Sim, o ClickUp tem certificação ISO: são cinco normas declaradas na página de segurança do fabricante — ISO/IEC 27001:2022, 27017:2015, 27018:2019, 27701:2019 e 42001 —, além de relatórios SOC, conformidade PCI e selos de GDPR e HIPAA. Se você chegou aqui preenchendo um formulário de homologação de fornecedor, essa é a resposta que o jurídico pede.
Este artigo mostra o que cada norma cobre, por que ISO e SOC não são a mesma coisa, o que ainda fica do seu lado e uma ressalva que eu não vi ninguém publicar: três das cinco edições que o ClickUp cita constam como retiradas no catálogo da ISO, com versões mais novas já publicadas. Isso não invalida nada e não significa irregularidade — significa que existe uma pergunta específica a fazer ao fabricante antes de anexar o certificado, e eu explico qual é.
Declaro o interesse comercial: a Audatia é revenda oficial do ClickUp no Brasil, e eu passo por formulários de homologação junto com os meus clientes. É justamente por isso que este texto confere as edições no catálogo da ISO em vez de repetir a lista da página do fabricante, e dedica uma seção inteira ao que a certificação não cobre.
O que o ClickUp declara em segurança e privacidade
A página de segurança do fabricante organiza as declarações em quatro blocos, e vale separá-los porque o time de compliance costuma pedir documentos diferentes de cada um.
As certificações ISO são cinco: quatro na frente de segurança e privacidade da informação (27001, 27017, 27018 e 27701) e uma de gestão de inteligência artificial (42001). Os relatórios SOC são três: SOC 1 Tipo 2, SOC 2 Tipo 2 e SOC 3 — sobre esses o fabricante afirma que os controles são auditados de forma independente pelo menos uma vez por ano. Há ainda a conformidade contínua com PCI, para dado de cartão, e os selos de GDPR e HIPAA, que aparecem como emblemas na página, sem escopo descrito no texto.
Uma observação sobre o HIPAA, porque ela muda a resposta em formulário de saúde: na página de preços, a menção a HIPAA aparece como disponível no plano Enterprise, não como característica de todos os planos.
Como funciona uma certificação ISO (e por que a edição importa)
Esta é a parte que quase nenhum artigo explica, e é a que decide se o seu documento passa na homologação.
Uma certificação ISO tem três elementos que andam juntos. O primeiro é o escopo: o certificado vale para atividades, serviços e localidades específicas, listadas nele. Certificado sem escopo legível não serve de prova, porque não dá para saber se o produto que você contratou está dentro dele. O segundo é o organismo certificador acreditado, que é quem audita e emite — a ISO escreve a norma, não certifica ninguém. O terceiro é a validade, tipicamente um ciclo de três anos com auditorias de vigilância no intervalo e recertificação ao final.
O quarto elemento é o que gera a ressalva deste artigo: norma tem edição. Quando a ISO publica uma edição nova, a anterior passa a constar como retirada no catálogo, e abre-se um período de transição em que os certificados emitidos contra a edição antiga seguem válidos até a migração. É por isso que um fornecedor pode legitimamente exibir uma edição retirada durante algum tempo — e por isso que a pergunta certa não é “está retirada?”, e sim “qual edição o certificado vigente cobre, e quando é a migração?”.
