Soberania de dados na Europa: por que DXPs open source e auto-hospedadas são essenciais

Introdução

A UE está aumentando a pressão sobre as organizações para que repensem a maneira como escolhem, implantam e gerenciam as tecnologias digitais.

Para as equipes que avaliam uma plataforma de experiência digital (DXP) na Europa, a soberania de dados não pode mais ser tratada como uma simples questão de onde os dados são armazenados. A soberania de dados agora traz questões mais amplas sobre dependência da nuvem, propriedade da plataforma, controle do fornecedor, jurisdição legal, transparência do software e portabilidade a longo prazo.

Isso diz respeito a qualquer organização que projete experiências digitais na Europa, especialmente em setores regulados, ambientes do setor público e outros quadros em que o controle e a auditabilidade são essenciais.
 

O que é soberania de dados?

A soberania de dados refere-se ao princípio de que os dados estão sujeitos às leis, aos requisitos de governança e aos controles de acesso da jurisdição na qual são coletados, armazenados, processados ou acessados.

Para as organizações europeias, isso frequentemente significa garantir que dados sensíveis, dados pessoais, dados de clientes, registros financeiros e outras informações estratégicas sejam gerenciados de maneira alinhada às regulamentações europeias de proteção de dados, regulamentações locais, políticas internas de governança e expectativas dos clientes em relação à privacidade e ao controle.

Mas a soberania de dados não é apenas uma questão de conformidade. É também uma questão de arquitetura.
 

Por que a soberania de dados depende de mais do que a simples localização

Uma plataforma pode armazenar dados na Europa e ainda assim depender de:

• Um provedor de nuvem não europeu

• Uma arquitetura SaaS proprietária

• Uma propriedade estrangeira do fornecedor

• Uma infraestrutura controlada pelo fornecedor

• Um software fechado que não pode ser totalmente inspecionado ou adaptado

• Acordos de nível de serviço que limitam a visibilidade sobre a maneira como os dados são armazenados e processados

Cada um desses fatores pode criar preocupações em relação à soberania, mesmo quando os requisitos básicos relativos à residência de dados parecem cobertos.

É por isso que a soberania de dados diz respeito a mais áreas do que apenas às equipes jurídicas. A soberania de dados é uma consideração crítica para as equipes de TI, segurança, compras, experiência digital e operações que precisam proteger dados sensíveis mantendo o controle de suas plataformas.
 

Residência de dados vs soberania de dados

A residência de dados e a soberania de dados estão intimamente relacionadas, mas não significam a mesma coisa.
 

A residência de dados foca no local de armazenamento dos dados

A residência de dados refere-se à localização física onde os dados são armazenados. Por exemplo, uma organização pode exigir que as informações dos clientes permaneçam em um data center localizado na UE.

Isso pode constituir um elemento importante de uma estratégia de conformidade, mas não responde a todas as questões de soberania.

A localização de dados vai ainda mais longe ao exigir que determinados dados permaneçam em um país ou região específica. Esses requisitos são frequentemente orientados por leis de soberania de dados, leis de proteção de dados ou outras leis relevantes que afetam a forma como as organizações coletam, processam, transferem e armazenam dados.

A soberania de dados foca em quem controla os dados e a plataforma

A soberania de dados vai além, fazendo perguntas como:

• Quem controla a plataforma?

• Quem pode acessar os dados?

• As leis de qual país se aplicam ao fornecedor e ao provedor de infraestrutura?

• O sistema pode ser auditado?

• A organização pode mover ou operar a plataforma de forma independente se os requisitos mudarem?

• As chaves de criptografia são controladas pela organização ou pelo fornecedor?

• A estratégia de nuvem leva em consideração as obrigações legais em cada jurisdição específica em que a organização opera?

Essa distinção se torna mais importante. Uma infraestrutura hospedada na UE pode ajudar a atender aos requisitos de localização e armazenamento de dados, mas não resolve automaticamente as preocupações mais amplas de soberania.

