Em resumo: um SaaS « hospedado na Europa », mas editado nos Estados Unidos, permanece exposto ao CLOUD Act. O acórdão Schrems II invalidou o Privacy Shield e tornou as transferências mais complexas. Para uma empresa francesa, a conformidade com o RGPD não se resume mais à localização dos servidores — ela depende também da jurisdição do editor. Eis a análise prática.
« Os seus dados permanecem na Europa. » Este é o argumento que todos os SaaS americanos servem aos seus potenciais clientes europeus desde 2021. E é tecnicamente verdade: a infraestrutura deles corre em AWS Frankfurt, Azure Dublin ou Google Belgium. A mentira não está na frase, está no que ela induz a pensar. Porque a localização dos servidores é apenas uma parte da equação. A outra é a jurisdição do editor — e aí, o argumento cai por terra.
O CLOUD Act, de forma simples
O Clarifying Lawful Overseas Use of Data Act foi votado pelo Congresso americano em março de 2018, na sequência de uma batalha jurídica entre a Microsoft e o governo americano a respeito de um e-mail armazenado em Dublin. O que o texto diz: qualquer empresa sob a jurisdição americana — portanto, qualquer empresa incorporada nos Estados Unidos, mas também qualquer subsidiária e, mais amplamente, qualquer entidade que tenha um ponto de contacto substancial com o território — deve fornecer às autoridades americanas, mediante requisição legal, os dados que detém, independentemente de onde estejam armazenados.
Concretamente: se utiliza o TaxDome, que é uma empresa americana, e as autoridades americanas requisitam os seus dados no âmbito de um inquérito, o TaxDome deve cumprir. O facto de os seus servidores estarem em Frankfurt não muda nada. O facto de os seus clientes serem empresas francesas não muda nada. O facto de você mesmo ser francês não muda nada.
Schrems II, a decisão que mudou tudo
Em julho de 2020, o Tribunal de Justiça da União Europeia, provocado pelo ativista austríaco Max Schrems, invalidou o Privacy Shield, o acordo-quadro que até então regulamentava as transferências de dados pessoais entre a União Europeia e os Estados Unidos. O motivo alegado: a legislação americana, nomeadamente a lei FISA seção 702 e o decreto presidencial 12333, autoriza uma vigilância governamental incompatível com os padrões europeus de proteção de dados.
« As exigências do direito interno dos Estados Unidos, e nomeadamente certos programas que permitem o acesso, pelas autoridades públicas deste Estado, aos dados pessoais transferidos da União para este Estado para fins de segurança nacional, comportam limitações à proteção dos dados pessoais que não são enquadradas de forma a responder a exigências substancialmente equivalentes às exigidas no direito da União. »
TJUE, acórdão Schrems II, 16 de julho de 2020, processo C-311/18
O Schrems II não proibiu as transferências para os Estados Unidos. O Tribunal manteve a validade das Standard Contractual Clauses, mas impondo que o responsável pelo tratamento europeu proceda a uma avaliação caso a caso do nível de proteção efetivo. Em termos claros: se transferir dados para um subcontratante americano, deve documentar uma análise de impacto, implementar medidas técnicas adicionais se necessário e poder justificá-lo em caso de auditoria.
O Trans-Atlantic Data Privacy Framework de 2023: não é o fim da história
Em julho de 2023, a Comissão Europeia adotou uma nova decisão de adequação para os Estados Unidos, baseada no Trans-Atlantic Data Privacy Framework. Este acordo introduz novas garantias por parte dos americanos e permite, em teoria, transferências mais simples para organizações certificadas. É um alívio operacional para muitas empresas europeias.
No entanto, o quadro permanece frágil. Max Schrems já anunciou que contestará este novo acordo, tal como fez com o Safe Harbor em 2015 e com o Privacy Shield em 2020. A probabilidade de uma nova decisão Schrems III ocorrer nos próximos anos não é desprezível. Construir a sua conformidade hoje com base na hipótese de que o TDPF durará dez anos é correr um risco estrutural.
O que isto muda para um escritório francês em 2026
Concretamente, várias questões colocam-se a qualquer escritório que utilize um SaaS cujo editor seja americano. A primeira é saber se os dados processados são dados de caráter pessoal na aceção do RGPD: para um escritório de advogados, de contabilistas, de mediadores, a resposta é quase sempre sim. A segunda é saber se o editor documentou uma análise de impacto pós-Schrems II: deveria tê-lo feito, no seu DPA atualizado. A terceira é saber se você, enquanto responsável pelo tratamento, fez a sua própria análise de impacto: é raramente o caso.
