O guia definitivo de conformidade com o GDPR para SaaS fora da UE (2026)

O GDPR se aplica mesmo a você? (Sim, provavelmente)

Este é o mito que coloca as empresas de fora da UE em apuros: “Não estamos na Europa, então o GDPR não é problema nosso.” Errado. O GDPR tem alcance extraterritorial escrito diretamente no Artigo 3. Seus servidores podem ficar em Ohio e sua sede em Vancouver — se você trata dados de residentes da UE de alguma das formas abaixo, está no escopo.

Os sete princípios dos quais tudo depende

Cada obrigação específica remonta a sete princípios do Artigo 5. Assimile-os e a maioria das decisões de GDPR se responde sozinha.

O sétimo, a responsabilização (accountability), é o que transforma o GDPR de uma filosofia em uma carga de trabalho: você precisa ser capaz de demonstrar a conformidade com tudo o que foi dito. Na prática, “estar em conformidade” e “poder prová-lo quando solicitado” são a mesma coisa.

Suas obrigações de GDPR como SaaS de fora da UE

Esta é a lista de trabalho. Cada item se configura uma vez e depois se mantém com evidências.

1. Nomear um representante na UE Artigo 27

2. Estabelecer uma base legal (e acertar o consentimento)

Cada atividade de tratamento precisa de uma das seis bases legais — na maioria das vezes o consentimento, o contrato ou o legítimo interesse. O consentimento sob o GDPR é exigente: livre, específico, informado e tão fácil de retirar quanto de conceder. Caixas pré-marcadas e muros de cookies não servem. Associe cada tratamento à sua base e registre isso.

3. Manter registros das atividades de tratamento Artigo 30

Você precisa de um inventário interno do que trata, por quê, com quem compartilha, para onde os dados vão e por quanto tempo os conserva. O registro é o documento central em que todas as outras obrigações se apoiam — e a primeira coisa que um auditor ou autoridade de controle sério pede para ver.

4. Assinar acordos de tratamento com os suboperadores Artigo 28

Você é operador para seus clientes, e seus próprios fornecedores (hospedagem em nuvem, analytics, e-mail, ferramentas de suporte) são seus suboperadores. O Artigo 28 exige um acordo de tratamento (DPA) com cada um, repassando as mesmas obrigações. Uma lacuna nos termos de um suboperador se torna sua responsabilidade.

5. Cuidar das transferências internacionais de dados

Transferir dados pessoais da UE para fora do EEE — algo que, por definição, quase todo SaaS de fora da UE faz — exige um mecanismo de transferência válido: uma decisão de adequação para o país de destino, ou cláusulas contratuais-padrão (SCC) acompanhadas de uma avaliação de impacto da transferência. Coloque o mecanismo em vigor antes de os dados circularem, não depois.

6. Nomear um encarregado de proteção de dados — se ultrapassar o limiar

Um DPO é obrigatório se a sua atividade principal envolver monitoramento sistemático em larga escala ou tratamento em larga escala de dados de categorias especiais. Muitas empresas SaaS não precisam estritamente de um, mas nomear um responsável por privacidade é uma boa prática de qualquer forma — alguém tem de ser o dono disso.

7. Estar pronto para os direitos dos titulares

Os residentes da UE podem pedir para acessar, corrigir, apagar, portar ou restringir seus dados, e você geralmente tem um mês para responder. Se a sua arquitetura não consegue localizar e exportar rapidamente os dados de um usuário, essa é uma lacuna a corrigir agora — o volume de solicitações só aumenta.

8. Notificar violações em 72 horas

Uma violação de dados pessoais que represente risco às pessoas deve ser notificada à autoridade de controle competente em até 72 horas após você tomar conhecimento dela, e aos indivíduos afetados quando o risco for alto. Setenta e duas horas é pouco tempo para detectar, avaliar e documentar — por isso a detecção e o registro precisam existir antes de algo dar errado.

Requisito → Controle → Evidência

O que separa “escrevemos uma política” de “passamos na análise” é tratar cada requisito como um controle para o qual você consegue produzir evidências.

A segurança na prática Artigo 32

O Artigo 32 exige “medidas técnicas e organizacionais apropriadas”. Vago no papel, muito concreto em uma análise de fornecedor. Aqui está o desenho do controle à esquerda e a evidência que vão pedir à direita.

Checklist de conformidade GDPR para SaaS de fora da UE

Salve nos favoritos. Se você conseguir marcar cada item com uma evidência por trás, poderá encarar uma análise de compra europeia com confiança.

O que a não conformidade custa de verdade

Documente uma vez, reutilize em todo lugar

Aqui está a alavanca, e é toda a razão para construir um programa de GDPR em vez de improvisar. Os controles que o GDPR pede são quase idênticos aos que os auditores de SOC 2 e ISO 27001 querem — e aos que a Lei 25 do Quebec exige. Mapeie cada controle uma vez e a mesma evidência satisfaz vários frameworks ao mesmo tempo.

Perguntas frequentes