{"id":3924,"date":"2026-10-05T20:21:18","date_gmt":"2026-10-05T18:21:18","guid":{"rendered":"https:\/\/www.klytic.com\/?page_id=3924"},"modified":"2026-10-06T10:37:28","modified_gmt":"2026-10-06T08:37:28","slug":"nuvem-soberana-definicao","status":"publish","type":"page","link":"https:\/\/www.klytic.com\/pt-br\/nuvem-soberana-definicao\/","title":{"rendered":"Nuvem soberana: defini\u00e7\u00e3o, crit\u00e9rios e limites"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

In\u00edcio<\/a>\u203a<\/span>Guias<\/a>\u203a<\/span>Soberania<\/a><\/p>

Soberania<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Nuvem soberana: defini\u00e7\u00e3o, crit\u00e9rios e limites<\/h1>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Uma nuvem soberana, em um processo de compra, \u00e9 um servi\u00e7o cujo operador, cujo direito aplic\u00e1vel e cujos acessos de administra\u00e7\u00e3o s\u00e3o conhecidos, e cujos dados podem ser recuperados. A defini\u00e7\u00e3o de marketing varia. Os crit\u00e9rios, por sua vez, cabem em uma grade.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Atualizado em outubro de 2026<\/b><\/span>9 min<\/b> de leitura<\/span>Fontes oficiais citadas<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Por que uma grade em vez de um selo<\/h2>

Escrever \u201cnuvem soberana\u201d em uma consulta equivale a fazer uma pergunta \u00e0 qual todo candidato responde sim. As respostas se tornam incompar\u00e1veis, e a escolha \u00e9 feita pelo pre\u00e7o ou pela impress\u00e3o deixada pela apresenta\u00e7\u00e3o.<\/p>

Uma grade obriga cada candidato a responder \u00e0 mesma pergunta, com um documento comprobat\u00f3rio. Ela tamb\u00e9m protege o comprador ap\u00f3s a assinatura: um compromisso escrito na resposta \u00e0 consulta pode ser incorporado ao contrato, ao passo que um adjetivo n\u00e3o se controla. O conceito em si \u00e9 explicado em o que \u00e9 uma nuvem soberana<\/a>. Esta p\u00e1gina serve para a compra.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Uma defini\u00e7\u00e3o utiliz\u00e1vel<\/h2>

Adote esta.<\/p>

Um servi\u00e7o digital \u00e9 tratado como soberano, para um comprador europeu, quando a empresa que o opera est\u00e1 sujeita a um direito europeu, quando os dados confiados e seus backups permanecem no per\u00edmetro geogr\u00e1fico declarado, quando os acessos de opera\u00e7\u00e3o s\u00e3o identificados e quando o cliente pode exportar seus dados e depois mandar exclu\u00ed-los.<\/p><\/blockquote>

Essa frase \u00e9 uma ferramenta de trabalho. Ela n\u00e3o \u00e9 um artigo do GDPR (Regulamento Geral sobre a Prote\u00e7\u00e3o de Dados da Uni\u00e3o Europeia). O regulamento define pap\u00e9is \u2014 controlador, operador (processador) de dados \u2014, transfer\u00eancias e direitos dos titulares. Ele n\u00e3o concede nenhum selo \u201csoberano\u201d.<\/p>

Cada parte da frase remete a um ou mais dos crit\u00e9rios abaixo. \u00c9 isso que a torna utiliz\u00e1vel: \u00e9 poss\u00edvel dividi-la em perguntas e pontuar as respostas.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Dez crit\u00e9rios<\/h2>

