Em resumo: os clientes fazem cada vez mais perguntas sobre a segurança dos seus dados. Cinco perguntas recorrem em cada processo sensível. Eis as respostas fundamentadas, as referências legais a citar e um modelo de e-mail pronto a enviar para transformar estas questões numa prova de profissionalismo.
Antes de 2020, um cliente que lhe perguntava “onde estão os meus dados?” era uma exceção. Hoje, é quase a norma em processos onde o risco é elevado — divórcio com património, due diligence M&A, queixas penais, balanços médicos complexos, fiscalidade internacional. A questão já não é um sinal de desconfiança. É um sinal de maturidade do cliente. Responder bem torna-se uma vantagem competitiva.
Listei as cinco perguntas que os meus utilizadores do Client Vault recebem com mais frequência. Para cada uma, encontrará a resposta fundamentada, a referência legal precisa a mencionar e uma caixa prática. No final, um modelo de e-mail que pode reutilizar tal como está.
Questão 1: “Onde estão armazenados os meus dados?”
A resposta honesta resume-se a três elementos. Primeiro, a localização física do servidor — em que alojador, em que país. Segundo, a jurisdição da empresa que edita o software — é isto que determina a exposição ao CLOUD Act. Terceiro, a duração e o mecanismo de conservação.
Um gabinete soberano pode responder: “Os seus documentos estão armazenados na nossa instalação, alojada na [OVH/Scaleway/Infomaniak], em França. Nenhum editor terceiro tem acesso aos mesmos. A conservação está limitada à duração do processo acrescida do prazo de prescrição legal, após o que os dados são eliminados.” É curto, preciso e oponível. Referência: RGPD artigo 5.1.b (limitação das finalidades) e 5.1.e (limitação da conservação).
Pergunta 2: « Quem pode ler os meus documentos? »
O cliente pretende saber quem, no seu escritório, tem acesso concreto aos seus documentos. A resposta deve definir o princípio — o acesso é limitado aos colaboradores designados para o processo — e especificar o mecanismo — cada abertura é registada num diário de auditoria, do qual o cliente pode solicitar um extrato.
Num Drive partilhado convencional, esta resposta é difícil de sustentar. Num cofre profissional configurado por processo, torna-se automática. Referência: RGPD artigo 32 (segurança do tratamento) e artigo 5.1.f (integridade e confidencialidade).
Pergunta 3: « E se forem pirateados? »
O cliente não pede uma garantia de zero intrusões — ele sabe que isso não existe. Ele quer saber três coisas: quanto tempo demora a detetar uma intrusão, como será avisado e quantos dados seriam expostos caso isso acontecesse.
A resposta é tripla. Um: a sua instalação é vigiada — seja pelo seu prestador WordPress ou via um serviço de monitorização que deve nomear. Dois: em caso de violação suscetível de gerar um risco para o cliente, notificará a CNIL no prazo de 72 horas e o cliente em questão sem demora. Três: a encriptação em repouso limita a exposição de uma intrusão a um subconjunto do processo — não à totalidade. Referência: RGPD artigo 33 (notificação à CNIL) e artigo 34 (notificação à pessoa em causa).
Pergunta 4: « Posso recuperar todos os meus dados quando o processo estiver encerrado? »
Este é o direito à portabilidade. O cliente pode solicitá-lo a qualquer momento, não apenas no encerramento. A sua obrigação: restituir os documentos que ele lhe forneceu, num formato estruturado, habitualmente utilizado e legível por máquina. Concretamente: um ZIP com os ficheiros originais e um índice.
Vários SaaS tornam esta operação tão lenta ou degradada — formatos proprietários, capturas de ecrã, metadados perdidos — que, na prática, estão em infração. Um cofre instalado na sua infraestrutura exporta um ZIP limpo em poucos segundos. Referência: RGPD artigo 20 (direito à portabilidade).
Pergunta 5: « Os meus dados podem ir para o estrangeiro? »
Esta é a questão mais delicada, porque depende menos da sua intenção do que da arquitetura das suas ferramentas. Se utiliza o TaxDome, Notion, HoneyBook, Dropbox ou qualquer outro SaaS americano, a resposta honesta é « sim, a qualquer momento, por requisição do CLOUD Act e sem que eu possa impedi-lo ». Se utiliza uma instalação soberana alojada em França, a resposta honesta é « não, por construção ».
Esta diferença não é marketing. É um facto jurídico verificável. Para um cliente cujo desafio é estratégico ou penal, é muitas vezes o que faz pender a decisão de o escolher a si em vez de um colega que não detém o controlo. Referência: decisão Schrems II (16 de julho de 2020) e CLOUD Act americano (março de 2018).
Modelo de e-mail para enviar a um cliente que coloca estas questões
« Olá [Prénom],
Você me perguntou sobre a segurança dos seus dados. Agradeço por esta questão — é exatamente o tipo de vigilância que recomendo a todos os meus clientes. Aqui estão os elementos factuais nos quais você pode se basear. Seus documentos estão armazenados na minha instalação Client Vault, hospedada na [OVH], na França. Nenhum editor terceirizado tem acesso a eles. A consulta interna é limitada a [Maître X] e a mim mesmo, e cada acesso é registrado. Em caso de incidente, você seria notificado imediatamente e a CNIL em até 72 horas. Ao encerrar o processo, entregarei, mediante solicitação, a totalidade dos documentos em um arquivo ZIP utilizável. Nenhuma requisição estrangeira pode, por construção, acessar seus dados. Se desejar detalhes técnicos adicionais, estou à disposição. Atenciosamente, [Signature] »
Este e-mail leva dois minutos para ser personalizado. Ele transforma uma pergunta potencialmente constrangedora em uma demonstração do seu profissionalismo. E tranquiliza exatamente os clientes que pagam mais caro pelo seu serviço.
