Uma nuvem europeia e uma nuvem americana se distinguem primeiro pela empresa que controla o serviço, depois pelo direito que se aplica a essa empresa e só então pelo país dos servidores. Duas salas idênticas em Frankfurt podem estar sujeitas a dois direitos diferentes.
Muitas vezes se comparam mapas de datacenters: Paris, Dublin, Frankfurt. É fácil, e responde a uma pergunta secundária. Para saber quem pode ser obrigado a entregar os seus dados, é preciso olhar para a empresa que os detém e para o direito ao qual ela responde. A comparação útil opõe duas posições jurídicas, e não dois países, e não aponta um vencedor: a escolha certa depende dos usos da empresa. O conceito de soberania é explicado em o que é uma nuvem soberana, e a grade de compra em definição, critérios e limites. Esta página compara.
A Microsoft e o Google são empresas constituídas segundo o direito americano. Seus contratos europeus, suas subsidiárias e seus datacenters na União não fazem esse fato desaparecer. Quando uma autoridade americana se dirige a elas com base no direito americano, a pergunta passa a ser: a empresa tem a posse ou o controle dos dados, inclusive quando os discos estão na Europa?
O CLOUD Act, lei americana de 2018, responde para os prestadores sujeitos às jurisdições dos Estados Unidos: uma ordem válida pode visar dados detidos pelo prestador, qualquer que seja o local de armazenamento. Não é um acesso permanente. É um procedimento. O ponto prático para o comprador está em outro lugar: o local europeu do disco não retira o prestador americano desse procedimento.
Essas empresas oferecem mecanismos reais de localização. A Microsoft descreve uma fronteira europeia de dados (EU Data Boundary) para serviços elegíveis: dados de clientes e dados pessoais pseudonimizados armazenados e processados na UE ou na AELC, dados de serviços profissionais armazenados em repouso, com exceções documentadas (acesso remoto do suporte, certos escalonamentos, funções opcionais, clientes Multi-Geo fora do perímetro). O Google oferece regiões de dados para conteúdos cobertos, conforme a edição, e um controle de acesso do suporte (Access Management) reservado a edições e opções específicas. Esses mecanismos reduzem os fluxos. Eles não mudam a nacionalidade do fornecedor do software.
Um fornecedor de software americano que atende clientes europeus fica entre dois direitos. O direito americano pode obrigá-lo a entregar dados que ele controla. O GDPR (Regulamento Geral sobre a Proteção de Dados da União Europeia) prevê em seu artigo 48 que uma decisão de um tribunal ou de uma autoridade de um país terceiro que exija a transferência ou a divulgação de dados pessoais só pode ser reconhecida ou executada se tiver como base um acordo internacional, por exemplo um tratado de cooperação jurídica, em vigor entre esse país e a União ou o Estado-membro. O texto não diz como um fornecedor concilia essas duas exigências em um caso concreto: cabe ao prestador explicar sua prática, e ao cliente pedir que ele a explique.
O direito americano prevê um recurso. Segundo o 18 U.S.C. § 2703(h), o prestador pode pedir a anulação ou a modificação de uma ordem, nos 14 dias seguintes à sua notificação, se considerar que o cliente não é uma “United States person”, não reside nos Estados Unidos, e que a divulgação o exporia a um risco sério de violar o direito de um “governo estrangeiro qualificado”. Trata-se de um Estado ligado aos Estados Unidos por um acordo executivo que entrou em vigor. O Departamento de Justiça americano publica acordos com o Reino Unido (assinado em 3 de outubro de 2019) e a Austrália (assinado em 15 de dezembro de 2021). Nenhum acordo está em vigor com a União Europeia; as negociações UE–Estados Unidos sobre prova eletrônica foram retomadas em 2023; a página do Departamento não menciona nenhum acordo com a França. Ora, esse mecanismo específico de contestação pressupõe um acordo desse tipo.
A questão foi levantada publicamente na França. Em 10 de junho de 2025, perante a comissão de inquérito do Senado sobre compras públicas, o diretor de assuntos públicos e jurídicos da Microsoft France foi questionado sobre sua capacidade de garantir, sob juramento, que os dados dos cidadãos franceses confiados à Microsoft por meio da Ugap nunca seriam transmitidos, em decorrência de uma ordem do governo americano, sem o consentimento explícito das autoridades francesas. Ele respondeu: “Não, não posso garantir isso, mas, mais uma vez, isso nunca aconteceu.” A resposta contém os dois elementos do debate: uma garantia que a empresa não pode dar, e um caso que, segundo ela, não ocorreu.
