O contrato de software como serviço (SaaS, sigla do inglês software as a service) não tem disciplina própria na lei brasileira: é um contrato atípico, que o Código Civil admite desde que observadas as suas normas gerais (art. 425). Poucas cláusulas decidem quem arca com uma queda do sistema, quanto se pode cobrar de prejuízo e o destino dos dados no fim da relação. Entre empresas, a Lei nº 13.874, de 20 de setembro de 2019 (Declaração de Direitos de Liberdade Econômica), ampliou a margem para negociá-las; quando o cliente é consumidor, o Código de Defesa do Consumidor (CDC) torna nulas várias delas.
O que é o contrato SaaS e que regras se aplicam a ele
No modelo SaaS, o fornecedor mantém o programa em infraestrutura própria ou contratada, e o cliente o acessa pela internet, em geral por assinatura. O arranjo combina dois elementos. O primeiro é a licença: a Lei nº 9.609/1998 determina que o uso de programa de computador no país seja objeto de contrato de licença (art. 9º). O segundo é a prestação de serviço, que o Código Civil permite para qualquer atividade lícita, material ou imaterial, mediante retribuição (art. 594).
Valem as cláusulas pactuadas, interpretadas segundo a boa-fé e os usos do lugar da celebração (art. 113). A descrição do objeto repercute também na tributação, tema de ISS ou ICMS sobre software, e na titularidade do código, discutida em licença de software ou cessão de direitos.
Entre empresas ou com consumidor: qual lógica prevalece
Nos contratos entre empresas, o ponto de partida é a autonomia. Desde a Lei nº 13.874/2019, o Código Civil diz que a liberdade contratual é exercida nos limites da função social do contrato e que, nas relações privadas, prevalecem a intervenção mínima e a excepcionalidade da revisão (art. 421). O art. 421-A presume paritários e simétricos os contratos civis e empresariais, salvo elementos concretos em contrário, e manda respeitar a alocação de riscos definida pelas partes. A mesma lei assegura que negócios empresariais paritários sejam de livre estipulação, com as regras de direito empresarial aplicadas apenas de forma subsidiária, ressalvadas as normas de ordem pública (art. 3º, VIII).
Há contrapesos. As partes devem guardar probidade e boa-fé na conclusão e na execução (art. 422). Quando os termos são padronizados e aceitos sem negociação, o contrato é de adesão: cláusulas ambíguas são interpretadas a favor do aderente (art. 423), e é nula a renúncia antecipada a direito que decorre da natureza do negócio (art. 424).
Se o cliente for destinatário final do serviço, aplica-se o CDC, que define consumidor como a pessoa física ou jurídica nessa posição (art. 2º). Para empresas que usam o software na própria atividade, o Superior Tribunal de Justiça (STJ) adota a chamada teoria finalista mitigada: a pessoa jurídica pode ser tratada como consumidora se comprovar vulnerabilidade no caso concreto, e a condição de microempresa, sozinha, não basta. Em reportagem de 8 de setembro de 2024, o STJ citou o REsp 2.020.811: uma vendedora de ingressos não obteve a proteção do CDC contra uma intermediadora de pagamentos on-line por não demonstrar vulnerabilidade.
Nível de serviço: o que se pode exigir quando o sistema falha
O acordo de nível de serviço (SLA, do inglês service level agreement) traduz a obrigação principal em parâmetros mensuráveis: disponibilidade, prazos de resposta e de solução, janelas de manutenção e método de medição. É ele que permite demonstrar o inadimplemento.
O descumprimento do SLA costuma gerar créditos na fatura. Quando funcionam como cláusula penal, o Código Civil traz regras próprias:
- o credor não precisa alegar prejuízo para exigir a pena (art. 416);
- não pode cobrar indenização suplementar se o contrato não a previr; se previr, a pena vale como mínimo e o excedente depende de prova (art. 416, parágrafo único);
- a pena não pode superar o valor da obrigação principal (art. 412) e deve ser reduzida equitativamente pelo juiz se a obrigação tiver sido cumprida em parte ou se o montante for manifestamente excessivo (art. 413).
Diante do inadimplemento, a parte lesada pode pedir a resolução do contrato ou exigir o cumprimento, com perdas e danos em qualquer caso (art. 475). Em contrato bilateral, nenhuma parte pode exigir a prestação da outra antes de cumprir a sua (art. 476), regra em que se apoia a suspensão do acesso por falta de pagamento. Já as cláusulas que listam eventos excludentes dialogam com o art. 393: o devedor não responde por caso fortuito ou força maior, salvo se tiver assumido expressamente esse risco.
