Provedores de hospedagem, nuvem e B2B SaaS

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 28
• Directive (EU) 2022/2555 — NIS2
• Regulation (EU) 2022/2065 — DSA for hosting services
• Regulation (EU) 2023/2854 — Data Act, switching provisions

Quem tem de designar

Provedores estabelecidos fora da União que hospedam dados ou fornecem serviços de software a clientes na UE. Como processador, você precisa do seu próprio representante do Artigo 27 se o Artigo 3(2) se aplicar a você. Como serviço de hospedagem, você precisa de um representante legal do Artigo 13 do DSA. Se você é um provedor de computação em nuvem, centro de dados, CDN ou provedor de serviços gerenciados acima dos limites de tamanho, o NIS2 adiciona uma terceira nomeação.

Limiares e isenções

O GDPR não tem limite. O NIS2 geralmente abrange entidades com pelo menos 50 funcionários ou €10 milhões de faturamento, mas certos provedores de infraestrutura digital estão cobertos independentemente do tamanho. O representante do DSA se aplica a qualquer intermediário que ofereça serviços na União.

O que deve constar do rótulo

Publicação em vez de rotulagem: o DSA exige que o nome, endereço, e-mail e telefone do representante legal sejam publicados em uma parte facilmente acessível do serviço e notificados ao Coordenador de Serviços Digitais. O representante do GDPR vai no aviso de privacidade e nos termos de processamento de dados voltados para o cliente.

Campos nos marketplaces

A aquisição empresarial é a verdadeira aplicação aqui. Clientes da UE exigem os termos de processamento do Artigo 28, a lista de subprocessadores com direitos de notificação, o mecanismo de transferência e, cada vez mais, evidências de registro no NIS2 antes de assinar.

Documentação a conservar

Registros do Artigo 30(2) para processadores. Acordos de processamento de dados com cada cliente e cada subprocessador. A designação do Artigo 27 e a designação do representante do DSA. Cláusulas contratuais padrão com avaliações de impacto de transferência. Medidas de gestão de risco do NIS2, procedimentos de incidentes e registro. Para a Lei de Dados, os termos contratuais sobre troca e a remoção de taxas de saída dentro do cronograma de transição.

Normas e ensaios

Não testes de produto, mas exposição a auditorias: os clientes exercem direitos de auditoria sob o Artigo 28, e o NIS2 permite que as autoridades imponham auditorias de segurança em entidades essenciais. ISO 27001 e SOC 2 não isentam os deveres legais, mas são o que os clientes pedem primeiro.

Requisitos linguísticos

Termos voltados para o cliente e os detalhes do representante publicados nas línguas dos mercados atendidos. Relatórios de incidentes do NIS2 na língua aceita pelo CSIRT envolvido.

A partir de quando

Representante do GDPR antes do início do processamento. Obrigações do DSA aplicáveis desde 17 de fevereiro de 2024. Prazos de relatório do NIS2: alerta precoce dentro de 24 horas, notificação de incidentes dentro de 72 horas, relatório final dentro de um mês. Disposições de troca da Lei de Dados faseadas a partir de setembro de 2025 com taxas de saída retiradas a partir de janeiro de 2027.

Prazo de conservação

Registros de processamento durante a vida útil do serviço. Registros de incidentes por NIS2. Dados do cliente apenas pelo período contratado mais a janela de exclusão prometida nos termos de processamento.

Em caso de incumprimento

GDPR: até €10 milhões ou 2% pelo representante ausente, mais por processamento ilegal. NIS2: até €10 milhões ou 2% para entidades essenciais, com responsabilidade da gestão em vários estados membros. DSA: até 6% do faturamento mundial, ordenado pelo Coordenador de Serviços Digitais.

Quem fiscaliza

Autoridades de proteção de dados, o CSIRT e a autoridade competente sob o NIS2, e o Coordenador de Serviços Digitais do estado membro onde o representante está estabelecido.

Onde está a fronteira

Estas são três nomeações separadas com três bases legais separadas, e um único provedor pode ter todas as três, mas deve ser designado para cada uma. A lacuna mais comum é uma empresa que nomeou um representante do Artigo 27 anos atrás e assume que cobre o DSA e o NIS2, o que não cobre.

Perguntas frequentes

Nós somos apenas um processador — precisamos do nosso próprio representante?

Sim, se o Artigo 3(2) se aplicar às suas próprias atividades de processamento. O representante do seu cliente não o cobre.

A ISO 27001 satisfaz o NIS2?

Não. É uma forte evidência em relação às medidas de gestão de risco, mas não isenta os deveres de registro, relatório ou governança.