Uma nuvem europeia, no sentido útil do termo, é operada por uma empresa constituída segundo o direito europeu, que não depende de um grupo sujeito a uma obrigação americana de entrega dos dados. A OVHcloud é uma empresa francesa. A Nextcloud GmbH é uma empresa alemã: ela desenvolve um software, que o cliente ou um provedor de hospedagem opera. A BlueMind é uma empresa francesa de e-mail. A Infomaniak é uma empresa suíça: a Suíça está na Europa, fora da União Europeia, e se beneficia de uma decisão de adequação da Comissão. Classificá-la como “americana” seria errado. Classificá-la como “União Europeia” também seria errado.
O direito europeu não é um escudo único. Um operador francês responde ao direito francês, um operador alemão ao direito alemão. Os pedidos de autoridades existem. Eles passam pelo juiz e pelas regras do país do operador.
O caráter europeu também pode se perder na subcontratação: um operador europeu que confia backups, filtragem ou suporte a um prestador americano reintroduz aquilo que o comprador queria evitar. A página proteger uma empresa do CLOUD Act detalha esse ponto.
| Pergunta | Nuvem de fornecedor americano, dados na Europa | Nuvem operada por uma empresa europeia |
|---|---|---|
| Onde estão os discos? | Muitas vezes à escolha, em uma região da UE, com exceções por escrito | Conforme o contrato: França, Alemanha, outro país da UE, ou nas instalações do cliente |
| Quem pode ser intimado nos Estados Unidos a entregar os dados que controla? | O fornecedor americano, se tiver a posse ou o controle | Em princípio, o operador europeu não pode, salvo se depender de um grupo ou de um subcontratado que possa |
| Qual juiz para um pedido local? | Direito do contrato, muitas vezes complementado pelo direito americano do fornecedor | Direito do país do operador |
| As funções avançadas de escritório | Muito amplas (Office, Excel, Teams, ou Docs e a pesquisa Google) | Variáveis conforme o produto. Raramente equivalentes em Excel avançado, Power BI ou no ecossistema Teams |
| Saída dos dados | Ferramentas reais de exportação, históricos de chat e de automação muitas vezes parciais | A verificar oferta por oferta. A exportação de e-mail (IMAP) é em geral a mais simples |
Nenhuma coluna vence em tudo: o fornecedor americano leva vantagem na amplitude das funções, o operador europeu na posição jurídica. Decidir é saber qual linha pesa mais para a sua empresa.
Mesmo com dados armazenados na Europa, um serviço de fornecedor americano envolve transferências (acesso do suporte, escalonamentos, funções opcionais), que devem se basear em um fundamento do GDPR.
O quadro anterior, o Privacy Shield (decisão 2016/1250), foi invalidado pelo Tribunal de Justiça da União Europeia em 16 de julho de 2020 (processo C-311/18, conhecido como Schrems II), em razão sobretudo da amplitude dos programas de vigilância americanos e da ausência de recurso efetivo. As cláusulas contratuais-padrão continuam válidas, mas exigem uma avaliação caso a caso.
Em 5 de outubro de 2026, as transferências para organizações americanas certificadas podem se apoiar na decisão de adequação (UE) 2023/1795, conhecida como Data Privacy Framework. Ela está em vigor. Ela é contestada, como observam os escritórios DAC Beachcroft e WilmerHale. Segundo este último, o Tribunal Geral da União Europeia rejeitou em 3 de setembro de 2025 um recurso de anulação, e um recurso foi interposto perante o Tribunal de Justiça em 31 de outubro de 2025. Uma empresa prudente documenta esse fundamento em seu registro e prevê o que fazer caso ele caia.
Ela continua pertinente quando o negócio depende de Excel avançado, Power BI, complementos do Office, Teams como padrão do setor ou dezenas de integrações já em produção. Trocar de ferramenta por um motivo jurídico e depois perder o uso que faz a empresa funcionar é um mau cálculo. A página Microsoft 365 diante de uma solução soberana detalha esse limiar.
