Durante anos, o sistema do escritório morou num computador no fundo da sala, e o backup dependia de alguém lembrar de trocar o HD externo na sexta-feira. Contratar um software jurídico na nuvem tira esse servidor do escritório: o sistema roda na estrutura do fornecedor e a equipe acessa pelo navegador, de qualquer lugar. A pergunta que vem em seguida é legítima: e os dados dos clientes, ficam seguros?
A resposta honesta é “depende”, porém aquilo de que ela depende pode ser verificado. A nuvem transfere parte do trabalho de segurança para o fornecedor, mas não transfere a responsabilidade do escritório pelo sigilo nem pelas obrigações da LGPD.
Este texto mostra o que muda em relação ao servidor local, como se dividem as responsabilidades, quais controles avaliar, o que precisa estar no contrato e as perguntas para fazer antes de assinar. A política de segurança do próprio escritório, aliás, está no guia de segurança da informação no escritório de advocacia.
O que muda com um software jurídico na nuvem
Com o servidor local, o escritório compra o equipamento, instala, atualiza, faz backup e resolve quando dá problema. Na nuvem, porém, o fornecedor cuida da infraestrutura e o escritório paga pelo uso. Na rotina, quatro mudanças aparecem logo:
- Atualizações chegam sozinhas. Ou seja, correções de segurança e novas funções entram sem que alguém precise instalar nada.
- O acesso deixa de depender do prédio. Audiência em outra cidade, trabalho de casa, reunião no cliente: o sistema está onde houver internet.
- A internet vira item crítico. Afinal, sem conexão, não há sistema. Um segundo link ou o roteador do celular para emergências passa a fazer parte da infraestrutura.
- O controle passa a ser contratual. Assim, o que antes você controlava fisicamente, agora controla por contrato, configuração e acompanhamento do fornecedor.
Quem cuida de quê: a responsabilidade compartilhada
É tentador pensar que “segurança agora é com o fornecedor”. No entanto, ela é dividida: o fornecedor protege a plataforma; o escritório protege o uso que faz dela.
| Tema | Fornecedor | Escritório |
|---|---|---|
| Servidores, rede e atualizações | Mantém, atualiza e monitora | Não se aplica |
| Cópias de segurança da plataforma | Executa e testa a restauração | Confere no contrato a frequência e a retenção |
| Contas de usuário | Oferece login, perfis e, idealmente, segundo fator | Cria, revisa e desativa as contas da equipe |
| Permissões | Oferece perfis de acesso configuráveis | Define quem vê e altera o quê |
| Computadores e celulares da equipe | Não se aplica | Bloqueio de tela, atualização e cuidado com perdas |
| Planilhas e relatórios exportados | Oferece a exportação | Controla quem exporta e para onde o arquivo vai |
| Incidente de segurança | Detecta e avisa o escritório | Avalia o risco e comunica a ANPD e os titulares |
A última linha liga a técnica à lei, conforme mostra a seção sobre LGPD mais abaixo.
Os controles de segurança que valem a pergunta
Você não precisa entender de criptografia, mas deve saber o nome destes controles e pedir que o fornecedor explique como os aplica:
- Criptografia em trânsito e em repouso. Em trânsito, protege os dados enquanto viajam entre o navegador e o servidor (o cadeado do endereço “https”). Em repouso, por outro lado, protege o que está gravado nos discos e nas cópias de segurança.
- Autenticação forte. Senha com regras mínimas e segundo fator, por exemplo um código no celular. Em equipes maiores, login com a conta corporativa, o chamado SSO (single sign-on).
- Controle de acesso por perfil. Cada pessoa vê o necessário para a sua função, inclusive estagiários e áreas de apoio.
- Registro de atividades. Saber quem criou, alterou ou excluiu cada informação, e quando.
- Cópias de segurança e recuperação. Frequência, tempo de guarda e rapidez para voltar depois de uma falha. Dois termos ajudam na conversa: RPO, quanto de dados se pode perder no pior caso, e RTO, em quanto tempo o serviço volta.
