Uma nuvem soberana, em um processo de compra, é um serviço cujo operador, cujo direito aplicável e cujos acessos de administração são conhecidos, e cujos dados podem ser recuperados. A definição de marketing varia. Os critérios, por sua vez, cabem em uma grade.
Escrever “nuvem soberana” em uma consulta equivale a fazer uma pergunta à qual todo candidato responde sim. As respostas se tornam incomparáveis, e a escolha é feita pelo preço ou pela impressão deixada pela apresentação.
Uma grade obriga cada candidato a responder à mesma pergunta, com um documento comprobatório. Ela também protege o comprador após a assinatura: um compromisso escrito na resposta à consulta pode ser incorporado ao contrato, ao passo que um adjetivo não se controla. O conceito em si é explicado em o que é uma nuvem soberana. Esta página serve para a compra.
Adote esta.
Um serviço digital é tratado como soberano, para um comprador europeu, quando a empresa que o opera está sujeita a um direito europeu, quando os dados confiados e seus backups permanecem no perímetro geográfico declarado, quando os acessos de operação são identificados e quando o cliente pode exportar seus dados e depois mandar excluí-los.
Essa frase é uma ferramenta de trabalho. Ela não é um artigo do GDPR (Regulamento Geral sobre a Proteção de Dados da União Europeia). O regulamento define papéis — controlador, operador (processador) de dados —, transferências e direitos dos titulares. Ele não concede nenhum selo “soberano”.
Cada parte da frase remete a um ou mais dos critérios abaixo. É isso que a torna utilizável: é possível dividi-la em perguntas e pontuar as respostas.
Cada critério se comprova com um documento, não com um adjetivo.
Os dez critérios não têm o mesmo peso para todos os compradores. Para um serviço de e-mail e um compartilhamento de arquivos, os critérios 1, 3, 4, 5 e 9 costumam fazer a diferença entre as ofertas. O critério 10 é eliminatório quando exigido, e neutro caso contrário. Defina a ponderação antes de abrir as respostas, não depois.
O local não equivale ao direito. Um datacenter em Frankfurt operado por uma empresa americana continua sendo um serviço dessa empresa. O CLOUD Act americano visa os dados detidos por um prestador sujeito às jurisdições dos Estados Unidos, qualquer que seja o país do disco. Veja proteger uma empresa do CLOUD Act e a comparação nuvem europeia ou nuvem americana.
O direito europeu não equivale à ausência de requisição. Um juiz francês, alemão ou neerlandês pode ordenar a entrega de dados a um operador sob sua jurisdição. A diferença está no juiz, no procedimento e nas vias de recurso. Uma grade que deixasse supor o contrário induziria o comprador ao erro.
O software e o operador são coisas distintas. O Nextcloud é desenvolvido pela Nextcloud GmbH, na Alemanha. O Zimbra é desenvolvido pela Synacor, nos Estados Unidos. A BlueMind é uma empresa francesa. Nos três casos, a soberania do seu serviço depende de quem o instala, de quem faz o backup e de quem atende o telefone. A nacionalidade do fornecedor do software importa sobretudo se ele tiver acesso aos dados: nesse caso, ela é tratada no critério 7.
O SecNumCloud é restrito. É uma qualificação da ANSSI, oferta por oferta, com um perímetro e uma data de término. Costuma ser exigida para dados sensíveis do Estado. É desproporcional como critério único para uma PME que procura um serviço de e-mail e um compartilhamento de arquivos. É insuficiente se for invocada sem a leitura da decisão.
Nenhuma oferta cobre todos os usos do Microsoft 365. O Excel avançado, o Power BI, o ecossistema Teams e os complementos de negócio não têm equivalente geral entre os operadores europeus. O critério soberano não resolve essa questão. Ele se soma a ela. Se esses usos forem centrais, a grade pode levar a manter o Microsoft 365 com pleno conhecimento de causa: veja Microsoft 365 diante de uma solução soberana.
