Um empreendedor de Curitiba passou nove meses e R$ 210 mil desenvolvendo um app de gestão de frotas. Quando tentou trocar de fornecedor porque o sistema travava toda segunda-feira, descobriu que o banco de dados dos motoristas estava hospedado numa conta pessoal do desenvolvedor principal. As chaves de API do gateway de pagamento tinham sido criadas no CPF de um freelancer que tinha saído da empresa de TI quatro meses antes. E os tokens de notificação push dos 3.200 usuários ativos ficavam em uma conta Firebase que ninguém na empresa de TI sabia dizer quem tinha criado.
Ele não perdeu só o dinheiro investido. Perdeu o controle de um produto que os clientes dependiam para operar.
O que travou o empreendedor de Curitiba não estava na proposta que ele assinou. Estava em três peças de infraestrutura que a proposta não mencionou: a conta de autenticação dos motoristas, as chaves de API do gateway de pagamento e os tokens de notificação dos usuários. Esses três ativos existem fora do código. E se não estiverem no nome da sua empresa, você não tem um produto — tem um produto alugado.
Onde ficam as três dependências invisíveis de qualquer app com login, pagamentos e notificações
O problema não é o código. O empreendedor de Curitiba tinha o código. O que ele não tinha era controle de três contas externas ao código. Foi ali que o fornecedor encravou a dependência.
Essa infraestrutura fica em três lugares:
No banco de dados de credenciais dos usuários, que pode estar em serviços como Firebase Authentication, Auth0 ou AWS Cognito. Quem controla essa conta controla quem acessa o seu produto.
Nas chaves de API do gateway de pagamento: Stripe, Mercado Pago, Pagar.me. Essas chaves são o elo entre o app e o dinheiro dos seus clientes. Se estiverem no nome da empresa de TI, você não tem acesso direto às suas próprias transações.
Os 3.200 tokens do empreendedor de Curitiba ficavam num projeto Firebase que ninguém na empresa de TI sabia dizer quem tinha criado. Esses tokens eram a única ponte entre o app e os usuários ativos. Firebase Cloud Messaging, Twilio, SendGrid: todas essas plataformas guardam listas de tokens de dispositivo, histórico de envios e reputação de domínio. Quando a conta não é sua, essa infraestrutura de contato também não é.
O problema não aparece na fase de desenvolvimento. Aparece quando você quer trocar de fornecedor, quando a empresa de TI fecha, ou quando você precisa de acesso a dados para responder a uma auditoria.
Login e autenticação: o que está em jogo com os dados dos seus clientes
Um dado antes das perguntas: o custo médio de uma violação de dados no Brasil atingiu R$ 7,19 milhões em 2025, segundo o IBM Cost of a Data Breach Report publicado em julho de 2025. No setor de serviços, onde a maioria dos apps de PMEs se encaixa, esse número sobe para R$ 8,51 milhões.
Esse custo não recai sobre a empresa de TI que desenvolveu o app. Recai sobre o controlador dos dados, que nos termos da LGPD é você, o contratante.
O artigo 37 da LGPD define que o controlador responde pelo tratamento dos dados mesmo quando esse tratamento é executado por um operador terceirizado. Terceirizar o desenvolvimento não terceiriza a responsabilidade.
Se houver vazamento por falha da empresa de TI, quem responde à ANPD e aos titulares dos dados é o CNPJ do seu negócio. O artigo 52 da lei prevê multa de até 2% do faturamento no último exercício fiscal, limitada a R$ 50 milhões por infração.
O caso da Telekall Infoservice, única empresa privada formalmente multada pela ANPD até agosto de 2024, envolveu tratamento inadequado de dados de terceiros. As multas totalizaram R$ 14,4 mil porque era uma microempresa. Mas o precedente existe: a ANPD multa quem trata dados de terceiros sem controles adequados, e as investigações aumentaram desde então.
As perguntas que você precisa fazer antes de assinar:
Quem será o titular da conta de autenticação? O Firebase Authentication, o Auth0 ou qualquer serviço similar deve estar vinculado ao e-mail e ao CNPJ da sua empresa. Se a empresa de TI criar a conta no nome dela, você depende dela para qualquer acesso futuro.
O contrato prevê transferência completa de credenciais ao final do projeto? Não é suficiente receber uma exportação dos dados. Você precisa receber o acesso administrativo à conta de origem.
Em caso de incidente de segurança, quem notifica a ANPD e em qual prazo? A Resolução CD/ANPD nº 15/2024 exige notificação em até 3 dias úteis a partir do conhecimento do incidente. Se a empresa de TI detectar o problema e você não souber, o prazo começa a correr sem que você tenha feito nada.
