Drata

O que é

O Drata é uma plataforma de automação de compliance e gestão de confiança. Ele se conecta às suas contas de nuvem, ao provedor de identidade, ao sistema de RH, aos repositórios de código e aos dispositivos, roda testes contínuos contra os controles de frameworks como SOC 2, ISO 27001, HIPAA e GDPR, e guarda a evidência que o auditor vai amostrar. Assim como o Vanta, ele não emite o relatório: quem faz isso é uma firma de auditoria independente ou um organismo certificador, com fatura separada.

Duas aquisições e três lançamentos de 2026 definem o que você compra hoje:

• SafeBase Trust Center. O Drata comprou a SafeBase por cerca de $250M em fevereiro de 2025. A SafeBase agora opera o Trust Center público e o AI Questionnaire Assistance, que substituiu o beta de questionários do próprio Drata em 2026-04-30. Em 2026-10-14 o SafeBase MCP Server chegou à disponibilidade geral, dando a clientes MCP como o Claude acesso com permissões restritas à Trust Library, ao Trust Center, a contas, documentos e questionários. Esse servidor MCP cobre só o lado de confiança, não os controles de GRC.
• Gestão de risco de terceiros com agentes. Disponível de forma geral como produto independente desde 2026-09-16. Ele aplica os seus próprios critérios escritos à evidência de cada fornecedor e devolve citações e uma pontuação de risco. O Drata dá a cada fornecedor uma avaliação de risco inerente gratuita e cobra só quando um fornecedor precisa de uma revisão de segurança completa, não por número de fornecedores.
• AI Agent Governance. Apresentado em 2026-06-10 e em disponibilidade limitada desde 2026-08-04 para empresas que rodam agentes na Anthropic; a cobertura de OpenAI, Google Vertex AI e AWS Bedrock ainda está em desenvolvimento. Um sensor no dispositivo e um proxy MCP inventariam os agentes, ligam cada um a um responsável e a permissões, bloqueiam violações de política em linha e as registram em um log à prova de adulteração.

O Drata diz que mais de 8.500 organizações o usam. O último número público de receita é $100M de ARR em fevereiro de 2025, e a última rodada com preço é uma Série C de $200M a um valuation de $2B em dezembro de 2022, coliderada por ICONIQ Growth e GGV Capital.

Por que ele aparece nos stacks de operações

• A mesa de deals espera revisões de segurança. A falta de um relatório SOC 2 ou um questionário longo trava deals B2B, e RevOps sente isso primeiro. O Trust Center, junto com as integrações de Salesforce e HubSpot, deixa os vendedores liberarem acesso a documentos sem abrir ticket.
• Engenharia quer controles em código. Compliance as Code e a Open API vêm em todos os planos, e conexões e testes personalizados começam no Advanced. Times que querem os checks nos próprios repositórios acabam aqui com mais frequência do que no Vanta.
• Legal Ops é dono da papelada de fornecedores. O produto de TPRM com agentes entrega uma fila de revisão de fornecedores com citações de evidência, que é o que um advogado de privacidade ou de compras precisa para defender uma decisão.

Preços

O Drata publica o conteúdo dos planos, mas não os preços. O Foundation cobre até 50 funcionários e um framework pré-mapeado (SOC 2, ISO 27001, Cyber Essentials, HIPAA ou GDPR), com Trust Center Standard e assistência para até 100 questionários. O Advanced libera qualquer framework, conexões e testes personalizados e questionários padrão ilimitados. O Enterprise acrescenta Risk Management Pro, Compliance as Code Pro e revisões de acesso de usuários; a avaliação de TPRM com agentes é um add-on nele.

O que os compradores pagam: a Vendr reporta uma mediana de $24.934 por ano em 236 compras, com faixa de $9.415 a $68.250. As faixas dela são $12.000-$28.000 abaixo de 50 funcionários, $25.000-$50.000 entre 50 e 250 funcionários, $40.000-$65.000 para programas com vários frameworks e $60.000-$120.000+ acima de 250 funcionários. Some $5.000-$20.000 de ajuda na implementação, se você contratar, mais os honorários do auditor. A Vendr coloca os descontos plurianuais em 15-25% e os aumentos típicos na renovação em 5-10%.

Ideal para

Líderes de segurança ou GRC em empresas B2B SaaS de 50 a 1.000 funcionários cujos engenheiros querem os testes de compliance em código, e cujo time de vendas precisa de um Trust Center que responda questionários e libere acesso a documentos de dentro do CRM. Também serve para times jurídicos ou de compras que querem avaliar fornecedores contra os próprios critérios em vez de pagar uma licença por número de fornecedores.

Não é para: uma startup de 15 pessoas atrás do primeiro SOC 2 com o menor orçamento possível; Comp AI ou Sprinto custam menos. E não é para times cujos agentes de IA rodam hoje principalmente em OpenAI ou Bedrock, porque o Agent Governance ainda não cobre esses provedores.

Pontos de atenção

• O Foundation acaba rápido. Um framework só e um teto de 50 funcionários fazem com que um segundo framework ou uma rodada de contratações force a conversa sobre o Advanced. A proteção: peça cotação do Advanced junto com a do Foundation na primeira negociação e consiga por escrito o preço do add-on por framework antes de usar o botão «adicionar framework» dentro do app, lançado em 2026-10-16.
• As renovações sobem com o headcount. A proteção: fixe a faixa de funcionários no pedido e limite os aumentos de renovação a 5-8%, algo que segundo a Vendr os compradores conseguem quando pedem logo no início.
• Dois produtos sob o mesmo logo. O Trust Center, as ferramentas de questionário e o servidor MCP vêm da SafeBase; controles e evidência vêm do Drata. A proteção: na demo, peça ao fornecedor para mostrar uma mudança de controle chegando ao Trust Center sem novo upload manual, e confirme quais escopos MCP o seu cliente de IA realmente recebe.
• Respostas de IA saem com o seu nome. A proteção: exija que um responsável nomeado aprove as respostas de questionário sobre qualquer controle alterado nos últimos 12 meses.

Alternativas, e quando escolhê-las

O Vanta é o líder do segmento em tamanho: $300M de ARR e mais de 16.000 clientes em abril de 2026, com mediana na Vendr perto de $20.000. Escolha o Vanta quando quiser a maior rede de auditores e integrações e um servidor MCP hospedado, ainda em beta, que chega aos próprios controles.

O Secureframe começa em cerca de $7.500 por ano. Escolha quando quiser mais suporte direto do fornecedor durante a primeira auditoria.

O Sprinto mira times sensíveis a custo, muitas vezes fora dos EUA. Escolha para um primeiro SOC 2 com menos de 100 funcionários quando o preço pesa mais que a marca.

O entrante que mais cresce é o Comp AI, uma plataforma open source sob AGPLv3 que levantou uma Série A de $34M em 2026-09-17. Escolha para hospedar o sistema por conta própria ou para evitar uma licença de cinco dígitos no primeiro SOC 2.

Se você já usa o OneTrust para privacidade, cote os módulos de GRC dele antes de somar um segundo sistema de registro. Para governar agentes em vários provedores de modelos, uma camada dedicada como Zenity ou WitnessAI cobre mais hoje. Para acelerar a revisão de fornecedores sem uma plataforma, veja a skill de questionário de due diligence de fornecedores.