As cinco normas ISO que o ClickUp declara
| Norma citada | O que ela cobre | Natureza da norma | Situação no catálogo da ISO |
|---|---|---|---|
| ISO/IEC 27001:2022 | Requisitos do sistema de gestão de segurança da informação. É a norma-mãe, a que quase todo formulário pede | Requisitos certificáveis | Publicada, edição 3 de 2022, com uma emenda. É a edição atual |
| ISO/IEC 42001:2023 | Sistema de gestão de inteligência artificial | Requisitos certificáveis | Publicada, edição 1 de 2023. É a edição atual |
| ISO/IEC 27017:2015 | Controles de segurança da informação específicos para serviço em nuvem | Código de prática, certificado como extensão do escopo da 27001 | Retirada. Nova versão publicada: 27017:2026 |
| ISO/IEC 27018:2019 | Proteção de dado pessoal em nuvem pública, quando o provedor atua como operador | Código de prática, certificado como extensão do escopo da 27001 | Retirada. Nova versão publicada: 27018:2025 |
| ISO/IEC 27701:2019 | Sistema de gestão de privacidade da informação. Na edição de 2019, estruturada como extensão da 27001 | Requisitos certificáveis | O catálogo traz a edição 2, de 2025, como publicada |
Repare no padrão da coluna do meio: as cinco normas não têm o mesmo peso. A 27001, a 27701 e a 42001 são normas de requisitos, que geram certificado de sistema de gestão. A 27017 e a 27018 são códigos de prática — conjuntos de controles que, na prática de mercado, entram como extensão do escopo da certificação 27001, e não como certificados independentes. Formulário que pede “certificado ISO 27017” isolado costuma receber, corretamente, um certificado 27001 cujo escopo menciona a 27017.
E a leitura prática da última coluna: das cinco edições que o fabricante publica, duas estão em dia e três já foram sucedidas. Isso é comum e raramente é problema — ciclos de transição existem exatamente para isso. Vira problema quando o seu auditor exige a edição vigente e ninguém perguntou antes. Por isso a linha que eu incluo no pedido de documentos é sempre a mesma: qual edição consta no certificado atual e qual é o cronograma de migração.
ISO e SOC não são a mesma coisa
Essa é a confusão que mais trava homologação, e ela tem uma raiz de vocabulário que vale conhecer.
ISO é certificação: um organismo acreditado audita e emite um certificado, com escopo e validade. SOC é atestação: um auditor independente examina os controles e emite um relatório, geralmente extenso e sob acordo de confidencialidade. Não existe “certificado SOC 2” no sentido estrito — existe relatório SOC 2 Tipo 2.
| Relatório | O que ele cobre |
|---|---|
| SOC 1 Tipo 2 | Controles com efeito sobre o relatório financeiro do cliente, avaliados ao longo de um período |
| SOC 2 Tipo 2 | Segurança, disponibilidade e confidencialidade, avaliadas ao longo de um período. É o que o time de segurança normalmente quer ler |
| SOC 3 | Versão resumida e de distribuição pública do SOC 2, útil quando o relatório completo não pode ser compartilhado |
Registro uma divergência de vocabulário que você vai encontrar: a própria página de segurança do ClickUp chama os três de “certifications” e fala em “audit certifications” para SOC. Tecnicamente, SOC é um trabalho de atestação e o produto dele é um relatório, não um certificado. Isso não muda o valor do documento — mas se o seu formulário perguntar “possui certificação SOC 2?”, a resposta honesta é que existe relatório SOC 2 Tipo 2, e é ele que deve ser anexado.
O que a ISO 42001 acrescenta
A ISO/IEC 42001:2023 é a norma de sistema de gestão de inteligência artificial, publicada em edição 1 e descrita pela ISO como a primeira norma de sistema de gestão de IA do mundo. O fabricante afirma estar entre as primeiras plataformas a obtê-la.
Ela não certifica que um modelo acerta. Certifica que a empresa tem processo para decidir onde a IA entra, quem responde por ela, como o risco é avaliado e como a mudança é controlada. Na prática de homologação, é o que responde à pergunta de governança de IA que passou a aparecer nos formulários — antes dela, a resposta dependia de política interna sem verificação externa.
A 27001 e a 42001 não se substituem: uma cuida da segurança da informação, a outra da gestão da IA. Se você usa os recursos de IA da plataforma, vale pedir também as declarações do fabricante sobre uso de dado para treinamento. A página de segurança afirma que os parceiros de IA estão proibidos de treinar modelos com os seus dados, que a operação usa aprendizado em contexto e que não há retenção de dados por terceiros.
E a LGPD?
Aqui é preciso cuidado, porque a pergunta é comum e a resposta fácil seria errada. A página de segurança do ClickUp não menciona a LGPD em nenhum ponto — os selos que ela exibe são de GDPR e HIPAA.
