Escolher região virou decisão jurídica

Produzir a ficha de transferência internacional por sistema, com base legal declarada e pendências datadas.

• Identificar o destino efetivo do processamento, e não o destino que o time supõe.
• Declarar a base legal de cada transferência e a pendência contratual correspondente.
• Marcar os serviços que existem em uma única região fora do Brasil.

Em linguagem simples

Escolher a região onde o código roda parece decisão de latência. Ela é três decisões ao mesmo tempo. Decide velocidade de resposta, decide preço unitário e decide para qual jurisdição o dado pessoal viaja. As duas primeiras aparecem em reunião técnica. A terceira só aparece quando um cliente regulado pede o formulário de segurança, e aí já está em produção há dois anos.

No Brasil, transferir dado pessoal para fora do país exige amparo. Em 26 de janeiro de 2026, a Resolução CD/ANPD nº 32 reconheceu a União Europeia como destino com nível adequado de proteção, e essa é a única decisão de adequação já concedida pela autoridade, com reavaliação prevista em quatro anos. Os Estados Unidos, onde ficam Vercel e Cloudflare, não têm decisão de adequação. Para lá, o caminho praticável são as cláusulas-padrão contratuais do Anexo II da Resolução CD/ANPD nº 19/2024, adotadas sem modificações, cujo prazo de adequação de contratos encerrou em 23 de agosto de 2025, sem prorrogação.

1. 01Região padrão não é região escolhida. A Vercel declara em documentação de 8 de julho de 2026 que o local padrão das Functions são os Estados Unidos. Quem nunca mexeu na configuração escolheu os Estados Unidos por omissão.
2. 02Contratar um fornecedor pode ser contratar dois. A mesma documentação afirma que a rede de entrega e a plataforma de publicação usam primariamente a AWS, em 20 regiões. A cadeia de subcontratação faz parte da ficha, porque é por ela que o dado circula.
3. 03Serviço de região única fixa a jurisdição. O Vercel Sandbox existe apenas na região de Washington, verificado em 16 de junho de 2026. Qualquer dado processado ali sai do Brasil, sem alternativa de configuração.
4. 04Aceite de termos em tela não é contrato adequado. Aceitar os termos padrão da plataforma não anexa as cláusulas-padrão da autoridade brasileira. A ANPD nunca aprovou cláusulas específicas, cláusulas equivalentes ou normas corporativas globais.

Confusão mais comum: Achar que hospedar em fornecedor norte-americano ficou proibido. Não ficou. Ficou condicionado a salvaguarda contratual formal, com prazo que já venceu em 23 de agosto de 2025. Quem contratou e não anexou as cláusulas está em descumprimento hoje, não no futuro.

Explique em voz alta: Formule a pergunta que você faria ao jurídico sobre em qual país roda a rotina que processa dado de cliente na sua empresa, e qual documento ampara essa viagem.

A região foi decidida numa reunião técnica de 2025

A Nortis fixou a execução em São Paulo para reduzir latência. Foi uma reunião curta, com argumento razoável e nenhuma ata. Duas consequências vieram junto e nenhuma foi discutida. A primeira é de custo: o mesmo trabalho de CPU custa US$ 0,221 por hora em São Paulo contra US$ 0,128 em Washington, Cleveland e Portland, um prêmio de 72,7% verificado na documentação do fornecedor em 24 de julho de 2026. A segunda é de jurisdição, e é a que aparece neste módulo.

Manter execução no Brasil simplifica a conversa de transferência internacional para aquela carga específica, e não elimina o tema. A documentação de conformidade da Vercel, atualizada em 8 de julho de 2026, declara que a plataforma usa primariamente a AWS em 20 regiões, que o local padrão das Functions são os Estados Unidos e que a empresa pode transferir dados para os Estados Unidos e para qualquer lugar onde ela ou seus subprocessadores operem. Uma empresa que acredita ter dois fornecedores independentes precisa ler essa frase antes de escrever o plano de continuidade.

Do lado brasileiro, o calendário regulatório já passou. A Resolução CD/ANPD nº 19/2024 deu doze meses para adequar contratos às cláusulas-padrão do Anexo II, e o prazo encerrou em 23 de agosto de 2025, sem prorrogação. As cláusulas devem ser adotadas sem modificações, e a autoridade não aprovou, até aqui, nenhuma cláusula específica, cláusula equivalente ou norma corporativa global. Não há caminho alternativo elegante: existe o Anexo II.

Para onde o dado vai e com qual amparo

Situação verificada em 24 de julho de 2026. A coluna de amparo descreve o que existe hoje, não o que seria desejável, e cada linha precisa virar pendência datada quando a empresa não tiver o documento.