Se uma plataforma for exclusivamente na nuvem, proprietária ou dependente do roteiro (roadmap) de infraestrutura de um fornecedor, a organização ainda poderá ter um controle limitado sobre a maneira como seu ambiente de experiência digital é governado ao longo do tempo.

Como a soberania de dados é determinada

A soberania de dados é determinada por mais do que apenas a localização física onde os dados são armazenados. A soberania de dados também pode depender de onde os dados residem, de onde as equipes processam os dados, de quem é o proprietário da plataforma, dos provedores de nuvem envolvidos, de como o acesso legal é gerenciado e das leis aplicáveis que regem o relacionamento com o fornecedor.

Em outras palavras, saber a localização dos dados é apenas o ponto de partida. As organizações também precisam entender como a plataforma funciona em múltiplas regiões, ambientes de nuvem, data centers e processos operacionais.
 

Por que a soberania tecnológica da UE altera as decisões relativas às DXPs

Em 3 de junho de 2026, a Comissão Europeia propôs um Pacote sobre a Soberania Tecnológica Europeia projetado para reforçar a autonomia digital da Europa e reduzir a dependência estratégica em relação a provedores de tecnologia externos.

O pacote inclui várias iniciativas principais que indicam uma mudança mais ampla na forma como a Europa avalia a infraestrutura digital em computação em nuvem, IA, hardware, software, dados e aplicações.

Essas iniciativas incluem:

• O Cloud and AI Development Act, que se concentra no fortalecimento da infraestrutura de nuvem e IA da Europa, na expansão da capacidade dos data centers e na redução da dependência de provedores de nuvem não europeus.

• O Chips Act 2.0, que se concentra no fortalecimento do ecossistema europeu de semicondutores e na redução das dependências da cadeia de suprimentos no hardware sobre o qual os serviços digitais se apoiam.

• A Estratégia de Open Source da UE, que promove o software de código aberto como um meio de melhorar a transparência, a auditabilidade, a portabilidade e a independência em relação a plataformas fechadas controladas por fornecedores.
   

A soberania se torna um princípio de design

Para as decisões relativas às plataformas de experiência digital, a soberania se torna mais do que um requisito contratual. Ela se torna um princípio de design.

As organizações agora precisam olhar além das garantias dos fornecedores e se perguntar se sua arquitetura tecnológica lhes dá controle suficiente sobre:

• A infraestrutura

• A implantação

• A transparência do software

• O acesso aos dados

• A auditabilidade

• A portabilidade a longo prazo

• A governança de dados

• A proteção de dados

• Os riscos de cibersegurança

Isso cria novas pressões para plataformas construídas principalmente em torno de modelos de entrega exclusivamente na nuvem ou dependentes de hyperscalers.

Nos setores regulados e nas compras do setor público, a questão não é mais apenas se uma plataforma pode hospedar dados na Europa. A questão fundamental é se a organização pode verdadeiramente governar a plataforma em seus próprios termos.
 

Por que modelos DXP exclusivamente na nuvem podem criar riscos de soberania

O software baseado na nuvem apresenta vantagens reais. A tecnologia em nuvem pode simplificar as operações, acelerar a implantação e reduzir a carga de trabalho das equipes internas de TI.

Mas quando uma plataforma de experiência digital só está disponível por meio de um ambiente de nuvem controlado pelo fornecedor, as organizações podem ter menos controle sobre a infraestrutura, a exposição legal e o modelo operacional por trás de suas experiências digitais.
 

Desafios frequentes de soberania com plataformas exclusivamente na nuvem

Uma DXP exclusivamente na nuvem pode criar vários desafios chave para organizações com necessidades estritas de soberania de dados:

• A organização pode estar presa a um hyperscaler ou a um modelo de hospedagem específico (vendor lock-in).

