Uma nuvem europeia e uma nuvem americana distinguem-se, em primeiro lugar, pela sociedade que controla o serviço, depois pelo direito que se aplica a essa sociedade e só depois pelo país dos servidores. Duas salas idênticas em Frankfurt podem estar sujeitas a dois direitos diferentes.
Comparam-se frequentemente mapas de centros de dados: Paris, Dublin, Frankfurt. É fácil, e responde a uma questão secundária. Para saber quem pode ser obrigado a entregar os seus dados, é preciso olhar para a sociedade que os detém e para o direito a que ela responde. A comparação útil opõe duas posições jurídicas, não dois países, e não designa um vencedor: a escolha certa depende dos usos da empresa. O conceito de soberania é explicado em o que é uma nuvem soberana, e a grelha de compra em definição, critérios e limites. Esta página compara.
A Microsoft e a Google são sociedades de direito americano. Os seus contratos europeus, as suas filiais e os seus centros de dados na União não fazem desaparecer este facto. Quando uma autoridade americana se lhes dirige ao abrigo do direito americano, a questão passa a ser: a sociedade tem a detenção ou o controlo dos dados, incluindo quando os discos estão na Europa?
O CLOUD Act, lei americana de 2018, responde para os prestadores sujeitos às jurisdições dos Estados Unidos: uma injunção válida pode visar dados detidos pelo prestador, seja qual for o local de armazenamento. Não é um acesso permanente. É um procedimento. O ponto prático para o comprador está noutro lado: o local europeu do disco não retira o prestador americano desse procedimento.
Estas sociedades propõem mecanismos reais de localização. A Microsoft descreve uma fronteira de dados europeia (EU Data Boundary) para serviços elegíveis: dados de clientes e dados pessoais pseudonimizados armazenados e tratados na UE ou na EFTA, dados de serviços profissionais armazenados em repouso, com exceções documentadas (acesso remoto do suporte, certas escaladas, funções opcionais, clientes Multi-Geo fora do perímetro). A Google propõe regiões de dados para conteúdos abrangidos, consoante a edição, e um controlo de acesso do suporte (Access Management) reservado a edições e opções específicas. Estes mecanismos reduzem os fluxos. Não mudam a nacionalidade do fabricante do software.
Um fabricante de software americano que serve clientes europeus encontra-se entre dois direitos. O direito americano pode impor-lhe que entregue dados que controla. O RGPD (Regulamento Geral sobre a Proteção de Dados) prevê, no seu artigo 48.º, que uma decisão de um tribunal ou de uma autoridade de um país terceiro que exija a transferência ou a divulgação de dados pessoais só pode ser reconhecida ou executória se tiver por base um acordo internacional, por exemplo um tratado de auxílio judiciário mútuo, em vigor entre esse país e a União ou o Estado-Membro. O texto não diz como um fabricante concilia estas duas exigências num caso concreto: cabe ao prestador explicar a sua prática, e ao cliente pedir-lha.
O direito americano prevê um meio de recurso. Nos termos do 18 U.S.C. § 2703(h), o prestador pode pedir a anulação ou a alteração de uma injunção, nos 14 dias seguintes à sua notificação, se considerar que o cliente não é uma «United States person», não reside nos Estados Unidos e que a comunicação o exporia a um risco sério de violar o direito de um «governo estrangeiro qualificado». Trata-se de um Estado ligado aos Estados Unidos por um acordo executivo que tenha entrado em vigor. O Departamento de Justiça americano publica acordos com o Reino Unido (assinado a 3 de outubro de 2019) e com a Austrália (assinado a 15 de dezembro de 2021). Não há nenhum acordo em vigor com a União Europeia; as negociações UE–Estados Unidos sobre a prova eletrónica foram retomadas em 2023; a página do Departamento não menciona nenhum acordo com a França. Ora, este mecanismo de contestação específico pressupõe um acordo desse tipo.
A questão foi colocada publicamente em França. A 10 de junho de 2025, perante a comissão de inquérito do Senado sobre a contratação pública, o diretor de assuntos públicos e jurídicos da Microsoft France foi interrogado sobre a sua capacidade de garantir, sob juramento, que os dados dos cidadãos franceses confiados à Microsoft através da Ugap nunca seriam transmitidos, na sequência de uma injunção do governo americano, sem o acordo explícito das autoridades francesas. Respondeu: «Não, não o posso garantir, mas, mais uma vez, isso ainda nunca aconteceu.» A resposta contém os dois elementos do debate: uma garantia que a sociedade não pode dar, e um caso que, segundo ela, não ocorreu.
