Residência de dados em um VPS canadense: o que muda

O que a residência dos dados de um VPS canadiano significa na prática

A residência dos dados de um VPS canadiano envolve duas questões com o mesmo nome. Onde estão fisicamente os bytes e qual governo pode obrigar alguém a entregá-los. Um servidor num datacenter em Toronto responde à primeira questão. Responde apenas parcialmente à segunda, porque a empresa que opera a máquina e mantém as suas cópias de segurança pode estar sujeita à legislação de outro país.

Este guia fornece contexto para uma decisão técnica. Não constitui aconselhamento jurídico. Sempre que uma regra é relevante aqui, o estatuto ou o regulador é identificado, para que possa consultar a fonte e compará-la com a sua própria situação.

Escolher um fornecedor canadiano com base no preço e na rede é uma tarefa separada, e o que realmente importa ao contratar alojamento VPS canadiano aborda esse tema. Este artigo trata da outra metade: onde os dados estão legalmente sediados e quem pode aceder-lhes.

Residência, soberania e localização não são termos intercambiáveis

Estes termos são usados como sinónimos. Cada um conduz a uma decisão diferente, por isso mantenha-os separados.

Residência dos dados é uma afirmação sobre geografia. O disco que contém a sua base de dados está num edifício em Ontário. Em princípio, isso é um facto, mas é difícil prová-lo a partir do exterior do edifício. É por isso que existem as duas últimas secções deste guia.

Soberania dos dados é uma afirmação sobre a lei. A questão é saber quais tribunais e forças policiais de um Estado podem ordenar legalmente a entrega dos dados. Isto depende, pelo menos tanto quanto do hardware, das pessoas e empresas que controlam os dados.

Localização dos dados é uma regra. É um requisito legal que determina que certos dados sejam mantidos dentro de um país. O Canadá não tem uma regra geral de localização para empresas privadas, mas tem regras mais restritas que abrangem setores específicos.

"Cloud soberana" aparece no material de marketing dos fornecedores e não tem uma definição legal no Canadá. Trate o termo como marketing até o fornecedor identificar a entidade que opera a infraestrutura e a legislação a que essa entidade está sujeita.

O que a legislação canadiana de privacidade exige sobre manter dados no Canadá

A lei federal aplicável ao setor privado é a PIPEDA (Personal Information Protection and Electronic Documents Act). Não exige que as informações pessoais permaneçam no Canadá. O Office of the Privacy Commissioner of Canada (OPC) afirma isso claramente nas suas Guidelines for processing personal data across borders, publicadas em janeiro de 2009: "A PIPEDA não proíbe as organizações no Canadá de transferirem informações pessoais para uma organização noutra jurisdição para processamento."

Em vez disso, a lei exige que a responsabilidade acompanhe os dados. Ao abrigo do princípio da responsabilização da PIPEDA, uma organização continua responsável pelas informações pessoais que transferiu para um terceiro para processamento e deve usar "meios contratuais ou outros meios" para garantir a essas informações "um nível de proteção comparável" enquanto estiverem na posse do terceiro. As mesmas orientações do OPC acrescentam um dever de transparência. A organização deve informar claramente as pessoas, idealmente no momento da recolha, de que as suas informações podem ser processadas num país estrangeiro e podem ficar acessíveis às autoridades policiais e de segurança nacional desse país.

É importante esclarecer uma confusão antiga. Em 2019, o OPC realizou uma consulta que ponderava tratar uma transferência para processamento como uma divulgação, o que teria exigido consentimento para cada transferência desse tipo. O OPC não adotou essa posição. Encerrou a consulta confirmando que uma transferência para processamento é uma utilização, e não uma divulgação. Por isso, a própria transferência não exige consentimento separado.