Cada crit\u00e9rio se comprova com um documento, n\u00e3o com um adjetivo.<\/p>

  1. Empresa operadora.<\/strong> Raz\u00e3o social, pa\u00eds da sede e controladora. Uma subsidi\u00e1ria europeia de um grupo americano pode faturar em euros e ainda assim pertencer a um grupo sujeito ao direito americano. \u00c9 o crit\u00e9rio que determina a quem uma autoridade estrangeira pode se dirigir.<\/li>
  2. Direito do contrato.<\/strong> Lei aplic\u00e1vel e foro competente. Verifique se as condi\u00e7\u00f5es gerais e o acordo de tratamento de dados dizem a mesma coisa.<\/li>
  3. Per\u00edmetro dos dados.<\/strong> Conte\u00fado (e-mails, arquivos), backups, logs t\u00e9cnicos, dados de suporte. O conte\u00fado sozinho n\u00e3o basta: um compromisso que cobre apenas as caixas de correio deixa as c\u00f3pias de fora.<\/li>
  4. Local.<\/strong> Pa\u00eds ou regi\u00e3o para cada categoria do item 3. \u201cEuropa\u201d deve ser especificado: Uni\u00e3o Europeia, AELC ou um pa\u00eds nomeado.<\/li>
  5. Pessoas que administram.<\/strong> Funcion\u00e1rios do operador, subcontratados, plant\u00e3o fora da zona. Um acesso remoto, mesmo tempor\u00e1rio, \u00e9 um tratamento. Pergunte tamb\u00e9m se esses acessos s\u00e3o registrados em log e se o cliente pode consultar o log.<\/li>
  6. Chaves de criptografia.<\/strong> Quem as det\u00e9m, quem pode us\u00e1-las para uma restaura\u00e7\u00e3o, quem pode entreg\u00e1-las a um terceiro. A pergunta n\u00e3o \u00e9 \u201cos dados s\u00e3o criptografados?\u201d, mas \u201cquem pode descriptograf\u00e1-los?\u201d.<\/li>
  7. Subcontratados.<\/strong> Lista atualizada: antispam, backup, suporte, medi\u00e7\u00e3o de audi\u00eancia, identidade. Um subcontratado sujeito a outro direito pode anular o efeito do crit\u00e9rio 1.<\/li>
  8. Pedidos de autoridades.<\/strong> Procedimento interno quando uma autoridade solicita dados, e direito aplic\u00e1vel a esse pedido. Pergunte se o prestador se compromete a informar o cliente, na medida em que a lei o permita.<\/li>
  9. Reversibilidade.<\/strong> Formatos, prazo, custo e o que n\u00e3o \u00e9 export\u00e1vel (hist\u00f3ricos de chat, regras internas, logs). O mais seguro \u00e9 testar uma exporta\u00e7\u00e3o antes de assinar.<\/li>
  10. Qualifica\u00e7\u00e3o eventual.<\/strong> Se o comprador exige SecNumCloud, o nome do servi\u00e7o qualificado deve ser o que consta do cat\u00e1logo da ANSSI. Uma oferta hospedada em uma infraestrutura qualificada n\u00e3o herda a qualifica\u00e7\u00e3o. Desde a vers\u00e3o 3.2 de seu referencial (2022), o SecNumCloud inclui requisitos de prote\u00e7\u00e3o em rela\u00e7\u00e3o aos direitos n\u00e3o europeus, que tratam da sede, do controle do capital, da localiza\u00e7\u00e3o e do pessoal.<\/li><\/ol>

    Como ponderar<\/h3>

    Os dez crit\u00e9rios n\u00e3o t\u00eam o mesmo peso para todos os compradores. Para um servi\u00e7o de e-mail e um compartilhamento de arquivos, os crit\u00e9rios 1, 3, 4, 5 e 9 costumam fazer a diferen\u00e7a entre as ofertas. O crit\u00e9rio 10 \u00e9 eliminat\u00f3rio quando exigido, e neutro caso contr\u00e1rio. Defina a pondera\u00e7\u00e3o antes de abrir as respostas, n\u00e3o depois.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Os limites, ditos com clareza<\/h2>

    O local n\u00e3o equivale ao direito.<\/strong> Um datacenter em Frankfurt operado por uma empresa americana continua sendo um servi\u00e7o dessa empresa. O CLOUD Act americano visa os dados detidos por um prestador sujeito \u00e0s jurisdi\u00e7\u00f5es dos Estados Unidos, qualquer que seja o pa\u00eds do disco. Veja proteger uma empresa do CLOUD Act<\/a> e a compara\u00e7\u00e3o nuvem europeia ou nuvem americana<\/a>.<\/p>

    O direito europeu n\u00e3o equivale \u00e0 aus\u00eancia de requisi\u00e7\u00e3o.<\/strong> Um juiz franc\u00eas, alem\u00e3o ou neerland\u00eas pode ordenar a entrega de dados a um operador sob sua jurisdi\u00e7\u00e3o. A diferen\u00e7a est\u00e1 no juiz, no procedimento e nas vias de recurso. Uma grade que deixasse supor o contr\u00e1rio induziria o comprador ao erro.<\/p>

    O software e o operador s\u00e3o coisas distintas.<\/strong> O Nextcloud \u00e9 desenvolvido pela Nextcloud GmbH, na Alemanha. O Zimbra \u00e9 desenvolvido pela Synacor, nos Estados Unidos. A BlueMind \u00e9 uma empresa francesa. Nos tr\u00eas casos, a soberania do seu<\/em> servi\u00e7o depende de quem o instala, de quem faz o backup e de quem atende o telefone. A nacionalidade do fornecedor do software importa sobretudo se ele tiver acesso aos dados: nesse caso, ela \u00e9 tratada no crit\u00e9rio 7.<\/p>