Uma nuvem europeia, no sentido útil do termo, é operada por uma sociedade de direito europeu, que não depende de um grupo sujeito a uma obrigação americana de entrega dos dados. A OVHcloud é uma sociedade francesa. A Nextcloud GmbH é uma sociedade alemã: produz um software, que o cliente ou um fornecedor de alojamento opera. A BlueMind é uma sociedade francesa de email. A Infomaniak é uma sociedade suíça: a Suíça está na Europa, fora da União Europeia, e beneficia de uma decisão de adequação da Comissão. Classificá-la como «americana» seria errado. Classificá-la como «União Europeia» também seria errado.
O direito europeu não é um escudo único. Um operador francês responde perante o direito francês, um operador alemão perante o direito alemão. Os pedidos das autoridades existem. Passam pelo juiz e pelas regras do país do operador.
O caráter europeu também se pode perder na subcontratação: um operador europeu que confia as cópias de segurança, a filtragem ou o suporte a um prestador americano reintroduz aquilo que o comprador queria evitar. A página proteger uma empresa do CLOUD Act detalha este ponto.
| Pergunta | Nuvem de fabricante de software americano, dados na Europa | Nuvem operada por uma sociedade europeia |
|---|---|---|
| Onde estão os discos? | Muitas vezes à escolha, numa região da UE, com exceções escritas | Consoante o contrato: França, Alemanha, outro país da UE, ou nas instalações do cliente |
| Quem pode ser intimado nos Estados Unidos a entregar os dados que controla? | O fabricante americano, se tiver a detenção ou o controlo | Em princípio, o operador europeu não, salvo se depender de um grupo ou de um subcontratante que o seja |
| Que juiz para um pedido local? | Direito do contrato, muitas vezes complementado pelo direito americano do fabricante | Direito do país do operador |
| As funções de escritório avançadas | Muito amplas (Office, Excel, Teams, ou Docs e a pesquisa Google) | Variáveis consoante o produto. Raramente equivalentes em Excel avançado, Power BI ou no ecossistema Teams |
| Saída dos dados | Ferramentas de exportação reais, históricos de chat e de automatização muitas vezes parciais | A analisar oferta a oferta. A exportação de email (IMAP) é em geral a mais simples |
Nenhuma coluna ganha em tudo: o fabricante americano leva vantagem na amplitude das funções, o operador europeu na posição jurídica. Decidir é saber que linha pesa mais para a sua empresa.
Mesmo com dados armazenados na Europa, um serviço de um fabricante de software americano implica transferências (acesso do suporte, escaladas, funções opcionais), que têm de assentar num fundamento do RGPD.
O quadro anterior, o Privacy Shield (decisão 2016/1250), foi invalidado pelo Tribunal de Justiça da União Europeia a 16 de julho de 2020 (processo C-311/18, conhecido como Schrems II), devido nomeadamente à amplitude dos programas de vigilância americanos e à inexistência de recurso efetivo. As cláusulas contratuais-tipo continuam válidas, mas exigem uma avaliação caso a caso.
A 5 de outubro de 2026, as transferências para organizações americanas certificadas podem apoiar-se na decisão de adequação (UE) 2023/1795, conhecida como Data Privacy Framework. Está em vigor. É contestada, como assinalam as sociedades de advogados DAC Beachcroft e WilmerHale. Segundo esta última, o Tribunal Geral da União Europeia negou provimento, a 3 de setembro de 2025, a um recurso de anulação, e foi interposto recurso para o Tribunal de Justiça a 31 de outubro de 2025. Uma empresa prudente documenta este fundamento no seu registo e prevê o que fazer se ele cair.
Continua a ser pertinente quando a atividade assenta no Excel avançado, no Power BI, em suplementos do Office, no Teams como padrão do setor, ou em dezenas de integrações já em produção. Mudar de ferramenta por um motivo jurídico e, depois, perder o uso que faz a empresa funcionar é um mau cálculo. A página Microsoft 365 face a uma solução soberana detalha este limiar.
