Uma nuvem soberana, num processo de compra, é um serviço cujo operador, cujo direito aplicável e cujos acessos de administração são conhecidos, e cujos dados podem ser recuperados. A definição de marketing varia. Os critérios, por sua vez, prestam-se a uma grelha.
Escrever «nuvem soberana» numa consulta ao mercado equivale a fazer uma pergunta a que todos os candidatos respondem que sim. As respostas tornam-se incomparáveis, e a escolha faz-se pelo preço ou pela impressão deixada pela apresentação.
Uma grelha obriga cada candidato a responder à mesma pergunta, com um documento comprovativo. Protege também o comprador após a assinatura: um compromisso escrito na resposta à consulta pode ser retomado no contrato, ao passo que um adjetivo não se controla. O conceito em si é explicado em o que é uma nuvem soberana. Esta página serve para a compra.
Retenha esta.
Um serviço digital é tratado como soberano, para um comprador europeu, quando a sociedade que o opera está sujeita a um direito europeu, os dados confiados e as respetivas cópias de segurança permanecem no perímetro geográfico declarado, os acessos de exploração estão identificados e o cliente pode exportar e depois mandar eliminar os seus dados.
Esta frase é uma ferramenta de trabalho. Não é um artigo do RGPD (Regulamento Geral sobre a Proteção de Dados). O regulamento define papéis (responsável pelo tratamento, subcontratante), transferências e direitos dos titulares dos dados. Não atribui nenhum rótulo «soberano».
Cada membro da frase remete para um ou mais dos critérios abaixo. É isso que a torna utilizável: pode ser decomposta em perguntas e as respostas podem ser pontuadas.
Cada critério prova-se com um documento, não com um adjetivo.
Os dez critérios não têm o mesmo peso para todos os compradores. Para um serviço de email e uma partilha de ficheiros, os critérios 1, 3, 4, 5 e 9 fazem em geral a diferença entre as ofertas. O critério 10 é eliminatório quando é exigido, e neutro caso contrário. Decida a ponderação antes de abrir as respostas, não depois.
O local não equivale ao direito. Um centro de dados em Frankfurt operado por uma sociedade americana continua a ser um serviço dessa sociedade. O CLOUD Act americano visa os dados detidos por um prestador sujeito às jurisdições dos Estados Unidos, seja qual for o país do disco. Consulte proteger uma empresa do CLOUD Act e a comparação nuvem europeia ou nuvem americana.
O direito europeu não equivale à ausência de requisições. Um juiz francês, alemão ou neerlandês pode ordenar a comunicação de dados a um operador sob a sua jurisdição. A diferença está no juiz, no procedimento e nos meios de recurso. Uma grelha que levasse a crer o contrário induziria o comprador em erro.
O software e o operador distinguem-se. O Nextcloud é produzido pela Nextcloud GmbH, na Alemanha. O Zimbra é produzido pela Synacor, nos Estados Unidos. A BlueMind é uma sociedade francesa. Nos três casos, a soberania do seu serviço depende de quem o instala, de quem faz as suas cópias de segurança e de quem atende o telefone. A nacionalidade do fabricante do software conta sobretudo se este tiver acesso aos dados: trata-se então no critério 7.
O SecNumCloud é restrito. É uma qualificação da ANSSI, oferta a oferta, com um perímetro e uma data de termo. É muitas vezes exigida para dados sensíveis do Estado. É desproporcionada como critério único para uma PME que procura um serviço de email e uma partilha de ficheiros. É insuficiente se for invocada sem se ler a decisão.
Nenhuma oferta cobre todos os usos do Microsoft 365. O Excel avançado, o Power BI, o ecossistema Teams e os suplementos setoriais não têm equivalente geral nos operadores europeus. O critério soberano não resolve este ponto. Acresce-lhe. Se estes usos forem centrais, a grelha pode levar a manter o Microsoft 365 com pleno conhecimento de causa: consulte Microsoft 365 face a uma solução soberana.