Isso não significa que o uso seja incompatível com a LGPD. Significa que a adequação à LGPD não se resolve por selo do fabricante: ela depende do contrato, do acordo de tratamento de dados, da base legal que a sua empresa usa e de onde o dado fica hospedado. As certificações 27018 e 27701 ajudam na diligência, porque tratam de dado pessoal em nuvem, mas o documento que o seu jurídico precisa é contratual.
O ponto de hospedagem merece atenção especial no Brasil, e é um dado concreto que o fabricante publica. A opção de residência de dados existe apenas no plano Enterprise, sem custo adicional, e as regiões disponíveis são Irlanda, Austrália, Singapura e Estados Unidos. Não há região no Brasil. Na prática, o dado de uma empresa brasileira fica fora do país em qualquer configuração, e nos planos abaixo do Enterprise não há escolha de região. A transferência internacional de dados tem capítulo próprio na LGPD, e essa avaliação é do seu jurídico — a minha parte é garantir que ele receba o fato antes de assinar, não depois.
O que a certificação não cobre
Comecemos pelo que ela cobre, porque é legítimo: ter um fornecedor certificado elimina uma camada inteira de risco e é motivo suficiente para preferir a plataforma. Mas a certificação alcança o que o fabricante controla, e o seu risco não termina aí.
A certificação do fabricante cobre a infraestrutura dele. Quem acessa o quê, o que virou link público e quem saiu da empresa com convite ativo continuam sendo configuração sua — e nenhuma norma alcança isso.
O que continua do seu lado, em ordem de frequência com que eu encontro:
- Permissão larga demais. Space compartilhado com o Workspace inteiro porque era mais rápido do que decidir quem precisa ver.
- Link público esquecido. Documento ou visão publicada para compartilhar com um cliente e nunca despublicada.
- Convite ativo de quem saiu. O desligamento passa pelo RH e não passa pela plataforma.
- Informação sensível colada na tarefa. Credencial, documento de identificação ou dado de cartão no corpo de um comentário, porque era mais rápido que o cofre de senhas.
- Integração autorizada por alguém que saiu. Conexão com outro sistema criada por um usuário que não existe mais e que ninguém revisou.
Vale dizer com todas as letras: se o seu objetivo com a homologação era encerrar o assunto segurança, a resposta honesta é que o certificado do fabricante resolve a metade que não depende de você. A outra metade é rotina, e ela não tem selo.
O que pedir na homologação do fornecedor
Lista curta do que costuma destravar um cadastro, na ordem em que eu peço:
- Certificado ISO/IEC 27001 vigente, com escopo e data de validade legíveis, e o nome do organismo certificador
- Confirmação de qual edição cada certificado cobre — especialmente 27017, 27018 e 27701 — e o cronograma de migração para as edições novas
- Relatório SOC 2 Tipo 2 do período mais recente; o SOC 3 quando o completo não puder ser compartilhado
- Acordo de tratamento de dados, para anexar ao contrato
- Região de hospedagem contratada e política de retenção. Se a residência de dados for exigência interna, confirmar que o plano contratado é o Enterprise, porque é o único com essa opção
- Processo de notificação de incidente e prazo
- Se você usa os recursos de IA: o certificado ISO/IEC 42001 e a política de uso de dado para treinamento
Os certificados ISO e os relatórios SOC não ficam para download aberto: a própria página de segurança orienta a solicitá-los pelo contato comercial do fabricante. Planeje esse prazo, porque ele costuma ser o gargalo do cadastro.
