Soberania de dados: sua nuvem precisa ficar no Brasil?

O que significa soberania de dados na prática

Soberania de dados é o princípio de que informações digitais estão sujeitas às leis do país em que são armazenadas e processadas. Parece uma definição simples, mas ela carrega uma consequência importante: se sua empresa mantém dados de clientes brasileiros em um servidor localizado nos Estados Unidos, esses dados passam a existir simultaneamente sob duas jurisdições. A LGPD continua valendo porque o tratamento envolve titulares no Brasil, mas a legislação americana — incluindo instrumentos como o CLOUD Act — também alcança aquele servidor.

É comum confundir três conceitos que aparecem juntos nas conversas sobre nuvem, mas que significam coisas diferentes. Soberania de dados trata de qual lei se aplica. Residência de dados trata de onde os bits ficam fisicamente armazenados. E localização de processamento trata de onde os dados são efetivamente lidos, transformados e analisados — que pode ser um lugar completamente diferente de onde eles descansam. Um backup pode residir em São Paulo enquanto o serviço de indexação que o percorre roda na Virgínia.

Para o gestor de TI, a pergunta útil não é filosófica. É operacional: se um regulador, um cliente corporativo ou um auditor perguntar onde estão os dados da sua empresa e sob quais regras eles operam, você consegue responder com documentação? A maioria das empresas de médio porte descobre que não consegue — não porque escolheram mal, mas porque nunca mapearam o caminho completo dos dados através dos serviços que contrataram.

O que a LGPD realmente exige sobre localização

Aqui está o ponto que gera mais confusão no mercado: a LGPD não obriga que dados pessoais de brasileiros fiquem no Brasil. Não existe artigo na Lei 13.709/2018 que determine residência nacional obrigatória para dados em geral. O que a lei faz é regular a transferência internacional nos artigos 33 a 36, estabelecendo condições sob as quais essa transferência é legítima.

As hipóteses previstas incluem países com grau de proteção adequado reconhecido pela ANPD, cláusulas contratuais padrão, normas corporativas globais, selos e certificados aprovados, e consentimento específico do titular. Em 2024 a ANPD publicou as cláusulas-padrão contratuais brasileiras, que se tornaram o mecanismo mais prático para a maioria das empresas — o provedor de nuvem assina o compromisso e a transferência fica amparada.

A LGPD não proíbe dados fora do Brasil. Ela exige que você saiba onde eles estão, por qual mecanismo legal foram transferidos e que consiga demonstrar isso quando questionado.

O que muda o cálculo são as exigências setoriais, que sim podem impor residência nacional. Instituições financeiras reguladas pelo Banco Central seguem a Resolução Conjunta nº 6 e normas correlatas, que exigem acesso irrestrito da autoridade aos dados e planos de contingência específicos para serviços de nuvem no exterior. Órgãos públicos e empresas que prestam serviços ao governo frequentemente enfrentam cláusulas contratuais de residência nacional. Operadoras de saúde lidam com dados sensíveis que elevam o padrão de cuidado exigido. Nesses casos a decisão deixa de ser técnica e passa a ser de conformidade.

Quando manter dados no Brasil é exigência real

Vale separar os cenários em que a residência nacional deixa de ser preferência e vira requisito. O primeiro é o regulatório setorial já mencionado — se seu setor tem norma específica, ela vence qualquer argumento de custo ou performance. O segundo é contratual: cada vez mais editais públicos e contratos com grandes corporações incluem cláusula de armazenamento em território nacional, independentemente do que a LGPD diga.

O terceiro cenário é menos óbvio e tem peso crescente: exposição a jurisdições estrangeiras em contextos sensíveis. Empresas que lidam com propriedade intelectual estratégica, dados de defesa, informações de processos judiciais em curso ou segredos comerciais em disputa internacional avaliam o risco de que uma autoridade estrangeira possa compelir o provedor a entregar dados sem que a empresa brasileira sequer seja notificada. É um risco de baixa probabilidade e alto impacto — o tipo de risco que merece decisão consciente, não omissão.

Há ainda o fator latência, que não é conformidade mas afeta a decisão. Aplicações interativas, terminais de ponto de venda, sistemas de telefonia IP e ambientes de área de trabalho remota degradam perceptivelmente quando o round-trip cruza o Atlântico. A diferença entre 15 milissegundos até São Paulo e 130 milissegundos até a Virgínia é invisível num backup noturno e insuportável num ERP usado por cinquenta pessoas ao mesmo tempo.

• Exigência regulatória setorial — Banco Central, ANS, órgãos públicos, contratos com administração direta
• Cláusula contratual de cliente — editais e contratos corporativos com residência nacional obrigatória
• Dados de alta sensibilidade estratégica — PI, litígio internacional, informação concorrencial crítica
• Requisito de latência — ERP, VDI, VoIP, sistemas transacionais com uso interativo intenso
• Volume de egress — quando a transferência de saída para usuários no Brasil domina o custo mensal

O mapa das regiões brasileiras de nuvem

A boa notícia é que a escolha por residência nacional deixou de significar abrir mão de serviços modernos. Os três grandes provedores globais operam regiões no Brasil há anos. A Microsoft mantém a região Brazil South em São Paulo com par de recuperação em Brazil Southeast, além de ter anunciado expansão significativa de capacidade no país. A AWS opera a região sa-east-1 em São Paulo com três zonas de disponibilidade. O Google Cloud mantém southamerica-east1, também em São Paulo, e adicionou southamerica-west1 em Santiago para redundância regional.

