Antes de assinar com quem entrega um assistente de IA ou uma automação, escreva no contrato o nome técnico de cada conector usado, o prazo de aviso em caso de descontinuação, o formato de exportação dos dados, quem paga a migração e o que acontece se o fornecedor encerrar as atividades. Sem isso, a empresa descobre o risco no dia em que o fluxo para, não no dia do anúncio.
Descontinuação não é falha. É decisão comercial do fornecedor, quase sempre com anúncio público. O contrato não impede o encerramento, mas transforma um susto em cronograma: alguém avisa, existe prazo, caminho de saída e responsabilidade definida.
Resumo rápido
- Conector é a peça que liga seu sistema a um serviço de terceiro (Google Workspace, Microsoft 365, Meta, Slack, Notion, servidor MCP, API de modelo).
- Três eventos pedem cláusulas diferentes: o fornecedor encerra um produto, muda versão ou escopo de acesso, ou o seu fornecedor deixa de existir.
- Inventário de dependências assinado como anexo vale mais do que promessa verbal de gerente de conta.
- Peça aviso por canal oficial, janela de migração, suporte técnico, exportação em formato aberto e comprovação de exclusão.
- LGPD entra porque o conector transporta dado pessoal: defina controlador, operador, subprocessadores e o que sobra nos backups.
O inventário de dependências é o primeiro anexo do contrato
Nenhuma cláusula funciona sem saber o que está sendo protegido. O ponto de partida é um inventário técnico, assinado pelas duas partes, com cinco dados por integração: serviço usado, endpoint ou escopo de autorização ativo, versão da API no código, dono interno e processo de negócio que depende disso.
Inclua a criticidade. Um conector de relatório semanal pode ficar fora do ar um dia. Um conector que confirma consulta, dispara cobrança ou fecha pedido de transporte não pode. Essa diferença define prioridade de migração e o crédito contratual que faz sentido negociar.
Liste as dependências indiretas, que são as mais esquecidas. Se o fornecedor contratado usa um servidor MCP próprio para acessar sua base, esse servidor é dependência dele e risco seu. Se a automação passa por uma conta de serviço no Google Workspace, a revogação de um escopo OAuth derruba o fluxo mesmo que o contrato principal continue válido.
O inventário precisa de data e responsável pela revisão. Uma integração nova entra em produção sem passar pelo jurídico e fica fora do anexo. Marque revisão trimestral e sempre que uma integração nova for ao ar. Um checklist de cláusulas para fornecedores de IA ajuda a manter o padrão entre contratos diferentes.
Três cenários, três cláusulas: produto descontinuado, API alterada e fornecedor que some
Misturar os três cenários em uma cláusula genérica de “melhorias e atualizações” é o erro mais comum. Cada evento tem gatilho, prazo e consequência próprios.
1. O fornecedor descontinua um produto ou recurso
Aqui o serviço deixa de existir, ou uma funcionalidade é retirada da linha. Exemplos de formato: fim de uma família de modelos, encerramento de um recurso de transcrição, retirada de um conector nativo. A cláusula precisa definir o que conta como descontinuação, exigir aviso por canal oficial, fixar prazo mínimo de operação depois do anúncio e prever migração para o produto sucessor, quando existir. Se não existir sucessor, o contrato deve dizer como o cliente sai e o que recebe de volta.
2. O fornecedor muda a versão da API ou o escopo de acesso
O serviço continua, mas o jeito de chamar muda. Entram nessa categoria o fim de uma versão de API, a troca de um endpoint, a alteração de um webhook e a revisão de permissões OAuth. Essas mudanças costumam ser anunciadas com antecedência e derrubam integrações antigas de forma silenciosa, porque o código responde com erro de validação em vez de parar de vez. A cláusula deve exigir política de depreciação publicada, janela de suporte para a versão anterior, ambiente de teste equivalente ao de produção e aviso prévio para mudança de limite de uso. Detalhes operacionais estão em descontinuações de endpoints e webhooks.
