{"id":3769,"date":"2026-10-05T22:26:29","date_gmt":"2026-10-05T20:26:29","guid":{"rendered":"https:\/\/eu.klytic.com\/?page_id=3769"},"modified":"2026-10-06T17:22:41","modified_gmt":"2026-10-06T15:22:41","slug":"nuvem-soberana-definicao","status":"publish","type":"page","link":"https:\/\/eu.klytic.com\/pt-pt\/nuvem-soberana-definicao\/","title":{"rendered":"Nuvem soberana: defini\u00e7\u00e3o, crit\u00e9rios e limites"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

In\u00edcio<\/a>\u203a<\/span>Guias<\/a>\u203a<\/span>Soberania<\/a><\/p>

Soberania<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Nuvem soberana: defini\u00e7\u00e3o, crit\u00e9rios e limites<\/h1>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Uma nuvem soberana, num processo de compra, \u00e9 um servi\u00e7o cujo operador, cujo direito aplic\u00e1vel e cujos acessos de administra\u00e7\u00e3o s\u00e3o conhecidos, e cujos dados podem ser recuperados. A defini\u00e7\u00e3o de marketing varia. Os crit\u00e9rios, por sua vez, prestam-se a uma grelha.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Atualizado em outubro de 2026<\/b><\/span>9 min<\/b> de leitura<\/span>Fontes oficiais citadas<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Porqu\u00ea uma grelha em vez de um r\u00f3tulo<\/h2>

Escrever \u00abnuvem soberana\u00bb numa consulta ao mercado equivale a fazer uma pergunta a que todos os candidatos respondem que sim. As respostas tornam-se incompar\u00e1veis, e a escolha faz-se pelo pre\u00e7o ou pela impress\u00e3o deixada pela apresenta\u00e7\u00e3o.<\/p>

Uma grelha obriga cada candidato a responder \u00e0 mesma pergunta, com um documento comprovativo. Protege tamb\u00e9m o comprador ap\u00f3s a assinatura: um compromisso escrito na resposta \u00e0 consulta pode ser retomado no contrato, ao passo que um adjetivo n\u00e3o se controla. O conceito em si \u00e9 explicado em o que \u00e9 uma nuvem soberana<\/a>. Esta p\u00e1gina serve para a compra.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Uma defini\u00e7\u00e3o utiliz\u00e1vel<\/h2>

Retenha esta.<\/p>

Um servi\u00e7o digital \u00e9 tratado como soberano, para um comprador europeu, quando a sociedade que o opera est\u00e1 sujeita a um direito europeu, os dados confiados e as respetivas c\u00f3pias de seguran\u00e7a permanecem no per\u00edmetro geogr\u00e1fico declarado, os acessos de explora\u00e7\u00e3o est\u00e3o identificados e o cliente pode exportar e depois mandar eliminar os seus dados.<\/p><\/blockquote>

Esta frase \u00e9 uma ferramenta de trabalho. N\u00e3o \u00e9 um artigo do RGPD (Regulamento Geral sobre a Prote\u00e7\u00e3o de Dados). O regulamento define pap\u00e9is (respons\u00e1vel pelo tratamento, subcontratante), transfer\u00eancias e direitos dos titulares dos dados. N\u00e3o atribui nenhum r\u00f3tulo \u00absoberano\u00bb.<\/p>

Cada membro da frase remete para um ou mais dos crit\u00e9rios abaixo. \u00c9 isso que a torna utiliz\u00e1vel: pode ser decomposta em perguntas e as respostas podem ser pontuadas.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Dez crit\u00e9rios<\/h2>

