O que é a Propriedade dos Dados do Cliente SaaS?

A propriedade dos dados do cliente SaaS refere-se aos direitos legais que os clientes têm sobre as informações que carregam, criam ou gerenciam dentro de uma plataforma SaaS, enquanto a própria plataforma permanece sob a propriedade do provedor. Neste arranjo, os clientes geralmente atuam como controladores de dados, estabelecendo como seus dados são processados, e o provedor assume o papel de processador de dados, seguindo as instruções dadas para o tratamento desses dados.

Acordos com fornecedores e regulamentos como o GDPR muitas vezes descrevem esta divisão de responsabilidades, estabelecendo que os clientes decidem como os seus dados são utilizados e têm a capacidade de aceder, descarregar ou remover os seus dados conforme necessário.

Compreender a propriedade dos dados define os direitos de uma empresa para proteger a sua propriedade intelectual, clarifica as responsabilidades atribuídas e estabelece processos para preservar a flexibilidade estratégica. Os termos de propriedade dos dados podem evitar o aprisionamento tecnológico (vendor lock-in), apoiar a conformidade regulatória e garantir que os dados possam ser acedidos, transferidos ou eliminados conforme necessário.

Na prática, os benefícios podem incluir:

• A due diligence de Fusões e Aquisições pode prosseguir de forma mais eficiente quando a proveniência dos dados está claramente estabelecida.
• As medidas de planejamento de continuidade são revisadas periodicamente.  
• Incidentes de segurança de SaaS são rotineiramente rastreados a cada ano, com as organizações reportando tais eventos como parte das atividades regulares de monitoramento.

Especificar a propriedade dos dados durante as discussões iniciais do contrato é a maneira mais econômica de reduzir desentendimentos, limitar custos não planejados e descrever as etapas para o tratamento de transferências de dados.

Estruturas legais como GDPR e CCPA/CPRA delineiam diretrizes para as funções e responsabilidades envolvidas com os dados do cliente, em vez de atribuir a propriedade tradicional. Essas estruturas delineiam responsabilidades e funções relacionadas à gestão de dados do cliente, com os clientes tipicamente identificados como controladores e os provedores como processadores ou prestadores de serviços.

A proteção dos dados do cliente SaaS geralmente envolve o uso de uma combinação de salvaguardas técnicas e operacionais:

• Aplicação de autenticação multifator
• Configuração de controles de acesso baseados em função
• Uso de criptografia para armazenamento e transferência de dados
• Manutenção de logs de auditoria
• Adoção de procedimentos de desligamento documentados
• Oferecimento de treinamento aos funcionários sobre manuseio de dados e ferramentas de software aprovadas

Essas medidas são implementadas juntamente com a atribuição de certos direitos e deveres que acompanham a propriedade dos dados. Sob estruturas como GDPR e CCPA/CPRA, os clientes geralmente têm direitos como aceder, corrigir, exportar ou eliminar os seus dados pessoais, bem como limitar a forma como são processados.

Cliente responsabilidades geralmente incluem:

• Garantir que os dados são processados de acordo com as normas legais e contratuais
• Gerir níveis de acesso e permissões de utilizador dentro do serviço
• Configurar e manter protocolos internos para dados adicionados a aplicações SaaS

Provedores de SaaS lidam com dados de clientes apenas conforme especificado em contratos e regulamentos relevantes. Geralmente, isso envolve entrega de serviço, suporte técnico, segurança, conformidade e solução de problemas. Outros tipos de uso ou monetização de dados são tratados de acordo com o consentimento do cliente.

Várias considerações recorrentes podem impactar a propriedade efetiva dos dados em ambientes SaaS:

• Considerações de lock-in de fornecedor e detalhes da linguagem contratual
• Âmbito de acesso do provedor e procedimentos de exclusão de dados
• Problemas de configuração e acesso entre locatários
• Considerações sobre terceiros e subprocessadores
• Formatos de exportação proprietários ou APIs não documentadas

Quando combinado com áreas como gestão de segurança ou requisitos de conformidade, esses fatores podem influenciar o controle geral. Pesquisas indicam que incidentes de segurança SaaS ocorrem a cada ano, enquanto as organizações monitoram e avaliam regularmente suas medidas de proteção. Ambientes multi-tenant, considerações processuais como desligamento atrasado, e o uso de serviços externos podem todos contribuir para o cenário que as organizações devem abordar ao considerar a propriedade dos dados.

Os provedores podem incluir requisitos de propriedade de dados tanto nos produtos quanto nos acordos contratuais. Os passos a seguir representam uma abordagem típica:

• Defina claramente a propriedade dos dados do cliente no produto e no acordo.
• Limite o acesso interno aos dados do cliente e mantenha um isolamento rigoroso dos inquilinos.
• Atender a solicitações relacionadas a dados, como acesso, exportação ou exclusão, prontamente, de acordo com os procedimentos estabelecidos.
• Garantir que os clientes possam acessar seus dados conforme solicitado.
• Identificar formatos de exportação e opções de fornecimento que atendam a padrões portáveis e não proprietários.
• Devolver os dados ao final do contrato, de acordo com os termos acordados, independentemente do status de pagamento.