Cloud Act e RGPD: porque alojar na Europa não basta

Pergunte a um fornecedor para onde vão os seus dados. A resposta chega polida: «os nossos servidores estão na Europa». Soa a resposta completa. É apenas metade de uma. A localização dos servidores diz-lhe onde estão os dados. Não diz nada sobre quem pode exigir legalmente a sua entrega. Desde 2018, uma lei norte-americana transformou essa segunda pergunta na que realmente decide a sua exposição, e é justamente a que quase nenhum fornecedor responde por iniciativa própria.

Este guia explica o que diz o Cloud Act, a quem se aplica realmente, porque o Data Privacy Framework não o neutraliza e como verificar na prática se uma ferramenta SaaS ou de IA fica fora da jurisdição norte-americana.

O que diz realmente o Cloud Act

O Cloud Act (Clarifying Lawful Overseas Use of Data Act) foi promulgado a 23 de março de 2018, dentro da lei orçamental norte-americana. Não surgiu do nada: resolveu um caso que o Supremo Tribunal dos Estados Unidos estava a examinar.

Esse caso começou em dezembro de 2013, quando a Microsoft recebeu uma ordem judicial baseada na Stored Communications Act para entregar emails armazenados num centro de dados em Dublin. A Microsoft recusou, alegando que uma ordem norte-americana não podia alcançar dados armazenados na Irlanda. O litígio chegou ao Supremo Tribunal, que realizou audiência em fevereiro de 2018. Antes que pudesse decidir, o Congresso aprovou o Cloud Act e o caso foi declarado sem objeto.

O que o Cloud Act mudou cabe numa cláusula. Altera a Stored Communications Act para que um fornecedor deva conservar, salvaguardar ou entregar os conteúdos e registos que estejam na sua posse, custódia ou controlo, «independentemente de essa comunicação, registo ou outra informação se encontrar dentro ou fora dos Estados Unidos».

A quem se aplica realmente

O Cloud Act não aponta às «empresas norte-americanas» como categoria. Aplica-se a qualquer fornecedor sujeito à jurisdição dos Estados Unidos, uma categoria bem mais ampla do que a maioria dos compradores europeus supõe. Três situações ficam habitualmente abrangidas:

• Uma empresa norte-americana, seja qual for a localização da sua infraestrutura. É o caso evidente.
• Uma filial europeia de uma matriz norte-americana. Este é o caso que surpreende. O critério é o controlo: quando uma matriz norte-americana controla a sua entidade europeia, os dados que esta conserva consideram-se em geral dentro do controlo da matriz, e uma ordem norte-americana pode alcançá-los. Nenhum tribunal se pronunciou diretamente sobre este caso, e alguns fornecedores contestam o ponto. A resposta prática foi dada pela própria Microsoft, mais abaixo. Constituir uma Lda. ou uma GmbH não levanta, por si só, um muro.
• Uma empresa não norte-americana com presença suficiente nos Estados Unidos para se considerar sujeita à sua jurisdição.

A consequência prática é incómoda mas simples: o que determina a sua exposição é a nacionalidade jurídica da empresa que opera o serviço, e a do grupo que a controla. A localização dos servidores é um pormenor em comparação.

Não é uma questão abstrata de contratos na nuvem. Afeta cada ferramenta da sua pilha: o CRM que guarda o seu pipeline, a aplicação de notas que guarda as suas reuniões, o assistente de IA em que cola documentos, a ferramenta de ditado em que dita os seus processos. Este último é o caso que quase ninguém antecipa, porque o áudio ditado costuma ser o mais confidencial que um profissional produz no seu dia a dia.

Um risco que não é teórico: a Microsoft perante o Senado francês

Se isto ainda soa académico, uma comparência resolveu a questão. Em junho de 2025, declarando sob juramento perante uma comissão de inquérito do Senado francês, o diretor jurídico da Microsoft França reconheceu que não podia garantir que os dados de cidadãos franceses alojados pela empresa nunca seriam entregues às autoridades norte-americanas sem o acordo de França.

Essa admissão vem de um hiperescalador com centros de dados europeus consideráveis e uma oferta de soberania própria e extensa. Não é a afirmação de um concorrente, é a resposta do próprio fornecedor, sob juramento. Para qualquer organização que lide com processos confidenciais, essa única troca vale mais do que cem páginas de marketing sobre alojamento europeu.

