Cloud: o que é, segurança e cuidados jurídicos

Cloud é o uso de servidores conectados à internet para armazenar, processar e acessar dados e sistemas; quando envolve dados pessoais, configura tratamento, nos termos do art. 5º, X, da LGPD (Lei 13.709/2018). Na prática, exige segurança, contrato adequado e governança de acesso.

No conteúdo original da série “Aprenda em 1 minuto”, a proposta era explicar o conceito de forma simples. Mantemos essa abordagem, mas ampliamos a análise para escritórios, departamentos jurídicos e empresas que lidam com processos, documentos, contratos, dados pessoais, informações sigilosas e rotinas de compliance.

Antes de tratar da nuvem, o blog também publicou um conteúdo em que falamos sobre NPJs (Núcleos de práticas jurídicas). O tema se conecta à digitalização porque a gestão de atendimento, documentos e prazos depende de sistemas confiáveis, rastreáveis e acessíveis.

O que é cloud?

Cloud, ou computação em nuvem, permite que uma organização use infraestrutura, plataformas e softwares pela internet, sem manter todos os servidores dentro do próprio escritório. O usuário acessa dados e aplicações mediante credenciais, enquanto o fornecedor administra recursos como armazenamento, disponibilidade, atualização, redundância e segurança técnica.

Em termos práticos, um sistema “na nuvem” não fica limitado ao computador de uma pessoa. Ele roda em servidores distribuídos, geralmente em data centers com controles físicos e lógicos. Por isso, um advogado pode acessar um processo interno, uma agenda de prazos ou um contrato a partir de locais diferentes, desde que tenha autorização.

O exemplo mais simples é um site. Ele pode receber acessos de qualquer lugar porque os arquivos e bancos de dados não dependem da máquina pessoal do desenvolvedor. O mesmo raciocínio vale para e-mails corporativos, repositórios de documentos, CRMs, ERPs, sistemas jurídicos e plataformas de assinatura eletrônica.

Existem modelos diferentes de uso. No IaaS, a empresa contrata infraestrutura, como servidores virtuais e armazenamento. No PaaS, ela usa uma plataforma para desenvolvimento e execução de aplicações. No SaaS, ela acessa um software pronto pela internet, normalmente por assinatura e com atualizações automáticas.

Para escritórios de advocacia, o modelo SaaS costuma ser o mais comum. Ele reduz a necessidade de manter servidor físico, equipe dedicada a infraestrutura e rotinas manuais de atualização. Para departamentos jurídicos, a cloud também ajuda a centralizar contratos, litígios, procurações, relatórios, alçadas e indicadores de risco.

A cloud ou nuvem é segura?

A cloud pode ser segura quando o fornecedor aplica criptografia, controle de acesso, registro de logs, backup, monitoramento, segregação de ambientes e resposta a incidentes. A segurança, porém, não depende apenas da tecnologia: o cliente precisa configurar permissões, treinar usuários e exigir obrigações contratuais compatíveis com a LGPD.

A ideia de que “estar na nuvem” significa perda automática de controle não corresponde à prática técnica atual. Bons provedores oferecem camadas de proteção que muitos ambientes locais não conseguem manter com a mesma regularidade, como redundância geográfica, firewalls gerenciados, testes de vulnerabilidade e monitoramento contínuo.

Mesmo assim, nenhum ambiente digital elimina risco. Senhas fracas, compartilhamento indevido de acesso, ausência de dupla autenticação, dispositivos infectados e permissões excessivas podem comprometer dados jurídicos sensíveis. A segurança nasce da combinação entre fornecedor, contrato, política interna e comportamento dos usuários.

Quais controles técnicos reduzem riscos na cloud?

Os controles mais relevantes incluem criptografia em trânsito, criptografia em repouso, autenticação multifator, perfis de acesso por função, trilhas de auditoria, backups testados, plano de recuperação de desastre e gestão de vulnerabilidades. Em áreas jurídicas, também convém limitar downloads, exportações em massa e exclusões definitivas.

A criptografia em trânsito protege dados durante a comunicação entre navegador, aplicativo e servidor. A criptografia em repouso protege informações armazenadas em bancos de dados, discos ou repositórios. Já os logs registram quem acessou, alterou, incluiu ou excluiu determinado dado, o que facilita auditorias e investigações internas.

Para documentos jurídicos, a rastreabilidade tem valor operacional e probatório. Ela ajuda a verificar se uma minuta foi alterada, se um contrato passou por aprovação, se um prazo recebeu andamento ou se um usuário tentou acessar informação fora de sua competência. Esse registro fortalece controles de compliance e governança.

Como a LGPD se aplica ao armazenamento em nuvem?

A LGPD (Lei 13.709/2018) não proíbe armazenamento em nuvem. Ela exige que o tratamento de dados pessoais observe princípios como finalidade, necessidade, segurança, prevenção e responsabilização, previstos no art. 6º. Também exige base legal adequada, conforme os arts. 7º e 11, quando houver dados pessoais sensíveis.

