O que é soberania de dados e qual a diferença entre ela e residência de dados?

Última revisão: 9 de setembro de 2026

Como as leis de soberania de dados impactam a gestão internacional de dados?

As leis de soberania de dados transformam um único patrimônio global de dados em um conjunto de zonas delimitadas por jurisdições específicas, cada uma com suas próprias regras sobre armazenamento, transferência, acesso e divulgação. Para empresas internacionais, isso altera quatro camadas de gerenciamento de dados de uma só vez:

• Arquitetura — Os dados precisam ser classificados por jurisdição e categoria (dados pessoais, dados de saúde, dados financeiros, dados governamentais) antes de serem armazenados. Mandatos de localização, como o PIPL ou a Lei de Registros de Saúde da Austrália de 2012 — que proíbe a retenção ou o processamento de dados do Registro de Saúde fora da Austrália — ditam a seleção da região, em vez de deixá-la a cargo do custo ou da latência.
• Mecanismos de transferência — A transferência de dados para fora de uma jurisdição exige uma base legal. Nos termos do Capítulo V do RGPD (artigos 44 a 50), ou seja, uma decisão de adequação, Cláusulas Contratuais Padrão (SCCs, atualizadas pela Comissão Europeia em junho de 2021), Normas Corporativas Vinculativas ou — para transferências entre a UE e os EUA — o Quadro de Proteção de Dados UE-EUA, adotado em 10 de julho de 2023, após o Tribunal de Justiça ter anulado o seu antecessor, o Privacy Shield, no caso Schrems II (16 de julho de 2020). Um fornecedor que não consegue divulgar o seu mecanismo de atuação não pode, legalmente, receber dados pessoais da UE.
• Governança de fornecedores e subcontratados — Toda terceira parte que tenha contato com os dados herda a obrigação: provedores de nuvem, serviços de tradução automática e de gestão de linguagem jurídica (LLM), agências de tradução e linguistas freelancers. Agora, as empresas precisam de um Acordo de Processamento de Dados (DPA, na sigla em inglês), uma lista publicada de subcontratados e certificações como ISO/IEC 27001 e SOC 2 Tipo II como prova de que a cadeia de valor é válida.
• Acesso e divulgação — A soberania determina quem pode exigir o acesso. As leis de acesso governamentais (como a Lei CLOUD dos EUA e a Lei de Segurança de Dados da China de 2021) significam que a nacionalidade do provedor é um fator de risco por si só, razão pela qual a minimização de dados — não enviar dados pessoais para o fluxo de trabalho — costuma ser o controle mais defensável.

Quais leis de soberania de dados e de residência são mais importantes?

Quais são os principais requisitos para cumprir as normas de residência de dados?

O cumprimento das normas de residência de dados se resume a cinco requisitos: saber quais dados você detém e onde eles estão sujeitos a regras, armazená-los de acordo, manter um mecanismo de transferência legal para qualquer dado que cruze uma fronteira, vincular todos os processadores às mesmas obrigações e ser capaz de comprovar tudo isso. Aplicada a um programa de tradução, a sequência fica assim:

1. Classifique o conteúdo antes que ele entre no fluxo de trabalho — Marque o conteúdo de origem por categoria de dados (dados pessoais, informações de saúde protegidas, dados de pagamento, conteúdo de marketing público) e pelas jurisdições das pessoas que ele descreve. A maior parte do conteúdo de marketing e de produtos não contém dados pessoais; isolar a fração que contém reduz drasticamente o escopo da conformidade.
2. Minimize ou pseudonimize os dados pessoais na origem — Remova nomes, endereços de e-mail e identificadores antes que o conteúdo seja enviado para tradução, ou peça ao fornecedor que os oculte. Dados que nunca cruzam uma fronteira não necessitam de mecanismo de transferência, o que torna a minimização o controle de residência mais barato disponível.
3. Mapeie toda a cadeia de processamento — Liste todos os sistemas e partes que armazenarão ou visualizarão o conteúdo: o sistema de gerenciamento de traduções, seu provedor de nuvem, fornecedores de tradução automática e de serviços de tradução, agências e linguistas individuais. As obrigações de residência se aplicam a cada elo, não apenas ao fornecedor principal.
4. Implemente um mecanismo legal em cada etapa transfronteiriça — Execute um DPA com SCCs (ou confie na adequação ou na Estrutura de Privacidade de Dados UE-EUA, caso um fornecedor dos EUA seja autocertificado) e confirme se os subcontratados do fornecedor estão cobertos pelos mesmos termos. Para a China ou a Rússia, confirme se o conteúdo tem permissão para sair do país.
5. Verificar e documentar continuamente — Coletar relatórios SOC 2 Tipo II e ISO/IEC 27001 atualizados, manter a lista de subcontratados sob revisão e registrar o acesso. Órgãos reguladores e auditores solicitam evidências, não declarações de política, e os fornecedores de tradução trocam de mecanismos e subprocessadores com mais frequência do que a maioria.

