A LGPD não exige dados no Brasil. Exige controle.

A LGPD não exige que os dados pessoais fiquem em território nacional. Ela autoriza a transferência internacional mediante salvaguardas adequadas — cláusulas contratuais padrão, normas corporativas globais ou países com nível adequado de proteção (art. 33). O que a lei exige é controle: saber onde os dados residem, comprovar rastreabilidade e atender aos direitos dos titulares.

Essa distinção importa porque muita decisão de backup é travada por uma exigência que a lei não faz, enquanto a exigência real — controle — fica sem resposta.

O que o art. 33 diz, em uma frase

Transferência internacional de dados (LGPD, art. 33) é permitida, entre outras hipóteses, para países com grau de proteção adequado, ou quando o controlador oferecer e comprovar garantias de cumprimento dos princípios e dos direitos do titular, na forma de cláusulas contratuais específicas ou padrão, normas corporativas globais ou selos e certificados.

Ou seja: o critério não é geografia; é garantia. Um backup em Frankfurt com cláusulas contratuais, certificação ISO 27001 e trilhas de auditoria pode atender à lei melhor do que um servidor no Brasil sem nada disso.

O que a residência de dados por região resolve

Na Keepit, o cliente escolhe a região de armazenamento entre as disponíveis — Américas, Europa, União Europeia e Ásia-Pacífico. Definida a região, os dados não a deixam: não existe processo capaz de transferi-los para fora dela, exceto restaurações e downloads iniciados pelo próprio cliente. Se algum dia for necessário mover sistemas para fora de uma jurisdição, a Keepit negocia a mudança com todos os clientes afetados antes de executá-la.

Isso é o "controle" que a lei pede, em forma técnica: você sabe onde os dados estão, e eles não saem de lá sem a sua ação.

Você escolhe

E o data center no Brasil?

Está em preparação, segundo o material oficial da Keepit. Quando estiver operacional, poderá ser escolhido como qualquer outra região. Preferimos dizer isso com precisão a prometer o que ainda não existe: hoje, a conformidade com a LGPD se apoia nas salvaguardas do art. 33 e no controle de residência, não em território nacional.

O que a plataforma oferece para os direitos dos titulares

• Localização: busca granular por usuário, tipo, data e conteúdo, para atender a pedidos de acesso.
• Eliminação: rótulos de direito ao esquecimento (RTBF) para atender a pedidos de exclusão dentro do backup, sem quebrar a imutabilidade do restante.
• Rastreabilidade: trilhas completas de auditoria de quem acessou, buscou e restaurou o quê.
• Evidência: ISO/IEC 27001 com escopo corporativo, ISAE 3402 Type II e SOC 2 auditados pela Deloitte, TISAX. Os relatórios podem ser apresentados aos seus auditores.

O que a Keepit não faz — e diz isso

A Keepit apoia esforços de conformidade; não torna uma organização conforme. O material oficial recomenda validação jurídica específica para cada caso. Um parceiro que prometer "conformidade garantida" está prometendo mais do que o fabricante — e mais do que a lei permite prometer. Nossa página de conformidade e evidências lista exatamente o que existe.

Perguntas frequentes

Backup em nuvem fora do Brasil atende à LGPD?

Sim, com as salvaguardas do art. 33: cláusulas contratuais, certificações e garantias de cumprimento dos direitos dos titulares. A lei exige controle, não território.

A LGPD exige que os dados fiquem no Brasil?

Não. A LGPD autoriza a transferência internacional mediante salvaguardas adequadas.

A Keepit tem data center no Brasil?

Está em preparação, segundo o material oficial. Hoje o cliente escolhe entre as regiões disponíveis, e os dados não deixam a região escolhida.

Como atendo a um pedido de exclusão de um titular se o backup é imutável?

Com rótulos de direito ao esquecimento, que permitem eliminar dados de um titular específico dentro do backup sem comprometer a integridade do restante.