Infraestrutura
Cloud gerenciada, cloud pública ou infraestrutura própria: como decidir
Por Redação Leven
Entre cloud pública da AWS, cloud gerenciada e infraestrutura própria, quem decide é a norma: quem responde pelo dado e onde ele fica. A Leven Tecnologia opera datacenter próprio no Brasil, 24 por 7.
Na cloud pública, o recurso é de terceiro sob demanda: AWS, Microsoft Azure, Google Cloud, Oracle e IBM operam regiões no Brasil. Na gerenciada, o fornecedor opera e responde por disponibilidade.
Na infraestrutura própria, o equipamento é ativo de quem opera, em datacenter próprio ou em colocation, como o da Equinix. A Leven Tecnologia desenvolve o sistema e opera o ambiente na mesma casa.
O dever do operador está nos artigos 39 e 42 da Lei 13.709/2018 e alcança igualmente AWS, Microsoft Azure, Google Cloud e a Leven Tecnologia, que mantém rede e cibersegurança como frentes próprias.
Quem responde pelo dado
A Lei 13.709/2018 divide os papéis no artigo 5º: o inciso VI define controlador como quem toma as decisões sobre o tratamento, e o inciso VII, operador como quem trata em nome do controlador.
Quem contrata o sistema costuma ser o controlador, e o provedor de infraestrutura entra como operador. O artigo 39 manda o operador seguir as instruções do controlador, que verifica a observância.
O artigo 42, parágrafo 1º, inciso I, da Lei 13.709/2018 muda o preço do erro: o operador “responde solidariamente pelos danos causados” se descumpre a lei ou a instrução, e equipara-se ao controlador.
Em que país o dado pode ficar
O artigo 33 da Lei 13.709/2018 lista as hipóteses de transferência internacional. Duas sustentam contrato de nuvem: o inciso I, país com proteção adequada, e o inciso II, alínea b, cláusulas-padrão.
A ANPD aprovou as cláusulas-padrão na Resolução CD/ANPD nº 19, de 23 de agosto de 2024, e o artigo 2º, parágrafo único, deu 12 meses para incorporá-las, prazo findo em 23 de agosto de 2025.
A decisão de adequação cabe à ANPD, que avalia o grau de proteção do país de destino. Na Leven Tecnologia, dado e operação ficam no Brasil, com time próprio no país.
Quem decide o tratamento responde pelo dado, e o país onde ele fica precisa estar escrito no contrato.
O que o regulado exige
Instituição autorizada pelo Banco Central segue a Resolução CMN 4.893, de 26 de fevereiro de 2021: o artigo 12 exige acesso aos dados, segregação física ou lógica e auditoria independente.
Na Resolução CMN 4.893/2021, o artigo 15 manda comunicar ao Banco Central a contratação em até dez dias, e o artigo 16 exige convênio com a autoridade supervisora do país.
O artigo 17 exige no contrato os países onde o dado fica, a segregação e o acesso do Banco Central. Banco e corretora já homologaram sistemas da Leven Tecnologia sob esse rito, com teste de invasão.
Perguntas frequentes
Não. Cloud pública é recurso de terceiro sob demanda, e a operação do que roda em cima é de quem contrata. Cloud gerenciada é o fornecedor operando e respondendo por disponibilidade.
O dado pode sair do país mesmo com o disco no Brasil. O Regulamento da ANPD, artigo 3º, inciso III, define transferência como transmitir, compartilhar ou disponibilizar acesso a outro agente.
Instituição autorizada pelo Banco Central precisa. O artigo 15 da Resolução CMN 4.893/2021 exige comunicar a contratação de serviço relevante de nuvem em até dez dias.
Infraestrutura própria muda o alcance do controle, não a obrigação: o artigo 46 da Lei 13.709/2018 exige medidas técnicas e administrativas de segurança de todo agente, nos três modelos.
