A equipe contratou aplicativos sem aprovação: como organizar o controle dessas ferramentas?

Uma área assina um aplicativo para organizar tarefas, outra contrata armazenamento e um colaborador começa a utilizar inteligência artificial com documentos de clientes. Quando a gestão percebe, existem ferramentas contratadas sem aprovação, cobranças recorrentes e informações distribuídas em contas que a empresa não controla.

Organizar o controle de aplicativos na empresa exige compreender o uso real de cada ferramenta e estabelecer responsáveis. O caminho envolve inventário, avaliação de riscos, revisão contratual e regras claras para novas contratações, sem comprometer desnecessariamente a continuidade das atividades.

Por que aplicativos contratados sem aprovação precisam de atenção?

O problema não se limita ao valor da assinatura. Uma ferramenta pode armazenar documentos confidenciais, acessar a agenda corporativa, integrar-se ao e-mail ou concentrar informações necessárias ao atendimento de clientes.

Quando a contratação acontece fora do fluxo conhecido pela gestão, pode faltar clareza sobre quem administra a conta, quais condições foram aceitas e como recuperar os arquivos se o responsável sair. Serviços gratuitos e períodos de teste também merecem atenção, mesmo sem cobrança imediata.

Esse uso de tecnologia fora dos controles estabelecidos costuma ser chamado de shadow IT. A expressão descreve uma situação de governança e não significa, por si só, prática criminosa ou irregularidade jurídica em todos os casos.

Antes de decidir medidas, verifique se havia política conhecida, se gestores toleravam a prática e qual necessidade motivou a contratação. Uma ferramenta pode revelar tanto um descumprimento de regra quanto uma demanda operacional que não encontrava resposta pelos canais disponíveis.

Como fazer o inventário de aplicativos utilizados pela equipe?

Comece por um levantamento com as áreas, combinando as informações declaradas com registros corporativos legitimamente acessíveis, como faturas, notas fiscais e cadastros de fornecedores. Comunique a finalidade e o alcance dessa revisão.

Inclua aplicativos pagos, gratuitos, testes, extensões de navegador, automações e integrações. Um serviço sem custo pode acessar dados relevantes, enquanto uma assinatura barata pode se tornar indispensável para uma atividade crítica.

Para cada ferramenta, registre:

• Identificação e finalidade: nome do serviço e atividade que ele atende.
• Responsável interno: área usuária e pessoa encarregada da gestão.
• Conta e administração: e-mail cadastrado, administrador e meios de recuperação.
• Custos e prazos: plano, licenças, pagamento, renovação e aviso para cancelamento.
• Informações utilizadas: dados pessoais, documentos sigilosos e arquivos operacionais.
• Integrações: sistemas conectados e permissões concedidas.
• Decisão pendente: regularização, restrição, substituição ou encerramento.

Uma planilha pode ser suficiente no início, desde que tenha responsável pela atualização e acesso restrito. Não registre senhas, códigos de autenticação ou chaves de integração nesse inventário.

Também separe quem utiliza o aplicativo de quem pode contratar, alterar o plano ou autorizar pagamentos. Essas funções podem pertencer a pessoas diferentes.

Como decidir quais ferramentas regularizar, restringir ou cancelar?

Após identificar os serviços, avalie a necessidade de cada um, os riscos envolvidos e a existência de alternativa já aprovada. Duas plataformas com funções parecidas não são necessariamente intercambiáveis: considere arquivos, integrações e dependências do trabalho.

Uma classificação prática pode distinguir ferramentas que podem ser regularizadas, serviços que precisam de ajustes antes de continuar e aplicações cujo uso deve ser interrompido. Registre o motivo, o responsável e o prazo de cada decisão.

A prioridade deve considerar a sensibilidade das informações, os privilégios de acesso e a possibilidade de perda de controle. Uma integração que permite ler documentos e enviar mensagens em nome da empresa exige atenção diferente de um aplicativo sem acesso a sistemas internos.