Continua também a ser pertinente quando a análise jurídica da transferência, o DPA e as opções de residência dos dados respondem à necessidade real do registo. Muitas empresas europeias utilizam o Microsoft 365 ou o Google Workspace neste quadro. Dizê-lo faz parte de uma comparação honesta. As verificações a efetuar estão descritas em RGPD e Microsoft 365 e RGPD e Google Workspace.
Torna-se pertinente quando a administração quer que a sociedade que detém os emails e os ficheiros seja uma sociedade europeia, que o suporte seja contactável nesse quadro e que os usos caibam no email, nos ficheiros e na sua edição online, na videoconferência, num CRM e numa solução de telefonia. Torna-se também pertinente para uma implementação nas instalações do cliente, quando a empresa não quer nuvem de todo.
As duas opções não se excluem. Uma empresa pode manter uma suíte americana para os postos que dela dependem e confiar o resto a um operador europeu. Esta configuração exige mais administração; justifica-se quando a separação dos usos é clara.
O guia As alternativas europeias ao Microsoft 365 passa em revista o Microsoft 365, o Google Workspace, a OVHcloud, o Nextcloud, a Infomaniak, outros intervenientes e a Klytic, com o caso de uso de cada um.
Caso hipotético. Uma PME industrial tem duas unidades. O gabinete de projeto trabalha em Excel avançado e comunica com os seus clientes contratantes através do Teams. A oficina, as compras e a administração utilizam sobretudo o email e pastas partilhadas, onde se encontram desenhos técnicos.
Um cliente contratante pede que os seus desenhos sejam detidos por uma sociedade europeia. Para o gabinete de projeto, abandonar o Excel avançado e o Teams desorganizaria o trabalho com os clientes: a suíte americana continua justificada, com uma análise documentada da transferência. Para os desenhos e o email dos outros serviços, um operador europeu responde ao pedido sem perda de uso. A decisão segue as linhas do quadro, não um princípio.
Não. O CLOUD Act visa os dados que um prestador sujeito ao direito americano detém ou controla, seja qual for o local de armazenamento. A região europeia reduz as transferências. Não muda a sociedade que detém os dados.
Sim, se depender de um grupo sujeito a esse direito ou se confiar dados a um subcontratante que o seja. É por isso que é preciso verificar a sociedade-mãe e a lista dos subcontratantes, e não apenas o nome do operador.
Fornece um fundamento para as transferências para organizações americanas certificadas, à luz do RGPD. Está em vigor e é contestado. Não muda nem a nacionalidade do fabricante do software nem o alcance da injunção prevista pelo direito americano.
A Klytic enquadra-se na segunda coluna do quadro. É operada pela Dedicace Software, sociedade francesa. O alojamento é possível em qualquer zona geográfica correspondente à jurisdição aplicável, sob reserva da disponibilidade dos serviços necessários, por exemplo na Europa ou na Maurícia, ou nos servidores do cliente.
O email assenta no Zimbra, produzido pela Synacor nos Estados Unidos e operado pela Klytic. Os documentos assentam numa instância Nextcloud dedicada por cliente. A Klytic não está qualificada SecNumCloud e não substitui o Excel avançado, o Power BI nem o Teams. Os serviços adquirem-se separadamente: uma empresa pode manter o Microsoft 365 e acrescentar apenas a filtragem Klytic MTA, colocada à frente do seu email. O pormenor do alojamento consta da página alojamento e soberania.
Esta página descreve um quadro geral. Não substitui a análise do seu contrato.
Situação jurídica a 5 de outubro de 2026. Este texto não substitui a análise de um contrato. A decisão de adequação UE–Estados Unidos (UE) 2023/1795 está em vigor. Está a ser contestada. O catálogo da ANSSI é a referência para o SecNumCloud.
Consultadas em outubro de 2026.
Email, documentos, videoconferência, CRM e telefonia, alojados na zona que corresponde à sua jurisdição, por exemplo na Europa ou na Maurícia, ou nas suas instalações.
Oferta de boas-vindas
Oferta de teste sem compromisso. Um consultor liga-lhe para compreender as suas necessidades e preparar o seu espaço Klytic.
