A AWS tem uma região em São Paulo. Isso significa que os dados ficam fisicamente no Brasil — mas não significa que você está automaticamente em conformidade com a LGPD. A distinção entre onde os dados ficam e quem controla a empresa que os processa é o ponto que mais gera confusão nas análises jurídicas.
O que é a região sa-east-1
A AWS opera a região São Paulo (sa-east-1) desde 2011. Ela é composta por três Zonas de Disponibilidade (datacenters físicos distintos na Grande São Paulo), interligadas por fibra óptica de baixa latência.
Quando você cria um bucket S3, uma instância EC2 ou um banco RDS nessa região, os dados ficam armazenados e processados em servidores fisicamente localizados no Brasil. Isso é um fato técnico verificável e documentado.
O que isso não resolve: a Amazon Web Services, Inc. é uma empresa americana, incorporada nos Estados Unidos, sujeita à legislação americana. Essa distinção muda tudo do ponto de vista jurídico.
O CLOUD Act e o que ele significa
O Clarifying Lawful Overseas Use of Data Act (CLOUD Act), promulgado nos EUA em 2018, permite que autoridades americanas (FBI, DOJ, outras agências federais) exijam que empresas americanas forneçam dados armazenados por elas — independentemente de onde esses dados estejam fisicamente localizados.
Na prática: mesmo que os dados do seu cliente estejam em servidores AWS em São Paulo, a Amazon pode ser obrigada por uma ordem judicial americana a fornecê-los a autoridades dos EUA. E o CLOUD Act permite que isso aconteça sem necessidade de notificar o cliente cujos dados foram requisitados.
Para a maioria das empresas e a maioria dos dados, o risco prático do CLOUD Act é baixo. Mas para setores regulados — saúde, financeiro, defesa, dados de governo — esse é um risco jurídico real que o DPO (Data Protection Officer) precisa analisar e documentar.
O que a AWS oferece para LGPD
A AWS disponibiliza mecanismos concretos que auxiliam na conformidade com a LGPD:
DPA (Data Processing Addendum): a AWS oferece um adendo contratual que define responsabilidades de controlador e operador de dados, alinhado ao vocabulário da LGPD e do GDPR europeu. Isso é necessário para documentar a relação contratual com a ANPD.
Criptografia em repouso e em trânsito: todos os serviços principais da AWS oferecem criptografia em repouso (AES-256) e em trânsito (TLS). Isso não é conformidade com LGPD por si só, mas é um controle técnico relevante para minimização de risco em caso de acidente.
Controles de acesso granulares (IAM): o AWS IAM permite definir exatamente quem pode acessar quais dados, com logs de auditoria via CloudTrail. Isso suporta os princípios de acesso mínimo e rastreabilidade da LGPD.
AWS Config e CloudTrail: para demonstrar controles e auditoria, essas ferramentas registram quem fez o quê, quando e em qual recurso. Fundamentais para responder a auditorias e incidentes.
Certificações: a AWS tem ISO 27001, ISO 27018 (proteção de dados pessoais em cloud) e SOC 2, além de atender requisitos de setores específicos (PCI-DSS para pagamentos, HIPAA para saúde, com contrato específico).
O que ainda é responsabilidade do cliente
A LGPD adota o modelo de responsabilidade compartilhada — e a AWS não é diferente: a empresa cuida da segurança da nuvem; você cuida da segurança na nuvem.
Isso significa que são sua responsabilidade:
- Criptografar dados antes de enviá-los para a AWS (criptografia end-to-end, não só em repouso)
- Configurar corretamente permissões de acesso (buckets S3 públicos inadvertidamente expostos são responsabilidade sua)
- Implementar processos para atender direitos dos titulares (acesso, exclusão, portabilidade) — a AWS não faz isso por você
- Definir períodos de retenção de dados e garantir a exclusão efetiva ao fim do prazo
- Conduzir o RIPD (Relatório de Impacto à Proteção de Dados) para tratamentos de alto risco
- Documentar a base legal para cada tratamento de dados pessoais
Quando a AWS atende LGPD, quando não atende
AWS atende para a maioria das empresas quando:
- Os dados tratados não são sensíveis (dados de comportamento de usuário, logs de sistema, dados de uso de produto)
- O setor não é regulado com requisitos específicos de soberania de dados
- O DPO analisou e documentou o risco CLOUD Act como aceitável para o perfil de dados tratados
- Os controles técnicos (criptografia, IAM, logs) estão corretamente implementados
AWS pode não ser suficiente quando:
- O setor é regulado com exigência explícita de que dados fiquem em infraestrutura nacional (alguns contratos com governo, saúde regulada, defesa)
- O DPO determina que o risco CLOUD Act para os dados específicos é inaceitável
- Contrato com cliente exige explicitamente infraestrutura de empresa brasileira
- O volume e a sensibilidade dos dados tornam o risco de transferência internacional inaceitável
A alternativa para dados mais sensíveis
Para empresas que precisam de garantia jurídica mais robusta — dados de saúde, financeiros ou de infraestrutura crítica — cloud privada operada por empresa brasileira elimina o vetor CLOUD Act. Uma empresa como a Adentro, com datacenters Tier III em Osasco, Vinhedo e Porto Alegre, não está sujeita à legislação americana e opera sob jurisdição exclusivamente brasileira.
Isso não significa que a cloud privada é automaticamente mais segura tecnicamente — os controles técnicos precisam ser avaliados caso a caso. Mas resolve o componente jurídico da análise de conformidade.
Precisa de cloud com garantia jurídica brasileira para dados sensíveis? A Adentro opera infraestrutura Tier III sob jurisdição exclusivamente nacional.