Durante boa parte da última década, as regras de residência de dados eram um problema dos outros. Bancos se preocupavam. Hospitais se preocupavam. Empresas de defesa se preocupavam. Uma equipe de duas pessoas lançando uma ferramenta de agendamento a partir de um notebook escolhia uma região em um menu e seguia em frente.
Não é mais assim. O regime europeu de troca de nuvem se aplica a qualquer fornecedor que ofereça um serviço de processamento de dados a clientes na União Europeia, e não faz distinção pelo porte do fornecedor. Um fundador sozinho com usuários na UE está no mesmo capítulo do mesmo regulamento que uma grande provedora global.
Residência responde à geografia, não à jurisdição
A primeira separação útil é entender o que a residência realmente entrega. Escolher uma região europeia significa que os bytes ficam em discos em um país específico. Isso não define quem pode exigir acesso a eles.
Uma análise publicada pela Cloud Native Computing Foundation descreve o requisito completo como quatro propriedades: contenção jurisdicional, para que cada componente opere sob uma jurisdição defensável; autonomia operacional, para que a plataforma possa ser reconstruída ou migrada sem depender de um único fornecedor; controle criptográfico e de acesso, para que chaves e credenciais não sejam alcançáveis de fora da jurisdição escolhida; e portabilidade, para que uma carga de trabalho possa mudar de lugar sem reescrita.
Para uma equipe pequena, a consequência prática é que o menu de regiões é a parte fácil. Localização do plano de controle, armazenamento de metadados, acesso administrativo, criptografia e posse das chaves precisam ser decididos de forma explícita, porque cada um deles pode deslocar silenciosamente a jurisdição efetiva de um sistema cujos dados são apenas nominalmente locais.
As regras de troca não têm isenção para pequenos fornecedores
O Data Act europeu, Regulamento (UE) 2023/2854, entrou em vigor em 11 de janeiro de 2024 e passou a ser geralmente aplicável em 12 de setembro de 2025. Suas disposições sobre troca de nuvem estão no Capítulo VI.
A análise do escritório Latham & Watkins é direta no ponto que mais importa a quem constrói pequeno: não há isenções para fornecedores de pequeno porte ou emergentes nas disposições de troca de serviço. As exceções existentes são estreitas e cobrem serviços fortemente personalizados para um cliente específico e serviços fornecidos para teste. Porte não é critério.
Vale contrastar com outra parte do mesmo regulamento, porque as duas são frequentemente confundidas. O Capítulo II, que trata do acesso a dados gerados por produtos conectados, isenta microempresas e pequenas empresas sob certas condições. O Capítulo VI, o regime de troca, não isenta. Um pequeno fornecedor de SaaS pode, portanto, estar fora do escopo de um capítulo e plenamente dentro de outro.
O escopo é definido pela atividade, não pelo setor. Serviços de infraestrutura, de plataforma e de software se enquadram, assim como formatos mais recentes como banco de dados como serviço. A orientação do Greenberg Traurig observa que implantações locais e de nuvem privada ficam de fora, assim como serviços que exigem configuração altamente individualizada e intensiva em trabalho. O regime também alcança fornecedores estabelecidos fora da UE quando o serviço é oferecido a clientes europeus.
Como é uma saída em conformidade na prática
As obrigações são concretas, e a maior parte delas é trabalho de produto, não trabalho jurídico.
O cliente pode acionar a troca com aviso prévio de no máximo dois meses. Encerrado esse aviso, a transição deve se completar em 30 dias, prorrogáveis quando a mudança for genuinamente complexa. Os fornecedores precisam remover barreiras contratuais, técnicas e comerciais à saída, especificar exatamente quais dados e ativos digitais são portáveis e oferecer assistência razoável ao cliente e ao fornecedor de destino.
Dois requisitos costumam surpreender equipes menores. O primeiro é a transparência antes da venda: os procedimentos de troca precisam ser publicados online ou fornecidos antes da contratação. O segundo é a obrigação de manter um registro online e atualizado de estruturas de dados, formatos e especificações de interoperabilidade. Fornecedores de infraestrutura ainda devem equivalência funcional na migração, enquanto os demais precisam expor interfaces abertas e gratuitas.
A partir de 12 de janeiro de 2027, o Artigo 30 exige portabilidade completa em formatos legíveis por máquina, como JSON e CSV. Para equipes que já mantêm um endpoint de exportação limpo, boa parte disso é documentação. Para equipes cuja exportação é um chamado de suporte e uma consulta escrita à mão, é um item de roadmap.
O fim das taxas chega em janeiro de 2027
O preço da saída tem calendário. Desde 11 de janeiro de 2024, as taxas de troca estão limitadas a repasse de custo, sem margem. As taxas reduzidas não podem exceder os custos diretamente ligados à própria troca. A partir de 12 de janeiro de 2027, as taxas de troca ficam totalmente proibidas.
Multas por rescisão antecipada e prazos contratuais fixos continuam permitidos, e é esse detalhe que mantém o preço anual viável. Mas a leitura da Comissão sobre a cláusula de rescisão, como descreve o Greenberg Traurig, aponta para um direito de fato de rescindir por conveniência mesmo em contratos por prazo determinado. As cláusulas contratuais padrão elaboradas sob o Artigo 41 ainda estão em preparação e são descritas como favoráveis ao cliente por concepção.
Há também uma questão em aberto sobre se as regras atingem apenas contratos assinados após setembro de 2025 ou também acordos existentes. Equipes que fecham contratos plurianuais agora estão, na prática, precificando essa ambiguidade.
As penalidades acompanham o faturamento global
A fiscalização é definida por cada Estado-membro, e os tetos são proporcionais à receita, não ao porte da empresa. A França prevê penalidades de até 3% do faturamento global anual, subindo para 5% em caso de reincidência. A Alemanha admite até 4% do faturamento global anual ou cinco milhões de euros, o que for maior.
Esses são valores máximos, aplicados dentro de um arcabouço que também permite advertências, repreensões e ordens de conformidade, e que exige sanções efetivas, proporcionais e dissuasivas. O risco realista para um pequeno fornecedor não é uma multa de manchete. É a área de compras de um cliente corporativo pedindo o registro de troca e a cláusula de saída, e o negócio travando porque nenhum dos dois existe.
O que equipes pequenas podem fazer agora
O trabalho se divide com clareza. Mapeie cada serviço que você opera em relação à definição de serviço de processamento de dados, já que a avaliação é serviço a serviço, e não por empresa. Reescreva os contratos com clientes para incluir o prazo de aviso, a janela de transição e um caminho de saída descrito. Construa e documente uma exportação real, em formatos abertos, que um concorrente consiga de fato consumir. Publique as informações de troca onde um comprador as encontre antes de assinar. Depois revise o preço, sobretudo qualquer desconto por prazo fixo que presumia que o cliente não sairia barato.
Parte disso já é familiar a quem comparou operar a própria infraestrutura com alugá-la, um cálculo abordado em nossa análise sobre a inflação recorde do SaaS empurrando desenvolvedores a migrar. As exigências de portabilidade apontam na mesma direção: premiam arquiteturas que nunca estiveram presas a um único fornecedor.
Soberania está virando decisão de produto
A direção mais ampla é visível para além do Data Act. O Data Use and Access Act de 2025, do Reino Unido, está sendo implantado ao longo de 2026 com suas próprias regras de portabilidade. NIS-2 e DORA já moldam escolhas de plataforma em setores regulados. O que o mercado agora chama de geopatriação, descrita pela Mindcore como devolver dados a uma jurisdição específica e mantê-los ali, saiu do setor de defesa e virou item de compras comuns.
Sob a perspectiva da democratização tecnológica, o quadro é genuinamente misto e vale dizê-lo com clareza. O trabalho de conformidade é um custo fixo, e custos fixos sempre pesam mais sobre as menores equipes, o que é um argumento real a favor de tratamento proporcional. Ao mesmo tempo, portabilidade obrigatória e saída gratuita são exatamente as condições em que um produto de duas pessoas consegue conquistar um cliente de um incumbente. Nossa visão é que regras que barateiam a troca tendem a ampliar o acesso, não a restringi-lo, e que a versão mais justa desse regime é aquela em que as obrigações acompanham a capacidade, enquanto os direitos de portabilidade não.
De todo modo, a ideia de que as regras de residência de dados são problema dos outros já expirou. Para quem constrói para usuários na UE, onde os dados vivem, quem pode alcançá-los e com que rapidez um cliente poderia levá-los embora passaram a ser decisões de produto com datas marcadas.
Este artigo foi assistido por IA e editado para garantir precisão.
