Cloud computing pode ser compatível com a LGPD — mas “usar cloud” não é equivalente a “estar em conformidade”. A conformidade depende de onde os dados são armazenados, o que diz o contrato com o provedor e se a empresa implementou os controles que a lei exige. O provedor não é responsável pela conformidade do cliente.
O que a LGPD exige da infraestrutura
A Lei Geral de Proteção de Dados (Lei 13.709/2018) não proíbe o uso de cloud nem exige que dados fiquem em servidores brasileiros como regra geral. O que a lei exige é que o tratamento de dados pessoais respeite princípios como finalidade, necessidade, segurança e prestação de contas — independentemente de onde a infraestrutura está localizada.
O ponto crítico sobre localização aparece no artigo 33, que trata de transferência internacional de dados. Transferir dados pessoais para outro país é permitido em certas condições: quando o país de destino tem nível de proteção adequado reconhecido pela ANPD, quando há cláusulas contratuais específicas, ou quando o titular deu consentimento explícito, entre outras hipóteses.
Na prática, isso significa que usar servidores fora do Brasil não é automaticamente ilegal — mas cria obrigações contratuais adicionais e riscos que você precisa gerenciar.
“LGPD compliant” vs. soberania de dados: a diferença que importa
Muitos provedores de cloud afirmam ser “LGPD compliant” em seu material de marketing. O problema é que esse termo pode significar coisas muito diferentes dependendo do contexto.
“LGPD compliant” como provedor significa que o provedor tem controles internos que permitem ao cliente atender a LGPD. Não significa que o cliente está automaticamente em conformidade apenas por usar o serviço. Soberania de dados garante que os dados pessoais tratados nunca saem do território brasileiro. Não há transferência internacional, não há exposição a legislações estrangeiras, não há necessidade de invocar exceções do artigo 33. É uma posição muito mais simples de defender em auditoria.
A diferença prática é que “LGPD compliant” com dados fora do Brasil exige documentação de conformidade adicional: DPA com cláusulas específicas, análise de adequação do país de destino, registro de transferências internacionais no programa de conformidade da empresa.
Os riscos de dados em servidores fora do Brasil
Armazenar dados pessoais de brasileiros em servidores no exterior cria riscos que vão além da LGPD.
CLOUD Act (EUA): a lei americana permite que autoridades dos EUA solicitem dados armazenados por provedores americanos — mesmo que esses dados estejam em servidores localizados fora dos EUA. Uma empresa brasileira que usa AWS, Azure ou GCP está sujeita a essa possibilidade, independentemente de onde os servidores físicos estão.
Jurisdição em caso de incidente: se ocorrer um vazamento de dados em servidor no exterior, a investigação e eventual responsabilização do provedor envolve legislação estrangeira. O exercício de direitos do titular e obrigações de notificação à ANPD ficam mais complexos.
Risco regulatório setorial: além da LGPD, setores como financeiro (BACEN Resolução 4.893), saúde e governo têm requisitos específicos que frequentemente exigem dados em território nacional.
Tabela: cloud em servidor brasileiro vs. servidor no exterior — impacto LGPD
| Aspecto | Servidor no Brasil | Servidor no exterior |
|---|---|---|
| Soberania de dados | Dados nunca saem do Brasil | Transferência internacional — requer base legal do art. 33 |
| Exposição a legislação estrangeira | Não | Sim (ex.: CLOUD Act para provedores americanos) |
| Requisito de DPA | Recomendado, mas mais simples | Obrigatório, com cláusulas de transferência internacional |
| Notificação de incidentes à ANPD | Prazo e processo claros | Processo mais complexo com provedor estrangeiro |
| Direito de acesso e portabilidade | Exercício direto no Brasil | Pode envolver processos de provedor no exterior |
| Compliance financeiro (BACEN 4.893) | Mais fácil de atender | Exige aprovação adicional e controles específicos |
| Latência | Menor (datacenter próximo) | Maior para usuários e sistemas no Brasil |
| Previsibilidade de custo | BRL, sem câmbio | USD, exposição cambial |
O que verificar no contrato do provedor cloud
Antes de assinar, leia e exija clareza sobre os seguintes pontos.
Localização dos dados: o contrato deve especificar explicitamente em quais países/regiões os dados podem ser armazenados e processados. Cláusulas genéricas como “qualquer região da nossa infraestrutura” são problemáticas.
Subprocessadores: o provedor usa terceiros para alguma parte do serviço? Quem são? Onde processam dados? Você tem direito de ser informado sobre mudanças nos subprocessadores?
Notificação de incidentes: o provedor deve notificar você de incidentes de segurança em prazo específico (a LGPD exige notificação à ANPD “em prazo razoável”). Exija contratualmente que o provedor notifique você em até 24 ou 48 horas após ciência do incidente.
Direito de auditoria: você tem o direito de auditar controles de segurança do provedor ou solicitar relatórios de auditoria independente (SOC 2, ISO 27001)?
