Para transformar o contrato numa alavanca para um projeto sustentável, o CIO e o advogado devem primeiro trabalhar em conjunto, o primeiro para identificar os cenários de risco suscetíveis de ocorrer, o segundo para formalizar a solução escolhida para melhor lidar com este risco e as suas consequências.
Um bom contrato de TI deve fornecer um modus operandi para cada fase do projeto e antecipar as dificuldades e fornecer uma solução pré-negociada. Para o fazer, deve ser partilhado por todos os atores envolvidos no projeto. Quanto mais preciso for, tanto mais será a lei entre as partes.
Entre os pontos de vigilância habitualmente retidos, quatro merecem uma atenção especial.
O primeiro é o de garantir a continuidade do serviço. Isto implica antecipar uma potencial interrupção do serviço prestado pelo prestador de serviços informáticos ou da solução fornecida por este último, o que pode ter consequências diretas sobre a atividade operacional do cliente, por exemplo numa linha de processamento (fábrica), ou mesmo um abrandamento nos tempos de resposta fornecidos aos clientes. Os danos podem ser significativos (perda de volume de negócios, desorganização dentro da empresa, danos à reputação, etc.).
Para evitar uma avaliação subjetiva desta depreciação ou interrupção do serviço, é aconselhável definir contratualmente os níveis de serviço e desempenho a que o prestador de serviços se compromete. É, portanto, necessário ser preciso: dentro de que prazo intervém o prestador de serviços? Como são calculados estes prazos? Qual é o seu ponto de partida? Se for um pedido do cliente, como pode ser estabelecida a prova do pedido de intervenção? Por correio eletrónico? Por uma ferramenta de gestão de incidentes fornecida pelo prestador de serviços? Mas, neste caso, em caso de litígio, como pode ser preservada a prova destas trocas? Qual é o tempo de recuperação? Quanto tempo será necessário para pôr em prática uma solução permanente? Com efeito, um remendo (solução alternativa) pode permitir que o serviço seja retomado, mas e no caso de remendos sobrepostos? Não esqueçamos que a competitividade exige que estas normas evoluam para ter em conta a evolução tecnológica e também a evolução da empresa.
Estes esclarecimentos evitarão debates estéreis e tediosos durante o curso do projeto ou, pior ainda, perante os tribunais. Pois se o princípio da responsabilidade do prestador de serviços puder ser respeitado, a compensação deve ser proporcional ao prejuízo. Por exemplo, esta decisão do Tribunal de Recurso de Versalhes (1), que considerou que o cliente não tinha demonstrado a indisponibilidade repetida do serviço do seu anfitrião SaaS ou os danos que tinha causado, estimados em 569.000 euros, e no final apenas condenou o prestador de serviços a pagar 18.000 euros.
A segunda é regular a forma como os dados são recuperados. Durante a vida de uma empresa, é normal mudar de fornecedores, produtos e serviços. No entanto, para garantir a continuidade do serviço durante esta mudança, é necessário assegurar que os dados possam ser recuperados no quadro de um plano de reversibilidade ou de transferibilidade. Por conseguinte, é prudente prestar especial atenção à fase inicial do contrato e à fase de saída. Alguns contratos com fornecedores preveem a eliminação dos dados no final do contrato, outros permitem um período de tempo definido, em média entre 30 e 60 dias, para permitir a recuperação dos dados antes da sua eliminação.
É, portanto, necessário, neste ponto, prestar especial atenção aos termos de recuperação ou restituição dos dados (2), e negociar precisamente o âmbito desta restituição, o período de implementação e os seus termos, de modo a que os dados sejam devolvidos num formato padrão, legível e facilmente reutilizável numa nova solução.
O terceiro ponto diz respeito ao RGPD. Desde a sua entrada em vigor há quase cinco anos, o cumprimento da regulamentação sobre dados pessoais tornou-se um grande desafio para os departamentos de TI anteciparem, particularmente em termos de segurança e transferências internacionais de dados. Por conseguinte, é essencial avaliar corretamente a conformidade dos fornecedores com o RGPD e, dependendo do domínio de intervenção (banca, saúde em particular), com normas específicas de segurança e confidencialidade.
Entre os controlos a efetuar, é aconselhável, por exemplo, prever medidas de salvaguarda eficazes e regulares dos dados da empresa e verificar a validade destas salvaguardas, e garantir que os prestadores de serviços estabeleceram procedimentos adequados de recuperação de dados em caso de catástrofe (3) ou avaria.
No que respeita às transferências de dados pessoais fora da União Europeia em particular, a invalidação do regime de transferência de dados UE-EUA (Privacy Shield) pelo TJUE (4) exige uma reavaliação urgente da legalidade de certas transferências de dados pessoais. De facto, a maioria dos dados está alojada em nuvens nos EUA. É geralmente prudente favorecer o armazenamento de dados no território da UE, assinar cláusulas contratuais-tipo atualizadas às últimas alterações da Comissão Europeia (5) ou fornecer garantias equivalentes.
Finalmente, o quarto ponto é antecipar a inflação de preços e a evolução das necessidades dos clientes. O SaaS é um modelo de distribuição de software com características distintas, tais como o facto de ser utilizado remotamente. O custo do serviço deve, portanto, corresponder à sua utilização efetiva. Cuidado! Este tipo de contrato é frequentemente oferecido sob a forma de um contrato de adesão.
Uma abordagem negociada deverá conduzir à negociação de limites máximos de preços ou, em caso de mudanças no nível de atividade da empresa, a ajustamentos controlados.
Essencialmente, é prudente prever uma opção de saída do contrato.
A abordagem baseada no risco é certamente a melhor forma de controlar um projeto informático, já que o contrato se destina a antecipar as soluções a implementar: para cada risco, um cenário contratual deve permitir às partes encontrar um modus operandi. Por conseguinte, é aconselhável investir na fase contratual, mas também assegurar que o projeto é realizado em conformidade com o contrato.
(1) Tribunal de Recurso de Versalhes 13ª ch., 2 de outubro de 2014, RG n°12/05834.
(2) Ver Cass. Com. 22 de Novembro de 2016, n.º 15-17.743: o Cliente estava convencido de que o fornecedor externo procurava tornar impossível a correta execução da reversibilidade, recusando-se a entregar as chaves do sistema de informação. No entanto, o Tribunal considerou que o Cliente não tinha cumprido os termos e condições de aplicação da cláusula resolutiva prevista no contrato e, por conseguinte, rejeitou o seu pedido.
(3) Tribunal de comércio de Lille Metrópole, acórdão de 26 de janeiro de 2023, SAS FRANCE BATI COURTAGE / SAS OVH
(4) CJEU 16 de julho de 2020 Schrems II, C 311/18 – https://www.cio-online.com/actualites/lire-l-affaire-schrems-n-en-finit-pas-de-faire-des-vagues-13793.html
(5) CIO Online, 27 de fevereiro de 2023, https://www.cio-online.com/actualites/lire-transferts-de-donnees-hors-ue-mettez-a-jour-vos-nouvelles-clauses-contractuelles-types-14769.html
