Se você tem um SaaS no Brasil, há uma probabilidade altíssima de você estar fazendo transferência internacional de dados agora, neste exato segundo, e de não ter declarado isso em lugar nenhum. Não é negligência rara: é o padrão. A stack típica de qualquer produto digital brasileiro — nuvem, e-mail, autenticação, pagamento, IA, observabilidade — é montada sobre fornecedores globais. E a LGPD trata esse fluxo de dados para fora do país como uma categoria própria, com regras próprias, que a maioria simplesmente ignora porque acredita numa frase que parece segura: "nossos dados ficam no Brasil".

Na maior parte das vezes, essa frase é falsa. E quando é verdadeira, ainda assim costuma não fechar a conta jurídica. Este é o gap silencioso mais comum que vejo em adequação de SaaS — silencioso porque não dá erro, não trava deploy, não aparece no dashboard. Ele só existe no dia em que alguém pergunta, ou no dia em que dá problema.

Por que quase todo SaaS brasileiro faz transferência internacional

Transferência internacional de dados, na LGPD, é qualquer operação em que dados pessoais saem do território nacional para tratamento por uma entidade situada em outro país. O ponto que pega quase todo mundo: não importa só onde o dado fica armazenado fisicamente; importa quem trata, de onde, e com qual alcance de acesso.

Veja onde isso aparece sem você perceber:

AWS, Google Cloud, Azure — mesmo em região "São Paulo". Você pode hospedar tudo em sa-east-1 e ainda assim haver acesso administrativo, suporte global, logs, e fluxos operacionais que atravessam fronteiras. A localização do datacenter não encerra o debate quando o provedor é uma multinacional com governança global.
Google Workspace e Microsoft 365. Seu e-mail corporativo, seus documentos, seus calendários. Dados pessoais de clientes e funcionários trafegando por infraestrutura global americana.
Vercel, Cloudflare, e qualquer CDN. Edge espalhado pelo planeta. É literalmente o produto deles distribuir o processamento geograficamente.
OpenAI, Anthropic e provedores de IA. Se o seu produto manda qualquer texto de usuário para uma API de LLM, esse conteúdo — que muitas vezes contém dado pessoal — vai para fora.
Stripe e gateways internacionais. Dados de pagamento e identificação processados no exterior.
Sentry, Datadog, PostHog, Mixpanel, Intercom, e o resto da prateleira de SaaS-para-SaaS. Observabilidade, analytics, suporte. Cada um é um destinatário a mais.

O detalhe perverso é que cada uma dessas ferramentas, isolada, parece banal. Ninguém liga um Sentry pensando "estou fazendo transferência internacional de dados pessoais". Mas a soma da stack é exatamente isso, e a LGPD não dá desconto por intenção.

O que a LGPD realmente exige

A transferência internacional não é proibida. Ela é condicionada. O artigo central é o Art. 33:

Art. 33. A transferência internacional de dados pessoais somente é permitida nos seguintes casos: (...)

E ele lista as hipóteses. As que importam para a vida real de um SaaS são:

País ou organismo internacional com grau de proteção adequado ao previsto na LGPD — o reconhecimento de que o destino oferece proteção equivalente.
Cláusulas-padrão contratuais — quando o controlador oferece e comprova garantias por meio de cláusulas contratuais específicas.
Cláusulas contratuais específicas, normas corporativas globais ou selos/certificados regularmente emitidos.
Consentimento específico e destacado do titular para aquela transferência, com informação prévia sobre seu caráter internacional.
Hipóteses ligadas a execução de contrato, cooperação jurídica internacional, proteção da vida, política pública, entre outras situações pontuais.

O grau de proteção adequado e as garantias por cláusulas estão tratados nos artigos seguintes:

Art. 34. O nível de proteção de dados do país estrangeiro ou do organismo internacional (...) será avaliado pela autoridade nacional (...)

Art. 35. A definição do conteúdo de cláusulas-padrão contratuais (...) para fins de transferência internacional de dados será realizada pela autoridade nacional (...)

Ou seja: a própria LGPD já previa, desde o texto original, que a ANPD definiria o conteúdo das cláusulas-padrão contratuais. E foi exatamente isso que aconteceu.

O regime de cláusulas-padrão da ANPD amadureceu

Esse é o ponto mais atual e mais importante. Por anos, a hipótese de "cláusulas-padrão contratuais" existia no papel mas era difícil de operacionalizar, porque faltava o modelo oficial. A ANPD avançou nesse tema com o Regulamento de Transferência Internacional de Dados e a publicação de um modelo de Cláusulas-Padrão Contratuais (as chamadas Standard Contractual Clauses, em paralelo conceitual ao que a União Europeia já fazia).

O que isso significa na prática: hoje existe um mecanismo concreto, padronizado e reconhecido para legalizar a transferência internacional na maioria dos cenários de SaaS. Você adota o conjunto de cláusulas no contrato com o fornecedor (ou se ancora nas garantias que o fornecedor já oferece) e tem uma base jurídica clara para o fluxo de dados ao exterior.

Vou ser honesto sobre a zona cinzenta: não vou cravar aqui o número da resolução nem o artigo exato do regulamento de memória — esse tipo de citação precisa ser conferida na fonte oficial da ANPD antes de ir para um documento formal seu. O que é seguro afirmar é o mecanismo: o regime de cláusulas-padrão saiu do limbo, tem modelo oficial, e é hoje a rota mais prática para a imensa maioria dos SaaS brasileiros que usam fornecedores globais. Trate isto como direção estratégica, e confirme a referência normativa exata no momento de redigir o contrato.

