escolha de um SaaS não deve considerar apenas funcionalidades, preço e facilidade de uso. Quando a ferramenta irá armazenar dados pessoais, segurança e privacidade precisam fazer parte da avaliação.
Antes de contratar, a empresa deve entender como o fornecedor trata os dados, quais controles existem e quais responsabilidades serão assumidas por cada parte.
Alguns pontos importantes para analisar:
Contrato e aditivo de proteção de dados
Verifique se o fornecedor possui documentos que expliquem a relação entre as partes no tratamento de dados pessoais.
Esse tipo de documento normalmente define responsabilidades do controlador e do operador, instruções de tratamento, medidas de segurança aplicáveis e procedimentos em caso de incidentes.
A formalização contratual é importante porque evita dúvidas futuras sobre quem é responsável por determinada atividade.
Onde os dados ficam armazenados
Muitos serviços SaaS utilizam infraestrutura em nuvem distribuída em diferentes países.
Por isso, é importante entender:
- Onde os servidores estão localizados;
- Se existem transferências internacionais;
- Quais países participam do processamento;
- Quais garantias são oferecidas pelo fornecedor.
A LGPD possui regras específicas para transferência internacional de dados pessoais, e a ANPD regulamentou mecanismos aplicáveis a essas operações por meio da Resolução CD/ANPD nº 19/2024.
Fonte: Regulamento de Transferência Internacional de Dados da ANPD .
Medidas de segurança utilizadas pelo fornecedor
Um SaaS responsável deve apresentar informações claras sobre suas práticas de segurança.
Entre os pontos que podem ser avaliados estão:
- Criptografia de dados;
- Controle de acesso;
- Autenticação de usuários;
- Registro de atividades;
- Políticas de backup;
- Monitoramento de segurança.
A LGPD determina que agentes de tratamento adotem medidas técnicas e administrativas capazes de proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas.
Fonte: Lei nº 13.709/2018 (LGPD) .
Subcontratados e fornecedores envolvidos
Muitos SaaS utilizam outros fornecedores para hospedagem, processamento, pagamentos, envio de mensagens ou armazenamento.
Por isso, é importante entender se existem suboperadores envolvidos no tratamento dos dados e quais responsabilidades eles possuem.
A transparência nessa cadeia ajuda a empresa contratante a avaliar melhor os riscos envolvidos.
Atendimento aos direitos dos titulares
A LGPD garante aos titulares diversos direitos relacionados aos seus dados pessoais, como confirmação de tratamento, acesso, correção, eliminação e outras solicitações previstas na legislação.
Por isso, antes de contratar um SaaS, avalie se a plataforma permite:
- Localizar dados de um usuário específico;
- Exportar informações quando necessário;
- Corrigir dados incorretos;
- Excluir informações quando aplicável.
Um sistema que dificulta essas operações pode transformar uma solicitação simples em um processo manual demorado.
Notificação de incidentes
Nenhum sistema está completamente livre de riscos, por isso é importante entender como o fornecedor trabalha em caso de incidentes de segurança.
Avalie:
- Existe um procedimento formal de resposta?
- Existe um canal de comunicação?
- O contrato define responsabilidades?
- O fornecedor informa prazos e procedimentos?
Cláusulas contratuais que merecem atenção
Além das funcionalidades do SaaS, o contrato é uma parte essencial da análise.
Alguns pontos merecem atenção antes da assinatura:
Finalidade e instruções de tratamento
O fornecedor deve utilizar os dados conforme as finalidades acordadas e dentro das instruções definidas pela empresa contratante.
Isso reduz o risco de usos incompatíveis com o objetivo original do tratamento.
Confidencialidade
Funcionários, parceiros e prestadores envolvidos no tratamento dos dados devem possuir compromissos de confidencialidade adequados.
Devolução e eliminação dos dados
Um ponto frequentemente esquecido é o encerramento do contrato.
