Quando o fornecedor precisa desligar: risco de jurisdição no gerenciador de senhas

A disponibilidade não é garantida: um exemplo atual

Em junho de 2026, algo que parece abstrato se tornou concreto: uma ordem de controle de exportações do governo dos EUA obrigou o fornecedor de AI Anthropic a suspender o acesso a dois de seus modelos mais avançados para cidadãos estrangeiros – independentemente de estarem dentro ou fora dos EUA. Como a nacionalidade dos usuários não podia ser verificada de forma confiável em tempo real, o fornecedor desligou preventivamente os modelos afetados para todos os clientes. Em poucas horas, um produto antes livremente disponível deixou de poder ser usado – independentemente de contratos em vigor, assinaturas pagas ou da localização física dos usuários.

O caso é instrutivo por um motivo: não foi uma falha técnica, mas uma decisão regulatória. Um compromisso contratual de disponibilidade (SLA) não protege contra isso – se um fornecedor precisa cumprir uma ordem de autoridade, essa ordem prevalece sobre o compromisso contratual. Para serviços não críticos, é um transtorno tolerável. Para infraestrutura crítica ao negócio, é um risco que deve fazer parte da decisão de arquitetura.

Duas dimensões do risco de jurisdição

Quem confia dados ou serviços a um fornecedor sujeito a uma ordem jurídica estrangeira assume dois riscos diferentes:

• Acesso: autoridades do respectivo país podem, em determinadas circunstâncias, obrigar o fornecedor a entregar dados – mesmo que os dados estejam fisicamente armazenados na Europa.
• Disponibilidade: sanções, controles de exportação ou outras ordens soberanas podem obrigar o fornecedor a encerrar um serviço para determinados grupos de usuários ou regiões.

Ambos os riscos independem da qualidade técnica do serviço ou da situação contratual. Eles decorrem apenas da pergunta sobre a qual ordem jurídica o fornecedor está sujeito.

Por que isso pesa especialmente no gerenciador de senhas

Um gerenciador de senhas não é um serviço comum. Ele contém as credenciais de acesso a praticamente todos os outros sistemas de uma empresa – da conta de e-mail a servidores e serviços Cloud, até a contabilidade. Quem compromete ou desliga esse cofre central alcança indiretamente todo o resto.

Isso muda a avaliação de risco: em muitas aplicações, a ponderação pode favorecer a conveniência da Cloud. No cofre das chaves mestras da empresa, porém, o controle de acesso e disponibilidade vem em primeiro lugar. Aqui, um risco de jurisdição não afeta um único sistema, mas potencialmente toda a TI.

O contexto jurídico

O risco de jurisdição em fornecedores sujeitos a uma ordem jurídica estrangeira não é uma construção teórica, mas está previsto em leis concretas. Ele não se limita aos EUA – regras comparáveis existem em outros Estados –, mas para o mercado europeu três pontos são especialmente relevantes:

• CLOUD Act (EUA, 2018): obriga fornecedores de serviços de comunicação eletrônica ou remote computing sob jurisdição dos EUA a divulgar dados em sua posse, custódia ou controle – independentemente de estarem armazenados dentro ou fora dos EUA. Portanto, um data center europeu de um fornecedor norte-americano não exclui necessariamente o acesso.
• Regras de acesso de serviços de inteligência: poderes como FISA Section 702 dizem respeito, sob determinadas condições, à coleta direcionada de comunicações de pessoas não norte-americanas fora dos EUA por meio de serviços de comunicação norte-americanos. Alcance e status jurídico desses poderes devem ser avaliados separadamente para o serviço concreto.
• Transferência para países terceiros segundo o GDPR: quem transfere dados pessoais a fornecedores em países terceiros ou os deixa serem processados lá deve observar o Art. 44 e seguintes do GDPR. O EU-US Data Privacy Framework cria desde 2023 uma base para organizações norte-americanas certificadas, mas não substitui a avaliação de risco e do fornecedor para dados particularmente sensíveis.