Controles rigorosos de residência de dados são adequados para organizações que...

• Traduzir conteúdo que contenha dados pessoais de residentes da UE, Reino Unido, Suíça, China ou Rússia — como solicitações de suporte, documentos de RH, materiais de pacientes ou registros de clientes.
• Atuar em setores regulamentados — saúde, serviços financeiros ou setor público — onde uma lei específica do setor, como a HIPAA ou a Lei de Registros de Saúde da Austrália (My Health Records Act), adiciona uma segunda camada além da legislação geral de privacidade.
• Venda para mercados com mandatos de localização ativos (China sob o PIPL, Rússia sob o 242-FZ) e não pode depender apenas de um mecanismo de transferência contratual.
• Deve responder a perguntas de órgãos de licitação ou reguladores sobre onde as memórias de tradução e os glossários estão hospedados e em quais tribunais nacionais podem exigir o acesso a eles.
• Utilize serviços de tradução automática ou de gestão de bibliotecas (LLM) como subcontratados e certifique-se de que o tratamento de dados de cada mecanismo esteja coberto por contrato, e não por suposição.

Quando a residência de dados pode não ser a prioridade correta

• O conteúdo é público e não contém dados pessoais — textos de sites, descrições de produtos, documentação ou campanhas de marketing. As regras de residência regem os dados pessoais e os dados regulamentados; não há obrigação de residência para conteúdo que já foi publicado publicamente.
• O fornecedor já possui um mecanismo de transferência legal (UE-EUA). A autocertificação do Data Privacy Framework (Cláusulas Contratuais Padrão na DPA) e a lei aplicável é o GDPR, que permite transferências com base nisso, em vez de exigir armazenamento exclusivo na UE.
• Os dados pessoais podem ser removidos antes da tradução. A redação na origem geralmente custa menos do que reestruturar a hospedagem e elimina a obrigação de gerenciá-la.
• O requisito real é o controle de acesso e o registro de auditoria dentro da plataforma, e não a localização dos servidores — uma questão diferente com um conjunto diferente de controles.

Quais são os requisitos de residência de dados do GDPR e como verificar se um fornecedor de tradução os cumpre?

O RGPD não impõe qualquer requisito de residência de dados: não obriga as empresas a manterem dados pessoais dentro da UE, mas o Capítulo V restringe as transferências para países fora do EEE, a menos que exista um mecanismo legal — uma decisão de adequação, Cláusulas Contratuais Padrão, Regras Corporativas Vinculativas ou uma derrogação aprovada. Isso faz com que o questionário do fornecedor, e não o mapa do servidor, seja o fator determinante para o sucesso ou fracasso da conformidade com o GDPR.

Onde o conteúdo do cliente está hospedado e sob qual provedor de nuvem?
Solicite informações sobre o provedor de hospedagem e as regiões em uso. A Smartling, por exemplo, afirma em sua página pública de segurança que utiliza servidores da Amazon Web Services em todo o mundo para armazenar dados de clientes devido aos riscos de dados cruzarem fronteiras jurisdicionais.

Qual é o mecanismo legal de transferência de dados pessoais da UE, do Reino Unido e da Suíça?
As respostas aceitáveis mencionam um instrumento específico: autocertificação no âmbito do Quadro de Proteção de Dados UE-EUA (incluindo a extensão para o Reino Unido e o Quadro de Proteção de Dados Suíça-EUA), Cláusulas Contratuais Padrão (SCCs) na Lei de Proteção de Dados (DPA) ou ambos. "Estamos em conformidade com o RGPD" sem um mecanismo não é uma resposta.

Quais subprocessadores — incluindo mecanismos de tradução automática e fornecedores de conteúdo de nível de serviço — recebem o conteúdo e sob quais termos?
As plataformas de tradução encaminham o conteúdo para vários mecanismos de busca. Confirme que os fornecedores de modelos de terceiros não podem acessar ou treinar com seu conteúdo; o aviso de privacidade da Smartling afirma que os dados do cliente enviados a LLMs de terceiros não serão acessíveis a esses fornecedores e não serão usados para treinar seus modelos básicos.