Em caso de inspeção da CNIL, é esta terceira análise que será solicitada. O DPA do SaaS não é suficiente — ele documenta a conformidade do subcontratante, não a sua. Deve ser capaz de demonstrar que avaliou o risco de transferência, identificou as medidas técnicas necessárias e registou uma decisão fundamentada.
As Standard Contractual Clauses já não são suficientes
As Standard Contractual Clauses, atualizadas em 2021 pela Comissão Europeia, são o principal instrumento contratual para regular transferências fora da União Europeia. Cobrem as obrigações do responsável pelo tratamento e do subcontratante. Muitas empresas pensam que basta assiná-las para estarem em conformidade. Esta é uma leitura errada.
O acórdão Schrems II afirmou explicitamente que as SCC, por si só, não são suficientes: é necessário, adicionalmente, avaliar se o país de destino oferece uma proteção efetivamente equivalente e, caso contrário, implementar medidas suplementares. Para os Estados Unidos, o Comité Europeu para a Proteção de Dados publicou recomendações que listam essas medidas: cifragem de ponta a ponta controlada pelo remetente, pseudonimização, divisão de transferências, etc. Implementar estas medidas técnicas num SaaS americano pronto a usar é tecnicamente possível, mas operacionalmente complicado.
Verificar se um fornecedor é realmente europeu
Nem sempre é fácil de verificar. Algumas regras de senso comum: Primeiro, verifique os avisos legais: a empresa que publica o serviço está inscrita no registo comercial de um país europeu? Segundo, observe a cadeia de controlo: o acionista final é europeu? Uma empresa francesa detida integralmente por um fundo americano pode, juridicamente, permanecer sob influência americana. Terceiro, analise as contas: se o fornecedor realiza a maior parte do seu volume de negócios nos Estados Unidos e aí tem a sua direção efetiva, as autoridades americanas poderão ter um ponto de contacto substancial.
Pennylane, Yousign, Doctrine e Tiime são editores franceses no sentido estrito: empresa francesa, acionistas majoritariamente europeus, direção francesa. Clio é canadense — próximo da União Europeia, mas não europeu, e sujeito a um regime jurídico diferente do nosso. TaxDome, SmartVault e HoneyBook são americanos. Conhecer essas diferenças significa parar de se tranquilizar com a ideia de “hospedado na Europa”.
Como o Client Vault responde a esse risco estrutural
O Client Vault é editado por uma empresa francesa, sob direção francesa, com acionariado europeu. O código é instalado no servidor da sua escolha — portanto, na prática, em um provedor de hospedagem francês: OVH, Scaleway, Infomaniak, o2switch, ou sua própria infraestrutura. Em nenhum momento seus dados deixam um perímetro que você controla. As autoridades americanas não possuem ponto de contato para exercer pressão: nem sobre o editor, nem sobre o provedor de hospedagem, nem sobre a infraestrutura.
Essa arquitetura torna obsoleta grande parte da análise de impacto pós-Schrems II: não há transferência para fora da União Europeia a ser analisada. É uma simplificação administrativa que possui valor econômico real em caso de auditoria da CNIL: seu dossiê RGPD é mais curto, mais sólido e mais defensável.
Para agências WordPress: é também um argumento comercial direto. Muitos de seus clientes profissionais não sabem que usar um SaaS americano lhes impõe obrigações adicionais de RGPD. Explicar o risco e propor um caminho soberano que elimine esse risco é um serviço de valor agregado que você pode posicionar claramente.
Limites honestos
Este raciocínio não se aplica a todas as ferramentas. Para ferramentas não críticas — um Slack para comunicação interna, um Notion para notas de equipe, um Trello para gestão de projetos leve —, o cálculo é diferente. O risco de transferência existe, mas a sensibilidade dos dados é menor. Banir todo SaaS americano de todos os usos é uma resposta excessiva que não se sustenta operacionalmente.
Para dados profissionais críticos, por outro lado — documentos de dossiê, prontuários de pacientes, contratos de clientes, dados financeiros —, o risco merece uma análise real. É neste perímetro que a via soberana faz todo o sentido.