Essas regras não tornam os serviços Cloud genericamente inadmissíveis. Mas deslocam parte do controle para fora da empresa – e exatamente esse controle é especialmente valioso quando se trata de credenciais.

O que soberania digital significa na prática

Soberania digital é facilmente confundida com um slogan político. Na prática, significa simplesmente: a empresa mantém o controle sobre três perguntas que importam em uma situação crítica.

• Local: onde os dados ficam, física e logicamente?
• Acesso: quem pode acessar os dados – e quem pode ser obrigado a conceder acesso?
• Disponibilidade: quem decide se o serviço continua funcionando?

Soberania não significa abrir mão de serviços Cloud por princípio. Significa não entregar a terceiros a resposta a essas três perguntas para a camada mais sensível – as credenciais.

On-Premises como resposta de arquitetura

A resposta natural ao risco de jurisdição é manter dentro da empresa o controle sobre a camada crítica. Um gerenciador de senhas On-Premises mantém os bancos de dados criptografados, o gerenciamento de usuários e os logs totalmente em infraestrutura que a própria empresa controla.

Aqui vale fazer uma distinção clara, pois na operação própria o fornecedor do gerenciador de senhas sempre deixa de existir como ponto externo de entrega de dados ou desligamento – a questão restante é apenas a infraestrutura:

• Data center próprio: cofre, chaves, backups e operação ficam totalmente em suas próprias mãos. Aqui a soberania digital vai mais longe – não há nem serviço externo de gerenciador de senhas nem operador externo de infraestrutura que possa ser obrigado a conceder acesso ou a desligar.
• Private Cloud ou tenant próprio do Azure: aqui também nenhum fabricante opera o serviço de gerenciador de senhas. No entanto, um operador de infraestrutura entra em cena – se ele estiver sujeito a uma ordem jurídica estrangeira, seu risco de jurisdição deve ser avaliado separadamente. O risco do fornecedor do gerenciador de senhas desaparece; o risco de hosting permanece.

Para controle máximo, a operação no próprio data center é, portanto, a escolha mais clara. A avaliação de proteção de dados se simplifica em ambos os casos, porque o fornecedor do gerenciador de senhas não gera transferência para países terceiros – detalhes no artigo Gerenciador de senhas GDPR para empresas.

Comparação da soberania por modelo operacional

Gerenciadores de senhas Cloud não são inseguros por si só – para organizações sem infraestrutura própria e sem requisitos especiais de soberania, podem ser uma escolha adequada. A questão não é “bom ou ruim”, mas: quem deve decidir, em uma situação crítica, sobre acesso e disponibilidade dos dados mais sensíveis?

Em resumo: onde o controle sobre acesso e disponibilidade é decisivo, a operação própria é a escolha consequente – não porque a Cloud esteja descartada por princípio, mas porque as credenciais são a única camada em que se deve manter o controle.

Password Depot: soberania dos dados como princípio

O Password Depot Enterprise Server foi projetado de forma consistente para operação no seu ambiente e não impõe nenhum serviço Cloud externo – a soberania dos dados permanece totalmente com você. O fabricante também é decisivo para a questão da soberania: Password Depot é desenvolvido pela AceBIT GmbH, sediada em Darmstadt – uma empresa alemã sob a ordem jurídica alemã e europeia. Desenvolvido desde 1998, usado por mais de 100.000 clientes.

• Operação na sua infraestrutura: On-Premises no próprio data center, em uma Private Cloud no parceiro de hosting de sua escolha ou no próprio Azure-Tenant – os bancos de dados criptografados não deixam a área de responsabilidade escolhida por você.
• Fabricante sob o direito da UE: como empresa alemã, a AceBIT não está sujeita ao US CLOUD Act. Se você usa infraestrutura externa, o operador dela deve ser avaliado separadamente – a escolha é sua.
• Arquitetura de segurança verificável: AES-256 (algoritmo segundo FIPS 197) e TLS 1.3, um teste de penetração SySS para Password Depot 19 (12/2025) com o resultado “nenhuma vulnerabilidade de segurança grave detectada”, bem como um ISMS da AceBIT GmbH certificado conforme ISO/IEC 27001:2022 pela TÜV NORD CERT.
• Pode ser operado em conformidade com o GDPR: como os dados permanecem, na operação própria, na infraestrutura escolhida por você, o gerenciador de senhas não gera transferência para países terceiros; funções, logs e criptografia apoiam as medidas técnicas e organizacionais segundo o Art. 32 GDPR. A conformidade concreta também depende da sua configuração e dos seus processos. Todas as evidências estão no Trust Center.

