LGPD e GPU no exterior: o que o contrato precisa ter

O que a lei chama de transferência internacional

A LGPD define transferência internacional de dados como a transferência de dados pessoais para país estrangeiro ou organismo internacional (art. 5º, XV). Quando uma empresa brasileira aluga uma GPU no exterior e envia para ela dados de clientes, funcionários ou pacientes, os dados saem do país para serem processados lá. É esse o caso.

A empresa que decide o uso dos dados é a controladora. O fornecedor que processa os dados em nome dela é o operador. A responsabilidade de garantir uma base válida para a transferência começa na controladora, e por isso o jurídico da empresa costuma perguntar ao fornecedor onde a GPU fica.

Quando a transferência é permitida

O art. 33 da LGPD lista os casos em que a transferência é permitida. Para o aluguel de GPU, os caminhos mais usados são estes:

• Destino adequado. País ou organismo internacional que a ANPD reconheceu como tendo proteção de dados adequada. Até 17 de outubro de 2026, a única decisão desse tipo publicada pela ANPD é a Resolução CD/ANPD nº 32, de 26 de janeiro de 2026. Ela abrange os países da União Europeia, Islândia, Liechtenstein e Noruega.
• Cláusulas-padrão contratuais. Texto aprovado pela ANPD que entra no contrato entre as partes. É um caminho comum quando a GPU fica em um país sem decisão de adequação.
• Outros instrumentos. Cláusulas específicas aprovadas pela ANPD caso a caso, normas corporativas globais para grupos econômicos e as demais hipóteses do art. 33.

As cláusulas-padrão da ANPD

A Resolução CD/ANPD nº 19, de 23 de agosto de 2024, aprovou o regulamento de transferência internacional de dados e o texto das cláusulas-padrão contratuais. Dois pontos importam para quem contrata GPU:

• As cláusulas devem ser usadas sem modificações, conforme o Anexo II do regulamento.
• Quem usava cláusulas contratuais como base para transferir dados teve até 12 meses da publicação para incorporar as cláusulas-padrão da ANPD. Esse prazo terminou em agosto de 2025. A regra vale para quem escolhe esse mecanismo; os outros caminhos do art. 33 continuam disponíveis.

E se os dados forem anonimizados?

Pelo art. 12 da LGPD, dados anonimizados ficam fora da lei, salvo quando a anonimização puder ser revertida com meios próprios ou com esforços razoáveis. Treinar um modelo com dados realmente anonimizados reduz o problema da transferência. Dados sintéticos gerados a partir de dados pessoais também precisam dessa verificação. O cuidado está em confirmar que a anonimização se sustenta: um conjunto com data de nascimento, CEP e sexo, por exemplo, pode permitir reidentificar pessoas.

Com a GPU no Brasil

Quando a GPU, as cópias de segurança, os registros e o acesso do suporte ficam no Brasil, não há transferência internacional. Se algum desses itens ficar fora do país, ele entra na análise. A LGPD continua valendo por inteiro: o contrato define os papéis de controladora e operadora, as medidas de segurança e o destino dos dados ao final.

O que o jurídico costuma pedir ao fornecedor

1. Cidade e país do data center, e onde ficam cópias de segurança e registros.
2. Se o suporte técnico acessa os dados a partir de outro país.
3. Qual instrumento do art. 33 sustenta a transferência, quando houver.
4. Medidas de segurança e procedimento em caso de incidente.
5. Devolução ou eliminação dos dados no fim do contrato, com registro.

As nossas GPUs ficam em data centers no Brasil, em Vitória (ES), Serra (ES), São Paulo (SP) e Rio de Janeiro (RJ), e o dado é processado e guardado no país. Para que o tratamento contratado não envolva transferência internacional, as cópias, os registros e o acesso do suporte também precisam ficar aqui, e nenhum outro fornecedor ou integração pode receber os dados pessoais fora do país. A proposta descreve onde fica cada um.

Este guia tem caráter informativo e não substitui a orientação jurídica da sua empresa.

Perguntas frequentes