A empresa deve entender:
- Como exportar seus dados;
- Qual o prazo para eliminação;
- O que acontece com cópias de segurança;
- Como funciona a transição para outro fornecedor.
Auditoria e comprovação de segurança
Alguns fornecedores disponibilizam documentação técnica, relatórios de segurança ou certificações reconhecidas.
Esses materiais ajudam a avaliar a maturidade do fornecedor, mas devem ser analisados conforme o contexto e o risco envolvido.
Uma certificação ou relatório não substitui a análise da empresa contratante sobre suas próprias responsabilidades.
Certificações e documentação de segurança
Certificações de segurança da informação podem ser um indicativo positivo de maturidade, desde que sejam verificadas diretamente com o fornecedor ou com o organismo certificador responsável.
Exemplos comuns no mercado incluem certificações relacionadas a sistemas de gestão de segurança da informação, como a ISO/IEC 27001.
Porém, a ausência de uma certificação específica não significa automaticamente que um fornecedor seja inseguro. O importante é avaliar o conjunto de controles, transparência e práticas adotadas.
Bases legais: por que sua empresa trata cada dado
Um ponto fundamental da LGPD é entender que o tratamento de dados pessoais precisa possuir uma justificativa adequada prevista na legislação.
Muitas pessoas associam a LGPD apenas ao consentimento, mas a lei apresenta diferentes bases legais que podem justificar o tratamento de dados pessoais.
Entre elas estão:
- Execução de contrato;
- Cumprimento de obrigação legal ou regulatória;
- Legítimo interesse;
- Consentimento;
- Exercício regular de direitos;
- Proteção do crédito.
A escolha da base legal depende da finalidade do tratamento e do contexto em que os dados são utilizados.
Por exemplo, uma empresa pode utilizar dados de um cliente para executar um contrato de venda, emitir documentos ou prestar um serviço contratado. Porém, utilizar essas mesmas informações para campanhas de marketing pode envolver uma finalidade diferente e exigir uma análise específica.
Por isso, contratar um SaaS não deve ser apenas uma decisão técnica. A empresa precisa saber quais dados serão enviados, por qual motivo e durante quanto tempo eles serão utilizados.
A ferramenta é apenas o meio tecnológico. A definição da finalidade e da base legal continua sendo responsabilidade da empresa que decide pelo tratamento.
Fonte: Lei nº 13.709/2018 (LGPD) .
Transferência internacional de dados: atenção aos SaaS hospedados fora do Brasil
Um cenário bastante comum no mercado SaaS é a utilização de infraestrutura internacional.
Muitas plataformas possuem servidores ou fornecedores localizados em outros países, o que pode envolver transferência internacional de dados pessoais.
Isso não significa que a empresa não possa utilizar esses serviços, mas exige uma avaliação adequada das garantias oferecidas pelo fornecedor.
Antes da contratação, procure entender:
- Em quais países os dados podem ser armazenados;
- Se existem parceiros internacionais envolvidos;
- Quais mecanismos de proteção são utilizados;
- Como o fornecedor atende aos requisitos da LGPD.
A Autoridade Nacional de Proteção de Dados (ANPD) regulamentou regras específicas para transferência internacional de dados pessoais, incluindo mecanismos e garantias aplicáveis a essas operações.
Fonte oficial: Transferência Internacional de Dados – ANPD .
Para empresas que trabalham com dados de maior risco, como informações financeiras, saúde ou dados sensíveis, essa análise deve ser ainda mais cuidadosa.
Dados sensíveis exigem cuidado redobrado
A LGPD possui uma categoria específica chamada dados pessoais sensíveis.
Essas informações possuem potencial de causar impactos maiores aos titulares e recebem uma proteção diferenciada pela legislação.
São exemplos de dados sensíveis:
- Dados sobre saúde;
- Origem racial ou étnica;
- Convicção religiosa;
- Opinião política;
- Dados genéticos ou biométricos.
Um exemplo prático seria uma clínica utilizando um sistema SaaS para armazenar informações médicas ou um departamento de recursos humanos utilizando uma plataforma com informações relacionadas à saúde ocupacional dos funcionários.