- Separação entre clientes. Vários escritórios usam a mesma plataforma, de modo que o fornecedor precisa explicar como os dados de um ficam isolados dos de outro.
- Avaliação independente. Testes de invasão feitos por terceiros ou certificações de gestão de segurança, como a ISO/IEC 27001, valem mais do que a palavra do vendedor.
LGPD e sigilo: o que o contrato com o fornecedor precisa dizer
Na linguagem da LGPD, o escritório que decide sobre os dados dos clientes é o controlador, e o fornecedor que os trata em seu nome é o operador (art. 5º, VI e VII). Assim, o operador segue as instruções do controlador (art. 39), e os dois devem adotar medidas de segurança técnicas e administrativas (art. 46). O contrato, então, transforma esses deveres em compromissos verificáveis.
Além disso, há o sigilo profissional. O Estatuto da Advocacia assegura a inviolabilidade dos instrumentos de trabalho e da correspondência eletrônica e telemática do advogado relativas ao exercício da profissão (Lei 8.906/1994, art. 7º, II), e o Código de Ética trata como confidenciais, por presunção, as comunicações entre advogado e cliente. Portanto, levar os dados para a nuvem não muda esse dever; muda o lugar onde ele precisa ser cumprido.
Cláusulas essenciais
Cláusulas para conferir antes de assinar:
- Finalidade. O fornecedor só trata os dados para prestar o serviço contratado, conforme as instruções do escritório.
- Medidas de segurança. Descrição dos controles, no contrato ou em documento técnico anexo.
- Aviso de incidente. Prazo curto para que o fornecedor avise o escritório. Cabe ao controlador comunicar à ANPD e aos titulares o incidente que possa causar risco ou dano relevante (art. 48), e o regulamento da ANPD fixa para isso três dias úteis, contados de quando o controlador fica sabendo que o incidente afetou dados pessoais (Resolução CD/ANPD nº 15/2024, arts. 6º e 9º; em dobro para agentes de pequeno porte). Um aviso lento do fornecedor atrasa toda a resposta, porque o escritório só pode avaliar o risco depois de saber.
- Suboperadores. Lista das empresas que o fornecedor usa, como hospedagem e suporte, e aviso sempre que houver troca.
- Local dos dados. Guardar dados em servidores fora do Brasil em geral caracteriza transferência internacional: o regulamento da ANPD inclui no conceito dar acesso aos dados a outro agente no exterior e deixa ao controlador verificar o enquadramento (Resolução CD/ANPD nº 19/2024, arts. 3º e 4º). Portanto, a transferência precisa se apoiar em uma das hipóteses do art. 33, entre elas as cláusulas-padrão contratuais aprovadas por essa resolução.
- Fim do contrato. Formato e prazo de devolução dos dados e eliminação depois disso, ressalvadas as hipóteses de conservação previstas na lei (art. 16).
- Disponibilidade. O nível de serviço prometido, ou seja, o SLA (service level agreement), e o que acontece se não for cumprido.
O detalhamento das obrigações do escritório como controlador está no guia de LGPD para escritórios de advocacia.
Acesso remoto sem abrir brechas
A vantagem da nuvem é também o seu ponto de atenção: se o sistema abre de qualquer lugar, abre em qualquer aparelho. Por isso, combine com a equipe:
- Conta individual sempre; login compartilhado, nunca.
- Segundo fator ativado sempre que o sistema oferecer.
- Em computador de terceiros, como o de um hotel ou de uma sala de apoio no fórum, sair da conta ao terminar e não salvar a senha no navegador.
- Planilhas e relatórios exportados tratados com o mesmo cuidado dos dados no sistema, e apagados do computador assim que deixarem de ser necessários.
- Celular com bloqueio de tela, porque o navegador costuma manter a sessão aberta.