Cancelar tudo imediatamente pode gerar perda de arquivos e interrupções. Quando não houver risco que justifique contenção imediata, organize exportação, migração e substituição antes de encerrar. Se houver suspeita de comprometimento, avalie medidas urgentes com a equipe técnica, preservando os registros necessários.

A ausência de aprovação também não significa que toda cobrança seja indevida. A discussão com o fornecedor dependerá dos termos aceitos, dos poderes de quem contratou e das demais circunstâncias.

Como criar um fluxo de aprovação para novos aplicativos?

Defina um canal único para solicitar ferramentas, com informações suficientes para decidir: finalidade, usuários, custo, dados envolvidos e sistemas que serão conectados. O procedimento deve ser proporcional ao risco e compreensível para a equipe.

Uma contratação simples pode exigir aprovação do gestor e conferência financeira. Ferramentas com acesso amplo, dados sensíveis ou documentos confidenciais podem demandar avaliação técnica, jurídica e de privacidade antes da liberação.

Inclua testes gratuitos e extensões no procedimento. Também estabeleça quando a ampliação de usuários, a mudança de plano ou a ativação de nova integração exige reavaliação.

Por exemplo, aprovar um aplicativo para produzir textos públicos não equivale a autorizar o envio de contratos de clientes para a mesma plataforma. A decisão deve registrar o uso permitido e suas condições.

Aprovação de orçamento e aprovação de uso são controles distintos. O fluxo deve indicar quem valida cada aspecto e prever exceções justificadas, com responsável e prazo para revisão. Isso reduz decisões informais que depois ninguém consegue reconstruir.

Como organizar contas, acessos e proteção de dados?

Prefira contas corporativas e meios de recuperação administrados pela organização. Mantenha usuários individualizados, permissões compatíveis com as funções e autenticação multifator quando disponível. O controle institucional não exige compartilhar uma única senha entre todos.

O guia de segurança da informação da ANPD para agentes de tratamento de pequeno porte apresenta orientações sobre controle de acesso, proteção de informações e contratação de serviços em nuvem. Essas recomendações ajudam a estruturar medidas proporcionais ao contexto da organização.

A Lei Geral de Proteção de Dados Pessoais, especialmente no artigo 46, exige medidas técnicas e administrativas para proteger dados pessoais contra acessos não autorizados e outras situações de tratamento inadequado ou ilícito.

Por isso, verifique quais dados entram no aplicativo, com qual finalidade e quem pode acessá-los. Confirme as condições de compartilhamento, retenção e eliminação, além das regras aplicáveis quando houver transferência internacional de dados.

Na mudança de função ou saída de um colaborador, transfira a administração, revise permissões e revogue credenciais e integrações desnecessárias. Se a conta for pessoal, organize a separação das informações corporativas sem presumir autorização para acessar conteúdo privado.

Quais contratos, cobranças e renovações devem ser revisados?

Reúna os termos de uso, a proposta comercial, os comprovantes e as condições do plano. Confira quem aparece como contratante, a quantidade de licenças, a duração, a renovação automática e o procedimento exigido para cancelar.

Verifique também as condições de exportação dos arquivos, o prazo de acesso após o encerramento e eventuais limitações à transferência da conta. Cancelar a cobrança não significa necessariamente remover dados, e remover usuários pode não cancelar a assinatura.

Não presuma direito de arrependimento em toda contratação empresarial pela internet. A incidência das regras de consumo e de seus efeitos depende da relação concreta e dos requisitos jurídicos aplicáveis.

Para o controle financeiro, associe cada assinatura a um responsável e a uma finalidade. Estabeleça alertas antes das renovações e compare as licenças cobradas com os usuários que efetivamente precisam do serviço.

A periodicidade da revisão é uma escolha de gestão. Ela pode variar conforme custo, criticidade e prazo contratual. Registre a decisão de renovar, reduzir ou encerrar, evitando que a simples continuidade da cobrança substitua uma avaliação consciente.