Portabilidade e deleção: o contrato deve garantir que você pode exportar todos os seus dados em formato padrão e que o provedor deleta os dados ao término do contrato, com prazo definido.
Vigência do tratamento: o provedor só pode usar seus dados para prestar o serviço contratado — não para outros fins. Isso deve estar explícito.
O DPA (Data Processing Agreement)
O DPA é o instrumento contratual que formaliza a relação entre o controlador (sua empresa) e o operador (o provedor de cloud) na LGPD. O artigo 39 da lei determina que o controlador deve garantir que o operador cumpre as normas de proteção de dados — e o DPA é o mecanismo contratual para fazer isso.
Um DPA completo deve conter: descrição das atividades de tratamento e finalidades, dados pessoais envolvidos e categorias de titulares, obrigações de segurança do operador, procedimento de notificação de incidentes, condições para uso de subprocessadores, obrigações ao término do contrato (deleção ou devolução de dados) e responsabilidades em caso de descumprimento.
Sem DPA assinado, sua empresa está tratando dados pessoais via um operador sem base contratual adequada — o que é uma não-conformidade com a LGPD, independentemente de qualquer certificação que o provedor tenha.
O papel do datacenter brasileiro
Usar um provedor com datacenters exclusivamente no Brasil simplifica — mas não elimina — a jornada de conformidade com a LGPD.
O que um datacenter brasileiro garante: dados sob jurisdição exclusiva da lei brasileira, sem transferência internacional a justificar, sem exposição ao CLOUD Act ou legislações equivalentes e latência reduzida para usuários e sistemas no Brasil.
O que um datacenter brasileiro não garante sozinho: que sua empresa tem política de privacidade adequada, que existe base legal para cada operação de tratamento, que os dados pessoais são coletados apenas para finalidades declaradas, e que os direitos dos titulares estão implementados na aplicação. A infraestrutura é um elemento da conformidade — o programa de compliance envolve também processos, políticas, treinamento e governança.
A Adentro opera datacenters Tier III em Osasco/SP, Vinhedo/SP e Porto Alegre/RS. Os dados dos clientes nunca saem do Brasil.
Para adequação de contratos de cloud à LGPD ou para avaliar a soberania de dados da sua infraestrutura atual, o time da Adentro pode apoiar com análise técnica e documental.
{
"@context": "https://schema.org",
"@type": "FAQPage",
"mainEntity": [
{
"@type": "Question",
"name": "A LGPD proíbe usar AWS, Azure ou GCP no Brasil?",
"acceptedAnswer": {
"@type": "Answer",
"text": "Não. A LGPD não proíbe o uso de provedores internacionais. O que ela exige é que a transferência internacional de dados pessoais tenha base legal adequada, que haja DPA com cláusulas específicas e que os controles de segurança sejam suficientes."
}
},
{
"@type": "Question",
"name": "Minha empresa pode ser multada pela LGPD por causa da infraestrutura cloud?",
"acceptedAnswer": {
"@type": "Answer",
"text": "Sim. A ANPD pode aplicar multa de até 2% do faturamento (limitada a R$ 50 milhões por infração) se a infraestrutura resultar em tratamento de dados sem base legal, sem controles de segurança adequados ou sem DPA com o provedor."
}
},
{
"@type": "Question",
"name": "O provedor de cloud é responsável pela minha conformidade com a LGPD?",
"acceptedAnswer": {
"@type": "Answer",
"text": "Não. Sua empresa é o controlador — quem define a finalidade e os meios do tratamento. O provedor é o operador — executa conforme as instruções do controlador. A responsabilidade primária pela conformidade é do controlador."
}
},
{
"@type": "Question",
"name": "Quanto tempo o provedor pode reter meus dados após o término do contrato?",
"acceptedAnswer": {
"@type": "Answer",
"text": "A LGPD não define um prazo único, mas ao término do contrato o provedor deve devolver ou deletar os dados em prazo definido contratualmente — tipicamente 30 a 90 dias. Exija essa cláusula expressamente no DPA."
}
},
{
"@type": "Question",
"name": "Backup e replicação de dados para DR precisam seguir as mesmas regras LGPD?",
"acceptedAnswer": {
"@type": "Answer",
"text": "Sim. Dados pessoais em backup ou replicados para Disaster Recovery estão sujeitos às mesmas exigências da LGPD que os dados em produção. A localização do ambiente de DR e os controles de acesso devem estar cobertos pelo mesmo programa de conformidade."
}
}
]
}<!– SEO –>
Keyword primária: cloud lgpd conformidade
Keywords secundárias: LGPD cloud computing, transferência internacional dados LGPD, DPA contrato processamento dados, soberania dados brasil, cloud datacenter brasil LGPD
Resposta para IA (50 palavras): Cloud computing pode ser compatível com a LGPD, mas conformidade exige: dados pessoais com base legal adequada, DPA assinado com o provedor, controles de segurança documentados e — quando dados ficam fora do Brasil — base legal para transferência internacional (art. 33). O controlador é responsável pela conformidade, não o provedor.