As leis provinciais aplicáveis ao setor privado acrescentam obrigações, mas não impõem uma fronteira geral. A secção 13.1 da PIPA de Alberta exige que uma organização que use um prestador de serviços fora do Canadá notifique as pessoas e indique quais os países envolvidos, além de fornecer um contacto que possa responder a perguntas sobre o acordo. A Law 25 do Quebec é mais rigorosa. Antes de comunicar informações pessoais para fora do Quebec, uma empresa deve concluir uma avaliação do impacto na privacidade que abranja a sensibilidade das informações, a finalidade da sua utilização, as salvaguardas aplicáveis e o regime jurídico do local para onde serão enviadas. Só pode prosseguir se a proteção nesse local for adequada. Esta obrigação entrou em vigor em 22 September 2023.

Em agosto de 2026, o estatuto federal continua a ser a PIPEDA. O Bill C-27, que a teria substituído pela Consumer Privacy Protection Act, caducou na Order Paper quando o Parlamento foi prorrogado em janeiro de 2025. Desde então, não foi aprovada qualquer lei sucessora. Conceba a solução com base na legislação atualmente em vigor.

Onde uma regra genuína de localização se aplica

A Nova Escócia é o caso mais rigoroso. A PIIDPA (Personal Information International Disclosure Protection Act) exige que entidades públicas, municípios e os seus prestadores de serviços mantenham as informações pessoais no Canadá e permitam o acesso a essas informações apenas a partir do Canadá, com exceções limitadas que o responsável máximo da entidade pública deve autorizar e comunicar ao Ministro da Justiça. Uma nova Freedom of Information and Protection of Privacy Act, aprovada em 2025, revoga a PIIDPA e incorpora a restrição transfronteiriça nessa lei, sujeita a regulamentos, com entrada em vigor em abril de 2027. Em agosto de 2026, esses regulamentos ainda não foram publicados. Por isso, quem afirmar conhecer o seu conteúdo está a especular.

A Colúmbia Britânica seguiu o caminho oposto. A FIPPA incluía anteriormente a secção 30.1, que exigia que as entidades públicas armazenassem as informações pessoais no Canadá e permitissem o acesso a essas informações apenas a partir do Canadá. O Bill 22 revogou essa secção em novembro de 2021. A secção 33.1 permite agora a divulgação fora do Canadá de acordo com os regulamentos. O Personal Information Disclosure for Storage Outside of Canada Regulation exige uma avaliação de impacto sobre a privacidade quando informações pessoais sensíveis forem armazenadas fora do Canadá. A proibição foi substituída por um processo.

As instituições federais têm requisitos próprios. A Treasury Board Direction for Electronic Data Residency exige que as informações classificadas nos níveis Protected B, Protected C e Classified sejam mantidas numa instalação aprovada dentro do Canadá ou nas instalações de um escritório do governo canadiano no estrangeiro. Se alojar serviços para um departamento federal, essa diretiva define o seu requisito, não a PIPEDA.

As informações de saúde pertencem a um grupo próprio de leis. Os responsáveis pelo tratamento abrangidos pelas leis provinciais de privacidade na área da saúde estão sujeitos a regras sobre agentes, medidas de proteção e, por vezes, localização, que não aparecem na PIPEDA. Se alojar dados clínicos, consulte a lei provincial de saúde aplicável em vez da lei geral.

Depois surge a regra que a maioria das pessoas encontra na prática, que nem sequer é uma lei. Um banco, um hospital, um conselho escolar ou um comprador empresarial pode exigir o armazenamento no Canadá através das condições de contratação, mesmo quando nenhuma lei o exige. Essa cláusula vincula-o por força do direito contratual. Por isso, leia-a antes de escolher uma região. Se estiver a analisar a mesma questão noutro local, executar um VPS no Brasil coloca o serviço num sistema jurídico diferente, com uma resposta diferente.

Um datacenter em Toronto não determina qual legislação se aplica

A geografia e a jurisdição deixam de coincidir assim que o operador tem capital estrangeiro. O exemplo mais claro é o US CLOUD Act (Clarifying Lawful Overseas Use of Data Act), de 2018. A lei alterou o Stored Communications Act para exigir que um provedor abrangido forneça os dados que estejam na sua "possession, custody, or control" ao abrigo de um processo legal dos EUA, estejam esses dados dentro ou fora dos Estados Unidos. O Congresso aprovou a lei depois de a Microsoft recusar um mandado relativo a emails armazenados num datacenter na Irlanda. A localização do disco era o argumento central, mas não foi ela que decidiu o caso.