Cada crit\u00e9rio prova-se com um documento, n\u00e3o com um adjetivo.<\/p>

  1. Sociedade operadora.<\/strong> Denomina\u00e7\u00e3o social, pa\u00eds da sede e sociedade-m\u00e3e. Uma filial europeia de um grupo americano pode faturar em euros e, ao mesmo tempo, pertencer a um grupo sujeito ao direito americano. \u00c9 o crit\u00e9rio que determina a quem uma autoridade estrangeira se pode dirigir.<\/li>
  2. Direito do contrato.<\/strong> Lei aplic\u00e1vel e tribunal competente. Verifique se as condi\u00e7\u00f5es gerais e o acordo de tratamento de dados dizem a mesma coisa.<\/li>
  3. Per\u00edmetro dos dados.<\/strong> Conte\u00fado (emails, ficheiros), c\u00f3pias de seguran\u00e7a, logs t\u00e9cnicos, dados de suporte. O conte\u00fado por si s\u00f3 n\u00e3o basta: um compromisso que s\u00f3 abrange as caixas de correio deixa de fora as c\u00f3pias.<\/li>
  4. Local.<\/strong> Pa\u00eds ou regi\u00e3o para cada categoria do ponto 3. \u00abEuropa\u00bb deve ser especificado: Uni\u00e3o Europeia, EFTA ou um pa\u00eds identificado.<\/li>
  5. Pessoas que administram.<\/strong> Trabalhadores do operador, subcontratantes, servi\u00e7o de preven\u00e7\u00e3o fora da zona. Um acesso remoto, mesmo tempor\u00e1rio, \u00e9 um tratamento. Pergunte tamb\u00e9m se esses acessos ficam registados em log e se o cliente pode consultar esse log.<\/li>
  6. Chaves de encripta\u00e7\u00e3o.<\/strong> Quem as det\u00e9m, quem as pode utilizar para uma restaura\u00e7\u00e3o, quem as pode entregar a um terceiro. A pergunta n\u00e3o \u00e9 \u00abos dados est\u00e3o encriptados?\u00bb, mas sim \u00abquem os pode desencriptar?\u00bb.<\/li>
  7. Subcontratantes.<\/strong> Lista atualizada: antispam, c\u00f3pias de seguran\u00e7a, suporte, medi\u00e7\u00e3o de audi\u00eancias, identidade. Um subcontratante sujeito a outro direito pode anular o efeito do crit\u00e9rio 1.<\/li>
  8. Pedidos das autoridades.<\/strong> Procedimento interno quando uma autoridade pede dados, e direito aplic\u00e1vel a esse pedido. Pergunte se o prestador se compromete a informar o cliente, na medida em que a lei o permita.<\/li>
  9. Reversibilidade.<\/strong> Formatos, prazo, custo e o que n\u00e3o \u00e9 export\u00e1vel (hist\u00f3ricos de chat, regras internas, logs). O mais seguro \u00e9 testar uma exporta\u00e7\u00e3o antes de assinar.<\/li>
  10. Eventual qualifica\u00e7\u00e3o.<\/strong> Se o comprador exigir SecNumCloud, o nome do servi\u00e7o qualificado deve ser o que consta do cat\u00e1logo da ANSSI. Uma oferta alojada numa infraestrutura qualificada n\u00e3o herda a qualifica\u00e7\u00e3o. Desde a vers\u00e3o 3.2 do seu referencial (2022), o SecNumCloud inclui requisitos de prote\u00e7\u00e3o face aos direitos extraeuropeus, que incidem sobre a sede, o controlo do capital, a localiza\u00e7\u00e3o e o pessoal.<\/li><\/ol>

    Como ponderar<\/h3>

    Os dez crit\u00e9rios n\u00e3o t\u00eam o mesmo peso para todos os compradores. Para um servi\u00e7o de email e uma partilha de ficheiros, os crit\u00e9rios 1, 3, 4, 5 e 9 fazem em geral a diferen\u00e7a entre as ofertas. O crit\u00e9rio 10 \u00e9 eliminat\u00f3rio quando \u00e9 exigido, e neutro caso contr\u00e1rio. Decida a pondera\u00e7\u00e3o antes de abrir as respostas, n\u00e3o depois.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Os limites, ditos com clareza<\/h2>

    O local n\u00e3o equivale ao direito.<\/strong> Um centro de dados em Frankfurt operado por uma sociedade americana continua a ser um servi\u00e7o dessa sociedade. O CLOUD Act americano visa os dados detidos por um prestador sujeito \u00e0s jurisdi\u00e7\u00f5es dos Estados Unidos, seja qual for o pa\u00eds do disco. Consulte proteger uma empresa do CLOUD Act<\/a> e a compara\u00e7\u00e3o nuvem europeia ou nuvem americana<\/a>.<\/p>

    O direito europeu n\u00e3o equivale \u00e0 aus\u00eancia de requisi\u00e7\u00f5es.<\/strong> Um juiz franc\u00eas, alem\u00e3o ou neerland\u00eas pode ordenar a comunica\u00e7\u00e3o de dados a um operador sob a sua jurisdi\u00e7\u00e3o. A diferen\u00e7a est\u00e1 no juiz, no procedimento e nos meios de recurso. Uma grelha que levasse a crer o contr\u00e1rio induziria o comprador em erro.<\/p>

    O software e o operador distinguem-se.<\/strong> O Nextcloud \u00e9 produzido pela Nextcloud GmbH, na Alemanha. O Zimbra \u00e9 produzido pela Synacor, nos Estados Unidos. A BlueMind \u00e9 uma sociedade francesa. Nos tr\u00eas casos, a soberania do seu<\/em> servi\u00e7o depende de quem o instala, de quem faz as suas c\u00f3pias de seguran\u00e7a e de quem atende o telefone. A nacionalidade do fabricante do software conta sobretudo se este tiver acesso aos dados: trata-se ent\u00e3o no crit\u00e9rio 7.<\/p>