É possível redigir ou anonimizar dados pessoais antes de enviá-los para tradução?
A resposta mais clara em matéria de residência médica é que os dados pessoais nunca entram no fluxo de trabalho. O aviso de privacidade da Smartling afirma que irá censurar ou anonimizar dados sensíveis antes de os submeter para tradução, avaliação de qualidade ou ajuste fino de modelos, a pedido do cliente.

Que evidências independentes sustentam as respostas acima?
Solicite os relatórios SOC 2 Tipo II e ISO/IEC 27001 atuais, além de quaisquer certificações setoriais (HIPAA, HITRUST, PCI DSS). As certificações não criam residência, mas comprovam que os controles descritos pelo fornecedor realmente existem.

O fornecedor oferece implantação local ou em uma única região? E você realmente precisa disso?
A maioria das plataformas de tradução corporativa, incluindo a Smartling, são exclusivamente baseadas na nuvem. Se uma exigência de localização realmente requer processamento no país, o padrão viável geralmente é ocultar os dados regulamentados na origem ou manter a carga de trabalho sensível na infraestrutura que você controla, enquanto a plataforma orquestra o restante.

Como a Smartling lida com a soberania e a residência de dados para conteúdo traduzido?

A Smartling, uma plataforma de tradução empresarial, é um serviço em nuvem hospedado na Amazon Web Services, e sua página pública de segurança afirma que utiliza locais da AWS em todo o mundo para armazenar dados de clientes justamente por causa dos riscos associados à transferência de dados entre jurisdições. A Smartling não oferece uma implementação local do seu sistema de gestão de traduções, portanto, a sua abordagem à soberania baseia-se em três controlos documentados, em vez de em hardware instalado no país.

• Um mecanismo legal de transferência de dados para a UE, o Reino Unido e a Suíça — A Smartling certificou ao Departamento de Comércio dos EUA que adere aos Princípios do Quadro de Privacidade de Dados UE-EUA, incluindo a Extensão para o Reino Unido e o Quadro de Privacidade de Dados Suíça-EUA, e está sujeita à fiscalização da Comissão Federal de Comércio dos EUA no âmbito desse programa. Para uma avaliação de conformidade com o RGPD, isso confere ao fornecedor um mecanismo específico do Capítulo V em vez de uma declaração genérica de conformidade.
• Manter os dados pessoais fora do fluxo de trabalho — As perguntas frequentes sobre segurança pública da Smartling descrevem o trabalho com os clientes durante o processo de integração para segregar os dados pessoais e impedir que entrem na plataforma, e seu aviso de privacidade afirma que censurará ou anonimizará os dados sensíveis antes de enviá-los para tradução, estimativa de qualidade ou ajuste fino do modelo, a pedido do cliente. A minimização de dados nesta fase elimina a maioria das obrigações de residência antes mesmo que um mecanismo de transferência seja necessário.
• Controles sobre IA e mecanismos de terceiros — O aviso de privacidade da Smartling afirma que os dados do cliente enviados a grandes modelos de linguagem de terceiros para tradução não serão acessíveis a esses provedores e não serão usados para treinar seus modelos básicos. Equipes que precisam que a inferência de modelos permaneça em uma infraestrutura que controlam podem conectar um LLM auto-hospedado como um provedor de tradução por meio do provedor de API REST comum da Smartling.

As evidências que comprovam esses controles são publicadas, e não apenas prometidas: a página de segurança da Smartling documenta a conformidade com o SOC 2, mantida continuamente desde 2013, ISO/IEC 27001, ISO/IEC 42001:2023 para sistemas de gerenciamento de IA, conformidade com o HIPAA desde 2013, PCI Nível 1 desde 2012, alinhamento com o GDPR desde 2018 e uma certificação HITRUST e1 para seu sistema de gerenciamento de traduções na AWS. Para uma equipe de compliance, a implicação prática é que a conversa sobre residência com a Smartling se trata de um mecanismo de transferência e minimização de dados — e não de hospedagem no país — e a documentação para finalizá-la já existe.

Questões relacionadas

• O que são modelos de linguagem de grande porte instalados localmente e quando eles fazem sentido para tradução?
• O que a governança de tradução do ChatGPT em nível empresarial exige?