“Datacenter Tier III” aparece em propostas comerciais com frequência — mas o que ele realmente significa para compliance? E qual a diferença entre um datacenter que diz ter Tier III e um que tem a certificação do Uptime Institute? Essas distinções importam quando você está numa auditoria de PCI DSS ou ISO 27001.
O que Tier III significa especificamente
A classificação Tier do Uptime Institute é o padrão global para avaliação de datacenters. São quatro níveis, e Tier III é o mais comum em ambientes corporativos de missão crítica.
O que Tier III especifica tecnicamente:
Redundância N+1: cada componente de infraestrutura tem pelo menos um componente reserva. Se um sistema falha, o reserva assume. Isso se aplica a energia (UPS, geradores), refrigeração (chillers, CRACs/CRAHs), links de telecomunicação e sistemas de supressão de incêndio.
Manutenção concorrente (concurrently maintainable): qualquer componente pode ser mantido, reparado ou substituído sem interromper o funcionamento do datacenter. Isso inclui trocar um UPS, fazer manutenção em chiller ou atualizar sistema elétrico — tudo sem tirar o datacenter do ar.
Uptime garantido: 99,982%: isso equivale a no máximo 1,6 hora de downtime por ano. Compare com Tier II (99,741% — até 22 horas de downtime/ano) e Tier IV (99,995% — 26 minutos/ano com tolerância a falha, não apenas manutenção).
Múltiplos caminhos ativos: os componentes redundantes estão ativos simultaneamente — não apenas em standby. A carga é distribuída, e a falha de um componente não causa interrupção enquanto o backup assume.
O que Tier III não garante: tolerância a falha simultânea de múltiplos componentes. Para isso, é necessário Tier IV.
Como Tier III aparece nos frameworks de compliance
Nenhum framework de compliance exige Tier III pelo nome — a norma trabalha com requisitos de disponibilidade, continuidade e resiliência, não com classificações de marketing. Mas Tier III é geralmente o mínimo que satisfaz esses requisitos para ambientes de missão crítica.
PCI DSS:
O requisito 12.3.4 exige que hardware crítico seja identificado e gerenciado, e os requisitos de continuidade (12.3.3 e 12.3.4) exigem planos de recuperação testados. Um datacenter Tier III — com redundância e manutenção sem downtime — suporta o atendimento desses requisitos. O QSA vai avaliar o histórico de disponibilidade real, os planos de DR e a redundância de componentes críticos. Ter Tier III certificado é evidência forte.
ISO 27001:
O controle A.7.8 (Siting and protection of equipment) e os controles de continuidade de negócio (A.17) exigem proteção contra falhas de energia, temperatura e outros fatores ambientais. Tier III satisfaz esses requisitos — com a vantagem de que a certificação do Uptime Institute fornece evidência independente para o auditor.
BACEN (Resolução 4.658):
A resolução exige que as instituições financeiras avaliem a capacidade do provedor de cloud de garantir continuidade. Tier III é frequentemente especificado em contratos com o setor financeiro como requisito mínimo para dados críticos.
SOC 2:
O critério de disponibilidade do SOC 2 (CC7 e CC8 do Common Criteria, mais o Trust Service Criterion de Availability) exige que a organização monitore, detecte e se recupere de incidentes que afetam disponibilidade. Datacenter Tier III suporta o atendimento desses critérios — a disponibilidade da infraestrutura física é um fator.
A diferença crítica: certificação vs auto-declaração
Esse é o ponto que mais gera confusão no mercado.
Certificação Tier III pelo Uptime Institute:
O Uptime Institute realiza auditoria técnica presencial no datacenter — avalia projetos, documentação e implementação física. Existe um processo formal de Design Certification (antes da construção) e Facility Certification (após construção e operação). O datacenter certificado aparece no registro público do Uptime Institute. Essa é a certificação real.
Auto-declaração “Tier III”:
Muitos datacenters usam “Tier III” como termo de marketing, sem nunca ter passado por auditoria do Uptime Institute. Podem estar construídos seguindo a metodologia, mas sem a verificação independente. A afirmação “construído de acordo com padrão Tier III” é diferente de “certificado Tier III pelo Uptime Institute”.
Como verificar: o Uptime Institute mantém o registro público de datacenters certificados em uptimeinstitute.com/tc. Se o datacenter não aparece lá, não tem certificação oficial.
Para compliance, a distinção importa: auditores sérios vão perguntar se a certificação é oficial. Relatório de auditoria do Uptime Institute é evidência de terceiro independente — muito mais forte do que afirmação do próprio provedor.
O que uma empresa deve exigir em contrato
Tier III no pitch comercial é o começo — o que importa está no contrato. Exija formalmente:
SLA de uptime explícito:
Não apenas “Tier III” — o contrato deve especificar o percentual de uptime garantido (ex.: 99,98% por mês) e o período de medição. SLA sem penalidade não tem dentes — exija créditos ou compensação por downtime além do SLA.
Responsabilidade por downtime:
Como o downtime é medido, quem notifica quem, qual é o processo de reclamação de crédito SLA. Muitos contratos têm janelas de manutenção planejada excluídas do SLA — leia as exclusões.
Relatório de disponibilidade:
Direito de receber relatórios mensais de uptime e de qualquer incidente de disponibilidade — com data, hora, duração e causa raiz.
Certificação ou evidência de conformidade:
O contrato deve especificar que o datacenter é certificado Tier III pelo Uptime Institute (se for o caso) ou qual evidência alternativa será fornecida regularmente. Para ISO 27001 e PCI DSS, a evidência de auditoria do datacenter é parte do seu dossiê de conformidade.
Acesso ao relatório de auditoria:
Para fins de due diligence (BACEN, PCI DSS, ISO 27001), você precisa ter acesso ao relatório de auditoria do datacenter — seja o certificado do Uptime Institute, o relatório SOC 2 da operação ou equivalente.
A Adentro opera em datacenter Tier III certificado pelo Uptime Institute, com SLA contratual de uptime, relatórios mensais e evidência de auditoria disponível para seus processos de compliance.