Em contratos de cloud, a empresa contratante geralmente atua como controladora, pois decide finalidades e meios essenciais do tratamento, conforme art. 5º, VI, da LGPD. O fornecedor pode atuar como operador, nos termos do art. 5º, VII, quando processa dados segundo instruções do controlador.

Essa distinção afeta responsabilidades. O controlador deve definir bases legais, informar titulares quando necessário, gerir solicitações e demonstrar conformidade. O operador deve seguir instruções, adotar medidas de segurança e comunicar problemas ao controlador. O art. 39 da LGPD reforça que o operador realiza tratamento conforme instruções lícitas do controlador.

O art. 46 da LGPD exige medidas técnicas e administrativas aptas a proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas. O art. 48 trata da comunicação de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, nos termos da regulamentação da ANPD.

Em 2024, a Autoridade Nacional de Proteção de Dados publicou a Resolução CD/ANPD nº 15/2024, que disciplinou a comunicação de incidente de segurança. A norma prevê comunicação à ANPD e aos titulares em prazo de três dias úteis, contado do conhecimento pelo controlador, quando o incidente puder causar risco ou dano relevante.

Quais cuidados jurídicos uma empresa deve ter antes de contratar cloud?

Antes de contratar cloud, a empresa deve mapear dados, bases legais, riscos, responsabilidades do fornecedor, localização do armazenamento, hipóteses de subcontratação, suporte, disponibilidade, portabilidade e exclusão de dados ao fim do contrato. Esses pontos reduzem disputas e ajudam a demonstrar conformidade regulatória.

O contrato não deve tratar apenas de preço e funcionalidades. Ele precisa indicar níveis de serviço, prazos de atendimento, política de backup, rotina de atualização, regras de confidencialidade, obrigações em incidentes, auditoria, reversibilidade, suboperadores e dever de cooperação em solicitações de titulares ou autoridades.

Quando a cloud envolve dados pessoais transferidos para outros países, a empresa deve observar o capítulo de transferência internacional da LGPD, especialmente os arts. 33 a 36. Em 2024, a ANPD publicou a Resolução CD/ANPD nº 19/2024, com regras para cláusulas-padrão contratuais e mecanismos de transferência internacional.

O Marco Civil da Internet (Lei 12.965/2014) também pode incidir. O art. 10 protege a intimidade, a vida privada e o sigilo dos registros, dados pessoais e comunicações privadas. O art. 15 exige que provedores de aplicações de internet mantenham registros de acesso a aplicações, sob sigilo, por seis meses, quando aplicável.

Nas relações de consumo, o art. 14 do CDC (Lei 8.078/1990) prevê responsabilidade objetiva do fornecedor por defeitos relativos à prestação dos serviços. O STJ costuma analisar falhas de segurança digital a partir de defeito do serviço, nexo causal e dano, sem afastar a necessidade de examinar as circunstâncias técnicas do caso concreto.

Quais cláusulas merecem revisão pelo jurídico?

O jurídico deve revisar cláusulas de confidencialidade, proteção de dados, níveis de serviço, limitação de responsabilidade, auditoria, subcontratação, backup, propriedade dos dados, portabilidade, exclusão, foro, continuidade do serviço e notificação de incidentes. Em contratos empresariais, a redação precisa refletir criticidade e volume de dados tratados.

Também convém exigir anexo de tratamento de dados, conhecido como DPA ou acordo de tratamento. Esse documento deve indicar categorias de dados, finalidades, duração do tratamento, medidas de segurança, papéis das partes, uso de suboperadores, retorno ou eliminação de dados e canais de comunicação em incidentes.

Para escritórios de advocacia, a confidencialidade tem camada adicional. Petições, estratégias processuais, pareceres, contratos, documentos societários e provas podem conter sigilo profissional. A escolha de sistemas precisa considerar controle de acesso por cliente, caso, área, usuário e nível de permissão.

Qual a vantagem de um produto com cloud computing?

Um produto com cloud computing oferece acesso remoto, redução de infraestrutura local, atualização contínua, escalabilidade, backup, colaboração e maior previsibilidade operacional. Para rotinas jurídicas, esses ganhos ajudam a organizar prazos, documentos, contratos e informações estratégicas sem depender de servidores físicos mantidos internamente.

A economia não aparece apenas na compra de equipamentos. Servidores locais exigem energia, refrigeração, licenças, manutenção, substituição de peças, monitoramento e profissionais especializados. Em muitos casos, a nuvem transforma parte desse custo fixo em contratação recorrente, com escopo e suporte definidos em contrato.

A escalabilidade também importa. Um departamento jurídico que assume nova carteira de processos pode ampliar usuários, armazenamento e módulos sem instalar nova estrutura física. Um escritório em crescimento pode integrar novas áreas, unidades e profissionais com menos fricção, desde que revise permissões e políticas de acesso.

