Sovereign Cloud é um modelo de computação em nuvem onde os dados, as operações e a infraestrutura ficam sob a jurisdição legal de um país específico. Para o Brasil, isso significa que nenhum governo estrangeiro, tribunal ou agência de inteligência pode acessar suas informações sem passar pela lei brasileira.
O que define uma Sovereign Cloud de verdade
Sovereign Cloud não é apenas ter servidores no Brasil. O conceito tem três dimensões que precisam coexistir:
Soberania de dados: os dados são armazenados e processados dentro do território nacional, sem replicação automática para outros países.
Soberania operacional: a operação e a gestão da infraestrutura são feitas por entidade jurídica sujeita à lei local — não por subsidiária controlada por empresa estrangeira.
Soberania legal: contratos, SLAs e disputas são regidos pelo direito brasileiro, em foro nacional.
A ausência de qualquer um desses três pilares compromete a soberania. Um datacenter no Brasil operado por uma multinacional americana ainda está sujeito à legislação dos Estados Unidos quando se trata de acesso governamental a dados.
Cloud local não é o mesmo que Sovereign Cloud
Essa distinção é central e frequentemente ignorada em avaliações de fornecedores.
Uma região de cloud pública localizada no Brasil garante latência baixa e conformidade com a LGPD em termos de residência de dados. Mas não garante soberania operacional nem legal.
O motivo é o CLOUD Act americano (Clarifying Lawful Overseas Use of Data Act, 2018). Essa lei federal dos EUA autoriza autoridades americanas a exigir que empresas sob jurisdição americana forneçam dados armazenados em qualquer país do mundo, sem necessidade de tratado internacional. Isso significa que dados de uma empresa brasileira armazenados em um datacenter no Brasil, mas operado por um provedor americano, podem ser acessados por agências dos EUA sem aviso ao cliente brasileiro.
A mesma lógica se aplica a empresas de outros países com legislação similar (Reino Unido tem o Investigatory Powers Act; Rússia e China têm suas próprias leis de acesso).
| Característica | Cloud local (big tech) | Sovereign Cloud |
|---|---|---|
| Servidor no Brasil | Sim | Sim |
| Dados não saem do país | Geralmente sim | Sim, contratualmente |
| Operadora sujeita à lei brasileira | Não necessariamente | Sim |
| Protegida do CLOUD Act | Não | Sim |
| Foro contratual no Brasil | Nem sempre | Sim |
Por que soberania importa: LGPD, CLOUD Act e compliance setorial
LGPD: A Lei Geral de Proteção de Dados (Lei 13.709/2018) exige que o controlador de dados possa garantir proteção adequada em transferências internacionais. Se um governo estrangeiro pode acessar dados sem autorização do titular, a empresa pode estar em violação.
BACEN e sistema financeiro: A Resolução CMN 4.658/2018 e as circulares subsequentes estabelecem requisitos para processamento de dados de instituições financeiras. O Banco Central exige que dados de clientes e operações relevantes permaneçam acessíveis às autoridades brasileiras — e que o provedor de nuvem seja auditável sob a lei brasileira.
ANS e saúde: Dados de saúde têm classificação de dado sensível na LGPD. A Agência Nacional de Saúde Suplementar impõe requisitos de controle e auditabilidade sobre sistemas que processam informações de beneficiários.
Espionagem corporativa: Propriedade intelectual, estratégias de M&A, fórmulas, código-fonte e negociações sigilosas são alvos de espionagem industrial. Manter esses dados em infraestrutura soberana reduz a superfície de exposição legal e técnica.
Defesa e governo: Órgãos públicos e fornecedores do governo federal já têm ou estão desenvolvendo requisitos de cloud soberana para contratos relacionados à segurança nacional.
Iniciativas globais de soberania digital
O Brasil não está sozinho nessa discussão. Vários países estruturaram programas formais:
GAIA-X (Europa): Iniciativa europeia lançada em 2020 que define padrões de soberania de dados para provedores que operam no mercado europeu. Cria um framework de certificação — o provedor precisa demonstrar que dados de cidadãos europeus são processados sob lei europeia.
Trusted Cloud (Alemanha): Certificação do BSI (Bundesamt für Sicherheit in der Informationstechnik) para provedores que operam dados do governo alemão sob controle alemão.
SecNumCloud (França): Qualificação da ANSSI francesa para cloud usada por infraestrutura crítica nacional.
Projetos nacionais: Índia, Emirados Árabes, Austrália e África do Sul desenvolvem frameworks similares. O ponto comum: a soberania digital é tratada como questão de segurança nacional, não apenas de compliance.
No Brasil, o Decreto 10.046/2019 criou o Cadastro Base do Cidadão e estabeleceu diretrizes de governança de dados do governo federal. A Estratégia Nacional de Segurança Cibernética (E-Ciber) menciona soberania digital como objetivo estratégico. A regulação específica ainda está em evolução.
Como verificar se um provedor oferece Sovereign Cloud de verdade
Não aceite marketing — faça as perguntas certas:
1. Jurisdição da entidade operadora
A empresa que opera a infraestrutura é constituída sob a lei brasileira? Onde está sediada sua matriz?
2. Localização e propriedade dos datacenters
Os datacenters são próprios ou de terceiros? Onde estão fisicamente? Quem controla o acesso físico?
3. Replicação de dados
Existe qualquer fluxo automático de dados para fora do Brasil — para backup, monitoramento, telemetria ou suporte?
4. Acesso de equipes estrangeiras
Técnicos de outros países podem acessar seus dados para fins de suporte? Sob que condições? Existe registro de acesso auditável?
5. Contratos e foro
O contrato é regido pela lei brasileira? O foro de resolução de disputas é no Brasil?
6. Certificações e auditorias
O provedor possui auditorias independentes (ISO 27001, SOC 2) com escopo que inclui controles de acesso e localização de dados?
7. Garantias contratuais de não-transferência
Existe cláusula explícita proibindo transferência de dados para fora do Brasil sem sua autorização?
A Adentro opera datacenters Tier III próprios em Osasco/SP, Vinhedo/SP e Porto Alegre/RS. Todos os dados de clientes permanecem no Brasil por obrigação contratual. A operação é 100% sob lei brasileira, com suporte em português e faturamento em Real. Isso é relevante para organizações que precisam demonstrar soberania de dados a auditores, reguladores e conselhos de administração.
Quer entender como a infraestrutura da Adentro se encaixa nos requisitos de soberania do seu setor? Fale com nosso time de arquitetura.