8 cláusulas que seu contrato de gestão documental precisa ter para não perder o acervo na rescisão

Contrato rescindido. Fornecedor entrega os autos e some. Semanas depois, você descobre que faltam caixas inteiras, que os arquivos digitais foram 'formatados por questões de segurança' ou que o backup prometido nunca saiu do servidor do fornecedor. O acervo — documentos que sustentam decisões judiciais, conformidade regulatória e memória institucional — virou pó.

Não é cenário fictício. É prática corrente em organizações públicas e privadas de grande porte que assinam contratos de gestão documental com cláusulas genéricas ou ausentes sobre custódia, transferência e preservação. A Lei nº 14.133/2021, que moderniza as contratações públicas, abre espaço para maior flexibilidade — mas essa flexibilidade só protege quem sabe o que colocar no papel antes de assinar.

O presente checklist é um mapa das 8 cláusulas contratuais que determinam se seu acervo permanece sob custódia da organização ou se é perdido no encerramento do fornecedor. Cada uma delas está ancorada no marco normativo brasileiro — Lei de Arquivos (Lei nº 8.159/1991), Lei nº 14.133/2021, resoluções do CONARQ e conformidade com o RDC-Arq (Repositório Arquivístico Digital Confiável) — e reflete práticas consolidadas de governança documental em instituições de excelência.

A rescisão de contrato é o momento de verdade. Nele, ficam evidentes duas realidades:

1. Se as cláusulas existem e foram redigidas com precisão, a transição de custódia é rastreável, reversível e auditável — cada cópia, cada formato, cada metadado tem origem, proprietário e destino mapeados.
2. Se as cláusulas são vagas ou inexistem, a rescisão vira um vácuo jurídico: o fornecedor não tem obrigação explícita de fazer transferência auditada, a organização não sabe como recuperar o que é seu, e o acervo fica preso em infraestrutura de terceiros ou é descartado sem rastreamento.

A Lei nº 14.133/2021, ao flexibilizar modelos de contratação e permitir maiores margens de negociação, pressupõe que o contratante saiba exatamente o que quer preservar, como quer que seja preservado, e em que condições quer recuperar quando a relação terminar. Quem não inclui essas especificações no contrato não está sendo 'ágil' — está cometendo risco.

Proteção: Define juridicamente quem é proprietário de cada acervo — a organização — e que o fornecedor é apenas custodiador, não proprietário.

O que incluir:

• Declaração inequívoca de que a titularidade e a custódia de toda a documentação permanecem com a organização contratante. Em acervo público, essa titularidade decorre da Lei de Arquivos, e o acervo permanente é inalienável.
• Especificação de que o fornecedor não adquire direitos sobre os dados, ainda que armazene ou processe.
• Referência explícita à cadeia de custódia como prática de rastreamento permanente, nos termos do RDC-Arq e do e-ARQ Brasil, que são as normas que tratam de rastreabilidade e autenticidade.

Por que não esquecer: Sem essa cláusula, um fornecedor pode alegar que os documentos processados ou convertidos por sua solução passam a incorporar componente proprietário da ferramenta — e transformar em disputa de titularidade aquilo que o contrato deveria ter deixado resolvido desde o início. É uma ambiguidade comum, e cara.

Proteção: Garante que o acervo saia da custódia do fornecedor em formato aberto, auditável e independente de ferramenta proprietária.

O que incluir:

• Lista explícita de formatos aceitos (ex.: PDF/A para documentos digitais permanentes, conforme equivalência brasileira de padrões de preservação).
• Mandatoriedade de exportação de metadados estruturados — descritivos (título, data, autor), administrativos (criação, modificação, acesso) e técnicos (formato, tamanho, checksum).
• Documentação de integridade via função hash criptográfica (SHA-256 ou superior), permitindo verificação byte a byte na rescisão.
• Conformidade com e-ARQ Brasil — estrutura de pastas, nomenclatura de arquivo e versionamento obrigatórios.

Por que não esquecer: Formatos proprietários ou comprimidos (sem documentação de algoritmo) são armadilhas comuns. Na rescisão, o fornecedor entrega arquivos 'em backup', você recebe, mas descobre que não consegue abri-los sem ferramenta específica — que agora não tem mais suporte. Acervo digitalmente inacessível = acervo perdido.

Proteção: Obriga o fornecedor a manter íntegro e acessível o acervo durante todo o período de rescisão e transição, sem direito a apagamento, formatação ou compactação.

