Escolher software para a empresa dá errado de três jeitos previsíveis: a ferramenta não resolve o problema real, a conta sai muito maior que o preço da página, ou os dados ficam presos e expostos num lugar que ninguém avaliou. O checklist abaixo ataca os três, em seis blocos que você pode copiar para uma planilha e marcar.

Serve para qualquer sistema contratado, de um gerenciador de tarefas a um ERP. Os exemplos citam fornecedores reais com dados conferidos nas páginas oficiais em outubro de 2026.

Bloco 1: o problema antes da ferramenta

  • 1. Escrevi o problema em uma frase, sem citar produto. "Perdemos pedidos de orçamento que chegam por e-mail e WhatsApp" é um problema. "Precisamos de um CRM" é uma solução presumida.
  • 2. Sei como o problema é medido hoje. Quantos pedidos se perdem, quantas horas de retrabalho, quantos erros por mês.
  • 3. Separei requisitos obrigatórios de desejáveis. Obrigatório elimina o candidato; desejável só soma pontos.
  • 4. Ouvi quem vai usar todo dia, não só quem vai aprovar a compra.
  • 5. Conferi se uma ferramenta que já pagamos resolve. Quem tem Microsoft 365 ou Google Workspace já tem formulários, automação e apps sem código incluídos. Veja Google Workspace ou Microsoft 365.

Bloco 2: o custo real, em três anos

O preço anunciado quase nunca é o custo. Monte a conta com o número de usuários previsto, não o atual.

  • 6. Multipliquei o preço por usuário pelo número de pessoas daqui a 12 e 24 meses.
  • 7. Conferi a moeda. Trello, Asana e Notion mostram preço em dólar; no cartão, entra IOF e o câmbio varia. O monday.com mostra preço em real, sem impostos.
  • 8. Conferi mínimos e degraus. O monday cobra a partir de 3 usuários; o Asana gratuito só aceita 2 pessoas colaborando.
  • 9. Somei complementos: IA, armazenamento extra, automações além da franquia, segurança avançada.
  • 10. Li a regra de reajuste. Em julho de 2026, a Microsoft subiu o preço global do Business Basic de US$ 6 para US$ 7 e do Business Standard de US$ 12,50 para US$ 14. Reajuste de fornecedor acontece.
  • 11. Estimei implantação, migração e treinamento em horas da equipe.
  • 12. Estimei o custo de sair (exportar, migrar, refazer integrações).

Um exemplo de conta para 10 pessoas no Google Workspace Business Starter, a R$ 40,90 por usuário/mês na página oficial de outubro de 2026: R$ 409 por mês, R$ 4.908 por ano e R$ 14.724 em três anos, antes de qualquer reajuste ou crescimento da equipe.

Bloco 3: comparação e piloto

  • 13. Reduzi a lista a 2 ou 3 candidatos que cumprem todos os obrigatórios.
  • 14. Pontuei numa matriz com pesos. Exemplo de pesos (ajuste às suas prioridades):
CritérioPesoCandidato A (0 a 5)Candidato B (0 a 5)
Atende aos obrigatórios5
Segurança e LGPD5
Custo em 3 anos4
Facilidade de uso4
Integrações e API3
Suporte em português3
Exportação de dados3

Multiplique nota por peso e some. A matriz não decide sozinha, mas impede que uma demonstração bonita pese mais que um requisito obrigatório.

  • 15. Fiz um piloto de 2 a 4 semanas com um processo real e de 3 a 5 usuários, usando dados fictícios ou anonimizados se ainda não houver contrato.
  • 16. Medi o resultado do piloto contra o número do item 2.
  • 17. Testei o suporte com uma pergunta real e anotei o tempo de resposta.

Bloco 4: segurança

  • 18. O sistema permite exigir verificação em duas etapas para todos. Sem isso, uma senha vazada abre tudo. Veja autenticação de dois fatores.
  • 19. Existe controle de acesso por perfil (quem vê, quem edita, quem administra).
  • 20. Há registro de atividades para investigar um acesso indevido.
  • 21. O fornecedor publica uma página de segurança com certificações ou relatórios de auditoria independentes (como ISO/IEC 27001 ou SOC 2) e um canal para reportar vulnerabilidades.
  • 22. Sei qual é o SLA. O do Google Workspace, por exemplo, promete 99,9% de disponibilidade mensal e compensa falhas com créditos de serviço (3, 7 ou 15 dias), não com indenização.