O Data Privacy Framework responde a outra pergunta

Quando se pressiona um fornecedor norte-americano com a questão das transferências, a resposta costuma ser o Data Privacy Framework (DPF), a decisão de adequação adotada pela Comissão Europeia a 10 de julho de 2023. Uma empresa norte-americana autocertifica-se e pode então receber dados pessoais da União Europeia sem trâmite adicional. No papel, a transferência é lícita. Convém saber duas coisas antes de confiar nisso.

Primeira: é o terceiro quadro da sua espécie, e os dois anteriores foram anulados. O Safe Harbor foi invalidado pelo Tribunal de Justiça da União Europeia em outubro de 2015 (Schrems I), e o Privacy Shield em julho de 2020 (Schrems II), em ambos os casos porque a vigilância norte-americana não oferecia aos europeus uma proteção substancialmente equivalente à do direito da União. O DPF sobreviveu ao seu primeiro recurso: a 3 de setembro de 2025, o Tribunal Geral da UE rejeitou o recurso apresentado por Philippe Latombe, deputado da Assembleia Nacional francesa e membro da CNIL (processo T-553/23). Mas essa sentença foi objeto de recurso a 31 de outubro de 2025 e está pendente no Tribunal de Justiça com o número C-703/25 P. Em agosto de 2026 o recurso continua por resolver, e os comentadores não esperam uma decisão antes do final de 2026, na melhor das hipóteses. Construir a confidencialidade sobre um mecanismo já invalidado duas vezes é uma aposta, não uma garantia.

Segunda, e mais de fundo: o DPF não neutraliza o Cloud Act. Os dois instrumentos respondem a perguntas distintas. O DPF torna lícita a transferência comercial de dados para os Estados Unidos. O Cloud Act regula o acesso das autoridades norte-americanas a dados que um fornecedor já conserva. Um fornecedor pode estar impecavelmente certificado no DPF e receber mesmo assim uma ordem norte-americana válida que o obrigue a entregá-los. A conformidade da transferência não o protege do acesso.

O outro fundamento: a secção 702 da FISA

O Cloud Act não é a única via. A secção 702 da Foreign Intelligence Surveillance Act permite às agências de inteligência norte-americanas obrigar os fornecedores de serviços de comunicação eletrónica a entregar as comunicações de pessoas não norte-americanas situadas fora dos Estados Unidos. Ou seja, de europeus. Foi precisamente a insuficiência das garantias em torno dessa vigilância que levou o Tribunal de Justiça a anular o Privacy Shield em Schrems II.

A secção 702 atravessa uma zona de turbulência legislativa em 2026. Foi renovada pela última vez em abril de 2024 através da Reforming Intelligence and Securing America Act, com uma cláusula de caducidade invulgarmente curta de dois anos, e o Congresso não aprovou desde então uma prorrogação duradoura. Essa instabilidade não muda nada na prática para um cliente europeu: como documentou o Brennan Center, a recolha continua ao abrigo de certificações já emitidas pelo tribunal FISA, válidas até março de 2027 independentemente do vencimento legal. Apostar que esse fundamento caia não é uma estratégia.

O que significa «soberano» a sério, em quatro verificações

«Soberano» tornou-se uma palavra de marketing. É assim que se testa, pela ordem que importa.

1. De quem é o fornecedor. Procure a empresa no registo comercial: forma jurídica, sede, capital social e, sobretudo, se há uma matriz norte-americana ou um grupo controlado a partir dos Estados Unidos por cima. Uma marca europeia pode ser uma filial a 100%. Esta verificação demora cinco minutos e responde ao essencial.
2. Quem são os subcontratantes e onde operam. O alojamento do próprio fornecedor raramente é toda a história. Peça a lista de subcontratantes e leia-a: o fornecedor de modelos, a base de dados, a camada de autenticação, o gateway de pagamento. Um único elo norte-americano basta para trazer de volta ao âmbito de aplicação os dados que toca.
3. Conteúdo versus dados de conta. Quase sempre são tratados de forma distinta. Um fornecedor pode processar de verdade os seus documentos em França e mesmo assim fazer passar os dados de conta, email, autenticação, faturação, por fornecedores SaaS norte-americanos. Pode ser que isso lhe pareça perfeitamente aceitável, mas convém sabê-lo e não descobri-lo depois. Peça ao fornecedor que trace a linha de forma explícita.
4. A que se compromete o contrato de verdade. Um contrato de subcontratação nos termos do artigo 28.º do RGPD deve nomear os subcontratantes, indicar onde cada um trata os dados e comprometer o fornecedor a notificá-lo antes de alterar qualquer um deles. Um fornecedor que não quer nomear a sua cadeia está a dizer-lhe algo.

