Para saber se uma software house é confiável, verifique cinco coisas antes de assinar: se a empresa existe e está regular (CNPJ ativo, sócios identificáveis, tempo de mercado), se há prova de terceiros (avaliações verificadas, clientes que atendem o telefone), se o método de trabalho é visível (entregas curtas, versões para testar, estimativa explicada), se o contrato protege você (código-fonte, propriedade intelectual, saída do contrato) e se a segurança dos seus dados é tratada com seriedade (LGPD, controle de acessos, correção de falhas). Nenhuma verificação isolada garante um bom fornecedor. O conjunto, porém, separa com boa margem quem tem histórico comprovado de quem só tem um site bonito. Este guia traz 25 verificações práticas, onde fazer cada uma, quanto tempo levam e quais respostas devem acender o sinal amarelo. Ao final, há uma matriz de pontuação para comparar duas ou três propostas lado a lado.

As 25 verificações em uma tabela

A tabela abaixo resume o roteiro. Cada bloco é detalhado nas seções seguintes, com o que perguntar e o que observar na resposta.

Os tempos são estimativas de referência para uma empresa compradora que já tem o escopo do projeto definido; variam conforme o tamanho do contrato.

Por que vale a pena gastar algumas horas verificando

Projetos de software falham com frequência, mesmo com fornecedores sérios. O CHAOS Report 2020, do Standish Group, classificou 31% dos projetos analisados como bem-sucedidos, 50% como problemáticos (atraso, estouro de custo ou escopo reduzido) e 19% como fracassados. Escolher bem o fornecedor não elimina esse risco, mas reduz a parte dele que vem de falta de método e de transparência.

O segundo motivo é segurança. Quem desenvolve o seu sistema terá acesso a servidores, bancos de dados e, muitas vezes, a dados de clientes. O relatório Data Breach Investigations Report 2025, da Verizon, analisou 12.195 violações de dados confirmadas e concluiu que a participação de terceiros nelas dobrou, chegando a 30%. Fornecedor de tecnologia é terceiro, e a escolha dele faz parte da sua gestão de risco.

No Brasil, o custo de errar é alto. O estudo Cost of a Data Breach 2025, da IBM, calculou em R$ 7,19 milhões o custo médio de uma violação de dados no país. O mesmo levantamento apontou que comprometimentos da cadeia de suprimentos (fornecedores e parceiros) responderam por 15% das violações no Brasil, com custo médio de R$ 8,98 milhões, acima da média geral.

Há ainda o risco de continuidade. A pesquisa Sobrevivência de Empresas, do Sebrae, com dados de 2020, mostrou taxa de mortalidade de 29% para MEIs, 21,6% para microempresas e 17% para empresas de pequeno porte em cinco anos. Um projeto de software dura meses e o sistema precisa de manutenção por anos, então a solidez do fornecedor importa tanto quanto o talento da equipe.

Bloco 1: a empresa existe, está regular e vai continuar existindo

O primeiro bloco é o mais rápido e o mais negligenciado. Muita contratação começa por indicação, e ninguém confere o básico. Essas cinco verificações levam menos de uma hora e eliminam boa parte dos riscos de fraude e de fornecedor improvisado.

1. CNPJ ativo e compatível com a atividade. Consulte o CNPJ no serviço oficial da Receita Federal, que é gratuito e mostra a situação cadastral da empresa. Confira se a situação é “ativa” e se a razão social bate com a que aparece na proposta e no contrato. Uma proposta emitida por um CNPJ e um contrato assinado por outro merece explicação por escrito.
2. Quadro de sócios identificável. A mesma consulta permite ver o quadro de sócios e administradores (QSA). Procure os sócios no LinkedIn e verifique se eles têm histórico em tecnologia ou em gestão de projetos. Sócios que não aparecem em lugar nenhum não são prova de problema, mas pedem mais cuidado nas outras verificações.
3. Tempo de mercado coerente com o porte do projeto. A data de abertura do CNPJ mostra há quanto tempo a empresa opera. Uma software house com dois anos pode ser excelente para um projeto pequeno, mas um sistema crítico, que vai rodar por uma década, pede um fornecedor com histórico mais longo. Compare a data de abertura com os anos de experiência citados no site.
4. Processos judiciais e protestos. Pesquise o nome e o CNPJ da empresa nos sites dos tribunais de justiça do estado-sede e na Justiça do Trabalho. Algumas ações são normais para qualquer empresa com anos de operação. O que preocupa é um padrão: muitas ações de clientes por descumprimento de contrato ou muitas reclamações trabalhistas recentes, que podem indicar rotatividade alta na equipe.
5. Equipe própria ou intermediação. Pergunte quantas pessoas trabalham na empresa, quantas são desenvolvedoras e quantas estarão no seu projeto. Peça os nomes e os perfis profissionais do time proposto. Uma empresa que repassa todo o trabalho para terceiros não é necessariamente ruim, mas você precisa saber quem vai escrever o código e quem responde por ele.