3. O seu fornecedor desaparece
Este é o cenário mais caro e o menos tratado. O fornecedor pode ser um integrador, uma revenda, uma consultoria pequena ou um projeto aberto sem mantenedor. Ele não descontinua nada: encerra as atividades, perde a equipe ou para de responder. A cláusula precisa de continuidade, transição assistida, cessão do contrato, lista de subprocessadores, documentação de operação atualizada e, quando fizer sentido, depósito do código-fonte em garantia. Sem isso, o cliente herda um sistema que ninguém sabe operar.
| Risco | Cláusula que cobre | Evidência a pedir |
|---|---|---|
| Fornecedor encerra o produto ou um recurso | Definição de descontinuação, aviso mínimo por canal oficial e prazo de operação após o anúncio | Página oficial de ciclo de vida com histórico de anúncios e datas |
| Versão de API ou endpoint é encerrado | Política de depreciação com janela de suporte à versão anterior e ambiente de teste | Changelog público e calendário de desativação |
| Escopo OAuth é revogado ou alterado | Aviso prévio, alternativa de autorização e prazo para reconfigurar contas | Lista de escopos exigidos e registro de mudanças de permissão |
| Limite de uso (rate limit) muda | Aviso prévio, prazo de adequação e opção de limite contratado | Documentação de limites por plano e histórico de alterações |
| Integrador, revenda ou consultoria encerra atividades | Continuidade, cessão de contrato, transição assistida e entrega de documentação | Runbook atualizado, contatos de escalonamento e plano de continuidade |
| Servidor MCP ou projeto aberto fica sem manutenção | Depósito de código, licença de uso e direito de assumir a operação | Repositório, licença, documentação de instalação e dependências |
| Falha do conector derruba o atendimento | SLA, crédito, escalonamento e o que fica fora da limitação de responsabilidade | Relatório de incidentes e histórico de disponibilidade |
| Dados ficam presos após a rescisão | Exportação em formato aberto, prazo de entrega e exclusão comprovada | Amostra real de exportação e certificado de exclusão |
Prazo de aviso, migração assistida e responsabilidade por parada
O prazo de aviso começa na publicação oficial, não no e-mail do gerente de contas. Escreva que o fornecedor avisa por página de status, changelog ou painel, e que o prazo conta da data do anúncio. Defina o mínimo de dias de operação depois do anúncio a partir do tempo real da sua migração. Se a última levou quatro meses, um aviso de trinta dias é decorativo.
Migração assistida tem conteúdo concreto: horas de engenharia incluídas, documentação do novo caminho, credenciais de teste, acesso a homologação e responsável técnico nomeado. Sem isso, o cliente paga duas vezes, pela licença e pelo retrabalho. Registre quem arca com o custo de manter as duas integrações em paralelo.
Responsabilidade por parada é onde o contrato perde força. Muitos acordos de nível de serviço preveem crédito proporcional e excluem lucros cessantes e danos indiretos. Um conector descontinuado tende a ser tratado como evento previsto, não como descumprimento. A negociação realista separa três coisas: falha não comunicada, descontinuação com prazo curto e descontinuação sem aviso. Para as duas últimas, peça obrigações de fazer (migração assistida, extensão de prazo) em vez de desconto na mensalidade.
Força maior não resolve: descontinuação anunciada é decisão planejada, não evento imprevisível. Se o contrato lista força maior de forma ampla, exclua mudanças de produto e de versão.
Dados, subprocessadores e LGPD depois do encerramento
Conector quase sempre transporta dado pessoal: nome, telefone, e-mail, horário de consulta, endereço, histórico de conversa. A Lei Geral de Proteção de Dados (Lei 13.709/2018) distribui responsabilidades entre controlador, quem decide a finalidade, e operador, quem trata em nome dele. Em uma cadeia de IA, essa divisão precisa estar escrita: o fornecedor do assistente pode ser operador do cliente e controlador dos dados que usa para melhorar o próprio produto.
Exija a lista de subprocessadores, o aviso prévio de mudança e o direito de objeção. Se o fornecedor troca o provedor de nuvem, o serviço de transcrição ou o modelo, o dado passa a circular em outro lugar. Isso muda país de armazenamento, retenção e contrato de acesso.
Depois do encerramento, o contrato deve prever exportação em formato aberto e utilizável (CSV, JSON ou outro que você importe sem engenharia reversa), prazo de entrega, prazo de exclusão e comprovação. Pergunte o que acontece com backups e logs. “Excluímos em X dias, exceto cópias que expiram em Y” é aceitável; “não temos esse controle” não é. Um guia de conformidade e contratos de fornecedores de IA detalha papéis e evidências. A Autoridade Nacional de Proteção de Dados publica orientações no portal oficial da ANPD.
Peça evidência de auditoria: relatório recente, questionário de segurança respondido, certificações aplicáveis e amostra de log de acesso. Em incidente, o que existe é o documento arquivado, não a lembrança da reunião.
Checklist de 10 itens antes de assinar
- Inventário anexo com nome técnico de cada conector, endpoint, versão de API e dono interno.
- Escopos de autorização documentados, com o motivo de cada permissão solicitada.
- Prazo mínimo de aviso por canal oficial, contado da publicação, e não do aviso individual.
- Janela de operação após o anúncio, compatível com o tempo real da sua migração.