Existe, porém, uma armadilha recorrente: nem todo serviço do catálogo global está disponível na região brasileira, e nem todo serviço disponível processa exclusivamente no Brasil. Serviços de identidade, telemetria, faturamento e alguns componentes de inteligência artificial frequentemente processam metadados fora da região escolhida. No Microsoft 365, por exemplo, o compromisso de residência de dados cobre determinadas cargas — Exchange, SharePoint, OneDrive, Teams — mas serviços auxiliares e diretórios podem ter comportamento diferente. Ler a documentação de residência do provedor, e não apenas o nome da região, é parte obrigatória do desenho.

Do lado da infraestrutura nacional, o Brasil tem um ecossistema maduro de data centers com certificação Tier III e provedores de nuvem privada e híbrida. Para muitas empresas de médio porte, a arquitetura mais eficiente não é escolher entre nuvem pública global e infraestrutura local — é combinar as duas. Dados regulados e cargas latency-sensitive ficam em data center nacional; cargas elásticas, ambientes de teste e análise ficam na nuvem pública, com contrato e cláusulas adequados.

Como decidir sem transformar isso em projeto de dois anos

A decisão fica muito mais simples quando você para de tratar "os dados da empresa" como um bloco único. Nenhuma organização tem um único requisito de soberania — tem categorias de dados com requisitos diferentes. O caminho prático é classificar antes de decidir.

1. Inventarie os dados por categoria — dados pessoais comuns, dados pessoais sensíveis, dados financeiros, propriedade intelectual, dados operacionais internos, logs e telemetria.
2. Identifique o requisito de cada categoria — existe norma setorial? cláusula contratual? o dado é sensível na definição do art. 5º da LGPD? qual o impacto real de um incidente?
3. Mapeie onde cada categoria está hoje — incluindo backups, réplicas, ambientes de homologação e ferramentas SaaS de terceiros, que são o ponto cego mais comum.
4. Feche as lacunas por prioridade — comece pelo que tem exigência dura, depois pelo que tem alto impacto, depois pelo resto.
5. Documente a decisão — o registro das operações de tratamento previsto na LGPD precisa refletir a arquitetura real, com o mecanismo de transferência internacional identificado quando aplicável.

Esse trabalho gera um efeito colateral valioso mesmo para quem já está conforme: quase toda empresa que faz o inventário descobre pelo menos um serviço SaaS contratado por uma área de negócio, sem passar por TI, guardando dados de clientes em jurisdição desconhecida. Encontrar isso vale o esforço independentemente da conclusão sobre residência.

Vale também dizer o que não fazer. Migrar tudo para o Brasil por precaução, sem análise, costuma custar caro e resolver pouco — você paga a mudança e ainda fica sem a documentação que o auditor vai pedir. E confiar apenas no nome da região, sem verificar onde cada serviço acessório processa, cria uma falsa sensação de conformidade que só aparece no primeiro incidente.

Como a Duk conduz esse desenho na prática

Em mais de 18 anos atendendo empresas brasileiras e com mais de 550 clientes na base, a Duk Informática & Cloud acompanhou a transição da infraestrutura local para os modelos híbridos que dominam hoje. A conclusão que se repete é consistente: as arquiteturas que funcionam não são as mais puras, são as mais bem classificadas. Empresas que sabem exatamente qual dado exige o quê tomam decisões rápidas e defensáveis; empresas que tratam tudo igual ficam paralisadas ou gastam demais.

Nosso trabalho começa pelo inventário e pela classificação, não pela migração. Mapeamos onde cada categoria de dado reside hoje — incluindo os SaaS que ninguém lembrava de citar — cruzamos com os requisitos regulatórios e contratuais aplicáveis ao seu setor e desenhamos a arquitetura de destino, que costuma combinar nuvem pública em região brasileira, infraestrutura em data center nacional e serviços globais onde eles não representam risco. Como Microsoft Gold Partner, temos acesso direto à documentação de residência e aos compromissos contratuais do Microsoft 365 e do Azure, o que evita a interpretação por adivinhação que gera retrabalho.

Operamos data center próprio em Alphaville, com backup gerenciado, replicação e suporte 24/7 sob SLA — o que permite oferecer residência nacional verificável para as cargas que precisam dela, sem obrigar a empresa a abrir mão da elasticidade da nuvem pública para as cargas que não precisam. Se a sua dúvida hoje é se a nuvem da sua empresa precisa ficar no Brasil, a resposta honesta é: parte dela provavelmente sim, parte quase certamente não, e o valor está em saber qual é qual antes de assinar o próximo contrato.