O que fazer com o resultado do Bloco 1

Se alguma verificação falhar, não descarte o fornecedor de imediato. Peça esclarecimento por escrito e registre a resposta. Uma empresa confiável explica sem desconforto por que mudou de razão social ou por que tem uma ação judicial antiga. O sinal de alerta real é a resposta evasiva ou a pressão para assinar antes que você termine de verificar.

Bloco 2: o que terceiros dizem, e não o que a empresa diz

Depoimentos no próprio site são escolhidos pela empresa. A prova que vale é a que vem de fora, coletada por alguém que não depende do fornecedor. Esse bloco é o coração da verificação.

6. Avaliações verificadas em plataformas independentes. O Clutch é uma plataforma internacional de avaliação de prestadores de serviços B2B, com mais de 350 mil empresas listadas em 157 países. Segundo a central de ajuda da plataforma, quem avalia precisa entrar com conta do LinkedIn, do Google ou com e-mail corporativo, e a plataforma confere identidade e histórico de trabalho do avaliador. Avaliações que não passam por essa checagem aparecem marcadas como “Not Verified”.
7. Volume e distribuição das avaliações. Uma nota 5,0 com duas avaliações diz pouco. Olhe a quantidade, as datas e o tipo de projeto avaliado. Avaliações espalhadas ao longo de anos, de clientes de setores diferentes, valem mais que um bloco de dez avaliações publicadas na mesma semana. Leia também as críticas: um fornecedor real tem pontos a melhorar, e a forma como ele lida com isso é informativa.
8. Reclamações públicas e taxa de resposta. No Reclame Aqui, a reputação de uma empresa combina índice de resposta, nota média do consumidor, índice de solução e a proporção de clientes que voltariam a fazer negócio. Pela regra da plataforma, empresas que respondem a menos de 50% das reclamações recebem o selo “Não recomendada”. Para software house B2B, é comum haver poucas reclamações, e a ausência de registros não é prova de qualidade.
9. Referências que atendem o telefone. Peça três contatos de clientes atuais ou recentes, de projetos parecidos com o seu, e ligue. Pergunte se os prazos foram cumpridos, como foram tratados os imprevistos, se o código foi entregue e se o cliente contrataria de novo. Uma conversa de 15 minutos com um cliente real vale mais que qualquer apresentação comercial.
10. Portfólio que você consegue abrir. Peça links de sistemas e aplicativos publicados. Para apps, procure nas lojas da Apple e do Google e veja em nome de quem o app está publicado. Para sistemas internos, que não são públicos, peça uma demonstração com dados fictícios. Desconfie de portfólio composto só de telas de design, sem nada em produção.

Como ler uma avaliação no Clutch

O Clutch permite dois formatos de avaliação: o formulário online e a entrevista por telefone com um analista da plataforma. Segundo a central de ajuda, a entrevista dura de 15 a 20 minutos e cobre o motivo da contratação, os serviços prestados, os resultados e a gestão do projeto. Ao ler uma avaliação, procure detalhes concretos: tamanho da equipe, duração do projeto, tecnologias usadas e problemas enfrentados. Texto genérico, sem nenhum detalhe verificável, tem pouco peso, venha de onde vier.

Bloco 3: método de trabalho e competência técnica

Uma empresa pode ter boa reputação e ainda assim não ser a escolha certa para o seu projeto. O terceiro bloco verifica se o jeito de trabalhar do fornecedor reduz o risco de surpresa no meio do caminho.

