Dado do seu cliente no servidor da AWS: a LGPD exige um contrato que você provavelmente não tem

Você usa Google Workspace, AWS, Azure, HubSpot ou qualquer SaaS com infraestrutura fora do Brasil e processa dado pessoal do seu cliente ou funcionário nessa infraestrutura. Isso tem nome na LGPD: transferência internacional de dados. Tem regra específica no art. 33 da Lei 13.709/2018. E a maioria das empresas não mapeou isso, não tem contrato e está tecnicamente em situação irregular.

A LGPD não proíbe transferir dado pra fora do Brasil. Ela regula quando e como isso é permitido. Não entender essa distinção tem custo: multa de até 2% do faturamento bruto, limitada a R$ 50 milhões por infração. A ANPD já incluiu transferências internacionais nas suas prioridades de fiscalização.

O que conta como transferência internacional (e você já está fazendo)

Qualquer envio, armazenamento ou acesso a dado pessoal de titular brasileiro em infraestrutura localizada fora do Brasil. Você sobe planilha com CPF de clientes no Google Drive? Transferência internacional. Usa Salesforce ou HubSpot com dado de leads? Transferência internacional. Dispara e-mail marketing pela Brevo com lista de brasileiros? Transferência internacional.

O critério não é intenção, não é volume, não é sensibilidade do dado. É localização do servidor. Se está fora do Brasil, o art. 33 se aplica. Não tem escala mínima, não tem isenção pra PME nesse ponto específico.

Decisão de adequação: a lista que a ANPD ainda não publicou

A hipótese mais simples seria a ANPD declarar que determinado país tem proteção equivalente à LGPD, liberando a transferência sem burocracia. Isso se chama decisão de adequação. O problema real: a ANPD ainda não emitiu nenhuma decisão de adequação para nenhum país. O processo está em curso, mas, por ora, nenhuma transferência pode ser justificada com base nessa hipótese.

Para os EUA especificamente, o EU-US Data Privacy Framework vigente desde 2023 cobre relações Europa-Estados Unidos, não Brasil-Estados Unidos. Para fins da LGPD, é irrelevante. Se sua empresa usa qualquer serviço americano, você precisa de outra base legal.

Cláusulas contratuais padrão: o caminho que funciona

A saída mais usada e mais sólida é a das cláusulas contratuais padrão aprovadas pela ANPD. O art. 35 da LGPD prevê esse mecanismo. A lógica é direta: você insere cláusulas específicas no contrato com o fornecedor estrangeiro, formalizando as obrigações de proteção dos dados transferidos.

O que essas cláusulas precisam cobrir no mínimo:

• Finalidade do tratamento fora do Brasil e proibição de uso para outros fins;
• Obrigação do receptor de manter nível de proteção compatível com a LGPD;
• Garantia dos direitos dos titulares, com prazo de resposta de 15 dias (art. 19 da LGPD);
• Notificação de incidentes em até 72 horas, parâmetro que a ANPD adota como referência;
• Restrição de subcontratação: o fornecedor não pode repassar os dados a terceiros sem sua autorização.

Um adendo bem redigido ao contrato existente com o fornecedor resolve. O ponto é que esse documento precisa existir e estar formalmente aceito. Não adianta o fornecedor ter DPA disponível se você nunca clicou em aceitar.

AWS, Google Cloud e Azure: eles têm DPA, mas a aceitação não é automática

AWS, Google Cloud e Microsoft Azure têm Acordos de Processamento de Dados (DPAs) desenhados para o GDPR europeu, que em geral atendem o que a LGPD exige. O problema: aceitar o DPA não é automático. Você precisa ir no painel e aceitar ativamente.

• AWS: o Data Processing Addendum fica em Account Settings no console. Para contas comerciais padrão, é uma aceitação de até 5 minutos.
• Google Workspace e GCP: DPA fica no painel Admin, em Configurações Legais ou Conformidade. O administrador precisa aceitar ativamente. Se nunca fez isso, o contrato padrão não inclui as cláusulas de processamento.
• Microsoft Azure e M365: o Data Protection Addendum menciona a LGPD explicitamente. Fica vinculado ao Microsoft Customer Agreement. Verifique na seção de conformidade da sua conta.

Nossa leitura: esses três DPAs cobrem bem o que a LGPD exige. O risco real está nas ferramentas menores, ERPs de nicho, plataformas de automação, SaaS de RH, que frequentemente não têm DPA estruturado e são exatamente onde os dados mais sensíveis costumam ficar.

GDPR e LGPD ao mesmo tempo: quando as duas incidem sobre você

Se você tem clientes na União Europeia, vende pra consumidores europeus, ou tem site com coleta de dados acessível a europeus, o GDPR incide sobre você. Ao mesmo tempo que a LGPD. Não no lugar dela.

O GDPR tem exigências que a LGPD não replica:

• Representante legal no território da UE (art. 27 do GDPR) para empresas sem estabelecimento físico lá;
• Registro formal de atividades de tratamento (ROPA) mais detalhado;
• Notificação de incidente à autoridade europeia em 72 horas corridas.

Falando sério: empresa brasileira que exporta serviço pra Europa e nunca tocou num documento de GDPR está correndo risco real. A multa chega a 4% do faturamento global anual ou € 20 milhões, o que for maior. O Comitê Europeu de Proteção de Dados já autuou controladores não estabelecidos na Europa.

O que fazer nas próximas duas semanas

Mapeie primeiro, resolva depois. A sequência prática:

• Liste todos os softwares e serviços que processam dado pessoal. Inclua ERP, CRM, e-mail marketing, videoconferência, RH, financeiro, atendimento ao cliente;
• Para cada um, verifique onde o servidor fica. A maioria tem essa informação na política de privacidade ou na documentação técnica;
• Para AWS, Google Cloud e Microsoft: acesse o painel e confirme se o DPA está aceito. São 10 minutos por plataforma;
• Para outros fornecedores: solicite formalmente o DPA ou adendo com cláusulas compatíveis com a LGPD. Se o fornecedor não tiver, isso é um risco que precisa ser documentado;
• Registre as bases legais usadas para cada transferência no seu mapeamento interno de dados. Transferência sem base legal documentada é irregularidade dupla;
• Se você atende clientes europeus, faça a mesma análise pelo prisma do GDPR e avalie a necessidade de representante legal na UE.

Transferência internacional mal documentada fica invisível até o momento errado: uma fiscalização da ANPD, uma reclamação de titular, ou uma due diligence de M&A. Regularizar enquanto está tranquilo sempre sai mais barato do que regularizar com prazo de 15 dias correndo.