Contrato de teste de intrusão (pentest)

1.1. [objeto]

1.2. Ativos autorizados: [lista].

1.3. Modalidade contratada: [modalidade].

1.4. A lista de ativos é exaustiva. Qualquer sistema, domínio, faixa de IP ou aplicação não relacionado no Anexo I está fora do escopo e não está autorizado, ainda que acessível a partir dos ativos autorizados.

2.1. O CONTRATANTE declara ser titular dos ativos relacionados ou possuir autorização formal de seu titular, e autoriza expressamente o CONTRATADO a executar as técnicas descritas neste contrato.

2.2. Esta autorização é a excludente de ilicitude da conduta do CONTRATADO, para os fins do art. 154-A do Código Penal, e vale exclusivamente dentro do escopo, da janela e das técnicas aqui delimitados.

2.3. Estando os ativos hospedados em provedor de nuvem ou de terceiro, cabe ao CONTRATANTE obter e apresentar a autorização do provedor antes do início, sob pena de suspensão dos trabalhos sem ônus ao CONTRATADO.

3.1. Os testes ocorrerão na seguinte janela: [janela].

3.2. Salvo autorização escrita e específica, são vedados: ataques de negação de serviço, exploração destrutiva, alteração ou exclusão de dados em produção, engenharia social contra pessoas identificadas e exfiltração real de base de dados. A comprovação de acesso será feita pelo mínimo necessário.

3.3. Identificada vulnerabilidade crítica com risco iminente, o CONTRATADO interromperá a exploração e comunicará o CONTRATANTE em até 4 (quatro) horas.

3.4. O CONTRATANTE manterá contato técnico disponível durante a janela e informará previamente as equipes que precisem saber, para evitar acionamento indevido de resposta a incidente.

4.1. Ao final, o CONTRATADO entregará relatório contendo metodologia, achados classificados por severidade, prova de conceito, impacto e recomendação de correção, além de sumário executivo.

4.2. Está incluído 1 (um) reteste das vulnerabilidades apontadas, a ser solicitado em até 90 (noventa) dias da entrega.

4.3. O relatório não constitui certificação de segurança e retrata apenas o estado dos ativos na janela testada.

5.1. O relatório e os achados são informação confidencial de grau máximo. O CONTRATADO os manterá em ambiente cifrado, com acesso restrito, e os eliminará em até 90 (noventa) dias após a entrega, salvo instrução diversa por escrito.

5.2. É vedado ao CONTRATADO divulgar, publicar ou citar as vulnerabilidades encontradas, ainda que sem identificar o CONTRATANTE, sem autorização escrita e após a correção.

5.3. Dados pessoais eventualmente acessados durante o teste não serão copiados nem retidos, e sua existência será apenas relatada.

6.1. Pela execução do objeto deste contrato, o CONTRATANTE pagará ao CONTRATADO o valor de R$ [valor], na seguinte forma: [forma de pagamento].

6.2. O atraso de qualquer parcela sujeita o CONTRATANTE a multa de 2% (dois por cento) sobre o valor em aberto, juros de 1% (um por cento) ao mês pro rata die e correção pelo IPCA.

6.3. Atraso superior a 15 (quinze) dias autoriza o CONTRATADO a suspender a execução dos serviços e o acesso aos ambientes, entregáveis e credenciais, sem que tal suspensão configure inadimplemento de sua parte, até a regularização.

6.4. Os valores serão reajustados a cada 12 (doze) meses pelo IPCA/IBGE ou, na sua extinção, pelo índice que o substituir.

7.1. Cada parte é responsável pelos tributos incidentes sobre suas próprias atividades. O CONTRATANTE efetuará as retenções legais obrigatórias, deduzindo-as do valor bruto contra a emissão da nota fiscal correspondente.

8.1. As partes obrigam-se a manter sigilo sobre toda informação a que tiverem acesso em razão deste contrato, incluindo código, arquitetura, dados de clientes, estratégia comercial, preços e informações financeiras, usando-as exclusivamente para a execução do objeto.

8.2. A obrigação permanece durante a vigência e por 5 (cinco) anos após o término, e não alcança informação pública, previamente conhecida sem dever de sigilo, ou exigida por autoridade competente — hipótese em que a parte notificará a outra antes da divulgação, quando legalmente possível.

8.3. Informação que constitua segredo de empresa, protegida pelo art. 195 da Lei nº 9.279/96, permanece confidencial enquanto mantiver essa natureza.