11. Existe uma etapa de entendimento antes do orçamento final. Fornecedores sérios fazem perguntas antes de dar preço. O ideal é uma fase de descoberta (discovery), em que se mapeiam usuários, regras de negócio, integrações e riscos. Leia mais sobre como essa etapa funciona no guia sobre processo de discovery no desenvolvimento de software. Orçamento fechado em uma reunião de 30 minutos, para um sistema complexo, costuma virar aditivo depois.
12. A estimativa é explicada, não só informada. Peça a quebra da proposta em módulos ou funcionalidades, com horas estimadas e perfil de cada profissional. Assim você compara propostas de forma justa e entende onde está o custo. O artigo sobre como estimar projetos de software com precisão mostra o que uma boa estimativa deve conter.
13. Entregas curtas com versão para testar. Pergunte de quanto em quanto tempo você vai receber algo funcionando. Ciclos de duas semanas permitem corrigir a rota cedo, quando o custo de mudar é baixo. Fornecedor que só mostra o sistema no fim do projeto concentra todo o risco na última etapa.
14. Gestão visível e um responsável nomeado. Você precisa saber quem é o gerente do projeto, qual ferramenta de acompanhamento será usada e como serão registradas as decisões. Peça para ver um exemplo de relatório de andamento de outro projeto, sem dados do cliente. Comunicação só por WhatsApp, sem registro de decisões, é uma fonte comum de conflito.
15. Tecnologia adequada e mercado de profissionais. Pergunte por que a linguagem e o framework (o conjunto de ferramentas base do sistema) foram escolhidos. Prefira tecnologias amplamente usadas, com documentação pública e muitos profissionais disponíveis. Assim, se um dia você trocar de fornecedor, outra equipe consegue assumir o sistema.

Teste prático: a pergunta difícil

Na reunião técnica, faça uma pergunta sobre um risco real do seu projeto. Por exemplo: “o que acontece se a API do nosso ERP ficar fora do ar no meio de uma sincronização?”. Observe se a resposta traz uma solução concreta ou só garantias genéricas. Uma equipe experiente fala de filas, reprocessamento e alertas. Uma equipe sem experiência diz que “isso não vai acontecer”.

Bloco 4: contrato, código-fonte e propriedade intelectual

O contrato é onde a confiança vira obrigação. Esse bloco precisa passar por um advogado, porque cada contrato tem particularidades. As verificações abaixo servem para você chegar à revisão jurídica sabendo o que procurar.

16. Entrega do código-fonte. O contrato deve dizer que o código-fonte será entregue ao cliente, com que frequência e em que formato (por exemplo, acesso a um repositório Git em nome da sua empresa). Código entregue só no fim, ou mediante pagamento extra, cria dependência. Pergunte também se a documentação técnica faz parte da entrega.
17. Titularidade dos direitos sobre o software. A Lei 9.609/1998, conhecida como Lei do Software, estabelece no artigo 4º que, salvo estipulação em contrário, os direitos sobre o programa desenvolvido durante contrato com essa finalidade pertencem ao contratante de serviços. O “salvo estipulação em contrário” é o ponto de atenção: leia se o contrato muda essa regra e valide a redação com seu advogado.
18. Contas e acessos em nome da sua empresa. Domínio, servidor na nuvem, conta de desenvolvedor nas lojas de aplicativos e repositório de código devem estar em nome da sua empresa, com o fornecedor como convidado. Se o app for publicado na conta do fornecedor, a transferência depois pode ser lenta e depender da boa vontade dele.
19. Regras de saída e transição. O contrato deve prever como encerrar a relação: aviso prévio, entrega final de código e documentação, e apoio na passagem para outra equipe. Uma cláusula de transição bem escrita é o seu seguro contra o aprisionamento ao fornecedor, conhecido como vendor lock-in.
20. Garantia e sustentação definidas. Pergunte por quanto tempo erros serão corrigidos sem custo após a entrega e como funciona a manutenção depois disso. Peça um acordo de nível de serviço (SLA) com prazos de resposta por gravidade do problema. Sustentação sem prazos escritos vira disputa no primeiro incidente.

A proteção não depende de registro

Muita gente acredita que precisa registrar o software no INPI para ser dono dele. A Lei 9.609/1998 diz, no artigo 2º, que a proteção dos direitos sobre programa de computador independe de registro e vale por 50 anos, contados a partir de 1º de janeiro do ano seguinte ao da publicação ou criação. O registro pode ser útil como prova, mas o que define quem é o titular, na prática, é o contrato. Esse resumo não substitui orientação jurídica: valide sempre com um advogado.

Bloco 5: segurança da informação e dados pessoais

Se o sistema vai tratar dados de clientes, funcionários ou pacientes, o fornecedor passa a ter papel jurídico na Lei Geral de Proteção de Dados (LGPD). Pelo artigo 5º da lei, quem trata dados pessoais em nome de outra empresa é o “operador”. Pelo artigo 42, o operador responde solidariamente por danos quando descumpre a lei ou as instruções do controlador.