O que acontece com o banco de credenciais se a empresa de TI encerrar as atividades? Sem cláusula expressa de portabilidade, você pode acordar sem acesso ao login dos seus próprios usuários.
Pagamentos: quem responde se algo der errado
O PCI DSS v4.0.1, o padrão internacional de segurança para processamento de cartões, tornou-se obrigatório em 31 de março de 2025. Organizações fora de conformidade ficam sujeitas a multas de até US$ 100 mil por mês e, nos casos mais graves, perdem o direito de processar pagamentos pelos adquirentes.
Mas há uma questão anterior ao PCI DSS que quase nenhuma proposta responde: quem é o merchant of record no contrato com o gateway?
O merchant of record é o responsável legal pelas transações. Se o app cobra clientes em nome da sua empresa, o contrato com o Stripe, o Mercado Pago ou o Pagar.me precisa estar no CNPJ da sua empresa. Se a empresa de TI criar a conta do gateway no nome dela para "facilitar" a integração, todas as transações ficam vinculadas ao CNPJ dela.
Isso cria dois problemas diretos. Primeiro: o dinheiro dos seus clientes passa por uma conta que não é sua antes de chegar até você. Segundo: se a empresa de TI encerrar as atividades, o gateway libera os fundos para o titular da conta, não para você.
As perguntas que você precisa fazer:
O contrato com o gateway de pagamento será aberto em nome do meu CNPJ? Exija isso por escrito antes de começar o projeto. Não depois.
Quem guarda as chaves de API de produção? Chaves de API dão acesso às transações, a estornos e a relatórios financeiros. Elas precisam estar com você, não só com a empresa de TI.
O que acontece com as chaves de API se eu trocar de fornecedor? As chaves podem ser rotacionadas, mas esse processo precisa estar documentado no contrato. Sem isso, a troca de fornecedor pode exigir recadastro junto ao gateway, com interrupção do processamento de pagamentos.
Vocês têm experiência comprovada com o gateway específico que preciso? Peça exemplos de integrações anteriores com o mesmo gateway, não com "gateways de pagamento em geral". Cada gateway tem particularidades de webhook, reconciliação e tratamento de estorno.
Notificações: a infraestrutura é sua ou da empresa que você contratou
Imagine que você tem 40 mil usuários ativos no app. Cada um está registrado como token no Firebase Cloud Messaging. O Firebase guarda esses tokens em um projeto específico dentro de uma conta do Google Cloud.
Se esse projeto foi criado na conta da empresa de TI, os 40 mil tokens não são seus. Para migrar para outro fornecedor de desenvolvimento, você precisaria reengajar cada usuário individualmente para que reinstalasse o app ou permitisse notificações novamente. O reengajamento forçado de usuários tende a recuperar menos da metade da base ativa. Quando o usuário desinstala e reinstala para reativar as notificações, a taxa de conclusão desse fluxo raramente passa de 40%. Os que não completam somem da sua base de contato para sempre.
Para SMS e e-mail, o risco é parecido. Contas no Twilio ou SendGrid acumulam histórico de envios, listas de supressão (usuários que optaram por não receber mais mensagens) e reputação de domínio. Reputação de domínio leva meses para construir. Se a conta não for sua, a reputação também não é.
As perguntas que você precisa fazer:
O projeto no Firebase Cloud Messaging será criado na conta Google da minha empresa? Não aceite "vamos criar agora e depois transferimos". Transferência de projeto no Firebase é complexa e pode não preservar todos os dados de token.
As contas de Twilio, SendGrid ou equivalentes serão abertas em nome da minha empresa? Exija acesso administrativo antes do lançamento, não seis meses depois.
Quem paga as faturas mensais desses serviços durante o desenvolvimento? Há casos em que a empresa de TI absorve o custo e cobra de volta ao final do projeto. Se não estiver no contrato, esses valores viram surpresa no fechamento.
O que acontece com a lista de subscribers de e-mail se eu trocar de fornecedor? Listas exportadas de uma conta SendGrid podem não ser importadas diretamente para outro provedor sem perda de reputação ou violação de políticas antispam.
Como ler uma proposta técnica sem ser desenvolvedor: os sinais de alerta que aparecem antes de assinar
A pesquisa de Maturidade Digital ABDI/Sebrae de 2024, realizada com quase 7 mil pequenos negócios nas 27 unidades da federação, mostrou que metade das PMEs brasileiras usa ferramentas digitais para vender, mas a maioria não domina a gestão técnica do que contrata. O índice médio de maturidade digital foi de 35 pontos em uma escala de 0 a 80. Isso cria um desequilíbrio claro na hora de avaliar uma proposta técnica.
