OneTrust

O que é

OneTrust é a plataforma de programa de privacidade que a maioria dos times jurídicos e de privacidade internos herda: gestão de cookies e consentimento, mapeamento de dados e registros das operações de tratamento (RoPA), automação de solicitações de titulares (DSAR), avaliações de impacto à privacidade, risco de terceiros e — a parte que agora vem na frente do discurso — governança de IA. É vendida como módulos sobre uma única plataforma, não como um produto só, e cada módulo tem o próprio medidor de preço. Fundada em Atlanta por Kabir Barday, foi avaliada em US$ 4,5 bilhões na última rodada com preço (2023) e afirma que mais da metade da Fortune 500 é cliente. O primeiro relatório de market share da IDC sobre software de privacidade deu a ela 29,7%, mais que o dobro do concorrente mais próximo; o número é de 2022, mas nada publicado desde então sugere que a ordem tenha se invertido.

Duas coisas mudaram em 2026. John Heyman substituiu Barday como CEO em 9 de fevereiro, e Barday foi para o conselho. E no TrustWeek (28–30 de setembro, Las Vegas) a OneTrust colocou a governança de agentes de IA como manchete: CORIE, uma camada compartilhada de raciocínio e evidência, mais um AI Control Plane que avalia as ações dos agentes em runtime e um Governance Command Center, todos anunciados como disponíveis para todos (GA). As peças que colocariam a OneTrust dentro das ferramentas que as pessoas realmente usam — um MCP Gateway headless para ChatGPT, Claude, Copilot e Glean, avaliações conduzidas por IA e consentimento conversacional — estão em preview privado para o outono (do hemisfério norte) de 2026. O Gartner a nomeou Visionary, não Leader, no primeiro Magic Quadrant 2026 para AI Governance Platforms.

Por que aparece em stacks de Legal Ops

• É o sistema de registro que auditores e reguladores já esperam. Um RoPA, uma trilha de DPIA e um log de consentimento que uma autoridade de proteção de dados já viu antes valem alguma coisa numa investigação de GDPR.
• Um inventário alimenta várias obrigações. O mapa de dados construído para o RoPA é o mesmo que delimita uma busca de DSAR e uma avaliação de fornecedor. Times que rodam o fluxo de intake de DSAR ou o skill de due diligence de fornecedores acabam precisando desse mapa de qualquer forma.
• O inventário de IA chega com o EU AI Act. O módulo de governança de IA da OneTrust registra modelos e casos de uso, roda avaliações de risco contra o AI Act e os frameworks do NIST, e os conecta ao inventário de privacidade. Essa conexão é o motivo para comprar da OneTrust em vez de uma ferramenta avulsa.

Preço na prática

Não há preço publicado. A página de preços lista pacotes — CMP Base e Suite, Privacy Automation Base e Suite, Third-Party Risk Base e Suite, AI Governance, Tech Risk & Compliance — cada um medido de um jeito: usuários administradores, visitantes diários do site, perfis de dados ou tamanho do inventário.

Os dados de transações da Vendr (cerca de 309 negócios) colocam o contrato mediano perto de US$ 12.000 por ano, com faixa de aproximadamente US$ 1.600 a US$ 48.000. Essa mediana é composta principalmente por contratos de um único módulo de consentimento. Um programa multimódulo numa empresa de 1.000–5.000 funcionários custa aprox. US$ 40.000–120.000 por ano segundo estimativas de terceiros, e programas enterprise chegam a seis dígitos. A implementação acrescenta 20–40% da assinatura do primeiro ano. Fornecedores concorrentes relatam que a OneTrust fixou um mínimo anual de US$ 10.000 a partir do Q2 de 2026; a OneTrust não confirmou, então trate como o piso provável, não como cotação. A Vendr relata descontos de 20–30% sobre a primeira cotação em contratos plurianuais e reajustes anuais de 5–10% como padrão.

Ideal para

Encarregados de privacidade (DPOs) e líderes de Legal Ops em empresas com mais de 2.000 funcionários operando sob GDPR e várias leis estaduais de privacidade dos EUA, que precisam de consentimento, RoPA, DSAR e avaliações de fornecedores num único sistema auditável e que agora devem ao conselho um inventário de uso de IA. O retorno da plataforma melhora com o número de módulos que você realmente roda — a partir de dois, o inventário compartilhado se paga.

Não compre para uma empresa com menos de 500 pessoas cuja necessidade é um banner de cookies e algumas DSARs por mês. Esse comprador paga o preço mínimo por uma fração da plataforma; uma ferramenta de consentimento dedicada, com preço mensal publicado por domínio, cobre a mesma necessidade.

Versus as alternativas

TrustArc é o rival mais antigo e a segunda cotação de costume. Escolha quando o programa é guiado por avaliações e certificações e o time quer um fornecedor menor que atende o telefone; escolha OneTrust quando você precisa do catálogo de módulos mais amplo e de uma camada de governança de IA sobre o mesmo inventário.

Securiti é o desafiante com o maior desfecho recente: a Veeam a comprou por US$ 1,725 bilhão em dezembro de 2025. Escolha quando o trabalho real é descoberta de dados e DSPM em data stores na nuvem e segurança divide o orçamento; escolha OneTrust quando jurídico e privacidade são donos do programa.

Transcend serve empresas lideradas por engenharia que querem DSAR e consentimento aplicados no código via APIs em vez de tratados como tickets.

Vanta ganha quando o motor é evidência de SOC 2 ou ISO 27001, não privacidade. Para controle em runtime de quais agentes e ferramentas MCP os funcionários usam, WitnessAI ou Zenity aplicam hoje o que o control plane da OneTrust está só começando a fazer. Para compradores guiados por contencioso, Exterro compartilha o mapa de dados com o legal hold.

Se nenhum servir, a lacuna geralmente é de responsabilidade: ninguém mantém o mapa de dados, e toda plataforma aqui só é tão atual quanto esse mapa.

Pontos de atenção

• A propriedade não está resolvida. The Information relatou em novembro de 2025 que a OneTrust negociava uma venda para private equity com avaliação reportada acima de US$ 10 bilhões; até o início de outubro de 2026 nenhum acordo havia sido anunciado. Um novo dono pode reprecificar renovações e descontinuar os módulos mais lentos. Proteção: coloque um teto para reajustes de renovação no contrato (5% ou menos), inclua uma cláusula de mudança de controle que permita rescisão sem multa e evite prazos acima de 24 meses até a venda se resolver.
• Os reajustes na renovação são pesados. Compradores relatam aumentos propostos de 20–40% na renovação, com casos fora da curva acima disso. Proteção: comece a negociação da renovação 120 dias antes, leve uma cotação da TrustArc ou da Securiti e discrimine cada módulo para poder cortar os que não são usados.
• A manchete de governança de agentes é quase toda preview. MCP Gateway, avaliações conduzidas por IA e consentimento conversacional estão em preview privado, sem clientes de produção nomeados. Proteção: compre o módulo de governança de IA pelo inventário e pelas avaliações que funcionam hoje, e transforme qualquer promessa sobre runtime de agentes num anexo contratual com critérios de aceite.
• A carga administrativa é real. Cada módulo tem a própria profundidade de configuração; as avaliações de usuários colocam de forma consistente a capacidade acima da facilidade de uso. Proteção: nomeie um dono dedicado da plataforma antes de assinar e orce horas de um parceiro de implementação no primeiro ano.