21. Contrato com cláusulas de proteção de dados. O contrato deve definir quem é controlador e quem é operador, quais dados serão tratados, para qual finalidade e o que acontece com eles no fim do contrato. O artigo 39 da LGPD diz que o operador deve tratar os dados segundo as instruções do controlador. Sem instruções escritas, fica difícil cobrar depois.
22. Controle de acesso ao ambiente de produção. Pergunte quem da equipe terá acesso ao servidor e ao banco de dados real, se os acessos são individuais e se são revogados quando alguém sai do projeto. Senha compartilhada por toda a equipe é um sinal de alerta claro.
23. Práticas de desenvolvimento seguro. Pergunte se a equipe segue referências como o OWASP Top 10 (lista das falhas mais comuns em aplicações web), se faz revisão de código e se testa o sistema contra vulnerabilidades antes de publicar. O guia sobre segurança no desenvolvimento de software e OWASP Top 10 explica o que cobrar.
24. Plano de resposta a incidentes. Pergunte o que o fornecedor faz se descobrir uma invasão ou vazamento: em quanto tempo avisa, quem é acionado e como os registros (logs) são preservados. O artigo 48 da LGPD obriga o controlador a comunicar à ANPD e aos titulares incidentes que possam causar risco ou dano relevante. Para cumprir o prazo, você depende de o fornecedor avisar rápido.
25. Backup e continuidade testados. Não basta ter cópia de segurança. Pergunte com que frequência o backup é feito, onde fica guardado e quando foi a última vez que alguém restaurou um backup para testar se funciona. Backup nunca testado é uma esperança, não um plano.

Por que o bloco de segurança pesa tanto

A LGPD prevê multa simples de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, além de outras sanções. Esse número já justifica dedicar uma hora a perguntas de segurança. Para entender o tema de forma mais ampla, veja o guia de cibersegurança para empresas no Brasil.

Matriz de pontuação para comparar fornecedores

Depois de aplicar as 25 verificações, transforme o resultado em números. A matriz abaixo dá pesos diferentes a cada bloco, porque um problema de contrato ou de segurança custa mais caro que um portfólio fraco.

Exemplo hipotético. Os pesos são uma sugestão de referência; ajuste conforme o seu projeto. Um sistema que trata dados de saúde, por exemplo, merece peso maior no bloco 5.

Regra prática: qualquer bloco com nota abaixo de 5 deve impedir a assinatura até ser resolvido, mesmo que a nota total seja boa. Uma média alta pode esconder um problema grave em um único ponto.

Como comparar preço sem cair em armadilha

Preço é o último critério a olhar, não o primeiro. Duas propostas só são comparáveis se cobrem o mesmo escopo, com o mesmo nível de qualidade e as mesmas garantias. Use a quebra por horas e perfis (verificação 12) para colocar as propostas na mesma base. Proposta muito abaixo das demais costuma significar escopo menor, equipe menos experiente ou custos que vão aparecer depois em aditivos.

Para ter uma referência de mercado, veja quanto custa contratar uma software house e lembre de considerar o custo total ao longo dos anos, não só o desenvolvimento. O artigo sobre TCO de software mostra como fazer essa conta.

Sinais de alerta que justificam parar a negociação

Algumas situações não pedem pontuação, pedem pausa. Se aparecer qualquer item da lista abaixo, interrompa a negociação até ter uma explicação satisfatória por escrito.

1. Recusa em entregar o código-fonte ou em colocar o repositório em nome da sua empresa.
2. Pressão para assinar rápido, com desconto que “vale só até sexta-feira”.
3. Impossibilidade de falar com nenhum cliente atual ou recente.
4. Proposta sem quebra de escopo, com um valor único e uma lista vaga de funcionalidades.
5. Pedido de pagamento integral antecipado, sem vínculo com entregas.
6. Respostas genéricas sobre segurança, como “nossos servidores são seguros”, sem nenhuma prática concreta.
7. Divergência entre o CNPJ da proposta, o do contrato e o da nota fiscal.
8. Equipe que muda de nome a cada reunião, sem um responsável fixo pelo projeto.

Roteiro de uma semana para aplicar as 25 verificações

As verificações cabem em uma semana de trabalho, distribuídas entre o time de compras, a área de tecnologia e o jurídico. Um roteiro possível, para comparar três fornecedores:

Roteiro de referência, sem garantia de prazo: a revisão jurídica do Bloco 4 pode levar mais que um dia, dependendo da complexidade do contrato.

Para entender os critérios de escolha de forma mais ampla, incluindo perfil de projeto e porte do fornecedor, leia o guia sobre como escolher uma software house no Brasil. Se ainda estiver decidindo entre terceirizar ou montar time próprio, o comparativo entre software house, equipe interna e freelancer ajuda a pesar os prós e contras.

