Microsoft SSPA: o que a plataforma cobre

O SSPA é o programa que a Microsoft aplica aos seus próprios fornecedores. Ele não é uma norma de mercado nem uma certificação que você busca por iniciativa própria: é uma exigência contratual de um cliente específico.

Isso o torna o framework mais direto do catálogo em um aspecto, e o mais particular em outro.

Para quem serve

Exclusivamente para empresas que são fornecedoras da Microsoft e, nessa relação, tratam dados pessoais ou informação confidencial dela.

Se a sua empresa não presta serviço à Microsoft, este framework não tem uso. Se presta, provavelmente você já ouviu falar dele pelo canal de compras dela, e não por interesse próprio.

O sinal é inequívoco: a Microsoft comunica a exigência ao fornecedor, com prazo e com o escopo aplicável ao serviço contratado.

Por que ele é diferente dos outros

Três diferenças mudam a forma de trabalhar:

Quem define é o cliente. O escopo, os requisitos aplicáveis e o prazo vêm da Microsoft, não de um organismo normativo. A referência oficial é a documentação que ela fornece ao fornecedor.

O resultado é uma atestação, não um certificado de mercado. Ela serve para a relação com aquele cliente. Não é algo que você apresenta a outros compradores.

O rigor varia com o que você trata. Fornecedores que lidam com dados mais sensíveis, ou em maior volume, passam por verificação mais exigente, podendo incluir avaliação independente.

🖼️ Imagem: Microsoft SSPA na plataforma, com os domínios do programa.

O que ele cobra, em linhas gerais

O programa se apoia em um conjunto de requisitos de proteção de dados que cobrem, entre outros temas:

• Governança e responsabilidade pelo tratamento dos dados recebidos.
• Uso limitado à finalidade contratada, sem uso secundário.
• Controle de acesso restrito a quem precisa.
• Proteção do dado em armazenamento e em trânsito.
• Retenção e descarte conforme o contrato.
• Gestão dos subfornecedores que participem do serviço.
• Notificação ao cliente em caso de incidente.
• Treinamento de quem tem contato com esses dados.

A ênfase, mais do que em qualquer outro framework do catálogo, está em não fazer com o dado nada além do que foi contratado.

O que é comprovado automaticamente e o que não é

A parte técnica se resolve em boa medida por integração e é compartilhada com outras normas. A parte específica do programa é contratual e documental.

Por onde começar

1. Leia a comunicação da Microsoft. Ela define o escopo aplicável ao seu serviço, o prazo e o nível de verificação. Nenhum tutorial substitui esse documento.
2. Identifique exatamente quais dados você recebe naquela relação, e onde eles ficam.
3. Confirme se algum subfornecedor participa do tratamento. Essa cadeia é ponto de atenção do programa.
4. Conecte as integrações que cobrem acesso e proteção do ambiente.
5. Publique as políticas de tratamento, retenção e descarte.
6. Registre o treinamento de quem lida com os dados.
7. Prepare a evidência de descarte, que costuma ser cobrada ao fim do contrato.

O que costuma dar problema

• Tratar como norma genérica. O programa é do cliente. A documentação dele é a referência, e ela muda com o tempo.
• Subfornecedor não declarado. Usar um serviço de terceiro no tratamento sem informar é o achado mais sério.
• Uso secundário do dado. Aproveitar o dado recebido para outra finalidade, mesmo interna, contraria o princípio central do programa.
• Prazo perdido. A exigência vem com data, e o descumprimento afeta a relação comercial diretamente.

⚠️ Esta página descreve o propósito e a estrutura geral do programa em linguagem própria, para orientar o uso da plataforma. Ela não reproduz a documentação do programa nem substitui a comunicação oficial recebida do cliente. Escopo, requisitos aplicáveis, nível de verificação e prazos devem ser confirmados na documentação fornecida pela Microsoft.