Limitação de responsabilidade: até onde o contrato pode ir
Sem cláusula específica, as perdas e danos abrangem o que o credor efetivamente perdeu e o que razoavelmente deixou de lucrar (art. 402), limitados aos efeitos diretos e imediatos do inadimplemento (art. 403). Contratos SaaS costumam reduzir esse alcance com teto indenizatório e exclusão de lucros cessantes.
Entre empresas, essas cláusulas se apoiam no respeito à alocação de riscos (art. 421-A, II) e na livre estipulação dos negócios paritários. Continuam sujeitas à boa-fé e, nos contratos de adesão, à vedação de renúncia antecipada a direitos inerentes ao negócio.
Na relação de consumo, o CDC proíbe cláusula que impossibilite, exonere ou atenue a obrigação de indenizar (art. 25) e declara nulas as que façam o mesmo quanto a vícios; quando o consumidor é pessoa jurídica, admite limitar a indenização apenas em situações justificáveis (art. 51, I). Cláusulas limitativas de direito do consumidor precisam ser redigidas com destaque (art. 54, §4º).
Pela Lei Geral de Proteção de Dados Pessoais (LGPD), controlador e operador que causarem dano ao violar a legislação de proteção de dados devem repará-lo, e o operador responde solidariamente quando descumpre a lei ou as instruções lícitas do controlador (art. 42, §1º, I). O contrato entre fornecedor e cliente não alcança o titular dos dados; o que ele pode organizar é o regresso entre as partes, que a lei admite na medida da participação de cada uma (art. 42, §4º).
Dados, segurança e a saída do contrato
Quando o fornecedor trata dados pessoais em nome do cliente, que decide sobre esse tratamento, os papéis são de operador e de controlador (art. 5º, VI e VII). O operador deve seguir as instruções do controlador (art. 39), ambos precisam manter registro das operações de tratamento (art. 37), e os agentes devem adotar medidas de segurança técnicas e administrativas desde a concepção do serviço (art. 46). Daí a importância de cláusulas sobre instruções de tratamento, subcontratação, controles de segurança e prazo para o fornecedor avisar o cliente de incidentes, ponto ligado à comunicação de incidente de segurança.
Se os dados ficam em servidores no exterior e a transferência se apoia em cláusulas contratuais, a Resolução CD/ANPD nº 19, de 23 de agosto de 2024, exigiu a incorporação das cláusulas-padrão aprovadas pela autoridade em até 12 meses da publicação, prazo encerrado em agosto de 2025.
Quanto à saída, a LGPD determina a eliminação dos dados pessoais após o término do tratamento, com exceções como o cumprimento de obrigação legal (art. 16), e prevê a portabilidade como direito do titular, nos termos da regulamentação da Agência Nacional de Proteção de Dados (ANPD) (art. 18, V). Cabe ao contrato fixar formato de exportação, prazo para retirada e comprovação da exclusão. Quando uma das partes fez investimentos consideráveis para executar o contrato, a denúncia unilateral só produz efeito após prazo compatível com esses investimentos (art. 473, parágrafo único).
Propriedade intelectual, foro e arbitragem
O programa continua sendo do fornecedor; o cliente recebe direito de uso. Personalizações, integrações e relatórios feitos para um cliente específico precisam ter a titularidade definida no contrato.
Na solução de conflitos, desde a Lei nº 14.879, de 4 de junho de 2024, o foro eleito precisa ter relação com o domicílio ou a residência de alguma das partes, ou com o lugar de cumprimento da obrigação, salvo pacto favorável ao consumidor (Código de Processo Civil, art. 63, §1º). Em contrato de adesão, a cláusula de arbitragem só tem eficácia se o aderente tomar a iniciativa ou concordar expressamente, por escrito em documento anexo ou em negrito, com assinatura ou visto específico (Lei nº 9.307/1996, art. 4º, §2º). Nas relações de consumo, é nula a cláusula que imponha arbitragem compulsória (CDC, art. 51, VII). A forma de aceite eletrônico desses termos é tratada em assinatura eletrônica e validade jurídica.
Em resumo
- O contrato SaaS é atípico e combina licença de uso com prestação de serviço.
- Entre empresas, a lei presume paridade e manda respeitar a alocação de riscos, o que sustenta tetos de indenização negociados.
- Se o cliente for consumidor, ou empresa com vulnerabilidade comprovada, cláusulas que excluam ou atenuem o dever de indenizar tendem a ser nulas.
- O SLA define o que é falha; créditos por descumprimento seguem as regras da cláusula penal.
- Dados pessoais, segurança, transferência internacional e saída seguem a LGPD e regulamento da ANPD; o contrato não afasta direitos dos titulares.
- Foro e arbitragem dependem de requisitos formais do Código de Processo Civil e da Lei de Arbitragem.