O erro clássico: negar que existe transferência

O gap quase nunca nasce de má-fé. Ele nasce de uma negação confortável. As três frases que mais vejo:

"Nossos dados ficam no Brasil." Quando o fornecedor é uma multinacional, isso raramente é tecnicamente verdadeiro e quase nunca é juridicamente suficiente. Acesso administrativo global, suporte, replicação e roteamento de borda atravessam a fronteira mesmo com armazenamento local.
"A gente só usa serviço grande e conhecido, então está coberto." O fornecedor ser sério ajuda — ele provavelmente oferece DPA e cláusulas decentes. Mas a obrigação de ancorar a transferência numa hipótese do Art. 33 e declarar isso é sua, controlador, não dele.
"Não tem dado sensível, então tanto faz." A LGPD regula a transferência de dado pessoal, não só de dado sensível. Nome, e-mail e IP de usuário já bastam para o regime se aplicar.

Negar a transferência não a faz desaparecer. Só faz você ficar sem base legal para algo que está acontecendo de qualquer jeito.

O que fazer na prática

A boa notícia: fechar esse gap é trabalho metódico, não heroico. Quatro passos.

1. Mapeie a stack, fornecedor por fornecedor

Liste todo serviço que toca dado pessoal — nuvem, e-mail, auth, pagamento, IA, analytics, suporte, e-mail transacional. Para cada um, responda: onde fica a entidade que trata? há acesso ou processamento fora do Brasil? O resultado é o seu inventário de transferências.

2. Ancore cada transferência numa hipótese do Art. 33

Para a maioria, a âncora será cláusulas-padrão contratuais (via o modelo da ANPD ou as garantias contratuais do fornecedor) ou país com grau de proteção adequado, quando aplicável. Para fluxos muito específicos, pode ser execução de contrato. Registre qual hipótese sustenta cada item do inventário.

3. Garanta o DPA / as cláusulas com cada fornecedor

Os grandes (AWS, Google, Microsoft, Stripe, OpenAI, Anthropic, Cloudflare) já oferecem Data Processing Addendum e mecanismos de transferência prontos. Você precisa aceitar/assinar e arquivar isso. Não basta ele oferecer; tem que estar firmado e guardado.

4. Declare a transferência na política de privacidade

Esse é o passo que quase ninguém dá. Sua política precisa dizer, de forma clara, que há transferência internacional, para quais categorias de fornecedores, com que finalidade e ancorada em qual hipótese legal. Transparência é o que transforma um fluxo "silencioso" num tratamento legítimo.

Tabela: ferramentas comuns e por que caracterizam transferência

Ferramenta / categoria	Por que caracteriza transferência internacional
AWS / GCP / Azure (mesmo região BR)	Provedor multinacional; acesso administrativo, suporte e operações globais atravessam a fronteira
Google Workspace / Microsoft 365	E-mail, documentos e identidades em infraestrutura global americana
Vercel / Cloudflare / CDNs	Processamento em edge distribuído por vários países por design
OpenAI / Anthropic / APIs de IA	Texto do usuário (com dado pessoal) enviado para tratamento no exterior
Stripe / gateways internacionais	Dados de pagamento e identificação processados fora do Brasil
Sentry / Datadog / PostHog / Mixpanel	Logs, eventos e analytics contendo identificadores enviados a servidores estrangeiros
Intercom / Zendesk / suporte SaaS	Conteúdo de conversas e dados de contato de clientes hospedados no exterior

Se você usa três linhas dessa tabela — e quase todo mundo usa —, você faz transferência internacional. A pergunta não é se, é com qual base legal e qual transparência.

Onde o Fracta entra

O Fracta é um scanner web passivo, gratuito, sem cadastro, que dá uma nota de A a F na hora. Ele não substitui o trabalho de inventário acima, mas faz o primeiro raio-x: detecta passivamente os sinais que denunciam o problema — se há política de privacidade linkada e acessível, quais rastreadores e scripts de terceiros carregam na sua página (muitos deles estrangeiros), e outros indícios de tratamento que você talvez não tenha mapeado. É o jeito mais rápido de descobrir, em segundos, que aquele "nossos dados ficam no Brasil" não condiz com o que o navegador do seu usuário realmente carrega.

E aqui vale uma nota de coerência: nós rodamos a auditoria completa de LGPD do Fracta nele mesmo — as 16 dimensões — e o resultado é 100% adequado, inclusive no tratamento da transferência internacional, ancorado em cláusulas-padrão contratuais. Não é teoria; é o que praticamos no próprio produto.

A detecção passiva mostra os sinais. A adequação completa — o inventário fornecedor por fornecedor, a ancoragem no Art. 33, as cláusulas e a política — é o passo seguinte, e é exatamente onde a auditoria completa entra.

Comece pelo raio-x gratuito agora em fracta.pro. Rode o scanner no seu domínio, veja sua nota, e descubra se o gap silencioso da transferência internacional já está dando sinal na sua página — antes que alguém pergunte.

Transferência internacional de dados na LGPD: o gap silencioso de quase todo SaaS