Alguns sinais de alerta não exigem conhecimento técnico para identificar:
A proposta não menciona em nome de quem serão abertas as contas de serviços externos. Isso é ou negligência ou estratégia deliberada de lock-in. Nos dois casos, é problema.
O contrato não tem cláusula de entrega de ativos digitais ao final do projeto. Sem essa cláusula, código-fonte, banco de dados, credenciais e documentação técnica ficam fora do escopo formal de entrega. O que não está listado explicitamente raramente é entregue.
A empresa sugere plataformas low-code ou no-code sem explicar o que acontece com o código se você quiser migrar. Análise publicada pela S4 Digital sobre plataformas low-code documenta que o código gerado frequentemente não é portável, e dois terços dos profissionais ouvidos pela Gartner Peer Community disseram que o lock-in foi, na prática, o que impediu a migração. Não a tecnologia, não o custo: o lock-in.
O cronograma não inclui fase de documentação e transferência de conhecimento. Sem documentação, você fica dependente da empresa de TI para qualquer manutenção futura, mesmo que seja uma correção simples.
A proposta usa termos como "cloud própria" ou "infraestrutura gerenciada" sem especificar quem é o titular das contas. "Gerenciado" não significa "seu".
O checklist completo: 23 perguntas para fazer antes de contratar qualquer empresa de TI para o seu app
Sobre autenticação e dados dos usuários:
- Quem será o titular da conta de autenticação (Firebase, Auth0, Cognito)?
- O banco de dados de usuários estará hospedado em conta da minha empresa?
- Existe cláusula de entrega total de credenciais ao final do projeto?
- Em caso de incidente de segurança, quem notifica a ANPD e em qual prazo?
- O que acontece com o acesso ao banco de credenciais se a empresa de TI encerrar as atividades?
- A empresa assina DPA (Data Processing Agreement) conforme exigido pela LGPD?
- Como o acesso dos funcionários da empresa de TI aos dados dos usuários é controlado?
- Vocês têm experiência com resposta a incidentes e elaboração de relatório de violação?
Sobre pagamentos:
- O contrato com o gateway será aberto em nome do meu CNPJ?
- Quem será o merchant of record no contrato com o Stripe, Mercado Pago ou Pagar.me?
- As chaves de API de produção serão entregues à minha empresa antes do lançamento?
- Como funciona a rotação de chaves de API em caso de troca de fornecedor de desenvolvimento?
- A integração está em conformidade com o PCI DSS v4.0.1?
- Vocês têm experiência documentada com o gateway específico que preciso integrar?
- Qual é o processo para acessar relatórios financeiros e iniciar estornos diretamente?
Sobre notificações:
- O projeto no Firebase Cloud Messaging será criado na conta Google da minha empresa?
- As contas de Twilio, SendGrid ou equivalentes serão abertas em meu nome?
- Quem paga as faturas mensais desses serviços durante o período de desenvolvimento?
- O que acontece com os tokens de dispositivo dos usuários se eu mudar de fornecedor de desenvolvimento?
- Como a lista de e-mails é gerenciada para conformidade com políticas antispam e LGPD?
Sobre o contrato e a proposta:
- O contrato lista explicitamente todos os ativos digitais que serão entregues ao final?
- Há fase formal de documentação e transferência de conhecimento no cronograma?
- Se eu quiser migrar o app para outra empresa de TI daqui a dois anos, o que vai ser necessário tecnicamente?
A pergunta 23 é a mais reveladora de todas. Uma empresa que responde com clareza ao que seria necessário para você migrar é uma empresa que não depende de lock-in para manter o cliente. Uma empresa que desconversa ou responde de forma vaga sabe que a resposta não vai agradar, e prefere que você descubra depois que o contrato estiver assinado.
Antes de assinar com qualquer fornecedor, traga a proposta para um diagnóstico técnico gratuito com a Coffe&Code Labs. A gente lê o documento e aponta três coisas: o que está faltando sobre titularidade das contas de autenticação, pagamentos e notificações; o que está vago nas cláusulas de entrega de ativos digitais; e o que pode virar custo ou perda de base no dia em que você precisar migrar. Comece pela pergunta 23. A resposta do fornecedor já diz o suficiente para decidir se vale continuar a conversa. Se quiser entender como conduzimos esse tipo de projeto, veja nosso trabalho de desenvolvimento de sistemas para empresas. Para enviar a proposta, fale com a Coffe&Code Labs.