Uma nuvem soberana é um serviço do qual a sua empresa consegue dizer quem opera os dados, que juiz pode exigir a sua comunicação e como os recupera. A palavra não tem uma definição única no RGPD (Regulamento Geral sobre a Proteção de Dados). É um critério de compra, que se torna útil no dia em que é traduzido em perguntas verificáveis.
«Soberano» tornou-se um argumento de venda. Lê-se em ofertas muito diferentes: um serviço de email instalado num centro de dados em Paris, uma suíte de escritório americana dotada de uma região de dados europeia, um software open source, uma infraestrutura qualificada pela ANSSI. Todas estas ofertas podem ter qualidades. Não respondem à mesma pergunta.
Para um administrador, um diretor de sistemas de informação ou um DPO, o risco é assinalar uma caixa sem saber o que ela contém. No dia em que um cliente pergunta onde estão os seus dados, em que um auditor relê o registo das atividades de tratamento ou em que um prestador muda de proprietário, o rótulo não serve de nada. Só contam as respostas escritas: quem opera, que direito se aplica, como se sai.
Esta página explica o conceito. A grelha de critérios para um concurso encontra-se em definição, critérios e limites. A comparação entre um operador europeu e um fabricante de software americano é o tema da página nuvem europeia ou nuvem americana.
Uma empresa confia os seus emails, os seus ficheiros e os seus processos de clientes a um terceiro. Quer saber três coisas.
Se o contrato responde a estes três pontos, o rótulo «soberano» tem conteúdo. Se se limita a «centro de dados em Paris» ou «centro de dados em Frankfurt», descreve um local. Um local é útil, nomeadamente para o registo das atividades de tratamento. Não diz quem pode ser obrigado a entregar os dados.
Nos concursos europeus, a palavra abrange em geral cinco expectativas.
A qualificação francesa SecNumCloud, atribuída pela ANSSI, formaliza parte destas expectativas para uma oferta específica. Não qualifica uma empresa no seu conjunto, nem uma aplicação só por estar instalada numa infraestrutura qualificada. O catálogo da ANSSI faz fé, oferta a oferta. Para uma PME, a questão coloca-se sobretudo quando a natureza dos dados ou um cliente contratante o exige.
Não é uma imunidade. Um operador europeu continua sujeito ao direito do seu país, às requisições judiciais locais e aos acordos de auxílio judiciário. A soberania muda o quadro jurídico. Não elimina todos os pedidos de acesso. O que muda é o juiz que pode ordenar a comunicação, o procedimento seguido e os meios de recurso de que dispõem o operador e o seu cliente. Para uma empresa europeia, é um quadro que os seus consultores conhecem e no qual pode agir.
Também não é sinónimo de «open source». O software diz quem escreveu o programa. A soberania diz quem detém os dados e quem detém as chaves. Um software livre pode ser operado por uma sociedade sujeita a um direito estrangeiro. Um software de um fabricante estrangeiro pode ser operado por uma sociedade europeia que mantém sozinha o controlo sobre os dados.
Na Klytic, os dados são detidos inteiramente pelo cliente, ou pela Klytic por conta do cliente, numa zona geográfica abrangida pela jurisdição aplicável. São encriptados nativamente, ou de acordo com a escolha do cliente. A chave é detida pelo cliente, ou guardada na sua conta: a Klytic não tem acesso a ela. Para a obter, teria de destruir ou alterar uma palavra-passe que não possui, e o cliente aperceber-se-ia.
Algumas etapas continuam encriptadas pela Klytic, porque o serviço tem de tratar o conteúdo: os emails colocados em quarentena pela filtragem, encriptados na base de dados, e os emails e documentos tratados no CRM. Só os emails constituem exceção, quando o cliente ativou a encriptação com a sua própria chave. O acesso aos ficheiros é, além disso, fortemente restringido por direitos de acesso limitados, e uma auditoria das ligações emite alertas em caso de tentativa fraudulenta. O pormenor consta da página proteger uma empresa do CLOUD Act. O contrato deve descrever esta detenção, esta encriptação e estas precauções.
Por fim, não é uma promessa de funções equivalentes às do Microsoft 365 ou do Google Workspace. É possível ter um operador europeu e uma suíte de escritório menos completa. É possível ter uma suíte de escritório muito completa e um operador americano. São duas decisões.