O que coloca um provedor sob esse alcance é uma relação, não uma fronteira: a jurisdição pessoal dos EUA sobre o provedor. Uma subsidiária canadiana de uma empresa-mãe dos EUA pode estar abrangida. O mesmo pode acontecer com uma instalação canadiana operada ao abrigo de uma entidade contratante dos EUA ou com uma empresa dos EUA que revenda capacidade canadiana. Nenhuma medição de rede revela estes factos. Um registo comercial revela.

Isto não é motivo para presumir o pior de todas as instalações com capital estrangeiro. As autoridades canadianas emitem as suas próprias ordens de produção, e uma empresa canadiana responde perante essas autoridades. O ponto é mais específico. A legislação do país de origem do operador acompanha o operador. Por isso, confirme qual entidade legal assina o seu contrato e quem é o seu proprietário final.

Vale a pena conhecer uma diferença prática. Em agosto de 2026, não está em vigor nenhum acordo executivo ao abrigo do CLOUD Act entre o Canadá e os Estados Unidos. As negociações foram anunciadas em março de 2022, e o único acordo desse tipo em vigor é o acordo com o Reino Unido. Sem um acordo desse tipo, as autoridades dos EUA que procuram dados detidos por uma empresa exclusivamente canadiana utilizam o processo de assistência jurídica mútua (MLAT), que passa pelas autoridades e pelos tribunais canadianos. Essa diferença processual é uma parte importante do valor de um operador canadiano.

Os seus dados saem do país mesmo quando o VPS não sai

O VPS é apenas uma parte do sistema. Cada componente ligado a ele representa uma decisão de residência separada, e os valores predefinidos normalmente apontam para fora do Canadá.

• Backups e snapshots. O objetivo de um backup é manter cópias fora do local original, e os endpoints de armazenamento de objetos usam por padrão a região onde a conta foi aberta.
• Envio de logs, métricas e rastreamento de erros. Um serviço hospedado processa o conteúdo dos seus logs na própria região, e esses logs contêm endereços IP, endereços de e-mail e, às vezes, o corpo completo das solicitações.
• CDN e cache na edge. Uma rede de distribuição de conteúdo armazena e serve cópias dos seus objetos a partir de pontos de presença em vários países. A origem em Toronto não é o local de onde o leitor recebe os dados.
• E-mail. Os relays de saída, a filtragem de entrada e os arquivos hospedados ficam frequentemente nos Estados Unidos, e o conteúdo das mensagens é informação pessoal.
• DNS autoritativo. Os nameservers anycast respondem a partir do nó mais próximo do cliente, e os logs de consultas registam quem perguntou por quê.
• Suporte e administração. Um engenheiro com acesso ao console ou ao hypervisor é uma pessoa num país. O acesso remoto a partir do estrangeiro conta como acesso ao abrigo da regra da Nova Escócia e da avaliação da Colúmbia Britânica.
• A sua própria workstation e as ferramentas que utiliza. Um plugin de editor ou um agente de programação que leia os seus ficheiros envia alguma coisa para algum lugar, e vale a pena saber o que um agente de programação realmente envia para fora da sua máquina antes de o apontar para dados de produção.

A encriptação altera o que um operador consegue obter, mas apenas numa direção. Dados encriptados em repouso com chaves mantidas noutro local são inúteis para quem apreender a unidade. Um VPS em execução é um caso diferente, porque as chaves do guest ficam na memória do guest e o hypervisor consegue ler essa memória. A encriptação em repouso protege o arquivo, não a máquina em execução. Esse limite e a confiança no operador que ele exige são o mesmo problema subjacente à questão mais ampla de saber se o alojamento VPS é seguro.