Evidência pública

Caso documentado: o que o fornecedor declara sobre a própria cadeia

Vercel, documentação oficial de conformidade

A documentação de conformidade da Vercel, atualizada em 8 de julho de 2026, declara certificação no EU-U.S. Data Privacy Framework, SOC 2 Type 2, ISO 27001:2022, PCI DSS v4.0 nas modalidades SAQ-D e SAQ-A, HIPAA como parceiro de negócio e TISAX AL2. O mesmo documento afirma que a rede de entrega e a plataforma de publicação usam primariamente a Amazon Web Services, em 20 regiões, que o local padrão das Functions são os Estados Unidos e que a empresa pode transferir dados para os Estados Unidos e para qualquer lugar onde ela ou seus subprocessadores mantenham operações.

• A lista de certificações é a que o jurídico e o time de compras vão pedir, e ela deve ser verificada na fonte primária do fornecedor, não em material de concorrente.
• Contratar a plataforma é contratar também a nuvem subjacente: o número de contratos assinados não é o número de pontos de falha independentes.
• A declaração de região padrão nos Estados Unidos significa que quem nunca configurou região escolheu essa jurisdição por omissão.

A ficha de transferência internacional se preenche com o que o fornecedor declara por escrito na documentação dele, com data de verificação ao lado. Alegação de concorrente e suposição interna não entram no documento que o cliente auditor vai ler.

A mesma página declara backup a cada duas horas com retenção de 30 dias, e afirma que esses backups não estão disponíveis para os clientes, existindo para uso da infraestrutura da própria Vercel.

Modelo operacional

A ficha de transferência internacional, campo a campo

Uma ficha por sistema, não uma por empresa. Sistemas diferentes processam em lugares diferentes, e a média entre eles não significa nada para um auditor.

• Destino efetivo do processamento: Onde a função roda, onde o banco mora, onde os arquivos são servidos e onde o processamento assíncrono acontece. Configurado, não presumido. Exemplo: Execução em São Paulo, armazenamento de objetos fora do Brasil, rotina de validação em serviço disponível apenas em Washington.
• Base legal da transferência: Adequação, cláusulas-padrão ou outra hipótese prevista, com o documento correspondente identificado por nome e data. Exemplo: Cláusulas-padrão do Anexo II anexadas ao contrato em data registrada, ou pendência com prazo e responsável nomeado.
• Cadeia de subcontratação: Quem mais toca o dado abaixo do fornecedor contratado. A infraestrutura de nuvem subjacente entra aqui, com a fonte da informação citada. Exemplo: Plataforma de publicação apoiada primariamente em nuvem de terceiro, conforme documentação do próprio fornecedor de 8 de julho de 2026.
• Certificações verificadas na fonte primária: A lista que o cliente auditor vai pedir, conferida no site oficial do fornecedor, com a data da conferência. Exemplo: Data Privacy Framework, SOC 2 Type 2, ISO 27001:2022, PCI DSS v4.0, HIPAA e TISAX AL2, verificados em 24 de julho de 2026.
• Serviços de região única: Marcação explícita dos serviços que só existem em uma região fora do Brasil, porque para eles não há escolha de configuração. Exemplo: Ambiente isolado de execução de código não confiável disponível apenas em Washington, verificado em 16 de junho de 2026.
• Data de revisão e responsável: Quem assina a ficha e quando ela será revalidada. Arquitetura muda sem passar pelo jurídico, e a ficha envelhece em silêncio. Exemplo: Revisão semestral, ou imediata sempre que uma rotina nova mudar o destino de processamento de dado pessoal.

Empresas em setores regulados têm camada adicional. Para instituições autorizadas pelo Banco Central, análises de consultoria indicam que a Resolução CMN nº 5.274/2025 e a Resolução BCB nº 538/2025 exigem isolamento físico e lógico em instâncias dedicadas, com prazo de adequação encerrado em 1 de março de 2026. Esse ponto não foi confirmado em documento primário do Banco Central nesta pesquisa e deve ser validado com o jurídico do setor antes de virar decisão.

Conexão com o portal

Do letramento executivo para a ficha: inventário antes de opinião

Nenhuma discussão de risco tecnológico avança sem inventário nominal de sistemas, com dono e finalidade declarados. Sem inventário, a conversa gira em torno de exemplos escolhidos por quem fala.

Tradução executiva: A ficha de transferência é o inventário aplicado à jurisdição: cada sistema, o país onde o processamento acontece de fato, o documento que ampara essa viagem e o nome de quem responde. Ela transforma uma pergunta de auditoria em consulta a uma tabela, em vez de uma investigação de duas semanas por e-mail.

Use quando: um cliente corporativo enviar formulário de segurança, um contrato entrar em renovação ou o produto ganhar uma integração nova que processa dado pessoal.

Fronteira: O inventário registra onde o dado é processado e não avalia se aquele tratamento é legítimo, proporcional ou necessário. Essa avaliação é jurídica e continua sendo trabalho humano, feito caso a caso e revisto quando a finalidade muda.

Letramento em IA para Executivos

Guardrail

Armadilhas de jurisdição que aparecem tarde

Todas as linhas abaixo já apareceram em empresa que se considerava organizada. Elas têm um traço comum: nenhuma dá erro em produção, nenhuma aparece em painel e todas aparecem quando um terceiro pergunta, quase sempre no meio de uma negociação comercial.

