Onze perguntas para fazer antes de assinar com qualquer fornecedor.

Por que a conversa é essa, e não “quais recursos tem”

Recurso se compara em demonstração. O que não se compara em demonstração é o que acontece no dia ruim — e é sobre isso que a lei fala. O escritório é o controlador dos dados dos seus clientes, e o art. 39 da LGPD ainda diz que cabe a ele verificar se o operador está seguindo as instruções. Verificar exige perguntar.

Faça por escrito. Não é desconfiança: é que a resposta escrita vira parte do seu registro de tratamento, e é ela que você vai anexar se um dia precisar demonstrar diligência.

As onze

1. Onde os dados ficam fisicamente, e em que país?
   Boa resposta nomeia o lugar. Resposta evasiva fala em “nuvem de primeira linha”. Se houver transferência internacional, o Capítulo V da LGPD passa a valer, e você precisa saber disso antes, não depois.
2. A estrutura é compartilhada com outros clientes de vocês?
   Não existe resposta certa universal — existe resposta que precisa ser dita. Ambiente compartilhado é a regra do mercado e não é ilegal; o que não pode é você descobrir depois.
3. Quem, do lado de vocês, consegue abrir a pasta de um cliente meu?
   Esta é a pergunta de sigilo profissional, e o art. 34, VII do Estatuto é o motivo. Boa resposta descreve o controle de acesso interno e o que fica registrado quando alguém entra.
4. Vocês usam meus dados para treinar modelo, ou para qualquer outra finalidade?
   Pergunte também pelo dado inferido, não só pelo armazenado. É a diferença entre “não guardamos” e “não aprendemos”, e a segunda é a que interessa.
5. Se houver incidente, em quanto tempo vocês me avisam — e o que me entregam?
   O prazo de comunicação à ANPD é do escritório e conta do seu conhecimento. Se o fornecedor demorar uma semana para contar, o seu prazo já queimou. Boa resposta traz um número de horas e uma lista do que vem junto.
6. Vocês conseguem me dar as informações do art. 6º, § 2º da Resolução 15/2024?
   São as doze informações da comunicação de incidente: natureza e categoria dos dados afetados, número de titulares, medidas antes e depois, causa principal, data do incidente e do conhecimento. Fornecedor que nunca ouviu falar dessa lista vai construí-la no pior dia.
7. Existe contrato de operador, e o que ele diz sobre instruções?
   O art. 39 fala em “instruções fornecidas pelo controlador”. Se nunca foram escritas, a solidariedade do art. 42, § 1º fica sem base. Peça o documento, não a promessa.
8. Como eu saio, e o que sai comigo?
   Formato utilizável, prazo, custo e se inclui os anexos. “A gente exporta” não é resposta: exporta o quê, em que formato, e quanto tempo depois do pedido.
9. O que acontece com os meus dados depois que eu saio?
   Eliminação ou devolução, em qual prazo, e como isso é comprovado. Backup também some, ou fica indefinidamente?
10. Se houver IA envolvida, ela decide alguma coisa sozinha?
    A régua já existe e é pública: a Resolução CNJ 615/2025 veda solução que não permita revisão humana ou que gere dependência absoluta. Se o produto tem robô que atende cliente, ele precisa dizer que é máquina — é o item 2.4 da Recomendação da OAB.
11. Quem me atende quando dá problema, e em quanto tempo?
    Nome, canal e horário. Não é pergunta de conforto: em incidente, o relógio do art. 6º corre enquanto você espera resposta.

Como ler as respostas

Três padrões aparecem sempre, e vale reconhecê-los:

• A resposta que troca a pergunta por uma certificação. Você perguntou quem consegue abrir a pasta; vieram três siglas. Certificação de infraestrutura é do fornecedor de infraestrutura, e não responde sobre o acesso interno de quem vende o software.
• A resposta que promete o que ninguém pode prometer.“É impossível”, “nunca aconteceu”, “sem erro”. Todo sistema falha; o que distingue fornecedor bom é ter escrito o que faz quando falhar.
• A resposta que só existe na conversa. Se não está no contrato ou numa página pública, ela vale enquanto a pessoa que falou continuar na empresa.

Uma décima segunda, para você mesmo

Depois de todas as respostas, sobra a pergunta que não é para o fornecedor: o escritório consegue cumprir a própria parte? Saber quem é o controlador, ter registro de tratamento, ter canal com o titular e saber em quantos dias precisa comunicar um incidente são deveres seus, e nenhum contrato os move.

Escolher bem o operador não terceiriza o dever — é a forma de conseguir cumpri-lo.