Transferencia internacional de dados: usar SaaS gringo e ficar legal

Por que SaaS estrangeiro virou assunto de compliance

A maior parte das empresas brasileiras roda hoje sobre software que nunca esteve fisicamente no Brasil. E-mail corporativo em datacenter da Irlanda, CRM hospedado na Virgínia, ferramenta de suporte com banco de dados em Frankfurt, IA generativa processando prompts em região que o fornecedor sequer publica no contrato. Cada uma dessas contratações é, do ponto de vista da LGPD, uma transferência internacional de dados pessoais — mesmo que ninguém tenha exportado planilha nenhuma. Basta o dado sair da jurisdição brasileira, ou ficar acessível a partir do exterior, para o artigo 33 da Lei 13.709/2018 ser acionado.

O ponto que costuma pegar as empresas de surpresa é que a responsabilidade não migra junto com o dado. Quando a sua empresa é a controladora — ou seja, quem decide por que e como aquele dado será tratado — a conta continua sendo sua. Se o fornecedor gringo vaza a base, quem responde perante a ANPD e perante o titular é a empresa brasileira que contratou. O contrato serve para regressar o prejuízo, não para transferir a responsabilidade regulatória.

Durante os primeiros anos da LGPD esse tema ficou em compasso de espera, porque o artigo 33 dependia de regulamentação. Isso mudou: a ANPD publicou a regulamentação de transferência internacional e aprovou o modelo de cláusulas-padrão contratuais, com prazo de adequação para contratos já vigentes. Ou seja, saiu da fase de "boa prática" e entrou na fase de item auditável — e é exatamente o tipo de pendência que aparece em due diligence de contrato grande, em questionário de segurança de cliente corporativo e em investigação pós-incidente.

As bases legais do artigo 33 na prática

A LGPD lista hipóteses que autorizam a transferência internacional. Na vida real de uma empresa que consome SaaS, três delas concentram quase todos os casos, e as demais são exceções pontuais:

• Decisão de adequação (art. 33, I) — quando a ANPD reconhece que o país de destino oferece grau de proteção adequado. É o caminho mais confortável, porque dispensa instrumento contratual específico. O problema prático: a lista de países adequados ainda é curta e não cobre os destinos mais usados pelo mercado brasileiro. Não vale supor adequação porque a União Europeia reconheceu — decisão europeia não vincula a autoridade brasileira.
• Garantias oferecidas pelo controlador (art. 33, II) — a via majoritária. Aqui entram as cláusulas-padrão contratuais da ANPD, as cláusulas contratuais específicas submetidas à aprovação da autoridade, as normas corporativas globais (para transferência dentro do mesmo grupo econômico) e os selos/certificados reconhecidos.
• Consentimento específico e destacado (art. 33, VIII) — base frágil para operação recorrente. Exige informação prévia sobre o caráter internacional da transferência, é revogável a qualquer momento e não serve para sustentar infraestrutura crítica. Usar consentimento como base para o e-mail corporativo da empresa é receita de operação que para no dia em que um titular revoga.

Existem ainda as hipóteses de cooperação jurídica internacional, proteção da vida, execução de política pública, autorização específica da ANPD e cumprimento de obrigação legal. São reais, mas raramente sustentam uma contratação comercial de nuvem. Se o seu mapeamento apontar que metade dos fornecedores está apoiada em "cumprimento de obrigação legal", provavelmente o enquadramento foi feito para caber, não para resistir a questionamento.

Cláusulas-padrão da ANPD: o que muda no contrato

As cláusulas-padrão contratuais aprovadas pela ANPD funcionam como um anexo pré-fabricado: o texto é definido pela autoridade e deve ser incorporado ao contrato na íntegra, sem alteração do conteúdo. Isso é deliberado — a força do instrumento vem justamente da padronização. Você pode adicionar cláusulas comerciais complementares, desde que não contradigam nem esvaziem as obrigações do modelo. Cláusula de limitação de responsabilidade que anule o dever de notificar incidente, por exemplo, é o tipo de "ajuste" que derruba a validade do arranjo.

Do lado operacional, incorporar as cláusulas obriga a empresa a preencher informações que muita gente descobre não ter: finalidade específica do tratamento, categorias de dados e de titulares envolvidos, prazo de retenção, países de destino, medidas de segurança adotadas pelo importador e regras de subcontratação. Não dá para preencher esse anexo sem antes ter feito o inventário de tratamento. Na prática, a cláusula-padrão vira o teste de realidade do mapeamento de dados.

Se você não consegue preencher o anexo das cláusulas-padrão sem consultar o fornecedor, o problema não é jurídico — é de governança de dados. O contrato está apenas expondo a lacuna que já existia.

