☁️ Dados na nuvem: sua empresa sabe onde eles realmente são processados?

Dados na nuvem: sua empresa sabe onde eles realmente são processados?

Sistemas de gestão, inteligência artificial, e-mail e armazenamento podem utilizar infraestrutura localizada fora do Brasil; conhecer o caminho das informações passou a fazer parte dos controles internos e da governança de dados

Por Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade

A empresa contrata um sistema de um fornecedor brasileiro, acessa a plataforma em português, recebe suporte no País e paga a mensalidade em reais. Ainda assim, parte das informações utilizadas naquele serviço pode ser armazenada, processada ou copiada em infraestrutura localizada no exterior.

O mesmo pode acontecer com e-mail corporativo, armazenamento em nuvem, sistemas de gestão, CRM, assinatura eletrônica, videoconferência, plataformas de atendimento, integrações e ferramentas de inteligência artificial.

Para o usuário, toda a operação acontece dentro de uma única tela. Por trás dela, porém, um dado pode passar por diferentes servidores, prestadores e países antes de retornar à empresa.

Isso não significa que utilizar serviços internacionais seja inadequado. O problema aparece quando a empresa não sabe quais dados está enviando, quem participa do processamento, onde as informações podem circular e como serão recuperadas quando necessário.

Com a expansão da computação em nuvem e da inteligência artificial, essa deixou de ser apenas uma questão técnica.

Passou a ser uma questão de governança, contratos, continuidade operacional, proteção de dados e controle da informação empresarial.

Estar na nuvem não significa estar em um único lugar

A palavra “nuvem” dá a impressão de que as informações simplesmente foram retiradas do computador da empresa e colocadas em algum ambiente virtual.

Na prática, serviços em nuvem dependem de infraestrutura física.

Eles utilizam centros de dados, servidores, bancos de dados, redes, sistemas de backup e mecanismos de recuperação distribuídos em diferentes localidades.

Uma plataforma pode utilizar:

• infraestrutura própria;
• provedores de computação em nuvem;
• centros de dados em diferentes regiões;
• backup em outra localidade;
• serviços de autenticação;
• APIs externas;
• mecanismos de monitoramento;
• ferramentas de inteligência artificial;
• subcontratados.

A empresa não precisa conhecer cada equipamento envolvido.

Precisa conhecer o suficiente para compreender onde estão os riscos relevantes e quem participa do tratamento das informações.

O endereço do fornecedor não revela onde estão os dados

Uma empresa brasileira pode utilizar infraestrutura estrangeira.

Uma empresa estrangeira pode manter determinadas cargas de trabalho no Brasil.

Por isso, o país onde o fornecedor possui escritório, CNPJ ou equipe comercial não responde sozinho à pergunta sobre localização e processamento dos dados.

Em serviços relevantes, a empresa deveria verificar:

• local principal de armazenamento;
• regiões de processamento;
• localização de backups;
• principais subcontratados;
• possibilidade de transferência internacional;
• configurações disponíveis ao cliente;
• procedimentos de recuperação.

Essa análise ganha importância à medida que sistemas externos passam a concentrar atividades essenciais da operação.

Transferência internacional de dados não é proibida pela LGPD

Um dos erros mais comuns é tratar qualquer processamento fora do Brasil como irregular.

A Lei Geral de Proteção de Dados permite a transferência internacional de dados pessoais nas hipóteses previstas na legislação.

A Autoridade Nacional de Proteção de Dados regulamentou o tema pela Resolução CD/ANPD nº 19/2024, estabelecendo mecanismos e salvaguardas para essas operações.

Portanto, duas afirmações simplistas devem ser evitadas:

“Se o servidor está fora do Brasil, não podemos utilizar.”

e

“Como o sistema está na nuvem, não precisamos saber onde os dados estão.”

O caminho correto está entre esses extremos.

A empresa precisa conhecer a operação e verificar se a transferência ocorre de forma compatível com a LGPD e com os mecanismos aplicáveis.

Como identificar uma transferência internacional de dados

A análise começa pela operação concreta.

Uma empresa pode estar realizando transferência internacional quando dados pessoais são disponibilizados, enviados ou tratados fora do território nacional nas situações previstas pela regulamentação.

Isso pode ocorrer, por exemplo, quando:

• documentos são armazenados em infraestrutura estrangeira;
• backups ficam em centros de dados de outro país;
• equipe internacional possui acesso às informações;
• um sistema brasileiro utiliza infraestrutura no exterior;
• ferramenta de IA processa comandos fora do Brasil;
• aplicação envia informações para uma API estrangeira;
• grupo econômico compartilha dados entre empresas de países diferentes;
• fornecedor utiliza subcontratado localizado no exterior.

O ponto central é observar o fluxo real.