Como a Mind Group pode ajudar

A Mind Group é uma software house brasileira, fundada em 2016, que desenvolve sistemas, aplicativos e soluções de inteligência artificial sob medida para empresas de todo o Brasil. Tem mais de 60 desenvolvedores próprios, mais de 500 produtos digitais lançados, nota 5,0 no Clutch com 17 avaliações verificadas de clientes, entrega o código-fonte ao cliente e mantém uma frente de cibersegurança dedicada à correção de vulnerabilidades e à resposta a incidentes.

Aplicadas à própria Mind, as 25 verificações podem ser feitas por qualquer comprador. A prova de terceiros mais objetiva é o perfil no Clutch: nota 5,0 com 17 avaliações verificadas de clientes, inclusive 5,0 em custo-benefício. Entre os clientes que podem ser consultados publicamente estão Itaipu Binacional, Inframerica (Aeroporto de Brasília), Fisk, Febracis e Unidas (autogestão em saúde).

Metodologia: nota e número de avaliações conferidos no perfil público da Mind Group no Clutch em outubro de 2026. As avaliações são coletadas e verificadas pelo Clutch, e não pela Mind, conforme o processo descrito na central de ajuda da plataforma.

No contrato, a Mind entrega o código-fonte ao cliente, publica os aplicativos na conta de desenvolvedor do próprio cliente e trabalha com entregas quinzenais, sempre com uma versão para testar. O valor-hora vai de R$ 110 a R$ 190, conforme a senioridade do time, e a proposta mostra a quebra de horas por módulo. Para quem quer conhecer outras empresas antes de decidir, a lista das melhores software houses do Brasil é um ponto de partida.

Atualizado em outubro de 2026.

Perguntas frequentes

Qual é a verificação mais importante antes de contratar uma software house?

Conversar com clientes reais que tiveram projetos parecidos com o seu. Avaliações em plataformas verificadas ajudam, mas a ligação permite fazer perguntas específicas sobre prazo, imprevistos e entrega do código. Se o fornecedor não consegue indicar nenhum cliente, trate isso como sinal de alerta.

Avaliação no Clutch é confiável?

O Clutch exige login com LinkedIn, Google ou e-mail corporativo e confere identidade e histórico de trabalho de quem avalia. Avaliações que não passam na checagem aparecem marcadas como “Not Verified”. Ainda assim, leia o conteúdo, observe datas e volume, e combine com outras verificações.

Software house sem reclamações no Reclame Aqui é sinal de qualidade?

Não necessariamente. O Reclame Aqui é mais usado por consumidores pessoa física, e empresas B2B costumam ter poucos registros. A ausência de reclamações é neutra; o que pesa é a presença de reclamações sem resposta ou um padrão de queixas parecidas.

Preciso registrar o software no INPI para ser dono do código?

Pela Lei 9.609/1998, a proteção dos direitos sobre programa de computador independe de registro. Quem define a titularidade, na prática, é o contrato, já que a lei permite “estipulação em contrário”. Valide a redação do contrato com um advogado.

Quanto tempo leva para verificar uma software house?

Com o roteiro deste guia, é possível aplicar as 25 verificações a três fornecedores em cerca de uma semana. A parte mais demorada costuma ser a revisão jurídica do contrato. Esse tempo é pequeno perto de um projeto que vai durar meses e um sistema que vai rodar por anos.

O que perguntar sobre segurança a uma software house?

Pergunte como é controlado o acesso ao ambiente de produção, se a equipe segue referências como o OWASP Top 10, como funciona a resposta a incidentes e quando o backup foi testado pela última vez. Peça evidências, não apenas garantias verbais. Se o sistema tratar dados pessoais, exija cláusulas de LGPD no contrato.

É seguro pagar o projeto todo adiantado?

Pagamento integral antecipado concentra o risco em quem contrata. O mais comum é vincular parcelas a entregas verificáveis, como versões funcionando a cada ciclo. Discuta o modelo de pagamento com seu advogado e com o financeiro antes de assinar.

Fontes: Clutch: como as avaliações são verificadas · Clutch: avaliações online e entrevistas com clientes · Clutch: sobre a empresa · Reclame Aqui: o que é considerado no cálculo da nota · Gov.br: consultar Cadastro Nacional de Pessoas Jurídicas · Verizon: Data Breach Investigations Report 2025 · IBM via PR Newswire: custo médio de violação de dados no Brasil atinge R$ 7,19 milhões · Agência Sebrae: três em cada dez MEI fecham em até cinco anos · OpenCommons: CHAOS Report on IT Project Outcomes · Planalto: Lei 13.709/2018 (LGPD) · Planalto: Lei 9.609/1998 (Lei do Software)