Quem assina um contrato de TI raramente lê linha por linha o que está incluído. A fatura é fixa, o fornecedor parece confiável, e a conversa fica no "eles cuidam disso". O problema aparece depois: o chamado que "não é coberto", a visita que vem com orçamento à parte, o backup que existia mas ninguém tinha testado se realmente voltava.

O peso de quem cuida da TI de fora não é um detalhe pequeno. Um levantamento de 2026 da Verizon sobre violações de dados no mundo mostra que, em pequenas e médias empresas, um terceiro esteve presente em 55% das violações confirmadas — e que empresas menores são desproporcionalmente atingidas por sequestro de dados, muitas vezes com menos recursos para reagir. O fornecedor de TI não é um figurante no risco da empresa: ele é parte dele.

É por isso que o que decide o tamanho do problema não é a confiança na pessoa que atende o telefone. É o que está escrito no contrato antes de qualquer coisa quebrar — porque no dia do problema não há tempo, nem clima, para negociar o que deveria já estar combinado.

O que falta no contrato só aparece no dia errado

A maioria dos contratos de TI descreve o serviço em termos largos: "suporte técnico", "monitoramento", "backup". O que raramente está escrito é o limite: o que está dentro da mensalidade e o que vira orçamento à parte. Sem essa linha clara, cada chamado inesperado é uma negociação — e quem decide o orçamento só descobre a regra quando já precisa dela.

O mesmo vale para o prazo de atendimento. Muita empresa opera anos sem saber, por escrito, em quanto tempo um chamado crítico é atendido. O acordo verbal — "a gente resolve rápido" — não sobrevive à troca de quem atende, nem a um dia de pico. O prazo definido no contrato é o que dá à empresa algo para cobrar quando o atendimento piora.

Há ainda um ponto que pouca empresa pensa em pedir por escrito: quem, exatamente, é dono do acesso e das senhas da própria infraestrutura. O cadastro de usuários, o painel de hospedagem, as contas administrativas dos servidores — se isso vive só na cabeça (ou no computador pessoal) de quem atende, a empresa não é dona da própria operação. O CIS Controls, referência internacional de controles de segurança, trata a gestão de acesso como a base de qualquer ambiente de TI: criar, atribuir e revogar credenciais é processo, não favor de quem presta o serviço.

Esse ponto se conecta a algo jurídico que muita empresa desconhece. A lei brasileira de proteção de dados distingue quem decide o que fazer com os dados (o controlador) de quem apenas os trata a pedido — um fornecedor de TI, por exemplo. A distinção importa porque a comunicação de um incidente de segurança à autoridade nacional de proteção de dados é obrigação do controlador, não do fornecedor: contratar alguém para cuidar da TI não transfere essa responsabilidade. A empresa continua respondendo pelos dados dela, tenha ou não escrito isso no contrato.

Some a isso o número que a Sophos levantou em seu relatório de 2026 sobre sequestro de dados: uma brecha de segurança conhecida ou desconhecida foi citada como fator por 62% das vítimas, pelo segundo ano seguido — à frente de falta de gente ou de competência técnica e de proteção mal configurada ou ausente. Uma atualização de segurança que devia ter sido feita e não foi é exatamente o tipo de falha que um contrato sem relatório mensal deixa passar sem ninguém perceber.

Por que o "jeito comum" não resolve

O jeito comum é confiar. A empresa contrata, para de se preocupar, e só volta a pensar no assunto quando algo trava. Não existe relatório mensal do que foi feito, então não há como comparar um mês bom com um mês ruim. Não existe teste de recuperação, então o backup é uma promessa, não um fato verificado. E não existe combinado sobre o fim do contrato, então trocar de fornecedor vira um risco em si — ninguém sabe se a documentação e o acesso voltam para a empresa ou ficam retidos.