Como verificar a localização de um VPS como cliente

Comece pelo registo, porque é o único registo associado a uma entidade identificada.

whois 203.0.113.10
whois -h whois.arin.net 203.0.113.10

Para endereços canadianos, o registo é o ARIN. O primeiro comando segue o encaminhamento indicado pelo seu cliente whois, e o segundo consulta diretamente o ARIN. Ambos mostram a organização à qual o bloco está atribuído, o país registado e o contacto de abuso. É para esse endereço de abuso que chegam as reclamações sobre o seu servidor. É aí que começa o encaminhamento de reclamações de abuso ao seu fornecedor. Seja claro sobre o que o campo do país comprova. Trata-se de uma declaração de uma organização identificada numa base de dados pública. É uma informação útil, mas continua a ser uma declaração, não uma medição.

Os Geofeeds funcionam da mesma forma. A RFC 8805 define um ficheiro CSV no qual um operador publica o mapeamento de um prefixo para um país, uma região e uma cidade. A RFC 9632, que substituiu a RFC 9092 em 2024, define como um consumidor encontra esse ficheiro a partir do registo whois. As bases de dados comerciais de geolocalização de IP são construídas em grande parte a partir destes feeds publicados pelos próprios operadores. Por isso, "o IP é geolocalizado em Toronto" frequentemente significa apenas "o operador publicou Toronto". O DNS reverso é ainda menos fiável. Um registo PTR que contenha yyz ou tor é uma convenção de nomenclatura introduzida por uma pessoa e pode permanecer depois de uma migração para outra cidade.

Por isso, pergunte ao fornecedor por escrito e guarde as respostas.

• Que entidade jurídica opera a instalação e onde está essa entidade constituída?
• Qual é o endereço da instalação e o espaço é propriedade do operador, está arrendado ou é revendido por outro operador?
• Que entidade assina o meu contrato e qual é a respetiva empresa-mãe?
• Onde estão armazenadas as cópias de segurança e as respetivas cópias fora da instalação principal?
• A partir de que países os funcionários podem aceder ao hipervisor ou à consola out-of-band?
• Publica uma lista de subprocessadores e notificará o cliente sobre uma exigência legal estrangeira quando a lei o permitir?

Inclua as respostas no contrato como compromissos com obrigações de notificação. Um auditor pede documentos, não traceroutes. Se Toronto é o local que escolheu, escolher um VPS em Toronto aborda a vertente de mercado da mesma decisão.

Por que um traceroute é uma evidência do percurso, não uma prova de jurisdição

Um tempo de ida e volta baixo limita a distância. É só isso que ele indica. A luz no núcleo de uma fibra viaja a cerca de 204,000 km por segundo. Por isso, uma ida e volta custa aproximadamente 1 ms por cada 100 km de percurso, antes de acrescentar qualquer tempo de comutação ou de espera em filas. Invertendo o cálculo, uma ida e volta de 10 ms a partir do centro de Toronto indica que a máquina está a cerca de 1,000 km de si ao longo da fibra. Eis o que cabe nesse círculo.

[
  {
    "label": "Buffalo, New York",
    "km_from_toronto": 95,
    "rtt_floor_ms": 0.9
  },
  {
    "label": "Detroit, Michigan",
    "km_from_toronto": 330,
    "rtt_floor_ms": 3.2
  },
  {
    "label": "Montreal, Quebec",
    "km_from_toronto": 505,
    "rtt_floor_ms": 5.0
  },
  {
    "label": "Ashburn, Virginia",
    "km_from_toronto": 535,
    "rtt_floor_ms": 5.2
  },
  {
    "label": "New York, New York",
    "km_from_toronto": 550,
    "rtt_floor_ms": 5.4
  },
  {
    "label": "Chicago, Illinois",
    "km_from_toronto": 700,
    "rtt_floor_ms": 6.9
  }
]

Cada limite corresponde à distância em linha reta multiplicada por 2 e dividida por 204,000 km por segundo. Os percursos reais das fibras são mais longos do que as linhas retas, por isso as medições reais são sempre superiores. A classificação é o ponto principal. A cidade mais distante aqui, Chicago, Illinois, fica a 700 km de Toronto em linha reta, o que estabelece um limite inferior de apenas 6.9 ms. Das 6 cidades listadas, uma fica no Canadá. Um ping de um único dígito a partir de Toronto é compatível com um servidor no Michigan, Illinois, Nova Iorque ou Virgínia.

