O que é a Propriedade de Dados do Cliente SaaS?

A propriedade dos dados do cliente SaaS refere-se aos direitos legais que os clientes têm sobre as informações que carregam, criam ou gerenciam dentro de uma plataforma SaaS, enquanto a própria plataforma permanece sob a propriedade do provedor. Nesse arranjo, os clientes geralmente atuam como controladores de dados, estabelecendo como seus dados são processados, e o provedor assume o papel de processador de dados, seguindo as instruções dadas para o manuseio desses dados.

Acordos com fornecedores e regulamentações como a GDPR frequentemente descrevem essa divisão de responsabilidades, estabelecendo que os clientes decidem como seus dados são usados e têm a capacidade de acessar, baixar ou remover seus dados conforme necessário.

Compreender a propriedade dos dados define os direitos de uma empresa para proteger sua propriedade intelectual, esclarece as responsabilidades atribuídas e estabelece processos para preservar a flexibilidade estratégica. Os termos de propriedade dos dados podem prevenir o aprisionamento ao fornecedor, apoiar a conformidade regulatória e garantir que os dados possam ser acessados, transferidos ou excluídos conforme necessário.

Na prática, os benefícios podem incluir:

• A due diligence de M&A pode prosseguir de forma mais eficiente quando a proveniência dos dados é claramente estabelecida.
• As medidas de planejamento de continuidade são periodicamente revisadas.  
• Incidentes de segurança de SaaS são rotineiramente rastreados a cada ano, com as organizações reportando tais eventos como parte das atividades regulares de monitoramento.

Especificar a propriedade dos dados durante as discussões iniciais do contrato é a maneira mais econômica de reduzir desacordos, limitar custos não planejados e descrever as etapas para lidar com as transferências de dados.

Arcabouços jurídicos como GDPR e CCPA/CPRA estabelecem diretrizes para os papéis e responsabilidades envolvidos com dados de clientes, em vez de atribuir a propriedade tradicional. Esses arcabouços descrevem as responsabilidades e papéis relacionados à gestão de dados de clientes, com os clientes geralmente identificados como controladores e os provedores como processadores ou prestadores de serviços.

Proteger os dados de clientes SaaS geralmente envolve o uso de uma combinação de salvaguardas técnicas e operacionais:

• Aplicando autenticação multifator
• Configurando controles de acesso baseados em função
• Usando criptografia para armazenamento e transferência de dados
• Mantendo registros de auditoria
• Seguindo procedimentos de desligamento documentados
• Fornecendo treinamento aos funcionários sobre o manuseio de dados e ferramentas de software aprovadas

Essas medidas são implementadas juntamente com a alocação de certos direitos e deveres que vêm com a propriedade dos dados. Sob estruturas como GDPR e CCPA/CPRA, os clientes geralmente têm direitos como acessar, corrigir, exportar ou excluir seus dados pessoais, bem como limitar como eles são processados.

Cliente responsabilidades geralmente incluem:

• Garantir que os dados sejam processados de acordo com padrões legais e contratuais
• Gerenciar níveis de acesso e permissões de usuário dentro do serviço
• Configurar e manter protocolos internos para dados adicionados a aplicativos SaaS

Provedores de SaaS tratam os dados do cliente apenas conforme especificado em contratos e regulamentações relevantes. Geralmente, isso envolve entrega de serviço, suporte técnico, segurança, conformidade e resolução de problemas. Outros tipos de uso ou monetização de dados são tratados de acordo com o consentimento do cliente.

Várias considerações recorrentes podem impactar a propriedade efetiva dos dados em ambientes SaaS:

• Considerações sobre bloqueio de fornecedor e detalhes da linguagem contratual
• Escopo de acesso do provedor e procedimentos de exclusão de dados
• Problemas de configuração e acesso entre locatários
• Considerações sobre terceiros e subprocessadores
• Formatos de exportação proprietários ou APIs não documentadas

Quando combinados com áreas como gestão de segurança ou requisitos de conformidade, esses fatores podem influenciar o controle geral. Pesquisas indicam que incidentes de segurança de SaaS ocorrem anualmente, enquanto as organizações monitoram e avaliam regularmente suas medidas de proteção. Ambientes multitenant, considerações processuais como desativação atrasada, e o uso de serviços externos podem se somar ao cenário que as organizações devem abordar ao considerar a propriedade dos dados.

Os provedores podem incluir requisitos de propriedade de dados tanto nos produtos quanto nos acordos contratuais. As etapas a seguir representam uma abordagem típica:

• Definir claramente a propriedade dos dados do cliente no produto e no acordo.
• Limitar o acesso interno aos dados do cliente e manter um isolamento rigoroso dos locatários.
• Atender prontamente a solicitações relacionadas a dados, como acesso, exportação ou exclusão, de acordo com os procedimentos estabelecidos.
• Garantir que os clientes possam acessar seus dados conforme solicitado.
• Identificar formatos de exportação e opções de fornecimento que atendam a padrões portáteis e não proprietários.
• Devolver os dados ao término do contrato de acordo com os termos acordados, independentemente do status do pagamento.