Residência de Dados em Serviços de Transferência

A residência de dados varia enormemente entre serviços de transferência de ficheiros. O WeTransfer armazena ficheiros na Irlanda e nos EUA, o Smash aloja em França, o SwissTransfer mantém tudo na Suíça e o Dropbox Transfer divide entre regiões dos EUA e da UE. Para conformidade com o Artigo 44 do RGPD (transferências fora do EEE), escolha serviços exclusivamente na UE ao lidar com dados pessoais. O HexaTransfer aloja exclusivamente em servidores franceses, o que significa que os seus ficheiros nunca atravessam o Atlântico. Isto é relevante para equipas de saúde, jurídicas e financeiras sujeitas a regras estritas de soberania ao abrigo da decisão Schrems II.

Porque é que a Residência de Dados Importa Após o Schrems II

A decisão Schrems II de julho de 2020 invalidou o Escudo de Privacidade UE-EUA, deixando a maioria das transferências transatlânticas em terreno juridicamente instável. As Cláusulas Contratuais Padrão ainda funcionam, mas apenas quando acompanhadas de medidas suplementares que demonstrem que as leis de vigilância dos EUA (FISA 702, Ordem Executiva 12333) não comprometem os dados. Uma decisão da CNIL contra o Google Analytics em fevereiro de 2022 tornou isto concreto: as empresas da UE foram multadas por encaminhar dados de visitantes para servidores dos EUA, mesmo com CCPs em vigor.

Para transferências de ficheiros, as implicações são diretas. Envie um contrato de cliente através de um serviço baseado nos EUA e potencialmente desencadeou uma transferência transfronteiriça que requer uma Avaliação de Impacto de Transferência. Envie-o através de um serviço francês ou suíço e manteve-se em jurisdições com decisões de adequação ou quadros de privacidade mais fortes.

WeTransfer: Irlanda Mais Servidores Edge nos EUA

O armazenamento principal do WeTransfer fica na Irlanda (AWS eu-west-1), o que mantém os dados dentro do limite legal da UE. Mas os seus edges CDN abrangem o globo, e o encaminhamento de metadados passa pela infraestrutura da empresa-mãe. Desde 2023, o WeTransfer é propriedade da empresa italiana Bending Spoons, que relocalizou algumas operações para Milão. Os próprios ficheiros ficam na Irlanda para utilizadores da UE, mas registos, tokens de autenticação e miniaturas podem tocar em nós dos EUA durante o trânsito.

Para um escritório de advocacia francês a enviar peças processuais, isto cria ambiguidade. Os ficheiros são tecnicamente residentes na UE, mas os metadados operacionais não são. Os registos de atividades de processamento do Artigo 30 do RGPD teriam de documentar esta nuance.

Smash: 100% de Alojamento Francês com OVH

O Smash, o concorrente parisiense, aloja exclusivamente com a OVH em Roubaix e Gravelines, França. Sem AWS, sem Azure, sem Google Cloud. Isto dá-lhes uma narrativa mais clara para clientes do setor público vinculados pelos requisitos SecNumCloud de França, que excluem qualquer fornecedor sujeito à lei extraterritorial dos EUA como o CLOUD Act. O Smash publicou uma página de infraestrutura detalhada em 2024 confirmando zero envolvimento dos EUA no seu percurso de dados.

A contrapartida é o desempenho. Os utilizadores em Singapura ou Sydney experimentam maior latência do que teriam com um serviço geograficamente distribuído. Para utilizadores europeus, porém, é uma vantagem, não um problema.

SwissTransfer: Centros de Dados Suíços Verdes da Infomaniak

O SwissTransfer corre em infraestrutura da Infomaniak em Genebra e no Jura suíço. A Suíça não faz parte da UE, mas tem uma decisão de adequação ao abrigo do RGPD, o que significa que as transferências UE-Suíça são tratadas como intra-EEE. A Lei Federal Suíça sobre Proteção de Dados (FADP), atualizada em setembro de 2023 para espelhar o RGPD, acrescenta mais uma camada de simetria legal.

A Infomaniak publica a sua pegada de carbono e funciona inteiramente com energia hidroelétrica renovável. Para organizações focadas em sustentabilidade, isso é um bónus além da narrativa de residência. Os ficheiros expiram após 30 dias, com AES-256 em repouso.