Substitua “nuvem soberana” pelos dez critérios, cada um com uma prova esperada. Você poderá então comparar uma oferta Microsoft com fronteira europeia de dados, uma oferta Google com região de dados, uma oferta suíça como a Infomaniak e uma oferta operada na França. O comparativo se torna uma leitura de provas, e não uma batalha de adjetivos.
| Critério | Pergunta feita ao candidato | Documento esperado |
|---|---|---|
| 1. Empresa operadora | Qual empresa opera o serviço, e quem a controla? | Certidão de registro, organograma do grupo |
| 2. Direito do contrato | Qual lei, qual foro? | Cláusula das condições gerais e do acordo de tratamento |
| 3 e 4. Perímetro e local | Quais categorias de dados, em quais países? | Tabela por categoria: conteúdo, backups, logs, suporte |
| 5. Administração | Quem administra, de onde, com qual rastro? | Descrição das equipes e do registro em log |
| 6. Chaves | Quem pode descriptografar, e em quais casos? | Descrição do esquema de criptografia |
| 7. Subcontratados | Quem recebe uma cópia ou um acesso? | Lista nominal com países |
| 8. Autoridades | O que vocês fazem diante de um pedido? | Procedimento por escrito |
| 9. Reversibilidade | Como recuperamos tudo, e em quanto tempo? | Procedimento de exportação, formatos, teste |
| 10. Qualificação | A oferta proposta é qualificada? | Referência ao catálogo da ANSSI, se exigida |
O detalhe do critério geográfico isoladamente é tratado em O que significa realmente “dados hospedados na Europa”.
Caso hipotético. Uma empresa de serviços de médio porte renova seu serviço de e-mail e seu compartilhamento de arquivos. A primeira versão do caderno de encargos pede “uma solução de nuvem soberana hospedada na Europa”. Os três candidatos respondem sim.
A diretoria de TI reescreve a consulta com a grade. As respostas se tornam legíveis. O primeiro candidato hospeda na Europa, mas pertence a um grupo sujeito ao direito americano: critério 1 não atendido, critérios 3 e 4 bem documentados. O segundo é uma empresa europeia, mas confia o suporte noturno a um subcontratado fora da zona: critério 5 a negociar. O terceiro atende aos critérios jurídicos, mas não cobre um uso de negócio: a diretoria precisa arbitrar. A grade não escolheu no lugar da empresa. Ela tornou a escolha explícita.
Não. O GDPR não concede nenhum selo “soberano”. O SecNumCloud é uma qualificação de oferta concedida pela ANSSI, e não uma definição geral. A definição proposta aqui é uma ferramenta de trabalho para um comprador.
Em geral, não. O critério diz respeito à empresa que opera e à empresa que a controla. Uma subsidiária pode faturar em euros e hospedar na Europa e ainda assim pertencer a um grupo sujeito ao direito americano. A página nuvem europeia ou nuvem americana detalha essa diferença.
É preciso apresentar todos, para obter respostas comparáveis. O peso de cada um, por outro lado, depende dos seus dados e das suas obrigações. Uma ponderação definida com antecedência evita ajustar a grade ao candidato preferido.
Sim, e é aí que está o interesse dela. Os mecanismos de residência de dados desses fornecedores se avaliam pelos critérios 3 e 4. A nacionalidade do fornecedor se avalia pelo critério 1. As páginas GDPR e Microsoft 365 e GDPR e Google Workspace aplicam essas perguntas.
A Klytic atende a uma parte da grade e não a outra. O operador é a Dedicace Software, empresa francesa. O cliente escolhe uma hospedagem Klytic em qualquer zona geográfica correspondente à jurisdição aplicável, sujeita à disponibilidade dos serviços necessários, por exemplo na Europa ou em Maurício, ou nos servidores do cliente. O fornecedor do software de e-mail é americano (Zimbra / Synacor), o dos documentos é alemão (Nextcloud), com uma instância dedicada por cliente.
Quanto ao critério das chaves, os dados são detidos inteiramente pelo cliente, ou pela Klytic em nome do cliente, em uma zona geográfica sujeita à jurisdição aplicável. Eles são criptografados nativamente, ou conforme a escolha do cliente. A chave é detida pelo cliente ou guardada na conta dele, e a Klytic não tem acesso a ela. As etapas em que a criptografia é gerenciada pela Klytic são detalhadas na página proteger uma empresa do CLOUD Act. O contrato deve descrever essa posse e essa criptografia.
A Klytic não possui qualificação SecNumCloud. Apresentá-la de outra forma seria inexato.
Esta página descreve um quadro geral. Ela não substitui a análise do seu contrato.
Situação jurídica em 5 de outubro de 2026. Este texto não substitui a análise de um contrato. A decisão de adequação UE–Estados Unidos (UE) 2023/1795 está em vigor. Ela está sendo contestada. O catálogo da ANSSI é a referência para o SecNumCloud.
Consultadas em outubro de 2026.
E-mail, documentos, videoconferência, CRM e telefonia, hospedados na região que corresponde à sua jurisdição, por exemplo na Europa ou em Maurício, ou nas suas instalações.
Oferta de boas-vindas
Oferta de teste sem compromisso. Um consultor entra em contato para entender suas necessidades e preparar seu espaço Klytic.
