Residência de dados em um VPS no Canadá

O que a residência dos dados de um VPS canadiano significa na prática

A residência dos dados de um VPS canadiano envolve duas questões com o mesmo nome. Onde estão fisicamente os bytes e qual governo pode obrigar alguém a entregá-los. Um servidor num datacenter em Toronto responde à primeira questão. Responde apenas parcialmente à segunda, porque a empresa que opera a máquina e mantém as suas cópias de segurança pode estar sujeita à legislação de outro país.

Este guia fornece contexto para uma decisão técnica. Não constitui aconselhamento jurídico. Sempre que uma regra é relevante aqui, o estatuto ou o regulador é identificado, para que possa consultar a fonte e compará-la com a sua própria situação.

Escolher um fornecedor canadiano com base no preço e na rede é uma tarefa separada, e o que realmente importa ao contratar alojamento VPS canadiano aborda esse tema. Este artigo trata da outra metade: onde os dados estão legalmente sediados e quem pode aceder-lhes.

Residência, soberania e localização não são termos intercambiáveis

Estes termos são usados como sinónimos. Cada um conduz a uma decisão diferente, por isso mantenha-os separados.

Residência dos dados é uma afirmação sobre geografia. O disco que contém a sua base de dados está num edifício em Ontário. Em princípio, isso é um facto, mas é difícil prová-lo a partir do exterior do edifício. É por isso que existem as duas últimas secções deste guia.

Soberania dos dados é uma afirmação sobre a lei. A questão é saber quais tribunais e forças policiais de um Estado podem ordenar legalmente a entrega dos dados. Isto depende, pelo menos tanto quanto do hardware, das pessoas e empresas que controlam os dados.

Localização dos dados é uma regra. É um requisito legal que determina que certos dados sejam mantidos dentro de um país. O Canadá não tem uma regra geral de localização para empresas privadas, mas tem regras mais restritas que abrangem setores específicos.

"Cloud soberana" aparece no material de marketing dos fornecedores e não tem uma definição legal no Canadá. Trate o termo como marketing até o fornecedor identificar a entidade que opera a infraestrutura e a legislação a que essa entidade está sujeita.

O que a legislação canadiana de privacidade exige sobre manter os dados no Canadá

A lei federal aplicável ao setor privado é a PIPEDA (Personal Information Protection and Electronic Documents Act). Não exige que as informações pessoais permaneçam no Canadá. O Office of the Privacy Commissioner of Canada (OPC) afirma isso claramente nas suas Guidelines for processing personal data across borders, publicadas em janeiro de 2009: "A PIPEDA não proíbe as organizações no Canadá de transferirem informações pessoais para uma organização noutra jurisdição para processamento."

O que a lei exige, em vez disso, é que a responsabilidade acompanhe os dados. Ao abrigo do princípio da responsabilidade da PIPEDA, uma organização continua responsável pelas informações pessoais que transferiu para um terceiro para processamento e deve usar "meios contratuais ou outros meios" para garantir a essas informações "um nível de proteção comparável" enquanto o terceiro as detiver. As mesmas orientações do OPC acrescentam um dever de transparência. A organização deve informar claramente as pessoas, de preferência no momento da recolha, de que as suas informações podem ser processadas num país estrangeiro e podem ficar acessíveis às autoridades de aplicação da lei e de segurança nacional desse país.

É importante esclarecer uma confusão antiga. Em 2019, o OPC realizou uma consulta que ponderou tratar uma transferência para processamento como uma divulgação. Isso teria exigido consentimento para cada transferência desse tipo. O OPC não adotou essa posição. Encerrou a consulta confirmando que uma transferência para processamento é uma utilização, e não uma divulgação. Por isso, a própria transferência não exige consentimento separado.