A marca da plataforma, o idioma da interface ou o país do vendedor não determinam, isoladamente, onde ocorre o processamento.

Antes de perguntar onde os dados ficam, descubra quais dados estão sendo enviados

A localização é apenas uma parte da análise.

A empresa precisa primeiro conhecer o conteúdo que coloca dentro das plataformas.

Uma ferramenta utilizada somente para conteúdo público apresenta risco muito diferente de um sistema que recebe:

• CPF;
• endereço;
• telefone;
• dados de clientes;
• dados bancários;
• folha de pagamento;
• informações de dependentes;
• documentos pessoais;
• informações de saúde;
• dados biométricos;
• contratos identificados;
• cadastros completos.

Quanto maior a sensibilidade, o volume ou a relevância da informação, maior deve ser o nível de controle.

Além da LGPD, podem existir obrigações decorrentes de:

• contratos;
• cláusulas de confidencialidade;
• sigilo profissional;
• segredo empresarial;
• propriedade intelectual;
• regras específicas do setor.

Uma empresa que não sabe quais informações utiliza terá dificuldade para avaliar adequadamente qualquer fornecedor de tecnologia.

Inteligência artificial tornou o fluxo de dados menos visível

O crescimento da inteligência artificial generativa adicionou novas camadas à infraestrutura empresarial.

Um trabalhador pode inserir em uma plataforma:

• texto;
• documento;
• planilha;
• imagem;
• áudio;
• contrato;
• base de informações.

Para ele, o processo parece simples: envia um arquivo e recebe uma resposta.

Mas diferentes empresas podem participar da operação.

Uma solução pode combinar:

1. interface de um fornecedor;
2. infraestrutura de nuvem de outro;
3. modelo de inteligência artificial fornecido por terceiro;
4. banco de dados externo;
5. serviços complementares.

Isso torna necessária uma mudança de perspectiva.

A pergunta não deveria ser apenas:

“Qual ferramenta estamos utilizando?”

Também deveria incluir:

“Quais serviços participam do processamento das nossas informações?”

O nome que aparece na tela pode ser apenas uma parte da cadeia

A tecnologia empresarial funciona cada vez mais por meio de integrações.

Um sistema contratado pode utilizar serviços externos para:

• autenticação;
• armazenamento;
• processamento;
• envio de e-mails;
• pagamentos;
• inteligência artificial;
• análise de dados;
• monitoramento;
• segurança.

Nem todos esses participantes necessariamente terão acesso humano às informações.

Mas a existência dessa cadeia importa para a governança.

Quanto mais crítico for o processo, maior deve ser o conhecimento sobre os principais fornecedores envolvidos.

Não é razoável exigir que uma pequena empresa investigue toda a infraestrutura global de um software.

É razoável exigir que ela saiba quem processa suas informações críticas e quais garantias estão associadas a esse processamento.

Termos de uso e políticas de privacidade passaram a ter impacto operacional

Em muitos serviços digitais, a contratação acontece rapidamente.

Um usuário cria a conta, aceita os termos e começa a trabalhar.

Esse modelo pode fazer com que decisões relevantes de segurança e privacidade sejam tomadas sem análise.

Antes de inserir informações empresariais relevantes em uma ferramenta, é recomendável verificar:

• quais dados são coletados;
• para quais finalidades;
• onde são processados;
• quais subcontratados relevantes participam;
• como funciona a retenção;
• como solicitar exclusão;
• quais medidas de segurança existem;
• se o conteúdo pode ser utilizado para treinamento de modelos;
• como funciona a transferência internacional;
• como exportar os dados;
• o que acontece após o encerramento do contrato.

Esse cuidado é especialmente importante quando contas pessoais ou planos gratuitos são utilizados para atividades profissionais.

A empresa pode ter opção de escolher a região e nem saber

Algumas plataformas corporativas permitem definir regiões específicas de armazenamento ou processamento.

Outras determinam essa configuração automaticamente.

Em determinados serviços, a opção pode variar conforme:

• plano contratado;
• funcionalidade;
• país do cliente;
• configuração administrativa;
• tipo de informação.

Por isso, não é recomendável presumir a localização dos dados.

A empresa deve consultar a documentação da versão e do plano que realmente utiliza.

Backup pode estar em outro país mesmo quando o ambiente principal está no Brasil

A localização do ambiente principal não revela necessariamente toda a estrutura.

Um fornecedor pode utilizar outra região para:

• backup;
• redundância;
• recuperação de desastre;
• continuidade operacional.

Isso pode aumentar a resiliência do serviço.

Mas também mostra por que uma pergunta genérica como “onde está o servidor?” pode ser insuficiente.

É importante diferenciar:

• ambiente principal;
• backup;
• redundância;
• recuperação de desastre;
• processamento auxiliar;
• suporte.