Outro ganho está na continuidade. Backups automatizados e redundância reduzem impacto de falhas locais, como pane de computador, roubo de equipamento ou indisponibilidade do escritório. Ainda assim, a empresa deve perguntar se o fornecedor testa restauração de backups, define tempo de recuperação e documenta plano de desastre.

Em aplicações SaaS, como o ProJuris Escritórios, o usuário combina infraestrutura disponibilizada pelo fornecedor com controles próprios, como login, senha, perfis e rotinas internas. O ProJuris Empresas também permite gestão em nuvem para departamentos jurídicos que precisam centralizar dados, demandas e indicadores.

Como avaliar um software jurídico em cloud?

Para avaliar um software jurídico em cloud, analise segurança, aderência à LGPD, funcionalidades jurídicas, suporte, integrações, histórico do fornecedor, contrato, disponibilidade, backups e facilidade de extração dos dados. A melhor escolha combina requisitos técnicos, jurídicos e operacionais, não apenas uma lista extensa de recursos.

O primeiro passo é mapear o uso pretendido. Um escritório pode priorizar prazos, publicações, financeiro, documentos e relacionamento com clientes. Uma empresa pode priorizar contencioso, consultivo, contratos, procurações, compliance, relatórios executivos e integração com ERP. A análise evita contratar funções sem relação com a rotina.

O segundo passo é classificar dados. Processos trabalhistas podem conter dados de saúde, remuneração e histórico funcional. Contratos podem conter dados de representantes, garantidores e beneficiários finais. Demandas consumeristas podem envolver dados de clientes. Essa classificação orienta níveis de permissão e controles de segurança.

O terceiro passo é testar governança. Solicite demonstração de perfis de acesso, logs, relatórios, exportação de dados, mecanismos de bloqueio e exclusão. Verifique se o sistema permite separar equipes, clientes, unidades e áreas. Um bom recurso perde valor se todos os usuários conseguem acessar tudo sem necessidade.

O quarto passo é revisar suporte e continuidade. Pergunte sobre canais de atendimento, horário de suporte, SLA, histórico de disponibilidade, política de manutenção e comunicação de indisponibilidade. Para operações jurídicas com prazos processuais, o tempo de resposta pode afetar diretamente a rotina de cumprimento de obrigações.

O quinto passo é documentar decisão e responsabilidades. Registre critérios de contratação, riscos aceitos, responsáveis internos, plano de implantação, treinamento e revisão periódica. Essa documentação ajuda a demonstrar diligência, especialmente em auditorias, apurações internas e análises de conformidade com a LGPD.

Quais erros evitar ao migrar dados jurídicos para cloud?

A migração para cloud exige planejamento, inventário, saneamento de dados, controle de acesso, testes de integridade e treinamento. Erros comuns incluem transferir bases desorganizadas, manter usuários inativos, ignorar dados sensíveis, não testar backups e não prever saída contratual ou portabilidade.

O primeiro erro é migrar tudo sem critério. Arquivos duplicados, documentos vencidos, versões antigas e dados desnecessários aumentam custo e risco. A LGPD adota o princípio da necessidade no art. 6º, III, de modo que a organização deve tratar apenas dados pertinentes, proporcionais e não excessivos.

O segundo erro é replicar permissões antigas. Pastas locais compartilhadas por anos podem conter acessos incompatíveis com funções atuais. Antes da migração, a empresa deve revisar quem precisa acessar cada tipo de informação, por qual motivo e por quanto tempo. A regra prática é conceder o menor privilégio necessário.

O terceiro erro é não treinar usuários. A cloud facilita acesso, mas também exige disciplina. Usuários precisam reconhecer tentativas de phishing, evitar senhas reutilizadas, ativar autenticação multifator, não compartilhar credenciais e comunicar incidentes rapidamente. Segurança jurídica e segurança da informação caminham juntas.

O quarto erro é esquecer o encerramento do contrato. A empresa deve prever como receberá seus dados, em qual formato, em qual prazo e com qual comprovação de exclusão das cópias remanescentes. A portabilidade operacional evita dependência excessiva de fornecedor e reduz impacto de troca de sistema.

Quais leituras complementares ajudam a decidir sobre cloud?

Leituras complementares ajudam a aprofundar a decisão sobre cloud, principalmente quando a empresa compara armazenamento, segurança, custo e aderência operacional. Conteúdos sobre banco de dados em nuvem e perguntas de adoção auxiliam gestores jurídicos a transformar conceitos técnicos em critérios práticos de contratação.

• Outros benefícios da armazenagem em nuvem
• 5 perguntas que vão prepará-lo para adotar um software em nuvem

Ao final, a pergunta não deve ser apenas se a cloud é segura. A pergunta correta é se o fornecedor, o contrato, a configuração e a rotina interna oferecem segurança proporcional aos dados tratados. Para áreas jurídicas, essa resposta passa por tecnologia, LGPD, governança, confidencialidade e capacidade de continuidade.

Perguntas frequentes sobre cloud