Nesses casos, a análise do fornecedor precisa ser mais rigorosa.
Avalie principalmente:
- Controles de acesso;
- Proteção das informações armazenadas;
- Histórico de segurança do fornecedor;
- Contratos e responsabilidades definidas.
Além disso, vale aplicar o princípio da minimização de dados: coletar e armazenar somente aquilo que realmente é necessário para a finalidade pretendida.
Quanto menor a quantidade de informações sensíveis armazenadas, menor também será a exposição em caso de incidente.
Direitos dos titulares: a ferramenta ajuda ou atrapalha?
A LGPD garante aos titulares diversos direitos relacionados aos seus dados pessoais.
Entre eles estão:
- Confirmação da existência de tratamento;
- Acesso aos dados;
- Correção de informações;
- Eliminação de dados quando aplicável;
- Portabilidade em determinadas situações.
Na prática, quando um cliente ou funcionário solicita informações sobre seus dados, a empresa precisa conseguir localizar essas informações e responder adequadamente.
Por isso, durante a escolha de um SaaS, avalie se a plataforma permite:
- Encontrar registros específicos;
- Exportar informações;
- Corrigir dados;
- Excluir dados quando necessário.
Uma ferramenta que dificulta essas operações aumenta o esforço operacional e pode tornar o atendimento aos titulares mais complexo.
Boas práticas internas: a responsabilidade não é apenas do fornecedor
Mesmo utilizando um SaaS considerado seguro, a empresa precisa manter boas práticas internas.
Grande parte dos incidentes de segurança envolve falhas humanas, configurações inadequadas ou permissões excessivas.
Algumas medidas importantes:
- Mapear quais SaaS possuem acesso a dados pessoais;
- Identificar quais informações cada ferramenta armazena;
- Conceder somente os acessos necessários para cada colaborador;
- Revisar permissões periodicamente;
- Controlar integrações com aplicativos de terceiros;
- Treinar funcionários sobre segurança e privacidade.
A proteção de dados depende da combinação entre fornecedor, tecnologia, processos internos e comportamento das pessoas que utilizam os sistemas.
O custo de ignorar a conformidade com a LGPD
Tratar proteção de dados como apenas uma obrigação burocrática pode gerar problemas maiores no futuro.
Um incidente envolvendo informações de clientes, funcionários ou parceiros pode gerar impactos financeiros, operacionais e principalmente de reputação.
Além dos possíveis impactos legais, existe um fator que muitas empresas ignoram: a perda de confiança.
Clientes esperam que as empresas tratem suas informações com cuidado. Quando ocorre um vazamento ou uso inadequado de dados, recuperar essa confiança pode ser muito mais difícil do que corrigir o problema técnico.
A própria LGPD estabelece sanções administrativas aplicáveis aos agentes de tratamento que descumprirem suas obrigações.
Fonte: Lei nº 13.709/2018 – sanções administrativas .
Por isso, realizar uma avaliação antes da contratação de um SaaS costuma ser muito mais eficiente do que tentar corrigir problemas depois de um incidente.
Um checklist rápido antes de contratar um SaaS
Antes de contratar uma nova ferramenta, vale revisar alguns pontos básicos relacionados à proteção de dados.
- Existe contrato ou documento definindo responsabilidades sobre tratamento de dados?
- A empresa sabe quais dados serão enviados para o SaaS?
- Existe clareza sobre onde os dados ficam armazenados?
- O fornecedor explica suas medidas de segurança?
- Existe processo para comunicação de incidentes?
- A ferramenta permite exportar ou excluir dados quando necessário?
- Os colaboradores possuem apenas os acessos necessários?
- Existe documentação sobre privacidade e segurança disponível?
Quanto mais claras forem essas respostas antes da contratação, menor tende a ser o risco envolvido.
Caso o fornecedor não consiga explicar como protege os dados ou evite responder perguntas básicas sobre segurança, isso deve ser considerado um sinal de alerta.