Vamos nos conhecer
Se você é responsável pelo tratamento ou DPO e a conformidade pós-Schrems II lhe preocupa, vamos conversar por vídeo. Vinte a trinta minutos para mapear sua exposição ao CLOUD Act e ver como uma via soberana pode simplificar sua análise de impacto.
Perguntas frequentes
O que é o CLOUD Act e quem é afetado?
Lei americana de 2018 que permite às autoridades americanas requisitar dados detidos por uma empresa sob sua jurisdição, independentemente da localização dos servidores. Qualquer empresa que utilize um SaaS americano entra neste escopo.
Um SaaS hospedado na Europa é obrigatoriamente compatível com o RGPD?
Não. A localização dos servidores é apenas um critério entre outros. A jurisdição do editor, o DPA, a análise de impacto pós-Schrems II e as medidas técnicas complementares contam tanto quanto.
O que mudou na prática com o Schrems II?
O acórdão do TJUE de 2020 invalidou o Privacy Shield e impôs uma análise de impacto caso a caso para qualquer transferência fora da UE. As SCC já não são suficientes por si sós: é necessário documentar uma decisão fundamentada e, se necessário, adicionar medidas técnicas.
O meu gabinete está em risco devido ao Cloud Act?
Sim, desde que utilize um SaaS cujo editor esteja sob jurisdição americana e que esse SaaS trate dados pessoais de clientes. O risco é proporcional à sensibilidade dos dados tratados.
As Standard Contractual Clauses são suficientes?
O Schrems II afirmou explicitamente que não, por si mesmas. É necessária uma avaliação do nível efetivo de proteção e, se necessário, medidas complementares. O Comité Europeu para a Proteção de Dados publicou recomendações detalhadas.
O que fazer se o meu SaaS receber uma injunção americana?
O editor é obrigado a cumprir de acordo com o direito americano. Geralmente será notificado se o procedimento o permitir, mas nem sempre. A melhor proteção continua a ser a prevenção estrutural: não confiar dados críticos a um editor exposto.
Como verificar se um editor é realmente europeu?
Examine as menções legais (local de incorporação), a cadeia de controle (participação acionária final) e a direção efetiva. Uma empresa francesa detida por um fundo americano pode permanecer sob influência americana nos termos do Cloud Act.
{“@context”:”https://schema.org”,”@type”:”Article”,”headline”:”CLOUD Act vs RGPD : où sont vraiment vos données client”,”author”:{“@type”:”Person”,”name”:”Dragan Stamenkovic”},”datePublished”:”2026-05-10″,”dateModified”:”2026-05-10″,”publisher”:{“@type”:”Organization”,”name”:”Client Vault”},”mainEntityOfPage”:”https://clientvault.pro/blog/rgpd-cloud-act-donnees-client”}{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[ {“@type”:”Question”,”name”:”Qu’est-ce que le CLOUD Act et qui est concerné ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Loi américaine de 2018 permettant aux autorités américaines de réquisitionner les données détenues par toute entreprise relevant de leur juridiction.”}}, {“@type”:”Question”,”name”:”Un SaaS hébergé en Europe est-il forcément RGPD-compliant ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Non. La juridiction de l’éditeur, le DPA et l’analyse d’impact post-Schrems II comptent autant que la localisation.”}}, {“@type”:”Question”,”name”:”Qu’a changé Schrems II en pratique ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Invalidation du Privacy Shield, analyse d’impact obligatoire au cas par cas pour tout transfert hors UE.”}}, {“@type”:”Question”,”name”:”Mon cabinet est-il à risque CLOUD Act ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Oui dès lors qu’il utilise un SaaS américain pour traiter des données personnelles. Risque proportionnel à la sensibilité.”}}, {“@type”:”Question”,”name”:”Les Standard Contractual Clauses suffisent-elles ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Non en elles-mêmes selon Schrems II. Il faut évaluation du niveau de protection effectif et mesures supplémentaires.”}}, {“@type”:”Question”,”name”:”Que faire si mon SaaS reçoit une injonction américaine ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”L’éditeur s’exécute selon le droit US. Notification pas garantie. Meilleure protection : éviter de confier les données critiques à un éditeur exposé.”}}, {“@type”:”Question”,”name”:”Comment vérifier si un éditeur est vraiment européen ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Examiner mentions légales, chaîne de contrôle actionnarial et direction effective.”}} ]}