Um cuidado recorrente: muitos fornecedores globais oferecem um DPA (Data Processing Addendum) próprio, geralmente construído sobre as SCCs europeias. Esse documento é um bom ponto de partida e cobre boa parte das obrigações materiais, mas SCC europeia não substitui automaticamente a cláusula-padrão brasileira. Trate como camadas complementares: o DPA global endereça o padrão do fornecedor, o anexo da ANPD endereça a exigência brasileira.

Mapa de subprocessadores: o elo que ninguém audita

O erro mais caro nesse assunto não está no contrato principal, está um nível abaixo. Você contrata um SaaS de atendimento; ele usa um provedor de nuvem para hospedagem, um serviço de e-mail transacional, uma ferramenta de analytics, um provedor de IA para sugerir respostas e um serviço de armazenamento de anexos. Cada um desses é um subprocessador, cada um pode estar em jurisdição diferente, e o titular do dado continua sendo seu cliente.

Um mapa de subprocessadores minimamente utilizável precisa registrar, por fornecedor:

1. Razão social, país de constituição e país efetivo de processamento (que muitas vezes divergem).
2. Categorias de dados pessoais tratadas e se há dado sensível envolvido.
3. Base legal do artigo 33 aplicada e o instrumento que a sustenta — cláusula-padrão assinada, norma corporativa global, decisão de adequação.
4. Lista de subprocessadores declarada pelo fornecedor e onde ela é publicada.
5. Compromisso de notificação prévia em caso de troca de subprocessador, com direito de objeção.
6. Prazo contratual de notificação de incidente de segurança e canal de contato do encarregado.

Esse mapa não é documento de prateleira. Fornecedores globais alteram a lista de subprocessadores com frequência e a notificação costuma chegar por e-mail genérico ou por atualização silenciosa de página web. Sem alguém responsável por revisar periodicamente, a empresa descobre que um novo subprocessador entrou na cadeia só quando o incidente já aconteceu. Uma revisão trimestral, ancorada no inventário, resolve a maior parte do risco.

Roteiro de adequação em seis passos

Para sair do diagnóstico e chegar ao contrato assinado, o caminho que funciona é sequencial e não depende de projeto de um ano:

• Inventariar — levantar todo SaaS e serviço de nuvem em uso, incluindo shadow IT contratado por cartão corporativo de área de negócio. Ferramentas de descoberta em firewall, proxy e faturamento acham mais coisa que questionário interno.
• Classificar — separar o que trata dado pessoal do que não trata, e destacar dado sensível, dado de criança e adolescente, e volume relevante de titulares. Nem todo fornecedor merece o mesmo esforço.
• Enquadrar — para cada fornecedor com dado pessoal, definir a hipótese do artigo 33 e registrar a justificativa por escrito.
• Instrumentalizar — negociar a incorporação das cláusulas-padrão da ANPD ou validar o instrumento equivalente já existente. Priorizar por criticidade, não por ordem alfabética.
• Documentar — consolidar mapa de subprocessadores, registro das operações de tratamento e avaliação de impacto onde o risco justificar.
• Monitorar — revisão periódica, gatilho de reavaliação em renovação contratual e processo definido para quando o fornecedor anunciar mudança de subprocessador ou de região de processamento.

Vale registrar o que essa adequação não resolve: cláusula contratual não protege dado de acesso indevido. Continuam necessários os controles técnicos — MFA obrigatório, gestão de identidade centralizada, criptografia, retenção de logs, DLP no que for crítico e política clara sobre o que pode ou não ser inserido em ferramenta de IA generativa. Compliance documental e segurança técnica são trilhas paralelas; falhar em qualquer uma delas produz o mesmo desfecho.

Como a Duk apoia esse processo

Adequação de transferência internacional é um trabalho de interseção: exige leitura jurídica, mas depende de quem conhece a topologia real de TI da empresa — onde cada dado está, quem tem acesso, qual tenant hospeda o quê, quais integrações existem e o que já foi contratado sem passar pelo departamento de tecnologia. Sem esse lado técnico, o jurídico preenche anexo com informação imprecisa; sem o jurídico, o time de TI mapeia bem e não formaliza nada.

Com mais de 18 anos de mercado e 550+ empresas atendidas, a Duk Informática & Cloud atua justamente nessa camada técnica: inventário de serviços em nuvem e shadow IT, mapeamento de fluxo de dados por aplicação, revisão de configuração de tenants Microsoft 365 e Azure, endurecimento de identidade e acesso, política de retenção e estratégia de backup com residência de dados definida. Como Microsoft Gold Partner, também organizamos a documentação de subprocessadores e regiões de processamento do ecossistema Microsoft, que costuma concentrar a maior parte do dado pessoal corporativo.

O objetivo é entregar ao jurídico — interno ou externo — um retrato fiel do ambiente, para que o enquadramento no artigo 33 e a incorporação das cláusulas-padrão sejam feitos sobre fatos verificáveis, e não sobre suposição. Usar SaaS estrangeiro é perfeitamente compatível com a LGPD. O que não é compatível é usar sem saber onde o dado está.