• A região de execução foi escolhida de forma explícita e está registrada, com a data e o motivo da escolha.
• As cláusulas-padrão do Anexo II estão anexadas ao contrato com cada fornecedor sem decisão de adequação, ou existe pendência com data e responsável.
• A cadeia de subcontratação está declarada, incluindo a nuvem subjacente ao fornecedor contratado.
• Os serviços que existem em uma única região fora do Brasil estão marcados, e alguém decidiu conscientemente usá-los.
• As certificações do fornecedor foram conferidas na fonte primária dele, com a data da conferência anotada.
• A ficha é revisada quando a arquitetura muda, e não apenas no calendário anual, porque uma rotina nova muda a jurisdição sem avisar o jurídico.
• Existe registro de que a decisão de região considerou custo, latência e jurisdição, e não apenas latência.

Laboratório de decisão

Onde roda a rotina que processa dado de motorista

A Nortis quer reduzir a fatura movendo cargas de São Paulo para Washington. Uma das rotinas candidatas processa dados cadastrais de motoristas das transportadoras, incluindo documento de identificação. A economia estimada é relevante e o time de engenharia já preparou a mudança.

A rotina de dados de motorista muda de região junto com as demais?

• A. Mover tudo de uma vez, pela economia, e tratar o tema jurídico depois se alguém perguntar.: Captura a economia inteira em uma alteração de duas linhas e cria transferência internacional sem base legal declarada, com prazo de adequação de contratos já encerrado desde 23 de agosto de 2025. O risco aparece na próxima auditoria de cliente, quando desfazer custa mais que nunca ter feito.
• B. Manter tudo em São Paulo por precaução, sem separar as cargas.: Elimina a discussão jurídica e paga cerca de 73% a mais de CPU também nas rotinas que não processam dado pessoal, como fila, webhook e geração de relatório agregado. É prudência cobrada em dólar sobre a carga errada.
• C. Separar as cargas por classe, mover as que não processam dado pessoal e manter a rotina de motorista onde está até que as cláusulas estejam anexadas.: Captura a maior parte da economia sem criar pendência regulatória, e transforma o restante em item com data e responsável. Custa uma sessão de classificação de cargas e uma conversa com o jurídico.

Recomendação: A terceira opção, com a classificação das cargas registrada em arquivo versionado e a pendência jurídica datada e nominal.

As duas primeiras opções são simétricas no erro: uma otimiza custo ignorando jurisdição, a outra protege jurisdição ignorando custo, e as duas evitam o trabalho de classificar. A classificação é a parte que exige conversa entre áreas que raramente se sentam juntas, e é justamente ela que produz um resultado defensável nas duas mesas. Vale registrar o que a terceira opção não resolve: se a rotina precisar futuramente de um serviço que existe em uma única região fora do Brasil, a decisão deixa de ser de configuração e passa a ser de desenho de produto, com amparo contratual obrigatório ou renúncia ao serviço.

Caso Nortis · Semana 12

A região padrão de execução do fornecedor são os Estados Unidos. O contrato foi celebrado por aceite de termos numa tela, sem passar pelo jurídico e sem nenhum anexo de cláusulas contratuais.

O prazo para adequar contratos às cláusulas-padrão brasileiras encerrou em 23 de agosto de 2025, sem prorrogação, e a única decisão de adequação já concedida pela autoridade nacional, de 26 de janeiro de 2026, aponta para a União Europeia, não para os Estados Unidos.

Montar a ficha de transferência internacional por sistema: destino efetivo do processamento, base legal, cláusulas anexadas ao contrato ou pendência com data, e a marcação dos serviços que só existem numa região fora do Brasil.

Exemplo trabalhado

O formulário de segurança que travou a renovação

Diretora jurídica da Nortis, com o CTO e o comprador do cliente europeu

Um dos três clientes europeus envia o formulário anual de segurança. A pergunta 14 pede o país de processamento por sistema e a base legal de cada transferência. A resposta atual é uma frase: usamos uma plataforma internacional de publicação.

Resultado: O formulário é respondido com destino por sistema, base legal declarada e duas pendências datadas. A renovação avança, e a Nortis passa a ter a ficha pronta para o próximo cliente que perguntar, que sempre existe.

Continua sob responsabilidade humana: A ficha descreve onde o dado é processado e não prova que o processamento é adequado. Certificação de fornecedor cobre o fornecedor, não o uso que a empresa faz dele. E a base legal declarada precisa ser revalidada quando o produto muda de arquitetura, porque uma rotina nova pode mudar a jurisdição sem que ninguém abra o contrato.

• Eu sei dizer em qual país cada um dos nossos sistemas críticos processa dado pessoal, verificando na configuração e não na memória do time.
• Eu sei qual documento ampara cada transferência para fora do Brasil, e quais estão pendentes, com data e responsável.
• Eu consigo apontar quais serviços que usamos existem em uma única região fora do país, e por que decidimos usá-los.

Com a camada jurídica endereçada, falta transformar treze semanas de decisões num documento que sobreviva à saída de qualquer pessoa da empresa.