Perguntas para fazer antes de contratar
Leve esta tabela para a conversa com o fornecedor e peça as respostas por escrito:
| Pergunta | Resposta que tranquiliza | Sinal de alerta |
|---|---|---|
| Os dados são criptografados em trânsito e em repouso? | Sim, com explicação de como | “A plataforma é segura”, sem detalhe |
| Há segundo fator de autenticação? | Sim, e o escritório pode exigi-lo de todos | Só senha |
| Qual a frequência das cópias de segurança e por quanto tempo ficam guardadas? | Números definidos e teste de restauração | “Fazemos backup”, sem números |
| Em que país os dados ficam? | Resposta clara, com a base da transferência se for fora do Brasil | Não sabe informar |
| Em quanto tempo o escritório é avisado de um incidente? | Prazo em contrato, compatível com os três dias úteis do controlador | Sem prazo |
| Quais empresas tratam os dados com vocês? | Lista de suboperadores disponível | Recusa em informar |
| Como recebemos os dados se o contrato acabar? | Formatos abertos e prazo de entrega | Exportação só sob orçamento |
| Quem da sua equipe pode ver os nossos dados? | Acesso restrito e registrado, para suporte autorizado | Todo o suporte vê tudo |
Essas perguntas, aliás, completam os critérios gerais de como escolher um software jurídico, que tratam de aderência, usabilidade e custo.
Como o LexFlow funciona na nuvem
O LexFlow é uma plataforma web: a equipe entra pelo navegador, no computador ou no celular, e não há servidor para manter no escritório. Cada escritório tem endereço próprio (escritorio.lexflowcrm.com.br), com a sua logo na tela de acesso, o que ajuda a equipe a reconhecer a página certa na hora do login.
A parte do escritório na responsabilidade compartilhada se resolve pela tela. Por exemplo, cada usuário tem cargo e perfil, recebe senha provisória e pode ser inativado no dia em que sai. Além disso, os perfis de acesso descem do módulo às ações (adicionar, alterar, excluir) e às seções de cada ficha, e no CRM e no Workspace há papéis de administrador, colaborador e leitor. Na Agenda, cada agenda define quem a vê e em que nível, como “Só ocupado” ou “Ver tudo”, e o evento pode ser marcado como privado.
Os Relatórios exportam em CSV e XLSX, que qualquer planilha abre. Quem conecta o Claude ou o ChatGPT pelo MCP dá à IA, no máximo, o alcance do próprio perfil de acesso. Na contratação, faça ao LexFlow as perguntas da tabela acima, pois elas valem para qualquer fornecedor.
Perguntas frequentes
Software jurídico na nuvem é mais seguro que servidor local?
Não automaticamente. Um fornecedor especializado pode manter controles difíceis de reproduzir num servidor do escritório, mas a proteção depende do que ele aplica de fato e de como a equipe usa o sistema. Assim, compare pelas respostas da tabela, não pela impressão.
Os dados podem ficar armazenados fora do Brasil?
Podem, desde que a transferência internacional se apoie em uma das hipóteses do art. 33 da LGPD, como as cláusulas-padrão contratuais aprovadas pela ANPD ou o reconhecimento de nível adequado de proteção, que a ANPD deu à União Europeia em 2026. Em todo o caso, pergunte ao fornecedor onde os dados ficam e qual hipótese ele usa.
O que acontece com os dados quando o contrato termina?
Depende do contrato, por isso a cláusula de saída importa. Ela deve dizer em que formato e em que prazo os dados são devolvidos e quando são eliminados. Além disso, exportar periodicamente os dados mais importantes ajuda.
E se a internet do escritório cair?
O sistema fica inacessível naquela conexão, mas continua funcionando para quem estiver em outra rede. Por isso vale ter uma segunda conexão ou o roteador do celular como plano de contingência.
Conclusão
Um software jurídico na nuvem troca o servidor do fundo da sala por um serviço mantido pelo fornecedor, com acesso de qualquer lugar. Em contrapartida, o escritório passa a controlar a segurança por contrato e por configuração: escolhe bem o fornecedor, exige as cláusulas certas e cuida das contas, dos perfis e dos aparelhos da equipe.
Faça as perguntas antes de assinar, guarde as respostas por escrito e revise os acessos com regularidade. Afinal, a responsabilidade pelo sigilo continua com o escritório, esteja o sistema onde estiver.