Bloco 5: LGPD e onde ficam os dados

Se o sistema vai guardar nome, CPF, telefone, e-mail ou dados de funcionários, a sua empresa é a controladora e o fornecedor é o operador. A Lei 13.709/2018 manda o operador seguir as instruções do controlador, e os dois respondem pela segurança. As bases estão em o que é a LGPD.

  • 23. Sei em que país os dados ficam armazenados. Exemplos reais: no Microsoft 365, um tenant criado no Brasil guarda o conteúdo das caixas de e-mail em repouso no Brasil; no Google Workspace, as regiões de dados oferecidas são Estados Unidos ou Europa, a partir do Business Standard; no Notion, os dados ficam nos EUA por padrão e a escolha de região é recurso do plano Enterprise.
  • 24. Existe um adendo de processamento de dados (DPA) assinado ou incorporado aos termos, com papel de operador, lista de subcontratados e regras de exclusão.
  • 25. A transferência internacional tem mecanismo válido. A ANPD aprovou cláusulas-padrão contratuais na Resolução CD/ANPD nº 19/2024, e o texto deve ser usado sem alterações. A Atlassian (Trello, Jira) é um exemplo de fornecedor que incorpora essas cláusulas ao seu DPA. Em janeiro de 2026, a ANPD também reconheceu a União Europeia como adequada (Resolução nº 32/2026).
  • 26. O contrato diz como o fornecedor avisa incidentes. Pela Resolução CD/ANPD nº 15/2024, o controlador tem 3 dias úteis para comunicar à ANPD e aos titulares um incidente relevante. O operador precisa avisar você sem demora para esse prazo ser possível.
  • 27. Coletarei só os dados necessários e sei como apagar um registro quando o titular pedir.

Bloco 6: contrato e saída

  • 28. Li prazo, renovação automática e aviso de cancelamento. Planos anuais nem sempre permitem reduzir licenças no meio do período.
  • 29. O contrato garante que os dados são da empresa e diz por quanto tempo ficam disponíveis após o cancelamento.
  • 30. Testei a exportação de verdade. No Google Workspace, por exemplo, a ferramenta de exportação da organização exige conta com pelo menos 30 dias, pode levar até 14 dias e o arquivo fica 60 dias no armazenamento padrão. Abra o arquivo exportado e veja se anexos, comentários e histórico vieram.

Se a necessidade for pequena e específica, compare também com uma solução montada em no-code. Para entender o modelo de assinatura por trás de tudo isso, veja o que é SaaS.

Sinais de alerta na negociação

  • Preço só aparece depois de reunião com vendas e ninguém explica o que está incluído.
  • Pressão para fechar ("a condição acaba hoje").
  • Não há DPA, política de privacidade clara ou informação sobre onde ficam os dados.
  • A exportação existe "sob consulta" ou só em formato proprietário.
  • Recusa a liberar teste ou piloto.

Perguntas frequentes

Preciso de DPA para um SaaS pequeno, como um gerenciador de tarefas?

Se houver dados pessoais (nome e telefone de clientes num cartão de tarefa já contam), sim. Muitos fornecedores já incorporam o DPA aos termos de serviço, e basta localizá-lo e arquivar a versão vigente na data da contratação.

Dados guardados fora do Brasil violam a LGPD?

Não automaticamente. A LGPD permite a transferência internacional com mecanismos como as cláusulas-padrão aprovadas pela ANPD ou uma decisão de adequação do país de destino. O ponto é ter o mecanismo documentado no contrato.

Quem responde se o fornecedor vazar os dados dos meus clientes?

A sua empresa, como controladora, continua responsável perante os titulares e a ANPD, inclusive pela comunicação do incidente em 3 dias úteis. O operador também responde quando descumpre a lei ou as suas instruções. Por isso o contrato precisa prever aviso rápido de incidentes e cooperação.

Vale pagar o plano anual para ganhar desconto?

Só depois do piloto. O desconto (no Google Workspace, a página indica 16% no contrato de um ano) compensa quando o número de usuários é estável. Se a equipe pode encolher, o plano mensal evita pagar por licenças paradas.

Fontes