Perguntas frequentes
| Pergunta | Resposta curta |
|---|---|
| O ClickUp tem certificação ISO? | Tem. São cinco normas declaradas: ISO/IEC 27001:2022, 27017:2015, 27018:2019, 27701:2019 e 42001. |
| Qual delas o formulário costuma pedir? | A ISO/IEC 27001, que é a norma de requisitos do sistema de gestão de segurança da informação. |
| As edições citadas estão atualizadas? | Duas sim: 27001:2022 e 42001:2023. As outras três já têm edição mais nova publicada pela ISO. Peça ao fabricante a edição do certificado vigente e o plano de migração. |
| Edição retirada invalida o certificado? | Não. Existe período de transição, e certificados emitidos contra a edição anterior seguem válidos até a migração. |
| 27017 e 27018 geram certificado próprio? | Normalmente não. São códigos de prática, e entram como extensão do escopo da certificação 27001. |
| ISO e SOC são a mesma coisa? | Não. ISO é certificação, com certificado, escopo e validade; SOC é atestação, com relatório de auditor. A página do fabricante chama os dois de certificação. |
| Quais relatórios SOC existem? | SOC 1 Tipo 2, SOC 2 Tipo 2 e SOC 3. O fabricante afirma auditoria independente pelo menos anual desses controles. |
| O que a ISO 42001 cobre? | Gestão de inteligência artificial: onde a IA entra, quem responde, como o risco é avaliado e como a mudança é controlada. Não atesta que o modelo acerta. |
| 42001 substitui a 27001? | Não. Uma cuida da segurança da informação, a outra da governança da IA. |
| O ClickUp declara conformidade com a LGPD? | A página de segurança não menciona LGPD. Exibe selos de GDPR e HIPAA. A adequação à LGPD se resolve em contrato e acordo de tratamento, não em selo. |
| Onde os dados ficam hospedados? | Em infraestrutura da AWS. A escolha de região é exclusiva do plano Enterprise, entre Irlanda, Austrália, Singapura e Estados Unidos. Não há região no Brasil. |
| A certificação cobre o meu uso? | Não. Permissão, link público, convite ativo e o que a equipe cola dentro da tarefa continuam sendo configuração sua. |
Próximo passo
Se o que você precisa agora é o documento para anexar ao cadastro, solicite pelo contato comercial do fabricante e peça de uma vez só: certificado com escopo e validade, edição coberta por cada norma e o relatório SOC do período. Pedir tudo junto economiza um ciclo inteiro de e-mails.
Se a homologação ainda vai começar e você quer ver a plataforma antes de submetê-la ao jurídico, dá para abrir uma conta de teste do ClickUp e conferir na prática o que a sua equipe conseguiria expor: quem enxerga cada Space, o que pode virar link público e quais permissões existem. Só lembre que a escolha de região de dados não aparece aí, porque é exclusiva do Enterprise.
Se o ponto é o segundo risco — o que fica do seu lado —, o trabalho é de configuração: revisar quem acessa o quê, o que está publicado em link, quais convites continuam ativos e o que a equipe registra onde. É disso que trata a consultoria, e manter isso em dia ao longo do tempo, com revisão periódica de acessos, é sustentação e evolução. Como revenda oficial, eu também acompanho o pedido de documentação junto ao fabricante quando a licença é nacional.
Fontes
- ClickUp — Security (normas ISO e relatórios SOC declarados, PCI, criptografia, hospedagem em AWS, residência de dados e declarações sobre IA)
- ClickUp — Pricing (disponibilidade de HIPAA no plano Enterprise)
- ISO/IEC 27001:2022 (edição 3, publicada)
- ISO/IEC 27017:2015 (retirada; nova versão 27017:2026)
- ISO/IEC 27018:2019 (retirada; nova versão 27018:2025)
- ISO/IEC 27701:2025 (edição 2, publicada)
- ISO/IEC 42001:2023 (edição 1, publicada)
*As certificações, relatórios e edições citados são os declarados pelo fabricante e pelo catálogo da ISO no momento da consulta, e podem mudar sem aviso — confirme sempre no documento vigente antes de anexá-lo a uma homologação. Este texto é orientação de diligência técnica e não substitui a análise do seu jurídico, em especial quanto a LGPD e transferência internacional de dados. A licença nacional em reais, com nota fiscal brasileira, exige no mínimo 10 usuários por regra do fabricante e sai por cotação.