Governança de dados exige entender o fluxo, e não apenas localizar um único servidor.

A migração para a nuvem costuma acontecer aos poucos e sem inventário

Muitas empresas não realizam uma grande migração de uma só vez.

Primeiro, mudam o e-mail.

Depois, armazenam documentos na nuvem.

Em seguida, contratam ERP, CRM, assinatura eletrônica, folha, atendimento, ferramentas de IA e automações.

Alguns anos depois, existem dezenas de serviços e ninguém possui uma visão consolidada de onde estão as informações.

Um inventário simples pode registrar:

• plataforma;
• fornecedor;
• finalidade;
• responsável interno;
• tipos de dados;
• criticidade;
• integrações;
• localização conhecida;
• existência de transferência internacional;
• procedimento de backup;
• possibilidade de exportação;
• data da última revisão.

O objetivo inicial não é criar um documento complexo.

É permitir que a empresa responda:

quais plataformas concentram nossas informações mais importantes?

Ferramentas abandonadas também representam risco

Outro problema surge quando a empresa deixa de utilizar determinado serviço, mas não encerra corretamente sua relação com ele.

Dados podem permanecer armazenados em:

• contas antigas;
• ferramentas de teste;
• plataformas substituídas;
• contas pessoais;
• sistemas de fornecedores anteriores.

A desativação deve incluir a verificação de:

• exportação das informações;
• exclusão ou retenção;
• encerramento de usuários;
• integrações;
• tokens;
• acessos;
• backups existentes.

Uma ferramenta que deixou de ser utilizada não deveria permanecer indefinidamente como um repositório esquecido de dados empresariais.

O tratamento internacional também precisa aparecer nos contratos

Quando há transferência internacional de dados pessoais, a organização precisa avaliar quais mecanismos jurídicos são aplicáveis.

A regulamentação da ANPD prevê instrumentos como cláusulas-padrão contratuais, cláusulas específicas, normas corporativas globais e decisões de adequação, entre outros mecanismos previstos pela legislação.

Isso torna a contratação tecnológica uma atividade que pode envolver diferentes áreas.

Dependendo do risco e da natureza do serviço, podem precisar participar:

• tecnologia;
• jurídico;
• proteção de dados;
• segurança;
• gestão;
• área responsável pelo processo.

O contrato comercial sozinho não substitui a análise da operação.

Estar fora do Brasil não significa automaticamente estar menos protegido

Outro equívoco é pressupor que dados armazenados no exterior estejam necessariamente menos seguros.

A segurança depende de fatores como:

• arquitetura;
• controles;
• criptografia;
• autenticação;
• gestão de acessos;
• monitoramento;
• redundância;
• resposta a incidentes;
• governança do fornecedor.

Da mesma forma, o fato de os dados estarem fisicamente no Brasil não significa, por si só, que estejam adequadamente protegidos.

Localização e segurança são questões relacionadas, mas não equivalentes.

Uma análise madura precisa considerar ambas.

Continuidade operacional também depende de saber onde estão os dados

A discussão não termina na privacidade.

Imagine que um fornecedor fique indisponível.

A empresa precisa saber:

• existe cópia?
• quem pode solicitar a recuperação?
• em qual região está o backup?
• quanto tempo a restauração demora?
• os dados podem ser exportados?
• existe formato utilizável em outro sistema?
• qual histórico pode ser recuperado?

Essas perguntas aproximam governança de dados de continuidade empresarial.

Uma informação protegida, mas impossível de recuperar quando necessária, também representa um problema.

A contabilidade depende de uma cadeia de dados cada vez mais distribuída

O fluxo contábil moderno deixou de começar e terminar dentro de um único sistema.

Informações podem vir de:

• ERP;
• bancos;
• sistemas fiscais;
• folha;
• vendas;
• plataformas de documentos;
• integrações;
• sistemas de clientes;
• armazenamento em nuvem.

Isso aumentou a velocidade e reduziu atividades manuais.

Também tornou a contabilidade dependente da disponibilidade, integridade e rastreabilidade de informações processadas em diferentes ambientes.

Uma falha pode afetar:

• conciliações;
• fechamento;
• documentos;
• lançamentos;
• demonstrações;
• obrigações acessórias;
• indicadores;
• tomada de decisão.

Na avaliação de Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade, conhecer o fluxo tecnológico das informações passou a integrar os controles internos das empresas.

“A organização não precisa conhecer a localização física de cada servidor utilizado pelos fornecedores, mas precisa saber quais sistemas concentram informações críticas, quem participa do processamento e como esses dados podem ser recuperados. Quanto maior a dependência da tecnologia, maior deve ser a capacidade de rastrear a origem, a circulação e o destino das informações.”

A empresa também precisa planejar como sair da nuvem contratada

Toda contratação relevante deveria considerar o encerramento.