    O SecNumCloud \u00e9 restrito.<\/strong> \u00c9 uma qualifica\u00e7\u00e3o da ANSSI, oferta a oferta, com um per\u00edmetro e uma data de termo. \u00c9 muitas vezes exigida para dados sens\u00edveis do Estado. \u00c9 desproporcionada como crit\u00e9rio \u00fanico para uma PME que procura um servi\u00e7o de email e uma partilha de ficheiros. \u00c9 insuficiente se for invocada sem se ler a decis\u00e3o.<\/p>

    Nenhuma oferta cobre todos os usos do Microsoft 365.<\/strong> O Excel avan\u00e7ado, o Power BI, o ecossistema Teams e os suplementos setoriais n\u00e3o t\u00eam equivalente geral nos operadores europeus. O crit\u00e9rio soberano n\u00e3o resolve este ponto. Acresce-lhe. Se estes usos forem centrais, a grelha pode levar a manter o Microsoft 365 com pleno conhecimento de causa: consulte Microsoft 365 face a uma solu\u00e7\u00e3o soberana<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Como o redigir num caderno de encargos<\/h2>

    Substitua \u00abnuvem soberana\u00bb pelos dez crit\u00e9rios, cada um com uma prova esperada. Poder\u00e1 ent\u00e3o comparar uma oferta Microsoft com fronteira de dados europeia, uma oferta Google com regi\u00e3o de dados, uma oferta su\u00ed\u00e7a como a Infomaniak e uma oferta operada em Fran\u00e7a. A compara\u00e7\u00e3o passa a ser uma leitura de provas, e n\u00e3o uma batalha de adjetivos.<\/p>

    Crit\u00e9rio<\/th>Pergunta feita ao candidato<\/th>Documento esperado<\/th><\/tr><\/thead>
    1. Sociedade operadora<\/td>Que sociedade opera o servi\u00e7o, e quem a controla?<\/td>Certid\u00e3o do registo comercial, organograma do grupo<\/td><\/tr>
    2. Direito do contrato<\/td>Que lei, que tribunal?<\/td>Cl\u00e1usula das condi\u00e7\u00f5es gerais e do acordo de tratamento<\/td><\/tr>
    3 e 4. Per\u00edmetro e local<\/td>Que categorias de dados, em que pa\u00edses?<\/td>Quadro por categoria: conte\u00fado, c\u00f3pias de seguran\u00e7a, logs, suporte<\/td><\/tr>
    5. Administra\u00e7\u00e3o<\/td>Quem administra, a partir de onde, com que registo?<\/td>Descri\u00e7\u00e3o das equipas e do registo em log<\/td><\/tr>
    6. Chaves<\/td>Quem pode desencriptar, e em que casos?<\/td>Descri\u00e7\u00e3o do esquema de encripta\u00e7\u00e3o<\/td><\/tr>
    7. Subcontratantes<\/td>Quem recebe uma c\u00f3pia ou um acesso?<\/td>Lista nominativa com pa\u00eds<\/td><\/tr>
    8. Autoridades<\/td>O que faz perante um pedido?<\/td>Procedimento escrito<\/td><\/tr>
    9. Reversibilidade<\/td>Como recuperamos tudo, e em quanto tempo?<\/td>Procedimento de exporta\u00e7\u00e3o, formatos, teste<\/td><\/tr>
    10. Qualifica\u00e7\u00e3o<\/td>A oferta proposta est\u00e1 qualificada?<\/td>Refer\u00eancia ao cat\u00e1logo da ANSSI, se exigida<\/td><\/tr><\/tbody><\/table><\/div>

    O pormenor do crit\u00e9rio geogr\u00e1fico, por si s\u00f3, \u00e9 tratado em O que significa realmente \u00abdados alojados na Europa\u00bb<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Exemplo: uma empresa de m\u00e9dia dimens\u00e3o de servi\u00e7os que consulta o mercado<\/h2>

    Caso hipot\u00e9tico. Uma empresa de m\u00e9dia dimens\u00e3o do setor dos servi\u00e7os renova o seu servi\u00e7o de email e a sua partilha de ficheiros. A primeira vers\u00e3o do caderno de encargos pede \u00abuma solu\u00e7\u00e3o de nuvem soberana alojada na Europa\u00bb. Os tr\u00eas candidatos respondem que sim.<\/p>

    A dire\u00e7\u00e3o de sistemas de informa\u00e7\u00e3o reescreve a consulta com a grelha. As respostas tornam-se leg\u00edveis. O primeiro candidato aloja na Europa, mas pertence a um grupo sujeito ao direito americano: crit\u00e9rio 1 n\u00e3o cumprido, crit\u00e9rios 3 e 4 bem documentados. O segundo \u00e9 uma sociedade europeia, mas confia o suporte noturno a um subcontratante fora da zona: crit\u00e9rio 5 a negociar. O terceiro cumpre os crit\u00e9rios jur\u00eddicos, mas n\u00e3o cobre um uso setorial: a administra\u00e7\u00e3o tem de decidir. A grelha n\u00e3o escolheu em vez da empresa. Tornou a escolha expl\u00edcita.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Os erros frequentes<\/h2>