Tailored Coding
O NIST Privacy Framework 1.0 trata a gestão de privacidade como parte do risco empresarial e chama atenção para o ecossistema de tratamento de dados, formado pelas entidades que participam da criação ou operação de produtos e serviços. Quando esse ecossistema cruza fronteiras, responsabilidades, contratos e requisitos de privacidade precisam continuar legíveis.
No Brasil, a localização física no exterior, sozinha, não resolve se houve transferência internacional nem qual lei se aplica. A Resolução CD/ANPD nº 19/2024 trata da transmissão, do compartilhamento ou da disponibilização de acesso a dados pessoais para outro agente no exterior e distingue essa operação da coleta direta por agente estrangeiro. Uma transferência precisa de hipótese legal para o tratamento e de mecanismo válido para a transferência. A incidência da LGPD pode independer da sede dos agentes ou do local dos dados quando presentes os critérios legais. Essa análise exige o contexto concreto. Armazenar no exterior não é automaticamente inadequado, assim como armazenar no país não garante segurança ou privacidade.
“Onde” inclui repouso, trânsito e uso
O endereço principal é apenas o começo. Dependendo da arquitetura e da configuração, dados podem aparecer em bancos de produção, réplicas, backups, arquivos temporários, filas, caches, redes de distribuição, índices de busca, telemetria, ferramentas de suporte, ambientes de teste, dispositivos, exportações e sistemas de subcontratados.
Também é preciso mapear os dados em trânsito e em uso: onde a conexão criptográfica termina, onde ocorre a descriptografia, quais componentes processam entradas e saídas e quais planos de administração, identidade ou suporte conseguem intervir.
Metadados seguem caminhos próprios. Nome do arquivo, autor, horário, localização aproximada, identificador do dispositivo, endereço IP, histórico de acesso e relações entre usuários podem ser mantidos separadamente do conteúdo. Essas informações podem ser dados pessoais conforme sua capacidade de identificar ou se relacionar a uma pessoa.
O registro deve separar três estados: o que foi tecnicamente observado, o que o fornecedor assumiu em contrato e o que permanece desconhecido. Quando o cliente conhece apenas as regiões contratadas, cada localização física ou fluxo interno pode permanecer fora de sua observação.
Acesso importa tanto quanto endereço
Dois serviços podem declarar a mesma região e oferecer controles muito diferentes. A gestão de chaves deve ter responsabilidades definidas para geração, armazenamento, uso, rotação e recuperação. Esses procedimentos precisam ser avaliados junto com as permissões administrativas, a disponibilidade e as evidências de auditoria.
A organização precisa identificar quais administradores, operadores de suporte, subcontratados, serviços de identidade e integrações podem acessar conteúdo ou metadados. Finalidade, responsabilidades, limites e registros de acesso devem estar documentados. Mudanças de produto ou de fornecedor exigem nova avaliação dessa cadeia e dos requisitos contratuais e regulatórios.
Privacidade exige finalidade, proporcionalidade, transparência e direitos aplicáveis. Quando há dados pessoais, a LGPD estabelece princípios como finalidade, necessidade, livre acesso, transparência, segurança e prevenção. A aplicação desses princípios à arquitetura e ao contrato precisa ser validada para o contexto específico.
A decisão se forma em três camadas
Classe e finalidade
Primeiro, identifique a classe do dado, a finalidade do tratamento e o impacto de exposição, alteração, indisponibilidade ou uso incompatível. Informação pública, material interno, documento confidencial e dado pessoal sensível não precisam ocupar o mesmo ambiente nem aceitar a mesma cadeia de acesso.
Topologia e acesso
Depois, trace os sistemas e regiões por onde passam a cópia principal, as réplicas, os backups, os registros, os metadados e os dados em trânsito e em uso. Em cada camada, documente entidades com acesso, responsabilidades administrativas, controles criptográficos e procedimentos de suporte e recuperação.
Residência de dados, conformidade e ciclo de vida
Por fim, confirme qual hipótese legal sustenta o tratamento, qual mecanismo sustenta eventual transferência, quais direitos e obrigações se aplicam e quem validou a análise. A decisão também precisa cobrir resposta a incidente, continuidade, portabilidade e eliminação quando aplicáveis, retenções permitidas, comprovação de descarte e saída do fornecedor.
O registro que sustenta a decisão
A arquitetura precisa prever o momento em que a prevenção falha. A organização deve conseguir apurar, dentro dos limites da evidência, quais cópias, fluxos e credenciais foram afetados, quais chaves precisam ser trocadas, quais entidades participaram do tratamento e quais registros permitem reconstruir o ocorrido.
Backups podem prolongar a existência dos dados conforme a política de retenção. Registros ajudam na investigação, mas podem conter informações sensíveis. Replicação pode ampliar regiões, domínios de falha ou operadores, dependendo da topologia. Cada benefício cria uma necessidade de controle correspondente.
O registro de colocação de dados reúne classe, finalidade, repouso, trânsito e uso, ambientes permitidos, regiões, cópias, metadados, entidades com acesso, funções de chave, retenção, descarte, resposta a incidente e responsável pela decisão. Ele deve mostrar evidência técnica, compromisso contratual e lacuna desconhecida em campos distintos.
Como fazemos
O trabalho começa pela classificação dos dados e pelo mapeamento de fluxos, cópias, metadados e entidades com acesso. Confrontamos o que foi observado na arquitetura com contratos, configurações e requisitos aplicáveis. A entrega organiza o registro de colocação, os pontos de transferência, as dependências de chaves, as lacunas de evidência e as decisões necessárias por classe de dado, com responsáveis e critérios para mudança ou saída.
Se ocorrer um incidente amanhã, sua empresa consegue dizer onde estão todas as cópias e os fluxos relevantes, quem pode acessá-los e o que poderá ser efetivamente eliminado? Essa é a decisão escondida atrás do campo “região”.
Conheça também a metodologia da nossa avaliação de ameaças e riscos.