- Migração assistida com horas incluídas, sandbox, documentação e responsável nomeado.
- Exportação em formato aberto, com prazo de entrega e amostra testada antes da assinatura.
- Exclusão comprovada depois da rescisão, incluindo regra para backups e logs.
- Subprocessadores listados, com aviso de mudança e direito de objeção.
- SLA e limite de responsabilidade revisados, com o que não está coberto escrito de forma clara.
- Plano de saída com contatos, verba de migração e rotação de chaves. Controle de chaves por departamento ajuda, como em controle de chaves de API por departamento.
Exemplo: grupo de clínicas em Campinas e o conector descontinuado
Um grupo de clínicas com seis unidades em Campinas opera agendamento, confirmação e lista de espera em um assistente conectado à agenda do Google Workspace. A automação confirma consultas, remarca encaixes e avisa a recepção quando aparece vaga. O fornecedor usa um conector de terceiro para ler e escrever na agenda, e esse conector foi descontinuado com aviso em changelog, sem comunicação direta ao cliente.
O contrato não tinha inventário, não citava prazo de aviso e não dizia como os dados sairiam. O primeiro sintoma foi confirmação não enviada em um sábado. A recepção passou a conferir a agenda manualmente, unidade por unidade, enquanto a TI tentava descobrir se o problema era credencial, rede ou limite de uso. Como o conector não devolvia erro claro, a equipe perdeu dias em hipóteses erradas.
A corrida de trinta dias envolveu reescrever a integração para o caminho novo, treinar a recepção para um processo manual temporário e refazer o histórico de confirmações que ficou sem registro. O custo apareceu em horas de TI, remarcações, horas extras e atrito com paciente que chegou no horário errado. O crédito oferecido cobria uma fração pequena do esforço.
O que deveria estar escrito: o conector nomeado no anexo, aviso por e-mail além do changelog, janela mínima de noventa dias para migrar, exportação do histórico em CSV, suporte com engenheiro nomeado e transição que mantivesse o caminho antigo funcionando durante a troca. Nada disso impede a descontinuação. Tudo reduz o tamanho da corrida.
Erros comuns
Tratar “atualizações” como promessa de continuidade. Cláusula que promete melhorias não obriga o fornecedor a manter um recurso vivo. Continuidade precisa de texto próprio, com prazo e consequência.
Aceitar aviso apenas no blog do fornecedor. Se ninguém da sua empresa acompanha aquele canal, o aviso não existe. Exija comunicação ativa para um contato nomeado.
Descobrir o formato de exportação no dia da saída. Teste a exportação antes de assinar. Arquivo que abre mas perde relações entre tabelas não serve para migrar.
Deixar credenciais e escopos fora do inventário. Conta de serviço sem dono, chave antiga em produção e permissão ampla esquecida travam a migração.
Confundir SLA com garantia de existência. Disponibilidade mede o serviço que existe, não o dia em que o produto deixa de ser oferecido.
Assinar anexo técnico desatualizado. Anexo com arquitetura de dois anos atrás dá sensação de controle e não descreve o que roda hoje.
Perguntas frequentes
O contrato pode proibir o fornecedor de descontinuar um produto?
Raramente, e não é o objetivo. O fornecedor pode encerrar a linha por decisão de negócio. O contrato fixa o procedimento: aviso, prazo, suporte, exportação e consequência pelo descumprimento. Negocie obrigações de fazer em vez de proibir a decisão.
Qual prazo de aviso devo pedir?
O prazo precisa cobrir o tempo da sua migração, medido com um projeto anterior. Some o tempo de descoberta, desenvolvimento, teste e treinamento. Se a sua realidade é dois meses, um aviso de trinta dias não protege nada. Registre também a janela de operação depois do anúncio, que é diferente do prazo de aviso.
Quem responde se o conector cair e um paciente não for avisado?
Depende da cadeia contratual e do que está escrito sobre SLA, limites de responsabilidade e dever de comunicar incidentes. Em geral, o fornecedor responde pelo que assumiu e o cliente pelo processo que deixou de executar. Quanto mais clara a divisão, menor a discussão depois do fato.
Preciso assinar aditivo cada vez que um subprocessador muda?
Não necessariamente. O contrato pode prever aviso prévio e direito de objeção, com prazo para o cliente se manifestar. O importante é que a mudança chegue até você e que exista consequência se o aviso não vier.
E quando o fornecedor é uma empresa pequena ou um projeto aberto?
Redobre as garantias de saída: documentação de operação, depósito de código, licença clara e um responsável técnico identificado. Projeto aberto sem mantenedor ativo é dependência de risco alto, mesmo com licença permissiva.