As leis provinciais do setor privado acrescentam deveres, mas não impõem que os dados permaneçam dentro da fronteira. A secção 13.1 da PIPA de Alberta exige que uma organização que utilize um prestador de serviços fora do Canadá informe as pessoas, antes ou no momento em que recolhe ou transfere as suas informações, sobre como podem obter informações escritas acerca das políticas e práticas relativas a prestadores de serviços fora do Canadá e sobre uma pessoa que possa responder às suas perguntas acerca desse acordo. Indicar os países é um dever separado ao abrigo da secção 6(2): essas políticas escritas devem indicar em que países fora do Canadá a recolha, utilização, divulgação ou armazenamento ocorre ou pode ocorrer, e a organização deve disponibilizá-las mediante pedido. A Law 25 do Quebec é mais rigorosa. Antes de comunicar informações pessoais para fora do Quebec, uma empresa deve realizar uma avaliação do impacto na privacidade que abranja a sensibilidade das informações, a finalidade da sua utilização, as salvaguardas aplicáveis e o regime jurídico do destino. Só pode prosseguir se a proteção nesse destino for adequada. Essa obrigação entrou em vigor em 22 de setembro de 2023.

Em outubro de 2026, a lei federal continua a ser a PIPEDA. O Bill C-27, que a teria substituído pela Consumer Privacy Protection Act, caducou na Order Paper quando o Parlamento foi prorrogado em janeiro de 2025. O seu sucessor, o Bill C-36, que aprovaria a Protecting Privacy and Consumer Data Act, foi apresentado em 15 de junho de 2026 e concluiu apenas a primeira leitura na House of Commons. Planeie com base na lei atualmente em vigor e espere que o projeto seja alterado antes de ser aprovado.

Onde uma regra genuína de localização se aplica

A Nova Escócia é o caso mais rigoroso. A PIIDPA (Personal Information International Disclosure Protection Act) exige que entidades públicas, municípios e os seus prestadores de serviços mantenham as informações pessoais no Canadá e permitam o acesso a essas informações apenas a partir do Canadá, com exceções limitadas que o responsável máximo da entidade pública deve autorizar e comunicar ao Ministro da Justiça. Uma nova Freedom of Information and Protection of Privacy Act, aprovada em 2025, revoga a PIIDPA e incorpora a restrição transfronteiriça nessa lei, sujeita a regulamentos, com entrada em vigor em abril de 2027. Em agosto de 2026, esses regulamentos ainda não foram publicados. Por isso, quem afirmar conhecer o seu conteúdo está a especular.

A Colúmbia Britânica seguiu o caminho oposto. A FIPPA incluía anteriormente a secção 30.1, que exigia que as entidades públicas armazenassem as informações pessoais no Canadá e permitissem o acesso a essas informações apenas a partir do Canadá. O Bill 22 revogou essa secção em novembro de 2021. A secção 33.1 permite agora a divulgação fora do Canadá de acordo com os regulamentos. O Personal Information Disclosure for Storage Outside of Canada Regulation exige uma avaliação de impacto sobre a privacidade quando informações pessoais sensíveis forem armazenadas fora do Canadá. A proibição foi substituída por um processo.

As instituições federais têm requisitos próprios. A Treasury Board Direction for Electronic Data Residency exige que as informações classificadas nos níveis Protected B, Protected C e Classified sejam mantidas numa instalação aprovada dentro do Canadá ou nas instalações de um escritório do governo canadiano no estrangeiro. Se alojar serviços para um departamento federal, essa diretiva define o seu requisito, não a PIPEDA.

As informações de saúde pertencem a um grupo próprio de leis. Os responsáveis pelo tratamento abrangidos pelas leis provinciais de privacidade na área da saúde estão sujeitos a regras sobre agentes, medidas de proteção e, por vezes, localização, que não aparecem na PIPEDA. Se alojar dados clínicos, consulte a lei provincial de saúde aplicável em vez da lei geral.

Depois surge a regra que a maioria das pessoas encontra na prática, que nem sequer é uma lei. Um banco, um hospital, um conselho escolar ou um comprador empresarial pode exigir o armazenamento no Canadá através das condições de contratação, mesmo quando nenhuma lei o exige. Essa cláusula vincula-o por força do direito contratual. Por isso, leia-a antes de escolher uma região. Se estiver a analisar a mesma questão noutro local, executar um VPS no Brasil coloca o serviço num sistema jurídico diferente, com uma resposta diferente.