9.1. As partes cumprirão a Lei nº 13.709/2018 (LGPD). Quando o tratamento ocorrer por conta e ordem do CONTRATANTE, este atuará como controlador e o CONTRATADO como operador, nos termos do art. 5º, VI e VII, limitando-se às instruções documentadas recebidas.

9.2. O CONTRATADO adotará medidas técnicas e administrativas de segurança compatíveis com o risco, controlará acessos por necessidade, manterá registro das operações de tratamento e obrigará colaboradores e suboperadores a deveres equivalentes.

9.3. Incidente de segurança envolvendo dados pessoais será comunicado ao CONTRATANTE em até 24 (vinte e quatro) horas da ciência, prazo fixado para permitir que o controlador cumpra a comunicação à ANPD em 3 (três) dias úteis, conforme a Resolução CD/ANPD nº 15/2024.

9.4. Encerrado o contrato, o CONTRATADO eliminará ou devolverá os dados pessoais em até 30 (trinta) dias, salvo guarda exigida por lei.

10.1. A responsabilidade de cada parte limita-se aos danos diretos comprovadamente causados e, no conjunto, ao valor efetivamente pago nos 12 (doze) meses anteriores ao evento que originou o pedido.

10.2. Nenhuma das partes responde por lucros cessantes, perda de receita, de dados ou de oportunidade comercial da outra.

10.3. O limite não se aplica a violação de confidencialidade, violação de propriedade intelectual, dolo, culpa grave ou infração à legislação de proteção de dados.

10.4. Esta limitação pressupõe relação entre empresas e não se aplica a eventual relação de consumo, diante da vedação do art. 51, I, do Código de Defesa do Consumidor.

11.1. Este contrato não gera vínculo empregatício, societário ou de subordinação entre as partes, seus sócios, empregados ou prestadores. O CONTRATADO organiza livremente seus meios, sua equipe e sua rotina de trabalho, respondendo com exclusividade pelos encargos trabalhistas e previdenciários de seu pessoal.

11.2. As partes reconhecem que a qualificação jurídica da relação depende da forma como ela é efetivamente executada, e comprometem-se a manter, na prática, a autonomia aqui declarada.

11.3. Caso qualquer das partes seja demandada em razão de pessoal alocado pela outra, a parte responsável arcará integralmente com defesa, condenações, acordos, custas e honorários, obrigando-se ao reembolso em até 10 (dez) dias úteis.

12.1. Este contrato vigora a partir de [data de início] pelo prazo de [prazo].

12.2. Qualquer parte pode rescindir imotivadamente mediante aviso escrito com 30 (trinta) dias de antecedência, permanecendo devidos os valores relativos aos serviços já executados e às despesas comprometidas.

12.3. A rescisão é imediata em caso de: descumprimento não sanado em 10 (dez) dias após notificação; falência, recuperação judicial ou insolvência; ou violação das cláusulas de confidencialidade, propriedade intelectual ou proteção de dados.

12.4. Encerrado o contrato, o CONTRATADO entregará em até 15 (quinze) dias os entregáveis concluídos e pagos, credenciais, documentação e acessos, prestando suporte razoável à transição.

13.1. Este contrato e seus anexos substituem quaisquer entendimentos anteriores sobre o mesmo objeto. Alterações só valem por termo aditivo escrito e assinado.

13.2. A tolerância quanto ao descumprimento de qualquer cláusula é mera liberalidade e não implica novação nem renúncia.

13.3. A nulidade de qualquer cláusula não contamina as demais, que permanecem em vigor.

13.4. Nenhuma parte cederá este contrato a terceiros sem anuência escrita da outra, salvo em reorganização societária dentro do mesmo grupo econômico.

13.5. As comunicações serão feitas por escrito aos endereços do preâmbulo ou aos e-mails informados pelas partes, sendo o e-mail meio hábil de notificação para todos os fins deste contrato.

13.6. As partes reconhecem a validade da assinatura eletrônica, nos termos do art. 10, § 2º, da MP 2.200-2/2001 e da Lei nº 14.063/2020, dispensando-se testemunhas quando adotada plataforma com registro de autoria e integridade.

14.1. Fica eleito o foro da comarca de [cidade], que corresponde ao domicílio de uma das partes ou ao local de cumprimento da obrigação, na forma do art. 63 do Código de Processo Civil com a redação da Lei nº 14.879/2024.

14.2. As partes buscarão solução consensual, inclusive por mediação, antes do ajuizamento de qualquer medida.