Tratá-las separadamente evita dois erros simétricos: abandonar uma ferramenta de que a atividade depende por uma questão de princípio, ou pôr de lado a questão jurídica porque a ferramenta agrada às equipas. O limiar próprio do Microsoft 365 é detalhado em Microsoft 365 face a uma solução soberana.
Caso hipotético. Um gabinete de contabilidade com 25 pessoas recebe de um cliente industrial uma pergunta simples: «Onde estão os nossos documentos contabilísticos e quem lhes pode aceder?» O gabinete utiliza um serviço de email e uma partilha de ficheiros cuja brochura indica «alojado em França».
Retomando as três perguntas, o sócio descobre que a sociedade que fatura é francesa, mas que a exploração e o suporte são assegurados pela filial de um grupo estrangeiro, e que as cópias de segurança estão confiadas a um subcontratante cujo contrato não indica o país. A brochura não era falsa. Não respondia à pergunta do cliente.
O gabinete tem duas opções razoáveis: obter do prestador respostas escritas e juntá-las ao processo, ou escolher um operador cujas respostas lhe convenham. Em ambos os casos, responde ao seu cliente com factos, e não com um adjetivo.
Peça quatro documentos, não uma brochura.
Se um prestador não consegue fornecer estes elementos por escrito, isso já é uma informação. Compare depois as respostas com o que indica o seu registo das atividades de tratamento: é aí que as discrepâncias aparecem.
Para o quadro jurídico das transferências para fora da União Europeia, consulte a página sobre o CLOUD Act e a página sobre os dados alojados na Europa. Para a lista dos critérios de compra, consulte definição, critérios e limites.
Não. O RGPD organiza os papéis, as transferências para fora da União e os direitos dos titulares dos dados. Não define a palavra «soberano» e não impõe a escolha de um operador europeu. Impõe, em contrapartida, que se saiba para onde vão os dados e com que fundamento, o que coincide com boa parte das perguntas desta página.
Não necessariamente. O local é uma das respostas esperadas, não a única. É preciso saber também que sociedade opera o serviço, que direito se lhe aplica, quem pode aceder aos dados e como recuperá-los.
Quando a natureza dos dados ou um cliente contratante o exige, sim, e o nome da oferta deve constar do catálogo da ANSSI. Para o email e a partilha de ficheiros de uma PME, as perguntas sobre o operador, os acessos e a reversibilidade são em geral mais decisivas.
Não. O open source permite ler o código e facilita a mudança de fornecedor de alojamento. Não diz quem detém os dados nem quem detém as chaves.
Não. Um operador europeu continua sujeito ao direito do seu país e às requisições dos seus juízes. A diferença está no juiz, no procedimento e nos meios de recurso.
A Klytic é operada pela Dedicace Software, sociedade francesa. Os serviços assentam em soluções comprovadas ou open source, e em módulos e serviços desenvolvidos pela Klytic. O isolamento destes serviços é assegurado e gerido por servidores Klytic desenvolvidos para esse fim.
O alojamento é possível em qualquer zona geográfica correspondente à jurisdição aplicável, sob reserva da disponibilidade dos serviços necessários, por exemplo na Europa ou na Maurícia, ou nos servidores do cliente. O pormenor consta da página alojamento e soberania.
A Klytic não é uma oferta qualificada SecNumCloud. Como qualquer operador francês, continua sujeita ao direito francês.
Esta página descreve um quadro geral. Não substitui a análise do seu contrato.
Situação jurídica a 5 de outubro de 2026. Este texto não substitui a análise de um contrato. A decisão de adequação UE–Estados Unidos (UE) 2023/1795 está em vigor. Está a ser contestada. O catálogo da ANSSI é a referência para o SecNumCloud.
Consultadas em outubro de 2026.
Email, documentos, videoconferência, CRM e telefonia, alojados na zona que corresponde à sua jurisdição, por exemplo na Europa ou na Maurícia, ou nas suas instalações.
Oferta de boas-vindas
Oferta de teste sem compromisso. Um consultor liga-lhe para compreender as suas necessidades e preparar o seu espaço Klytic.