Esse formato funciona bem enquanto nada dá errado. O problema é que ele não foi desenhado para o dia em que algo dá errado — foi desenhado para o dia comum, tranquilo, em que o telefone toca e alguém responde. O custo médio de recuperar de um ataque de sequestro de dados, segundo o mesmo levantamento da Sophos, passou de US$ 1,7 milhão em 2026, alta de 11% sobre o ano anterior — um número de outra escala, mas que aponta a direção certa: reagir sempre custa mais do que ter, desde antes, o que precisa existir por escrito.

Trocar de fornecedor não resolve sozinho, se o próximo contrato repetir os mesmos vazios. O que muda o jogo é a cláusula, não a marca de quem atende.

O que precisa existir na prática

Um contrato de TI bem escrito não é mais longo por capricho jurídico — cada cláusula fecha uma porta que, sem ela, fica aberta para o dia do problema.

O escopo, separando o que está incluso do que é orçado à parte. Sem essa linha, cada chamado fora do comum vira uma negociação de preço no meio de uma emergência.

O prazo de atendimento combinado no contrato, sem número solto no ar. O texto certo é "os prazos definidos no contrato" — e vale tanto para suporte em horário comercial quanto para suporte 24x7, conforme o plano contratado.

Um relatório mensal do que foi feito. Chamados abertos, causa, solução, e o que virou ação preventiva para o mesmo problema não voltar. Sem esse relatório, a empresa não tem nenhum número para conversar sobre a qualidade do serviço.

Quem é dono do acesso e das senhas da empresa. Cadastro de usuários, contas administrativas, painel de hospedagem — documentados em nome da empresa, não guardados na cabeça de uma pessoa.

O que acontece na saída do contrato. Devolução de toda a documentação e de todo o acesso, sem retenção, e prazo definido para essa transição.

Teste de recuperação como obrigação escrita, não como favor. Não basta ter backup: precisa existir simulação periódica de recuperação, com data e resultado registrados, e um plano que diga em quanto tempo a empresa volta a operar.

É assim que a Skills IT trabalha: com escopo definido antes de qualquer estimativa, chamado registrado com causa e solução, e simulações de recuperação periódicas em vez de um backup que ninguém testou.

O ganho para a empresa

O ganho de ter isso escrito não é abstrato. É menos hora parada, porque um chamado com prazo combinado não fica esperando alguém lembrar dele. É custo previsível, porque o escopo já diz o que está incluso antes de qualquer surpresa na fatura. É decisão com informação, porque um relatório mensal transforma "acho que está bom" em algo que se pode conferir.

Há também um ganho que só aparece quando falta: o dia em que a empresa precisa trocar de fornecedor, ou reagir a um incidente, sem depender da boa vontade de quem está saindo para devolver acesso e documentação. Uma empresa que sabe o que tem — o inventário de servidores, contas e equipamentos, base de qualquer TI bem cuidada segundo o CIS Controls — reage rápido porque não perde tempo reconstruindo esse mapa sob pressão.

Nada disso promete uma empresa livre de problemas. Promete uma empresa que, quando o problema aparecer, tem uma cláusula para apontar em vez de uma lembrança de conversa.

Seis itens para conferir antes de assinar

  1. O escopo está escrito, separando o que é incluso do que é orçado à parte? Se a resposta mora só na cabeça de quem vendeu o contrato, ela muda quando essa pessoa sai.
  2. Existe prazo de atendimento definido no contrato, não só prometido de boca? Prazo sem papel é prazo que vale o que a memória de alguém permitir.
  3. Chega um relatório mensal do que foi feito? Sem ele, não há como comparar um mês ao outro nem cobrar melhora.
  4. Está documentado quem é dono de cada senha e de cada acesso administrativo? Se a resposta é "só fulano sabe", a empresa não é dona da própria infraestrutura.
  5. O contrato diz o que acontece na saída — devolução de acesso e de documentação? Sem isso, trocar de fornecedor é um risco a mais, não uma opção livre.
  6. O backup já foi testado de verdade, com data e resultado registrados? Um backup nunca testado é uma suposição, não uma garantia.