Um datacenter em Toronto não determina qual legislação se aplica

A geografia e a jurisdição deixam de coincidir assim que o operador tem capital estrangeiro. O exemplo mais claro é o US CLOUD Act (Clarifying Lawful Overseas Use of Data Act), de 2018. Essa lei alterou o Stored Communications Act para que um provedor abrangido tenha de fornecer dados sob sua "possession, custody, or control" quando houver um procedimento legal dos EUA, estejam esses dados nos Estados Unidos ou não. O Congresso aprovou a lei depois que a Microsoft recusou um mandado relativo a emails armazenados em um datacenter na Irlanda. A localização do disco foi o argumento central, mas não decidiu o caso.

O que coloca um provedor dentro desse alcance é uma relação, não uma fronteira: a jurisdição pessoal dos EUA sobre o provedor. Uma subsidiária canadense de uma empresa controladora dos EUA pode se enquadrar. O mesmo vale para uma instalação canadense operada por uma entidade contratual dos EUA ou para uma empresa dos EUA que revenda capacidade canadense. Nenhuma medição de rede mostra isso. Um registro empresarial mostra.

Isso não é motivo para presumir o pior de toda instalação com capital estrangeiro. As autoridades canadenses emitem seus próprios production orders, e uma empresa canadense responde a essas ordens. O ponto é mais específico. A legislação do país de origem do operador acompanha o operador. Por isso, verifique qual entidade jurídica assina seu contrato e quem é o proprietário final dela.

Vale conhecer uma diferença prática. Em outubro de 2026, nenhum CLOUD Act executive agreement está em vigor entre o Canadá e os Estados Unidos. As negociações foram anunciadas em março de 2022, e nenhum acordo foi assinado desde então. Os Estados Unidos têm dois acordos desse tipo em vigor: um com o Reino Unido e outro com a Austrália. O acordo com a Austrália foi assinado em dezembro de 2021 e está em vigor desde janeiro de 2024. Sem um acordo desse tipo, as autoridades dos EUA que buscam dados mantidos por uma empresa exclusivamente canadense usam o processo do mutual legal assistance treaty (MLAT), que passa pelas autoridades e pelos tribunais canadenses. Essa diferença processual é uma parte importante do valor de um operador canadense.

Seus dados deixam o país mesmo quando o VPS não deixa

O VPS é uma parte de um sistema. Tudo o que está ligado a ele é uma decisão separada sobre residência dos dados, e os padrões normalmente apontam para fora do Canadá.

• Backups e snapshots. Cópias externas são a finalidade de um backup, e os endpoints de object storage usam por padrão a região na qual a conta foi aberta.
• Envio de logs, métricas e rastreamento de erros. Um serviço hospedado processa o conteúdo dos seus logs na própria região, e esses logs contêm endereços IP, endereços de email e, às vezes, corpos de requisição completos.
• CDN e cache de borda. Uma content delivery network armazena e fornece cópias dos seus objetos a partir de pontos de presença em muitos países. A origem em Toronto não é o local de onde o leitor recebe os bytes.
• Email. Relays de saída, filtragem de entrada e arquivos hospedados ficam frequentemente nos Estados Unidos, e o conteúdo das mensagens é informação pessoal.
• DNS autoritativo. Nameservers anycast respondem a partir do nó mais próximo do cliente, e os logs de consultas registram quem solicitou o quê.
• Suporte e administração. Um engenheiro com acesso ao console ou ao hypervisor é uma pessoa em um país. O acesso remoto do exterior conta como acesso segundo a regra da Nova Scotia e segundo a avaliação da British Columbia.
• Sua própria estação de trabalho e as ferramentas usadas nela. Um plugin de editor ou um coding agent que lê seus arquivos envia algo para algum lugar, e vale saber o que um coding agent realmente envia para fora da sua máquina antes de apontar um deles para dados de produção.

A criptografia muda o que um operador pode fornecer, mas apenas em uma direção. Dados criptografados em repouso com chaves mantidas em outro local são inúteis para quem apreende a unidade. Um VPS em execução é diferente, porque as chaves do guest ficam na memória do guest, e o hypervisor pode ler essa memória. A criptografia em repouso protege o arquivo, não a máquina ativa. Esse limite e a confiança que ele exige no operador são o mesmo problema por trás da questão mais ampla de se a hospedagem de VPS é segura.