O que incluir:

• Período mínimo de retenção pós-rescisão. Uma referência de calibragem: 90 dias de transição mais 180 dias de custódia temporária, totalizando 270 dias — prazo sugerido, não previsto em norma. O que a tabela de temporalidade do órgão exigir prevalece.
• Proibição expressa de qualquer operação de limpeza, compactação, migração ou consolidação de dados sem aprovação prévia e assinada da organização.
• Cláusula de retorno de chaves criptográficas (se houver encriptação) como condição de finalização do contrato — sem as chaves, o fornecedor não pode comprovar que realmente destruiu dados (ou provou que não destruiu).

Por que não esquecer: Fornecedores muitas vezes interpretam 'fim de contrato' como 'autorização automática para destruir dados'. Sem cláusula de retenção explícita, a organização pode descobrir que seu acervo foi sobrescrito dias após encerramento, sem auditoria ou rastro.

Proteção: Define o como, quando e com quem o acervo sai do fornecedor e entra na custódia da organização, com rastreabilidade total.

O que incluir:

• Geração obrigatória de relatório de transferência listando cada arquivo, seu checksum, data, hora e responsável.
• Assinatura digital do relatório por ambas as partes (organização e fornecedor) — ato que formaliza responsabilidade legal.
• Período de janela de validação (recomendável: 30 dias) durante o qual a organização pode questionar integridade e completude, e o fornecedor é obrigado a recuperar/reenviar.
• Especificação de que qualquer discrepância de integridade (checksum que não bate) é responsabilidade exclusiva do fornecedor, que se obriga a restaurar de cópia íntegra.

Por que não esquecer: Transferência sem auditoria é transferência que não aconteceu formalmente. Na prática, você recebe uma cópia, o fornecedor apaga seus servidores, e depois você descobre corrupção — mas não tem prova de quem corrompeu.

Proteção: Permite que a organização exporte e valide amostras do acervo antes de formalizar rescisão, identificando problemas enquanto o fornecedor ainda é obrigado contratualmente.

O que incluir:

• Direito irrestrito de auditoria técnica nos últimos 60 dias de contrato — amostragem aleatória mínima de 5% do acervo, ou 500 arquivos (o que for maior).
• Ferramenta de download granular (arquivo a arquivo, pasta a pasta) fornecida pelo fornecedor, com rastreamento de quem baixou quê e quando.
• Obrigação do fornecedor de re-executar processos críticos (exemplo: se o acervo foi criptografado, o fornecedor deve executar descriptografia e validação antes de entrega).
• Especificação de que qualquer falha encontrada na auditoria adia automaticamente a rescisão até remediação comprovada.

Por que não esquecer: Muitas organizações assinam rescisão, recebem dados, e só semanas depois descobrem que o acervo inteiro saiu com falhas estruturais. Acesso prévio é como 'test drive' — você testa o carro antes de assinar a compra, não depois.

Proteção: Estabelece que o fornecedor é responsável por manter acervo em conformidade com CONARQ, RDC-Arq, e-ARQ Brasil e LGPD durante todo o contrato e transição.

O que incluir:

• Declaração de aderência às resoluções do CONARQ vigentes (exemplo: cumprimento de temporalidade conforme tabela de temporalidade da organização).
• Obrigação de manutenção de rastreabilidade de eventos (acesso, modificação, eliminação) conforme RDC-Arq — auditoria ponta a ponta.
• Cumprimento de prazos de anonimização e retificação conforme LGPD (Lei nº 13.709/2018, art. 16 — que admite guarda prolongada para cumprimento de obrigação legal, logo preservação permanente não viola a lei).
• Documentação de origem de cada arquivo e sua cadeia de custódia (RDC-Arq e e-ARQ Brasil) disponível para auditoria externa (TCU, CGU, Ministério Público).

Por que não esquecer: Um acervo conformemente preservado mas que não cumpre marco regulatório ainda é um acervo em risco — em caso de auditoria, você não consegue comprovar que respeitou leis de arquivos públicos.

Proteção: Garante que o acervo permanece sob jurisdição brasileira e em infraestrutura controlada pela organização ou por fornecedor com raiz local.

O que incluir:

• Localização física de todos os servidores e backups em território brasileiro (especialmente crítico para acervo público).
• Proibição de replicação, sincronização ou cópia em servidores internacionais sem autorização prévia.
• Especificação de data center ou infraestrutura — exemplo: 'servidores localizados em datacenter certificado conforme normas de segurança da informação da administração pública'.
• Direito de auditoria in loco sobre localização de infraestrutura e backups.
• Não obriga residência de dados em LGPD (Lei nº 13.709/2018 não impõe territorialidade de forma absoluta), mas garante conformidade com políticas de segurança da informação do setor público.

Por que não esquecer: Acervo institucional em servidor nos EUA ou China é acervo vulnerável a pedidos de descoberta judicial estrangeira, perda de controle operacional e risco geopolítico — realidade que assusta auditores e reguladores.