Assim, a suposta desvantagem da operação própria se torna uma vantagem estratégica: Password Depot é o modelo operacional em que nenhum serviço de fabricante externo decide sobre o acesso às suas chaves mestras ou sobre a disponibilidade do seu cofre.

Conclusão: soberania é uma decisão de arquitetura

Disponibilidade e proteção de acesso não podem ser garantidas apenas por contrato se a cadeia subjacente de fornecedor ou infraestrutura estiver sujeita a uma ordem jurídica estrangeira – o exemplo de junho de 2026 deixa isso claro. Para a maioria dos sistemas, essa dependência é aceitável. Para o gerenciador de senhas que guarda as chaves de todo o resto, não é. Quem quer manter o controle sobre local, acesso e disponibilidade deve tomar essa decisão no nível da arquitetura – por meio de operação própria sob seu próprio controle e com um fabricante sujeito à ordem jurídica europeia.

Confira no seu próprio ambiente: teste o Enterprise Server gratuitamente por 30 dias, veja a solução em uma demo ao vivo ou solicite uma proposta sem compromisso para seu número de usuários.

Perguntas frequentes sobre soberania digital

O que significa soberania digital no gerenciamento de senhas?

Significa que a empresa mantém o controle sobre três perguntas: onde as credenciais ficam, quem pode acessá-las e quem decide sobre a disponibilidade do serviço. Na operação própria no próprio data center, as três respostas ficam com a própria empresa.

O que é o CLOUD Act – e as empresas alemãs são afetadas por ele?

O CLOUD Act (EUA, 2018) obriga fornecedores de serviços de comunicação eletrônica ou remote computing sob jurisdição dos EUA a divulgar dados sob sua custódia ou controle – independentemente do local físico de armazenamento. Para empresas alemãs, isso pode se tornar relevante se usarem esses fornecedores para gerenciar dados sensíveis, mesmo que os dados estejam em um data center europeu.

Um data center europeu de um fornecedor norte-americano protege contra acesso?

Não necessariamente. O fator decisivo não é apenas onde os dados estão armazenados, mas também a qual ordem jurídica o fornecedor está sujeito. Se o fornecedor estiver sujeito ao direito dos EUA, uma obrigação de entrega também pode afetar dados armazenados fora dos EUA.

Gerenciadores de senhas Cloud são, por isso, fundamentalmente inseguros?

Não. A questão não é a segurança técnica da criptografia, mas o controle sobre acesso e disponibilidade. Para organizações sem requisitos especiais de soberania, soluções Cloud podem ser adequadas. No caso das credenciais – a camada que desbloqueia todos os outros sistemas – a ponderação frequentemente favorece o controle próprio.

Como a operação On-Premises protege contra o risco de jurisdição?

Na operação própria não há serviço externo de gerenciador de senhas que possa ser obrigado a entregar dados, nem serviço operado pelo fabricante que uma autoridade estrangeira possa desligar. No próprio data center, local de armazenamento, vias de acesso e disponibilidade ficam totalmente sob o controle da TI interna. Em infraestrutura externa, como Private Cloud ou Azure-Tenant, o operador de infraestrutura também deve ser avaliado.

Password Depot está sujeito ao direito dos EUA?

Não. Password Depot é desenvolvido pela AceBIT GmbH, sediada em Darmstadt – uma empresa alemã sob a ordem jurídica alemã e europeia. Na operação On-Premises, os dados criptografados permanecem na sua própria infraestrutura ou na infraestrutura escolhida por você. Ao usar infraestrutura externa, o fornecedor dela deve continuar sendo avaliado separadamente.