    O SecNumCloud \u00e9 restrito.<\/strong> \u00c9 uma qualifica\u00e7\u00e3o da ANSSI, oferta por oferta, com um per\u00edmetro e uma data de t\u00e9rmino. Costuma ser exigida para dados sens\u00edveis do Estado. \u00c9 desproporcional como crit\u00e9rio \u00fanico para uma PME que procura um servi\u00e7o de e-mail e um compartilhamento de arquivos. \u00c9 insuficiente se for invocada sem a leitura da decis\u00e3o.<\/p>

    Nenhuma oferta cobre todos os usos do Microsoft 365.<\/strong> O Excel avan\u00e7ado, o Power BI, o ecossistema Teams e os complementos de neg\u00f3cio n\u00e3o t\u00eam equivalente geral entre os operadores europeus. O crit\u00e9rio soberano n\u00e3o resolve essa quest\u00e3o. Ele se soma a ela. Se esses usos forem centrais, a grade pode levar a manter o Microsoft 365 com pleno conhecimento de causa: veja Microsoft 365 diante de uma solu\u00e7\u00e3o soberana<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Como escrever isso em um caderno de encargos<\/h2>

    Substitua \u201cnuvem soberana\u201d pelos dez crit\u00e9rios, cada um com uma prova esperada. Voc\u00ea poder\u00e1 ent\u00e3o comparar uma oferta Microsoft com fronteira europeia de dados, uma oferta Google com regi\u00e3o de dados, uma oferta su\u00ed\u00e7a como a Infomaniak e uma oferta operada na Fran\u00e7a. O comparativo se torna uma leitura de provas, e n\u00e3o uma batalha de adjetivos.<\/p>

    Crit\u00e9rio<\/th>Pergunta feita ao candidato<\/th>Documento esperado<\/th><\/tr><\/thead>
    1. Empresa operadora<\/td>Qual empresa opera o servi\u00e7o, e quem a controla?<\/td>Certid\u00e3o de registro, organograma do grupo<\/td><\/tr>
    2. Direito do contrato<\/td>Qual lei, qual foro?<\/td>Cl\u00e1usula das condi\u00e7\u00f5es gerais e do acordo de tratamento<\/td><\/tr>
    3 e 4. Per\u00edmetro e local<\/td>Quais categorias de dados, em quais pa\u00edses?<\/td>Tabela por categoria: conte\u00fado, backups, logs, suporte<\/td><\/tr>
    5. Administra\u00e7\u00e3o<\/td>Quem administra, de onde, com qual rastro?<\/td>Descri\u00e7\u00e3o das equipes e do registro em log<\/td><\/tr>
    6. Chaves<\/td>Quem pode descriptografar, e em quais casos?<\/td>Descri\u00e7\u00e3o do esquema de criptografia<\/td><\/tr>
    7. Subcontratados<\/td>Quem recebe uma c\u00f3pia ou um acesso?<\/td>Lista nominal com pa\u00edses<\/td><\/tr>
    8. Autoridades<\/td>O que voc\u00eas fazem diante de um pedido?<\/td>Procedimento por escrito<\/td><\/tr>
    9. Reversibilidade<\/td>Como recuperamos tudo, e em quanto tempo?<\/td>Procedimento de exporta\u00e7\u00e3o, formatos, teste<\/td><\/tr>
    10. Qualifica\u00e7\u00e3o<\/td>A oferta proposta \u00e9 qualificada?<\/td>Refer\u00eancia ao cat\u00e1logo da ANSSI, se exigida<\/td><\/tr><\/tbody><\/table><\/div>

    O detalhe do crit\u00e9rio geogr\u00e1fico isoladamente \u00e9 tratado em O que significa realmente \u201cdados hospedados na Europa\u201d<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Exemplo: uma empresa de servi\u00e7os de m\u00e9dio porte que abre uma consulta<\/h2>

    Caso hipot\u00e9tico. Uma empresa de servi\u00e7os de m\u00e9dio porte renova seu servi\u00e7o de e-mail e seu compartilhamento de arquivos. A primeira vers\u00e3o do caderno de encargos pede \u201cuma solu\u00e7\u00e3o de nuvem soberana hospedada na Europa\u201d. Os tr\u00eas candidatos respondem sim.<\/p>

    A diretoria de TI reescreve a consulta com a grade. As respostas se tornam leg\u00edveis. O primeiro candidato hospeda na Europa, mas pertence a um grupo sujeito ao direito americano: crit\u00e9rio 1 n\u00e3o atendido, crit\u00e9rios 3 e 4 bem documentados. O segundo \u00e9 uma empresa europeia, mas confia o suporte noturno a um subcontratado fora da zona: crit\u00e9rio 5 a negociar. O terceiro atende aos crit\u00e9rios jur\u00eddicos, mas n\u00e3o cobre um uso de neg\u00f3cio: a diretoria precisa arbitrar. A grade n\u00e3o escolheu no lugar da empresa. Ela tornou a escolha expl\u00edcita.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Os erros frequentes<\/h2>