Antes de depender intensamente de uma plataforma, a empresa deve entender:

• como exportar seus dados;
• em qual formato;
• qual histórico ficará disponível;
• quanto tempo a extração demora;
• se há custo;
• o que ocorre com os backups;
• por quanto tempo os dados permanecem após a rescisão;
• quando as informações serão eliminadas;
• quais integrações precisam ser encerradas.

O momento de descobrir essas condições não deve ser durante uma migração emergencial.

Cinco perguntas antes de colocar dados em uma nova plataforma

1. Que dados serão enviados?

Começar pelos dados ajuda a dimensionar o risco.

2. Onde serão armazenados e processados?

Verificar documentação, contrato e configurações aplicáveis.

3. Quem mais participa da operação?

Identificar os principais subcontratados e integrações relevantes.

4. Como recuperamos, exportamos ou excluímos essas informações?

Entrada e saída precisam ser conhecidas desde a contratação.

5. Quem é responsável internamente pelo sistema?

Toda plataforma relevante precisa ter um responsável pelo acompanhamento.

Sinais de que a empresa perdeu visibilidade sobre os próprios dados

• ninguém sabe quantas plataformas são utilizadas;
• funcionários trabalham com contas pessoais;
• sistemas são contratados diretamente pelos departamentos;
• ninguém sabe onde ficam os backups;
• não existe inventário de ferramentas;
• a empresa desconhece integrações;
• não há responsável por determinada plataforma;
• sistemas antigos ainda armazenam informações;
• ninguém sabe exportar os dados;
• ferramentas de IA recebem documentos sem política definida;
• contratos tecnológicos nunca são revistos;
• ninguém consegue dizer quais plataformas concentram dados pessoais.

Quando vários desses sinais aparecem, contratar mais uma ferramenta pode aumentar a desorganização.

O primeiro passo deveria ser mapear o ambiente existente.

Perguntas frequentes

Dados armazenados na nuvem podem ficar fora do Brasil?

Sim. Dependendo do fornecedor, da arquitetura e das configurações contratadas, as informações podem ser armazenadas, copiadas ou processadas em infraestrutura localizada em outros países. Por isso, empresas devem verificar a documentação específica dos serviços utilizados.

É proibido armazenar dados pessoais de brasileiros no exterior?

Não. A LGPD admite a transferência internacional de dados pessoais nas hipóteses previstas em lei. A ANPD regulamentou os mecanismos aplicáveis por meio da Resolução CD/ANPD nº 19/2024.

Se o fornecedor é brasileiro, os dados ficam obrigatoriamente no Brasil?

Não. Uma empresa brasileira pode contratar infraestrutura, serviços de nuvem ou outros fornecedores internacionais. O país de constituição da empresa fornecedora não determina sozinho onde os dados são processados.

Ferramentas de inteligência artificial podem processar dados fora do Brasil?

Sim, dependendo da arquitetura da plataforma. Uma solução pode utilizar modelos, infraestrutura e serviços auxiliares localizados em diferentes países. Por isso, documentos empresariais não devem ser inseridos sem avaliação das condições aplicáveis ao serviço.

A empresa precisa saber em qual servidor físico cada informação está?

Não necessariamente. Para a maioria das empresas, é mais importante conhecer os países ou regiões relevantes, os principais fornecedores envolvidos, os mecanismos de proteção, a existência de transferência internacional e as condições de recuperação dos dados.

Dados no exterior são menos seguros?

Não necessariamente. A localização geográfica, isoladamente, não determina a segurança. Devem ser considerados controles de acesso, criptografia, arquitetura, monitoramento, backups, resposta a incidentes e governança do fornecedor.

Como começar a mapear dados utilizados na nuvem?

Comece pelos sistemas mais críticos. Registre ferramenta, fornecedor, finalidade, dados tratados, responsável, integrações, localização conhecida, possibilidade de transferência internacional, mecanismos de backup e capacidade de exportação. Depois amplie o inventário gradualmente.

Fontes consultadas

Agência Nacional de Proteção de Dados - ANPD
Transferência Internacional de Dados. Orientações institucionais sobre mecanismos aplicáveis às transferências internacionais de dados pessoais.
https://www.gov.br/anpd/pt-br/assuntos/assuntos-internacionais/transferencia-internacional-de-dados

Agência Nacional de Proteção de Dados - ANPD
Resolução CD/ANPD nº 19, de 23 de agosto de 2024 - Regulamento de Transferência Internacional de Dados.

Agência Nacional de Proteção de Dados - ANPD
Materiais institucionais sobre computação em nuvem, segurança e proteção de dados pessoais.

Agência Nacional de Proteção de Dados - ANPD
Radar Tecnológico sobre Inteligência Artificial Generativa.

Presidência da República
Lei nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais.
https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm