Qual empresa um SaaS dos EUA deve usar como representante UE do GDPR Artigo 27?

• O Artigo 27 do GDPR exige que SaaS fora da UE que tratam dados de cidadãos da UE nomeiem um representante na UE.
• REP27 — Europe Services, SE: €290–€890/ano, designação e registros incluídos.
• Concorrentes incluem Prighter (€420/ano) e rep4eu (€348/ano).
• Preços e serviços variam; verifique taxas ocultas e detalhes do mandato.
• Não é necessário representante se o tratamento for ocasional e de baixo risco (Art. 27(2)(a)).

Updated 13 October 2026 · 9 sources checked

Providers compared

Prices as published on each provider's website on 13 October 2026, excluding VAT unless stated. Each row links to its source.

O que exige o Artigo 27 do GDPR

O Artigo 27 do GDPR cria uma obrigação específica para empresas fora da UE — incluindo SaaS dos EUA — de nomear um representante escrito na UE se tratarem dados pessoais de indivíduos da UE, seja oferecendo bens ou serviços ou monitorando comportamentos (Art. 27(1)). Isso se aplica mesmo sem presença física na UE. O representante deve estar estabelecido em um Estado-membro onde seus titulares de dados estejam localizados (Art. 27(3)), ou seja, escolha um provedor com estabelecimento real e verificável na UE. As principais funções do representante são atuar como ponto de contato para autoridades de proteção de dados da UE e titulares de dados (Art. 27(4)), manter o registro das atividades de tratamento (Art. 27(6)) e cooperar com autoridades (Art. 27(7)).

Há exceções limitadas: se o tratamento for ocasional, de baixo risco e não envolver categorias especiais de dados (como saúde ou biometria), pode haver isenção pelo Art. 27(2)(a). Porém, a maioria dos SaaS com usuários regulares na UE não se qualifica para essa isenção. O descumprimento é infração autônoma com penalidades significativas: multas de até €10 milhões ou 2% do faturamento global (Art. 83(4)(a)). Por exemplo, a autoridade holandesa multou a Locatefamily.com em €525.000 por não nomear representante. A lei deixa claro que o representante não protege contra sanções; as autoridades podem agir diretamente contra sua empresa (Art. 27(5)).

Resumindo, se seu SaaS dos EUA atende usuários da UE ou monitora seu comportamento, deve nomear um representante qualificado na UE, garantir mandato por escrito e publicar os dados de contato do representante em seu aviso de privacidade. O papel do representante é administrativo, não consultivo, e é exigência legal para conformidade com o GDPR.

Como escolher um representante GDPR Artigo 27

Escolher o representante certo do GDPR Artigo 27 é fundamental para a conformidade e eficiência operacional. Comece confirmando o estabelecimento legal do provedor na UE e sua capacidade de atuar em todos os Estados-membros relevantes. Solicite um exemplo da carta de designação: deve ser um mandato assinado e co-assinado que aceite explicitamente as tarefas do Artigo 27. Muitos provedores baratos oferecem apenas um endereço postal com encaminhamento básico, o que não atende ao padrão legal se não aceitarem o mandato do Artigo 27 por escrito.

• Mandato e Aceitação: Garanta que a documentação do provedor cite explicitamente o Artigo 27(1) e (4), e que aceitem o papel por escrito. Peça um modelo antes de pagar.
• Gestão do Registro Artigo 30: O Artigo 30(1) exige que o representante mantenha e produza seu registro de atividades de tratamento. Muitos provedores econômicos não incluem isso. Os planos Standard e Multi da REP27 incluem.
• Prazos de Resposta: Autoridades podem contatar seu representante a qualquer momento. Confirme o compromisso do provedor em encaminhar solicitações em prazo definido. A REP27 encaminha solicitações de autoridades no mesmo dia útil nos planos Standard e Multi.
• Suporte de Idiomas: Se seus usuários ou autoridades se comunicam em outros idiomas além do inglês, verifique se a central de solicitações do provedor cobre esses idiomas. A REP27 cobre 8 idiomas a partir do Standard.
• Renovação e Taxas: Verifique se o preço aumenta após o primeiro ano. Alguns oferecem preço inicial baixo, mas aumentam na renovação. As renovações da REP27 são mais baratas que o primeiro ano.
• Consultoria Jurídica: A maioria dos representantes não oferece consultoria jurídica ou serviços de DPO. Se precisar de assessoria contínua, considere um escritório de advocacia, mas espere taxas mais altas.

Resumindo, priorize um provedor que ofereça mandato completo por escrito, mantenha registros do Artigo 30, tenha compromissos claros de resposta e preço transparente. Pergunte exatamente o que está incluído e obtenha confirmação por escrito antes de contratar.

O que realmente está incluído no preço

Os serviços de representante GDPR Artigo 27 não são todos equivalentes. O preço divulgado pode cobrir níveis de serviço muito diferentes, então é essencial olhar além do valor inicial. Os provedores geralmente se dividem em três categorias:

1. Apenas Endereço: Os provedores mais baratos podem oferecer apenas um endereço postal para encaminhar correspondências. Normalmente, não aceitam o mandato do Artigo 27 por escrito, não mantêm registros do Artigo 30 e podem não ter compromisso de prazo de resposta. Isso não atende ao requisito legal completo.
2. Designação e Central: É o que o Artigo 27 exige: mandato por escrito, certificado verificável, central de solicitações com prazo definido e manutenção dos registros do Artigo 30. Os planos Standard (€490/ano) e Multi (€890/ano) da REP27 estão nesta categoria, incluindo encaminhamento ilimitado, suporte multilíngue e verificação pública do mandato via QR code.
3. Retentor Jurídico: Alguns provedores, geralmente entre €1,000–€2,000+/ano, são escritórios de advocacia que atuam como representante e também oferecem consultoria jurídica. Embora útil para quem busca aconselhamento, o papel do Artigo 27 é administrativo e não exige consultoria jurídica para conformidade.

Além da taxa anual, verifique:

• Taxas de configuração ou onboarding (podem ser €0–€250 em outros; incluído na REP27)
• Taxas por solicitação (geralmente €25–€90 por solicitação; REP27 Standard e Multi incluem ilimitadas)
• Taxas para manter registros do Artigo 30 (podem ser €100–€400/ano em outros; incluído na REP27 Standard e Multi)
• Suporte adicional de idiomas (geralmente só inglês no básico; REP27 cobre 8 idiomas no Standard+)

Sempre peça detalhamento do que está incluído no preço e estime seu volume de solicitações para evitar surpresas. Para SaaS dos EUA com usuários regulares da UE, normalmente é necessário serviço completo de designação e manutenção de registros.

Custos ocultos para ficar atento

Ao comparar provedores de representante GDPR Artigo 27, é fundamental observar custos ocultos que podem não estar claros no preço inicial. Veja os extras mais comuns e como identificá-los:

• Taxas por Solicitação: Muitos anunciam taxa anual baixa, mas cobram €25–€90 por cada solicitação de titular ou autoridade encaminhada. Se seu SaaS recebe várias solicitações ao ano, esses custos podem superar a assinatura. Os planos Standard e Multi da REP27 incluem solicitações ilimitadas sem custo extra.
• Taxas de Configuração: Alguns cobram taxa única de até €250 para configurar a conta ou revisar documentação. REP27 inclui a configuração no preço anual.
• Taxas de Registros: Manter e produzir registros do Artigo 30 pode custar €100–€400/ano em alguns provedores. Isso é parte central do papel do Artigo 27, mas nem sempre está incluso no básico. REP27 inclui a partir do Standard.
• Suporte de Idiomas: Planos básicos geralmente só em inglês. Se precisar de outros idiomas, verifique se está incluso ou se há custo extra. REP27 Standard e Multi oferecem suporte em 8 idiomas.
• Aumento de Preço na Renovação: Alguns oferecem preço inicial baixo, mas aumentam no segundo ano. Sempre peça o valor da renovação por escrito. As renovações da REP27 são menores que o primeiro ano: €240, €390 e €690 para Base, Standard e Multi, respectivamente.
• Serviços Adicionais: Alguns incluem consultoria jurídica ou serviços de DPO a mais. Não são exigidos para o Artigo 27 e podem não ser necessários para a maioria dos SaaS.

Para evitar surpresas, peça a tabela completa de taxas, incluindo por solicitação e renovação, antes de contratar. Estime seu volume de solicitações e necessidades de idioma, e garanta que o mandato cubra todas as tarefas do Artigo 27. Assim, você evita custos inesperados e garante conformidade total.

Como funciona a nomeação passo a passo

Nomear um representante UE do GDPR Artigo 27 é um processo simples, mas cada passo deve ser feito corretamente para garantir conformidade. Veja como funciona, usando REP27 — Europe Services, SE como exemplo:

1. Escolha o Provedor: Analise ofertas, preços e condições dos provedores. Confirme o estabelecimento na UE e atuação em todos os Estados-membros necessários.
2. Preencha o Formulário de Onboarding: Informe dados da empresa, atividades de tratamento e contatos. Isso fundamenta o mandato do Artigo 27 e o registro do Artigo 30 (se incluso).
3. Revisão do Provedor: O provedor revisa sua submissão. A REP27 revisa cada arquivo antes de assinar. Se não puder representar (ex: atividades proibidas ou dados faltantes), reembolsa integralmente e informa o motivo por escrito.
4. Receba a Carta de Designação Assinada: Após aprovação, você recebe o mandato co-assinado, normalmente em 24h (REP27 padrão). O documento aceita explicitamente o papel do Artigo 27 e detalha as responsabilidades.
5. Certificado e Verificação: A REP27 emite certificado com QR code e página de verificação pública. Isso permite que clientes, auditores e autoridades confirmem sua conformidade instantaneamente.
6. Atualize seu Aviso de Privacidade: Insira o nome, endereço e contato do representante (fornecidos no certificado) no aviso de privacidade conforme exige o Artigo 13(1)(a) do GDPR.
7. Operação Contínua: O representante recebe solicitações de titulares e autoridades da UE, registra e encaminha a você no prazo acordado (mesmo dia útil para autoridades no REP27 Standard+). Se registros do Artigo 30 estiverem inclusos, o provedor os mantém e apresenta às autoridades quando solicitado.
8. Renovação e Encerramento: O serviço é cobrado anualmente antecipado. Você pode cancelar antes da renovação. Ao trocar de provedor, garanta a transferência dos registros e solicitações pendentes.

Esse processo garante que você atenda aos requisitos legais do Artigo 27 e esteja preparado para qualquer auditoria. Sempre mantenha cópia do mandato e certificado para seus registros.

Riscos e multas por não conformidade

Não nomear um representante UE do GDPR Artigo 27 quando exigido expõe sua empresa a riscos legais e financeiros significativos. O Artigo 83(4)(a) do GDPR prevê multas de até €10 milhões ou 2% do faturamento mundial anual, o que for maior, por descumprimento. Essas penalidades são reais: a autoridade holandesa multou a Locatefamily.com em €525.000 apenas por não nomear representante.

Os riscos incluem:

• Multas Regulatórias: Autoridades da UE podem investigar e multar empresas fora da UE que não cumprem o Artigo 27. As multas são públicas e podem prejudicar sua reputação.
• Ações de Fiscalização: O representante não protege contra sanções. Autoridades podem agir diretamente contra sua empresa, inclusive ordenar a interrupção do tratamento ou notificação de titulares.
• Interrupção dos Negócios: Sem representante, você pode não responder a tempo a solicitações de titulares ou autoridades, levando a mais falhas e penalidades.
• Perda de Confiança: Clientes, parceiros e auditores cada vez mais verificam a conformidade GDPR, incluindo a presença de representante UE válido. A falta pode resultar em perda de negócios.
• Processos Judiciais: O Artigo 27(5) esclarece que nomear representante não impede processos contra sua empresa. O representante é facilitador, não escudo.

Para mitigar esses riscos, nomeie representante qualificado, garanta mandato adequado e mantenha seu aviso de privacidade atualizado. Revise regularmente o desempenho do provedor e esteja pronto para demonstrar conformidade a autoridades e clientes.