Como verificar a localização de um VPS como cliente

Comece pelo registo, porque é o único registo associado a uma entidade identificada.

whois 203.0.113.10
whois -h whois.arin.net 203.0.113.10

Para endereços canadianos, o registo é o ARIN. O primeiro comando segue o encaminhamento indicado pelo seu cliente whois, e o segundo consulta diretamente o ARIN. Ambos mostram a organização à qual o bloco está atribuído, o país registado e o contacto de abuso. É para esse endereço de abuso que chegam as reclamações sobre o seu servidor. É aí que começa o encaminhamento de reclamações de abuso ao seu fornecedor. Seja claro sobre o que o campo do país comprova. Trata-se de uma declaração de uma organização identificada numa base de dados pública. É uma informação útil, mas continua a ser uma declaração, não uma medição.

Os Geofeeds funcionam da mesma forma. A RFC 8805 define um ficheiro CSV no qual um operador publica o mapeamento de um prefixo para um país, uma região e uma cidade. A RFC 9632, que substituiu a RFC 9092 em 2024, define como um consumidor encontra esse ficheiro a partir do registo whois. As bases de dados comerciais de geolocalização de IP são construídas em grande parte a partir destes feeds publicados pelos próprios operadores. Por isso, "o IP é geolocalizado em Toronto" frequentemente significa apenas "o operador publicou Toronto". O DNS reverso é ainda menos fiável. Um registo PTR que contenha yyz ou tor é uma convenção de nomenclatura introduzida por uma pessoa e pode permanecer depois de uma migração para outra cidade.

Por isso, pergunte ao fornecedor por escrito e guarde as respostas.

• Que entidade jurídica opera a instalação e onde está essa entidade constituída?
• Qual é o endereço da instalação e o espaço é propriedade do operador, está arrendado ou é revendido por outro operador?
• Que entidade assina o meu contrato e qual é a respetiva empresa-mãe?
• Onde estão armazenadas as cópias de segurança e as respetivas cópias fora da instalação principal?
• A partir de que países os funcionários podem aceder ao hipervisor ou à consola out-of-band?
• Publica uma lista de subprocessadores e notificará o cliente sobre uma exigência legal estrangeira quando a lei o permitir?

Inclua as respostas no contrato como compromissos com obrigações de notificação. Um auditor pede documentos, não traceroutes. Se Toronto é o local que escolheu, escolher um VPS em Toronto aborda a vertente de mercado da mesma decisão.

Por que um traceroute é uma evidência do percurso, não uma prova de jurisdição

Um tempo de ida e volta baixo limita a distância. É só isso que ele indica. A luz no núcleo de uma fibra viaja a cerca de 204,000 km por segundo. Por isso, uma ida e volta custa aproximadamente 1 ms por cada 100 km de percurso, antes de acrescentar qualquer tempo de comutação ou de espera em filas. Invertendo o cálculo, uma ida e volta de 10 ms a partir do centro de Toronto indica que a máquina está a cerca de 1,000 km de si ao longo da fibra. Eis o que cabe nesse círculo.

[
  {
    "label": "Buffalo, New York",
    "km_from_toronto": 95,
    "rtt_floor_ms": 0.9
  },
  {
    "label": "Detroit, Michigan",
    "km_from_toronto": 330,
    "rtt_floor_ms": 3.2
  },
  {
    "label": "Montreal, Quebec",
    "km_from_toronto": 505,
    "rtt_floor_ms": 5.0
  },
  {
    "label": "Ashburn, Virginia",
    "km_from_toronto": 535,
    "rtt_floor_ms": 5.2
  },
  {
    "label": "New York, New York",
    "km_from_toronto": 550,
    "rtt_floor_ms": 5.4
  },
  {
    "label": "Chicago, Illinois",
    "km_from_toronto": 700,
    "rtt_floor_ms": 6.9
  }
]

Cada limite corresponde à distância em linha reta multiplicada por 2 e dividida por 204,000 km por segundo. Os percursos reais das fibras são mais longos do que as linhas retas, por isso as medições reais são sempre superiores. A classificação é o ponto principal. A cidade mais distante aqui, Chicago, Illinois, fica a 700 km de Toronto em linha reta, o que estabelece um limite inferior de apenas 6.9 ms. Das 6 cidades listadas, uma fica no Canadá. Um ping de um único dígito a partir de Toronto é compatível com um servidor no Michigan, Illinois, Nova Iorque ou Virgínia.