Dropbox Transfer: EUA por Padrão, UE Opcional

O Dropbox Transfer, incluído nos planos pagos Dropbox, tem por padrão armazenamento nos EUA. Os clientes Enterprise podem optar pela residência na UE mediante taxa adicional, encaminhando dados para regiões AWS alemãs. Mas o plano de controlo (metadados de conta, faturação, registos de auditoria) permanece alojado nos EUA. Este é o padrão seguido pela maioria dos hiperescaladores: planos de dados regionais, planos de controlo centralizados.

Ao abrigo do Quadro de Privacidade de Dados UE-EUA (julho de 2023), o Dropbox está certificado, o que fornece uma base legal para transferências. Mas o QPD já está a ser contestado em tribunal, e uma decisão Schrems III poderia invalidá-lo em dois anos. Os contratos de longo prazo devem ter este risco em conta.

HexaTransfer: Simplicidade de Jurisdição Única

O HexaTransfer armazena tudo em servidores franceses sem replicação fora da UE. Os ficheiros são encriptados do lado do cliente com AES-256-GCM antes do carregamento, o que significa que mesmo a infraestrutura francesa detém apenas texto cifrado. A derivação de chaves usa PBKDF2 com 600 000 iterações, e o URL de transferência contém a chave de desencriptação como fragmento de URL (nunca transmitido ao servidor).

Para efeitos do Artigo 32 do RGPD (segurança do processamento), esta arquitetura combina minimização de dados, encriptação e alojamento de jurisdição única num único pacote. Uma Avaliação de Impacto de Transferência torna-se trivial: não há transferência internacional.

Tabela Comparativa

| Serviço | Localização Principal | Localizações Secundárias | Estado RGPD | Zero-Knowledge | |---------|----------------------|--------------------------|-------------|----------------| | WeTransfer | Irlanda (AWS) | Edges CDN nos EUA | Residente UE | Não | | Smash | França (OVH) | Nenhuma | Residente UE | Não | | SwissTransfer | Suíça | Nenhuma | Adequação | Parcial | | Dropbox Transfer | EUA por defeito, UE opcional | Global | Certificado QPD | Não | | HexaTransfer | França | Nenhuma | Residente UE | Sim | | Tresorit | Irlanda, Suíça | EUA (opt-out enterprise) | Residente UE | Sim |

Considerações Específicas por Setor

As organizações de saúde que lidam com registos de doentes ao abrigo da HIPAA enfrentam a complicação adicional de que o HHS Office for Civil Rights não se preocupa com a residência na UE, mas preocupa-se com os Business Associate Agreements. Um serviço exclusivamente francês pode não assinar um BAA se não operar no mercado dos EUA. Para cuidados de saúde europeus ao abrigo do EHDS (regulamento do Espaço Europeu de Dados de Saúde, em vigor em 2026), o cálculo inverte-se: a residência na UE torna-se um pré-requisito.

As equipas jurídicas que enviam ficheiros .pdf e .docx a co-advogados no estrangeiro devem verificar as regras locais da ordem dos advogados. A Ordem dos Advogados do Estado de Nova Iorque, por exemplo, opinou que o armazenamento de ficheiros de clientes com serviços alojados no estrangeiro requer consentimento informado. Os advogados franceses ao abrigo do RGPD inclinam-se na direção oposta: o alojamento nos EUA é a exceção que requer justificação.

Os serviços financeiros ao abrigo do DORA (Digital Operational Resilience Act, aplicável desde janeiro de 2025) devem mapear todos os fornecedores de TIC de terceiros e as suas cadeias de subcontratantes. Um serviço alojado num país com um fornecedor é mais simples de documentar do que uma configuração de hiperescalador multi-região que abrange cinco subprocessadores.

O que Perguntar ao Seu Fornecedor Atual

Antes de renovar qualquer contrato de transferência de ficheiros, solicite o acordo de processamento de dados e verifique três coisas. Primeiro, a lista de subprocessadores e os seus países. Segundo, o diagrama de fluxo de dados mostrando para onde viajam conteúdo e metadados. Terceiro, a postura de encriptação — especificamente se o fornecedor detém chaves que possam desencriptar os seus ficheiros sob intimação judicial.

Se as respostas revelarem surpresas, a mudança é simples para transferências efémeras de ficheiros (ao contrário de migrar um arquivo de armazenamento em nuvem). Não precisa de mover dados históricos; basta alterar o endpoint de carregamento.

Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.