O cliente exigiu seguro no contrato: quais apólices uma empresa de TI precisa

A proposta comercial foi aprovada, o escopo está fechado, e a minuta do contrato chega do jurídico do cliente com uma cláusula nova:

A CONTRATADA deverá manter, durante toda a vigência deste contrato e por 24 meses após o seu término, seguro de responsabilidade civil profissional e seguro de riscos cibernéticos, com limite mínimo de R$ 5.000.000,00 por evento, apresentando certificado de seguro antes da assinatura.

Para muitas empresas de software, consultorias e prestadores de serviço gerenciado, é o primeiro contato com o tema. E a reação comum — “contrata qualquer seguro e manda o certificado” — é a que mais gera problema: o certificado é recusado, a assinatura atrasa, ou, pior, o contrato é assinado com uma apólice que não responde ao risco que o cliente queria transferir.

Por que os contratos passaram a exigir seguro

Duas razões explicam a cláusula.

A primeira é a dependência. Quando o cliente roda a operação num sistema, numa integração ou numa infraestrutura que você mantém, uma falha sua vira prejuízo dele — faturamento parado, multa de órgão regulador, perda de dados. O cliente quer saber que, se isso acontecer, existe dinheiro do outro lado para responder.

A segunda é a LGPD. Quem processa dados pessoais em nome do cliente atua, em geral, como operador. O art. 42 da Lei nº 13.709/2018 prevê que o operador responde solidariamente pelos danos quando descumprir as obrigações da lei ou não seguir as instruções lícitas do controlador. O cliente, como controlador, também responde perante o titular — e quer garantir que o fornecedor terá como arcar com a parte dele. Em setores regulados, a exigência é ainda mais formal; instituições supervisionadas pelo Banco Central, por exemplo, têm regras próprias para prestadores de tecnologia, discutidas em Resolução BCB 498 e o seguro.

Cada exigência, a apólice que a atende

”Seguro de responsabilidade civil profissional”

É o RC profissional de tecnologia, também chamado de E&O (errors and omissions). Responde quando um erro, omissão ou falha no serviço causa prejuízo financeiro ao cliente: o bug que corrompe uma base, a migração que deixa o sistema fora do ar, a entrega que não cumpre a especificação contratada. Paga a defesa e a indenização, dentro do limite.

Não confundir com o RC geral, que cobre danos materiais e corporais causados a terceiros — um visitante que se machuca no escritório. Para uma empresa de software, o RC geral raramente é o que o contrato quer.

”Seguro de riscos cibernéticos”

É o seguro cyber. Responde ao incidente de segurança: invasão, ransomware, vazamento de dados. Cobre a resposta ao incidente, a recuperação, a notificação de titulares e as reclamações de terceiros decorrentes do vazamento. Um ataque que comprometa dados do cliente pode acionar as duas apólices — e é por isso que o contrato pede as duas.

O que o contrato não pede, mas você pode precisar

O hardware da operação — servidores próprios, notebooks da equipe — é protegido pelo seguro de equipamentos de tecnologia, não pelo RC nem pelo cyber. E se a empresa tem sócios-administradores expostos a investidores, há o D&O. Nenhum dos dois costuma aparecer na cláusula do cliente, mas ambos fazem parte do desenho completo.

Os detalhes que fazem o certificado ser recusado

O jurídico do cliente não lê só o nome do seguro. Lê os detalhes, e é neles que a exigência costuma falhar.

1. Limite por evento × limite agregado. “R$ 5 milhões por evento” é diferente de “R$ 5 milhões agregados no ano”. A apólice de RC tem, em regra, um limite por reclamação e um limite agregado para o período, compartilhado entre todos os clientes. Se três clientes reclamarem no mesmo ano, o agregado é dividido entre eles. Vale alinhar a redação antes de assinar.

2. Vigência e período pós-contrato. A cláusula de exemplo pede 24 meses depois do fim do contrato. Como as apólices de RC funcionam à base de reclamações — cobrem a reclamação feita durante a vigência —, o que atende essa exigência é manter a apólice renovada com a mesma data retroativa ou contratar um prazo complementar de notificação. Deixar a apólice vencer no dia seguinte ao fim do contrato não cumpre a cláusula.

3. Data retroativa. Se o serviço começou antes da apólice, o que foi feito antes da data retroativa não está coberto. Em contratos de renovação, isso importa: o cliente quer cobertura para a relação toda, não só para o que vier depois da assinatura.

4. Segurado adicional. Algumas cláusulas pedem que o contratante figure como segurado adicional ou beneficiário. Nem toda apólice de RC profissional admite isso da mesma forma, e a inclusão pode alterar o preço. É item de negociação antes da assinatura.

5. Atividade declarada. A apólice cobre a atividade descrita na proposta. Se a empresa declarou “desenvolvimento de software” e o contrato é de operação de infraestrutura crítica, há um descasamento. Pela Lei nº 15.040/2024 (art. 44), que hoje rege o contrato de seguro, a omissão dolosa de informação relevante leva à perda da garantia, e a culposa reduz a indenização proporcionalmente. Descrever a atividade com precisão protege as duas pontas.

Como responder à cláusula sem pagar a mais

Antes de cotar, leve a cláusula para a corretora junto com três informações: o faturamento da empresa, a natureza do serviço contratado e o volume de dados pessoais que você vai tratar. Com isso, dá para:

• Dimensionar o limite pelo contrato mais exigente, não por todos — às vezes faz mais sentido negociar a cláusula do que comprar um limite que só um cliente exige. A calculadora de seguro cyber ajuda a ter ordem de grandeza;
• Propor ajustes de redação quando a exigência não existe no mercado (“limite ilimitado”, “cobertura para qualquer dano”) — jurídicos de cliente costumam aceitar uma redação compatível com apólices reais;
• Emitir o certificado com as informações que o cliente pediu, já conferidas contra a cláusula.

Conclusão

A cláusula de seguro no contrato de TI não é burocracia: é o cliente transferindo para o fornecedor — e para a seguradora do fornecedor — o risco de depender de um sistema que ele não controla. Atendê-la exige, em regra, duas apólices diferentes, RC profissional e cyber, e atenção a detalhes que o nome do seguro não mostra: limite por evento, período pós-contrato, data retroativa e atividade declarada. Bem resolvida, a exigência deixa de ser um obstáculo à assinatura e passa a ser um argumento comercial.

Este conteúdo é informativo e não substitui orientação jurídica individualizada nem a leitura de uma apólice específica. Coberturas, limites, retroatividade e possibilidade de segurado adicional variam conforme a seguradora. Se você recebeu uma cláusula de seguro num contrato, a equipe da NeuCorr Seguros pode analisar a exigência e indicar a apólice que a atende.