O traceroute acrescenta nomes de saltos. Esses nomes de saltos são registos PTR introduzidos por um engenheiro de rede. Os códigos de aeroportos usados nesses nomes são uma convenção que vale a pena interpretar e verificar. Alguns operadores ocultam os saltos internos dentro de MPLS (multiprotocol label switching), por isso o percurso apresentado pode ser mais curto do que o percurso seguido pelo pacote. O anycast torna o próprio destino ambíguo, porque um endereço responde a partir do nó que estiver mais próximo de si. A latência medida é uma boa evidência sobre um percurso num determinado momento. A jurisdição é um facto sobre empresas e tribunais, e nenhum pacote a comunica.

O resumo correto é que a medição da rede pode refutar uma afirmação: uma ida e volta de 90 ms a partir de Toronto exclui uma instalação em Toronto. Não pode confirmar uma. A confirmação vem de entidades identificadas e compromissos escritos num contrato.

FAQ

A legislação canadiana exige que os meus dados permaneçam no Canadá?

Não como regra geral. A PIPEDA, a lei federal do setor privado, não proíbe a transferência de informações pessoais para outro país para processamento, e o OPC afirma isso nas suas Guidelines for processing personal data across borders. A PIPEDA exige que continue responsável pelos dados, que use meios contratuais ou outros meios para lhes dar uma proteção comparável e que informe claramente as pessoas de que as suas informações podem ser processadas no estrangeiro e ficar acessíveis a autoridades estrangeiras. Existem regras de localização mais específicas em alguns casos: a PIIDPA da Nova Scotia para entidades públicas, a Treasury Board Direction for Electronic Data Residency para dados Protected B e superiores, os estatutos provinciais sobre saúde e os seus próprios contratos com clientes. Isto é informação geral, não aconselhamento jurídico.

Um datacenter em Toronto coloca os meus dados fora do alcance da legislação dos EUA?

Não por si só. O US CLOUD Act de 2018 exige que um provider abrangido forneça os dados que estejam na sua posse, custódia ou controlo em resposta a um processo legal válido nos EUA, independentemente do local onde esses dados estejam armazenados. O que determina a questão é saber se os tribunais dos EUA têm jurisdição pessoal sobre a empresa que detém os seus dados. Por isso, uma instalação canadiana operada por uma subsidiária dos EUA ou por uma entidade contratante dos EUA levanta uma questão que a geografia, por si só, não resolve. Pergunte qual é a entidade jurídica que assina o contrato e quem é a respetiva empresa-mãe.

Como verifico se um VPS está realmente no Canadá?

Combine registos públicos com perguntas por escrito. Uma consulta whois ou RDAP sobre o endereço devolve a organização à qual o bloco está atribuído e o país registado. Um geofeed publicado ao abrigo da RFC 8805 fornece o mapeamento indicado pelo operador entre o prefixo e a cidade. Ambos são declarações do próprio operador, feitas por uma entidade identificada. São evidências úteis, mas não constituem uma medição. Depois, peça ao provider, por escrito, a entidade operadora, o endereço da instalação, a localização das cópias de segurança e os países a partir dos quais os funcionários podem aceder à consola. Inclua essas respostas no contrato.

O que sai do Canadá mesmo quando o meu VPS não sai?

As cópias de segurança e as respetivas cópias externas, os serviços alojados de registo e monitorização de erros, as caches de CDN, os relays de correio de saída e a filtragem de correio de entrada, os logs de consultas DNS autoritativas e o acesso administrativo remoto por funcionários de suporte localizados no estrangeiro. Cada elemento é uma decisão separada, com a sua própria região predefinida. Essas predefinições raramente são canadianas. Faça um inventário de todos os sistemas ligados ao VPS antes de prometer a um cliente que os seus dados permanecem no país.