Como escolher SaaS com segurança: o fator privacidade deve fazer parte da decisão
A escolha de um SaaS não deve ser baseada apenas em preço, funcionalidades ou facilidade de uso.
Quando uma ferramenta processa dados pessoais, segurança e privacidade precisam fazer parte da análise desde o início.
Uma empresa que avalia fornecedores, entende suas responsabilidades, controla acessos e mantém processos internos organizados reduz significativamente sua exposição a riscos.
A tecnologia é uma aliada do negócio, mas precisa ser utilizada com responsabilidade.
O melhor SaaS não é apenas aquele que entrega recursos avançados. É aquele que combina funcionalidade, segurança, transparência e capacidade de atender às necessidades da empresa.
Conclusão: LGPD e SaaS precisam caminhar juntos
Utilizar softwares SaaS trouxe enormes benefícios para empresas de todos os tamanhos, permitindo acesso rápido a ferramentas profissionais sem grandes investimentos em infraestrutura.
Porém, essa praticidade não elimina a responsabilidade sobre os dados tratados.
Ao contratar um SaaS, a empresa precisa entender quais informações serão armazenadas, como o fornecedor protege esses dados e quais responsabilidades estão previstas no contrato.
A conformidade com a LGPD não deve ser vista apenas como uma obrigação jurídica, mas como parte da maturidade digital da empresa.
Escolher fornecedores transparentes, limitar acessos, documentar processos e avaliar riscos antes da contratação ajuda a construir operações mais seguras e confiáveis.
Para decisões envolvendo dados de maior risco, especialmente dados sensíveis, recomenda-se buscar orientação especializada em proteção de dados.
Perguntas frequentes sobre LGPD e SaaS
Se o SaaS sofrer um vazamento, a responsabilidade é apenas do fornecedor?
Não necessariamente. A responsabilidade depende do caso concreto, das funções exercidas por cada parte e das circunstâncias do tratamento. A empresa contratante continua tendo responsabilidades como controladora quando define as finalidades e decisões relacionadas aos dados.
Posso utilizar SaaS com servidores fora do Brasil?
Sim, desde que sejam observadas as regras aplicáveis à transferência internacional de dados pessoais previstas na LGPD e regulamentadas pela ANPD.
É importante avaliar quais garantias o fornecedor oferece e quais dados serão tratados.
Preciso de um contrato específico de proteção de dados?
É recomendável formalizar as responsabilidades entre controlador e operador. Muitos fornecedores oferecem documentos ou aditivos relacionados ao tratamento de dados pessoais.
Todo SaaS precisa ter certificação de segurança?
Não existe uma única certificação obrigatória para todos os fornecedores SaaS. Porém, documentos técnicos, políticas de segurança, auditorias e certificações reconhecidas podem ajudar na avaliação da maturidade do fornecedor.
Como saber se um SaaS trata meus dados corretamente?
Avalie a política de privacidade, documentação de segurança, contrato, controles de acesso, processos de exclusão e comunicação do fornecedor.
A LGPD impede empresas de usarem ferramentas em nuvem?
Não. A LGPD não impede o uso de SaaS ou serviços em nuvem. Ela exige que o tratamento de dados seja realizado com responsabilidade, segurança e transparência.
Conteúdos relacionados do Mundo SaaS
A segurança é apenas um dos critérios que devem ser avaliados antes de contratar uma ferramenta.
Para entender outros pontos importantes da escolha de softwares, veja também:
Como escolher um software SaaS para sua empresa
Antes de assumir uma contratação, também vale avaliar uma ferramenta na prática utilizando períodos de teste:
Como aproveitar o teste grátis de um SaaS para decidir
Transparência: Alguns links presentes neste artigo podem gerar comissão para o Mundo SaaS sem custo adicional para o usuário. As recomendações são feitas considerando a utilidade das ferramentas para cada cenário e não influenciam a análise editorial do conteúdo.