Substitua «nuvem soberana» pelos dez critérios, cada um com uma prova esperada. Poderá então comparar uma oferta Microsoft com fronteira de dados europeia, uma oferta Google com região de dados, uma oferta suíça como a Infomaniak e uma oferta operada em França. A comparação passa a ser uma leitura de provas, e não uma batalha de adjetivos.
| Critério | Pergunta feita ao candidato | Documento esperado |
|---|---|---|
| 1. Sociedade operadora | Que sociedade opera o serviço, e quem a controla? | Certidão do registo comercial, organograma do grupo |
| 2. Direito do contrato | Que lei, que tribunal? | Cláusula das condições gerais e do acordo de tratamento |
| 3 e 4. Perímetro e local | Que categorias de dados, em que países? | Quadro por categoria: conteúdo, cópias de segurança, logs, suporte |
| 5. Administração | Quem administra, a partir de onde, com que registo? | Descrição das equipas e do registo em log |
| 6. Chaves | Quem pode desencriptar, e em que casos? | Descrição do esquema de encriptação |
| 7. Subcontratantes | Quem recebe uma cópia ou um acesso? | Lista nominativa com país |
| 8. Autoridades | O que faz perante um pedido? | Procedimento escrito |
| 9. Reversibilidade | Como recuperamos tudo, e em quanto tempo? | Procedimento de exportação, formatos, teste |
| 10. Qualificação | A oferta proposta está qualificada? | Referência ao catálogo da ANSSI, se exigida |
O pormenor do critério geográfico, por si só, é tratado em O que significa realmente «dados alojados na Europa».
Caso hipotético. Uma empresa de média dimensão do setor dos serviços renova o seu serviço de email e a sua partilha de ficheiros. A primeira versão do caderno de encargos pede «uma solução de nuvem soberana alojada na Europa». Os três candidatos respondem que sim.
A direção de sistemas de informação reescreve a consulta com a grelha. As respostas tornam-se legíveis. O primeiro candidato aloja na Europa, mas pertence a um grupo sujeito ao direito americano: critério 1 não cumprido, critérios 3 e 4 bem documentados. O segundo é uma sociedade europeia, mas confia o suporte noturno a um subcontratante fora da zona: critério 5 a negociar. O terceiro cumpre os critérios jurídicos, mas não cobre um uso setorial: a administração tem de decidir. A grelha não escolheu em vez da empresa. Tornou a escolha explícita.
Não. O RGPD não atribui nenhum rótulo «soberano». O SecNumCloud é uma qualificação de oferta atribuída pela ANSSI, não uma definição geral. A definição aqui proposta é uma ferramenta de trabalho para um comprador.
Em geral, não. O critério incide sobre a sociedade que opera e sobre a que a controla. Uma filial pode faturar em euros e alojar na Europa e, ao mesmo tempo, pertencer a um grupo sujeito ao direito americano. A página nuvem europeia ou nuvem americana detalha esta diferença.
É preciso colocá-los todos, para obter respostas comparáveis. O seu peso, em contrapartida, depende dos seus dados e das suas obrigações. Uma ponderação fixada antecipadamente evita ajustar a grelha ao candidato preferido.
Sim, e é aí que reside o seu interesse. Os mecanismos de residência de dados destes fabricantes de software leem-se nos critérios 3 e 4. A nacionalidade do fabricante lê-se no critério 1. As páginas RGPD e Microsoft 365 e RGPD e Google Workspace aplicam estas perguntas.
A Klytic cumpre uma parte da grelha e não outra. O operador é a Dedicace Software, sociedade francesa. O cliente escolhe um alojamento Klytic em qualquer zona geográfica correspondente à jurisdição aplicável, sob reserva da disponibilidade dos serviços necessários, por exemplo na Europa ou na Maurícia, ou nos servidores do cliente. O fabricante do software de email é americano (Zimbra / Synacor), o dos documentos é alemão (Nextcloud), com uma instância dedicada por cliente.
Quanto ao critério das chaves, os dados são detidos inteiramente pelo cliente, ou pela Klytic por conta do cliente, numa zona geográfica abrangida pela jurisdição aplicável. São encriptados nativamente, ou de acordo com a escolha do cliente. A chave é detida pelo cliente ou guardada na sua conta, e a Klytic não tem acesso a ela. As etapas em que a encriptação é gerida pela Klytic são detalhadas na página proteger uma empresa do CLOUD Act. O contrato deve descrever esta detenção e esta encriptação.
A Klytic não detém qualificação SecNumCloud. Apresentá-la de outra forma seria inexato.
Esta página descreve um quadro geral. Não substitui a análise do seu contrato.
Situação jurídica a 5 de outubro de 2026. Este texto não substitui a análise de um contrato. A decisão de adequação UE–Estados Unidos (UE) 2023/1795 está em vigor. Está a ser contestada. O catálogo da ANSSI é a referência para o SecNumCloud.
Consultadas em outubro de 2026.
Email, documentos, videoconferência, CRM e telefonia, alojados na zona que corresponde à sua jurisdição, por exemplo na Europa ou na Maurícia, ou nas suas instalações.
Oferta de boas-vindas
Oferta de teste sem compromisso. Um consultor liga-lhe para compreender as suas necessidades e preparar o seu espaço Klytic.