A armadilha específica das ferramentas de IA

Há um modo de falha em que os compradores europeus de ferramentas de IA tropeçam vezes sem conta, e merece ser enunciado à parte.

Um fornecedor pode ser uma empresa europeia a sério, alojar a sua aplicação em infraestrutura europeia a sério, e mesmo assim enviar cada um dos seus documentos para os Estados Unidos. Acontece na chamada ao modelo. Se a inteligência do produto vem de uma API operada pela OpenAI, pela Anthropic, pela Google ou por uma nuvem controlada a partir dos Estados Unidos, o seu conteúdo abandona o perímetro europeu no instante exato em que o produto se torna útil. O alojamento europeu é real, e também é irrelevante: sustenta a interface, não a carga útil.

No ditado por voz isto é quase a norma. A maioria das ferramentas do mercado, incluindo várias que se apresentam como respeitadoras da privacidade, transcrevem chamando uma API de reconhecimento de voz norte-americana. O áudio ditado, muitas vezes o mais confidencial que um profissional produz no seu dia a dia, entra diretamente no âmbito de aplicação.

Seis perguntas a colocar por escrito a qualquer fornecedor

1. Que entidade jurídica edita o serviço, e está controlada por uma matriz não europeia?
2. Onde é tratado o meu conteúdo, e que empresas o fazem? Não «na Europa», mas a lista com nomes.
3. Que modelos de IA usam, e quem os opera? O ponto de rutura próprio dos produtos de IA.
4. Quais dos meus dados são conteúdo e quais são dados de conta, e são tratados de forma distinta?
5. Estão vocês, ou algum dos vossos subcontratantes, sujeitos ao Cloud Act ou a outra lei extraterritorial? Um fornecedor europeu sem matriz norte-americana pode responder que não, sem rodeios.
6. Facultam um contrato de subcontratação nos termos do artigo 28.º que nomeie os vossos subcontratantes e vos obrigue a notificar as alterações?

As respostas devem chegar por escrito e sem evasivas. Onde não chegam, já tem a sua resposta. Se quiser a vertente do RGPD da mesma análise, o nosso guia sobre ditado por voz e RGPD cobre as obrigações que recaem sobre a própria ferramenta, e o nosso artigo sobre o AI Act explica porque a regulação da IA não diz nada de tudo isto.

A posição do Fast Dictate

O Fast Dictate foi concebido para responder a essas seis perguntas numa página, não numa reunião comercial.

• O fornecedor é uma empresa francesa. A Synapse Crew SAS, inscrita no registo comercial de Paris, sem matriz norte-americana. Não está sujeita ao Cloud Act.
• Plano Pro: o conteúdo ditado fica em França. O áudio e as transcrições são tratados exclusivamente em servidores situados em França, sobre infraestrutura certificada ISO/IEC 27001:2022.
• Os modelos também funcionam em França. A transcrição e o pós-processamento linguístico são operados sobre infraestrutura francesa, sem nenhuma chamada a uma API de IA fora de França para tratar esse conteúdo. É o ponto por onde escapam a maioria das ferramentas, por isso dizemo-lo de forma explícita.
• Zero conservação em todos os planos. O áudio é transcrito e depois eliminado de imediato, e nunca é reutilizado para treinar modelos.
• A nuance honesta sobre os metadados. Os dados técnicos de conta, email, autenticação, estado da subscrição, passam por subcontratantes internacionais amparados pelas cláusulas contratuais-tipo da Comissão Europeia. Nenhum conteúdo ditado circula por eles. O detalhe completo está na nossa página de Segurança, e o DPA é facultado aos clientes do plano Pro.

Perguntas frequentes