O BACEN não proíbe cloud — mas coloca condições que mudam completamente a forma como bancos, fintechs e cooperativas de crédito precisam contratar e operar infraestrutura em nuvem. Desconhecer essa regulação não é opção: auditores do BACEN verificam conformidade e as consequências de falha vão de processo administrativo à cassação de autorização de funcionamento.
As normas que você precisa conhecer
Duas resoluções definem o regime regulatório de cloud para o setor financeiro brasileiro:
Resolução CMN nº 4.658/2018 — aplicável a bancos, financeiras, cooperativas de crédito e demais instituições autorizadas pelo BACEN. Estabelece os requisitos para contratação de serviços de computação em nuvem.
Resolução BCB nº 85/2021 — complementar à 4.658, com requisitos específicos para fintechs de pagamento (Instituições de Pagamento autorizadas pelo BACEN). Mesma lógica, com algumas adaptações para o perfil de risco de IPs.
Para a maioria das perguntas práticas, as duas normas têm exigências muito similares. Vamos olhar o que importa.
O que a regulação exige na prática
1. Comunicação prévia ao BACEN
Instituições classificadas nos segmentos S1 e S2 (maiores bancos e financeiras) devem comunicar ao BACEN a contratação de serviços de computação em nuvem relevantes antes de contratar — não depois. A Resolução 4.658 exige notificação com antecedência mínima de 60 dias para contratações relevantes no exterior.
Para S3, S4 e S5 (instituições menores e fintechs) e IPs (Resolução 85): o prazo é 30 dias antes da contratação de serviços no exterior.
O que é “relevante” para fins de comunicação é definido pela própria instituição em sua política interna de gestão de riscos, mas uma regra prática: se o serviço vai processar, transmitir ou armazenar dados de clientes ou dados relevantes para o sistema financeiro, é relevante.
2. Requisitos de auditoria
A norma exige que a instituição tenha o direito contratual de auditar o provedor de cloud — diretamente ou por terceiro por ela designado. Na prática, provedores grandes (AWS, Azure, GCP) não permitem auditoria direta, mas oferecem relatórios SOC 2 Tipo II como substituto aceito pelo BACEN.
Atenção: a norma exige que você tenha o direito contratual, mesmo que não o exerça. Um provedor que recusa incluir cláusula de auditoria no contrato não é aceitável para dados críticos — independentemente do tamanho.
3. Continuidade de negócio
A instituição deve garantir continuidade operacional mesmo em caso de falha do provedor de cloud. Isso exige:
- Plano de continuidade documentado que inclua cenário de indisponibilidade do provedor
- Estratégia de saída (exit strategy) — como você migra se precisar trocar de provedor
- Teste periódico dos planos de continuidade
- Não concentração excessiva em um único provedor (BACEN preocupa-se com risco sistêmico)
4. Gestão de riscos e due diligence
Antes de contratar, a instituição deve realizar due diligence do provedor: avaliar controles de segurança, histórico de incidentes, capacidade financeira, certificações (ISO 27001, SOC 2) e condições de continuidade. Esse processo deve ser documentado e revisado periodicamente.
5. Localização dos dados
A Resolução 4.658 não proíbe que dados fiquem fora do Brasil — mas exige que o BACEN tenha acesso irrestrito às informações quando necessário para fins de supervisão, independentemente de onde estejam armazenados. Na prática, armazenar no Brasil é a forma mais simples de garantir esse acesso — dados no exterior podem criar complexidades de cooperação jurídica internacional que complicam o acesso do BACEN.
O que muda para fintechs vs bancos tradicionais
| Aspecto | Bancos S1/S2 | Fintechs/IPs (Res. 85) |
|---|---|---|
| Prazo de comunicação (exterior) | 60 dias antes | 30 dias antes |
| Segmentação de risco | Maior rigor (maior porte) | Proporcional ao porte |
| Exigência de auditoria | Alta | Presente, mas proporcional |
| Concentração de serviços | BACEN monitora systemicamente | Mesmo princípio |
Fintechs de menor porte têm aplicação proporcional das normas — mas não estão isentas. A regulação se aplica integralmente para qualquer fintech com dados de clientes em cloud.
Como selecionar provedor cloud em conformidade com BACEN
O provedor precisa aceitar, no mínimo, contratualmente:
- [ ] Cláusula de auditoria (direta ou por relatório SOC 2 Tipo II aceito)
- [ ] Notificação em caso de incidente de segurança em prazo definido
- [ ] Cooperação para acesso do BACEN às informações quando exigido
- [ ] Cláusula de portabilidade / exit strategy (como você leva seus dados se precisar sair)
- [ ] SLA documentado com penalidades por descumprimento
- [ ] Submissão à legislação brasileira para fins de resolução de disputas
O que o BACEN entende como “armazenamento de dados no exterior”
A norma entende como dado no exterior qualquer dado que resida primariamente em infraestrutura física localizada fora do Brasil — independentemente de onde a empresa operadora é sediada. Um provedor americano com datacenter no Brasil armazena no Brasil para fins da norma. O mesmo provedor com failover automático para Virginia armazena no exterior (a cópia no exterior requer notificação).
A Adentro tem experiência em atender exigências de cloud para o setor financeiro regulado pelo BACEN — contrato adequado, cláusula de auditoria, dado no Brasil e documentação para due diligence. Fale com nosso time.