Ela também continua pertinente quando a análise jurídica da transferência, o DPA e as opções de residência de dados atendem à necessidade real do registro. Muitas empresas europeias usam o Microsoft 365 ou o Google Workspace nesse quadro. Dizer isso faz parte de uma comparação honesta. As verificações a realizar são descritas em GDPR e Microsoft 365 e GDPR e Google Workspace.
Ele se torna pertinente quando a diretoria quer que a empresa que detém os e-mails e os arquivos seja uma empresa europeia, que o suporte seja acessível nesse quadro e que os usos caibam no e-mail, nos arquivos e em sua edição on-line, na videoconferência, em um CRM e em uma telefonia. Ele também se torna pertinente para uma implantação nas instalações do cliente, quando a empresa não quer nuvem alguma.
As duas opções não se excluem. Uma empresa pode manter uma suíte americana para os postos que dependem dela e confiar o restante a um operador europeu. Esse arranjo exige mais administração; ele se justifica quando a separação dos usos é nítida.
O guia As alternativas europeias ao Microsoft 365 analisa o Microsoft 365, o Google Workspace, a OVHcloud, o Nextcloud, a Infomaniak, outros atores e a Klytic, com o caso de uso de cada um.
Caso hipotético. Uma PME industrial tem duas unidades. O departamento de engenharia trabalha com Excel avançado e se comunica com seus contratantes pelo Teams. A oficina, as compras e a administração usam sobretudo o e-mail e pastas compartilhadas, onde ficam desenhos técnicos.
Um contratante pede que seus desenhos técnicos sejam detidos por uma empresa europeia. Para o departamento de engenharia, abandonar o Excel avançado e o Teams desorganizaria o trabalho com os clientes: a suíte americana continua justificada, com uma análise documentada da transferência. Para os desenhos e o e-mail dos demais setores, um operador europeu atende ao pedido sem perda de uso. A decisão segue as linhas da tabela, e não um princípio.
Não. O CLOUD Act visa os dados que um prestador sujeito ao direito americano detém ou controla, qualquer que seja o local de armazenamento. A região europeia reduz as transferências. Ela não muda a empresa que detém os dados.
Sim, se depender de um grupo sujeito a esse direito ou se confiar dados a um subcontratado que esteja sujeito a ele. É por isso que é preciso verificar a controladora e a lista de subcontratados, e não apenas o nome do operador.
Ele fornece um fundamento para as transferências para organizações americanas certificadas, à luz do GDPR. Está em vigor e é contestado. Ele não muda nem a nacionalidade do fornecedor do software nem o alcance da ordem prevista pelo direito americano.
A Klytic se enquadra na segunda coluna da tabela. Ela é operada pela Dedicace Software, empresa francesa. A hospedagem é possível em qualquer zona geográfica correspondente à jurisdição aplicável, sujeita à disponibilidade dos serviços necessários, por exemplo na Europa ou em Maurício, ou nos servidores do cliente.
O e-mail se baseia no Zimbra, desenvolvido pela Synacor nos Estados Unidos e operado pela Klytic. Os documentos se baseiam em uma instância Nextcloud dedicada por cliente. A Klytic não é qualificada SecNumCloud e não substitui o Excel avançado, o Power BI nem o Teams. Os serviços são contratados separadamente: uma empresa pode manter o Microsoft 365 e acrescentar apenas a filtragem Klytic MTA, posicionada à frente de seu serviço de e-mail. O detalhe da hospedagem está na página hospedagem e soberania.
Esta página descreve um quadro geral. Ela não substitui a análise do seu contrato.
Situação jurídica em 5 de outubro de 2026. Este texto não substitui a análise de um contrato. A decisão de adequação UE–Estados Unidos (UE) 2023/1795 está em vigor. Ela está sendo contestada. O catálogo da ANSSI é a referência para o SecNumCloud.
Consultadas em outubro de 2026.
E-mail, documentos, videoconferência, CRM e telefonia, hospedados na região que corresponde à sua jurisdição, por exemplo na Europa ou em Maurício, ou nas suas instalações.
Oferta de boas-vindas
Oferta de teste sem compromisso. Um consultor entra em contato para entender suas necessidades e preparar seu espaço Klytic.