Proteção: Define incentivos financeiros concretos para que o fornecedor trate o acervo com diligência máxima.

Os valores abaixo são parâmetros de referência, não exigências normativas: nenhuma norma fixa multa por arquivo. Calibre caso a caso — e, em contrato público, observe os limites e o regime de sanções da Lei nº 14.133/2021, que disciplina as penalidades administrativas. Multa pactuada acima do que a lei admite é cláusula inexequível.

Os valores abaixo são parâmetros de referência, não exigências normativas: nenhuma norma fixa multa por arquivo. Calibre caso a caso — e, em contrato público, observe os limites e o regime de sanções da Lei nº 14.133/2021, que disciplina as penalidades administrativas. Multa pactuada acima do que a lei admite é cláusula inexequível.

O que incluir:

• Multa por arquivo corrompido, perdido ou inacessível: valor fixo por unidade (ex.: R$ 100 por arquivo, ou percentual do valor total do contrato — máximo recomendável é 20% do valor anual de custódia).
• Multa por violação de prazos de transferência ou retenção: valor diário crescente (ex.: R$ 500 por dia de atraso, duplicando a cada 7 dias).
• Multa por acesso não-autorizado a dados de acervo público: mínimo 10% do valor total do contrato, independentemente de dano comprovado (natureza punitiva).
• Exclusão de valor de multa dos critérios de desempenho do fornecedor — multa é punição, não desconto de fatura de transação bem-sucedida.

Por que não esquecer: Sem multa, o fornecedor não tem incentivo real para investir em segurança, auditoria ou transferência bem-feita. Multa contratual é a linguagem que fornecedor entende.

Use este checklist antes de assinar qualquer contrato de gestão documental:

• ☐ Custódia e titularidade: cláusula que reserva à organização a titularidade e a custódia de 100% do acervo?
• ☐ Formatos e metadados: especificação de padrões abertos (PDF/A, e-ARQ Brasil), integridade via hash e exportação de metadados estruturados?
• ☐ Retenção na rescisão: período mínimo de 90 dias pós-rescisão com proibição de eliminação?
• ☐ Transferência auditada: relatório de transferência assinado digitalmente por ambas as partes?
• ☐ Acesso prévio: direito de auditoria técnica nos 60 dias antecedentes a rescisão?
• ☐ Conformidade regulatória: referência explícita a CONARQ, RDC-Arq, e-ARQ Brasil e LGPD?
• ☐ Residência de dados: localização física de infraestrutura em território brasileiro?
• ☐ Multa por dano: valor contratual predefinido para perda, corrupção ou acesso não-autorizado?

Se qualquer item está em branco, o contrato está incompleto — e você está correndo risco de perder o acervo na rescisão.

Uma observação final, crítica: nenhuma dessas 8 cláusulas funciona isoladamente. Elas só protegem acervo se o fornecedor — ou a solução que você contrata — for capaz de manter rastreabilidade ponta a ponta e conformidade com o RDC-Arq (Repositório Arquivístico Digital Confiável).

O RDC-Arq é a âncora normativa brasileira que define como um repositório digital deve operar para garantir preservação a longo prazo. Ele pressupõe:

• Cadeia de custódia documentada: cada acesso, cópia, migração ou alteração fica registrada com responsável e timestamp.
• Integridade verificável: checksums, assinaturas digitais e logs de auditoria permitem validar que nada foi alterado.
• Formato independente de ferramenta: documentos saem preservados em padrões abertos, não presos a software proprietário.
• Governança formalizada: papéis, responsabilidades e procedimentos estão por escrito e são auditáveis.

Se o fornecedor não consegue oferecer rastreabilidade nesse nível, as cláusulas viram papel — você terá textos legais bonitos, mas sem capacidade operacional de garantir que acervo sobreviva à rescisão.

Se você já tem contratos em vigor sem essas 8 cláusulas, não desespere — mas aja rápido:

1. Revise cada contrato ativo de gestão documental, preservação digital ou arquivamento contra o checklist acima.
2. Identifique lacunas e priorize por risco: acervo de grande volume + nenhuma cláusula de retenção = risco extremo.
3. Elabore adendum contratual (aditivo) que inclua as cláusulas faltantes — é mais rápido que rescindir e recontratar.
4. Teste acesso e integridade do acervo em custódia antes de qualquer renovação — faça a auditoria antes da rescisão, não depois.
5. Documente conformidade com marco regulatório — crie repositório interno com evidências de que fornecedor segue CONARQ, RDC-Arq e LGPD.

O custo de corrigir contrato agora é fração do custo de recuperar acervo perdido — que em muitos casos é irrecuperável.