O traceroute acrescenta nomes de saltos. Esses nomes de saltos são registos PTR introduzidos por um engenheiro de rede. Os códigos de aeroportos usados nesses nomes são uma convenção que vale a pena interpretar e verificar. Alguns operadores ocultam os saltos internos dentro de MPLS (multiprotocol label switching), por isso o percurso apresentado pode ser mais curto do que o percurso seguido pelo pacote. O anycast torna o próprio destino ambíguo, porque um endereço responde a partir do nó que estiver mais próximo de si. A latência medida é uma boa evidência sobre um percurso num determinado momento. A jurisdição é um facto sobre empresas e tribunais, e nenhum pacote a comunica.

O resumo correto é que a medição da rede pode refutar uma afirmação: uma ida e volta de 90 ms a partir de Toronto exclui uma instalação em Toronto. Não pode confirmar uma. A confirmação vem de entidades identificadas e compromissos escritos num contrato.

FAQ

A legislação canadiana exige que os meus dados permaneçam no Canadá?

Não como regra geral. A PIPEDA, a lei federal do setor privado, não proíbe a transferência de informações pessoais para outro país para processamento, e o OPC afirma isso nas suas Guidelines for processing personal data across borders. A PIPEDA exige que continue responsável pelos dados, que use meios contratuais ou outros meios para lhes dar uma proteção comparável e que informe claramente as pessoas de que as suas informações podem ser processadas no estrangeiro e ficar acessíveis a autoridades estrangeiras. Existem regras de localização mais específicas em alguns casos: a PIIDPA da Nova Scotia para entidades públicas, a Treasury Board Direction for Electronic Data Residency para dados Protected B e superiores, os estatutos provinciais sobre saúde e os seus próprios contratos com clientes. Isto é informação geral, não aconselhamento jurídico.

Um datacenter em Toronto coloca os meus dados fora do alcance da legislação dos EUA?

Não por si só. O US CLOUD Act de 2018 exige que um provider abrangido forneça os dados que estejam na sua posse, custódia ou controlo em resposta a um processo legal válido nos EUA, independentemente do local onde esses dados estejam armazenados. O que determina a questão é saber se os tribunais dos EUA têm jurisdição pessoal sobre a empresa que detém os seus dados. Por isso, uma instalação canadiana operada por uma subsidiária dos EUA ou por uma entidade contratante dos EUA levanta uma questão que a geografia, por si só, não resolve. Pergunte qual é a entidade jurídica que assina o contrato e quem é a respetiva empresa-mãe.

Como verifico se um VPS está realmente no Canadá?

Combine registos públicos com perguntas por escrito. Uma consulta whois ou RDAP sobre o endereço devolve a organização à qual o bloco está atribuído e o país registado. Um geofeed publicado ao abrigo da RFC 8805 fornece o mapeamento indicado pelo operador entre o prefixo e a cidade. Ambos são declarações do próprio operador, feitas por uma entidade identificada. São evidências úteis, mas não constituem uma medição. Depois, peça ao provider, por escrito, a entidade operadora, o endereço da instalação, a localização das cópias de segurança e os países a partir dos quais os funcionários podem aceder à consola. Inclua essas respostas no contrato.

O que sai do Canadá mesmo quando o meu VPS não sai?

As cópias de segurança e as respetivas cópias externas, os serviços alojados de registo e monitorização de erros, as caches de CDN, os relays de correio de saída e a filtragem de correio de entrada, os logs de consultas DNS autoritativas e o acesso administrativo remoto por funcionários de suporte localizados no estrangeiro. Cada elemento é uma decisão separada, com a sua própria região predefinida. Essas predefinições raramente são canadianas. Faça um inventário de todos os sistemas ligados ao VPS antes de prometer a um cliente que os seus dados permanecem no país.