• A estrutura de propriedade do fornecedor pode introduzir dependências legais ou jurisdicionais.

• A plataforma pode ser difícil de auditar além dos compromissos contratuais.

• A portabilidade pode ser limitada se a organização precisar mudar de provedor de infraestrutura.

• O controle a longo prazo pode depender do roteiro de produto do fornecedor, do modelo de preços e da estratégia de implantação.

• As equipes podem ter visibilidade limitada sobre onde os dados residem, a maneira como são armazenados ou os locais de armazenamento utilizados em múltiplas regiões.

Esses riscos se tornam mais importantes quando as organizações estão sujeitas a regras de compras estritas, requisitos de segurança, normas de responsabilidade pública ou regulamentações do setor.

Um fornecedor pode oferecer a residência de dados na UE e, ainda assim, deixar aos clientes um controle limitado sobre as camadas mais profundas da arquitetura tecnológica.
 

A escolha do provedor de nuvem faz parte da soberania

Para muitas empresas globais, o armazenamento em nuvem e a computação em nuvem são elementos necessários das operações modernas. A questão não é se as organizações devem usar a nuvem. A questão é se elas podem selecionar provedores de nuvem e ambientes de nuvem que correspondam aos seus requisitos de soberania, conformidade e operação.

Por exemplo, uma estratégia de soberania de dados na AWS pode incluir a seleção da região, criptografia de dados, controles de acesso, chaves de criptografia e compromissos contratuais. Essas medidas podem ser úteis, mas ainda devem ser avaliadas dentro de um modelo de soberania mais amplo que englobe a propriedade do fornecedor, a jurisdição legal, a portabilidade e o controle dos dados.

Uma abordagem de nuvem soberana pode ajudar as organizações a atender a alguns desses requisitos, mas não deve ser tratada como um substituto do controle em nível de plataforma.
 

Por que a propriedade do fornecedor importa para a soberania de dados

A propriedade do fornecedor também faz parte da conversa sobre soberania.

Por exemplo, a Contentful foi associada por muito tempo ao mercado tecnológico europeu. Mas a Salesforce acaba de anunciar um acordo definitivo para adquirir a Contentful, o que mostra por que as organizações devem ter cuidado ao confiar na identidade, na sede ou no histórico de marca de um fornecedor como estratégia de soberania.

Por quê? Como explica o fundador do Drupal e cofundador da Acquia, Dries Buytaert, a Salesforce é uma empresa americana e cai sob a alçada de leis americanas como o CLOUD Act. Isso significa que, uma vez finalizada a aquisição, a Contentful também se torna sujeita à lei americana. "Para governos, instituições públicas e setores regulados", afirma Buytaert, "isso revela uma verdade mais dura: o fato de um fornecedor ser europeu hoje não é uma garantia de que continuará sendo amanhã."
 

A identidade do fornecedor pode mudar ao longo do tempo

A propriedade pode mudar. A estratégia comercial pode mudar. As opções de implantação podem mudar.

Um fornecedor que parece estar alinhado às prioridades europeias de soberania hoje pode não permanecer estruturalmente alinhado no futuro.

Para organizações que tomam decisões de plataforma a longo prazo, isso importa porque a jurisdição legal não depende apenas de onde os dados são armazenados. Pode depender também do prestador, da empresa-mãe, do modelo operacional e das relações de infraestrutura da plataforma.

Isso não significa que todo provedor de nuvem ou aquisição crie o mesmo nível de risco. Mas significa que as organizações devem avaliar a soberania com base no controle estrutural, e não apenas no posicionamento da marca.
 

O CLOUD Act faz parte da avaliação

Para as organizações europeias, o CLOUD Act frequentemente faz parte da conversa mais ampla sobre soberania de dados porque pode afetar prestadores sujeitos à jurisdição dos Estados Unidos, mesmo quando os dados estão armazenados fora dos Estados Unidos.

Isso não significa que todo fornecedor vinculado aos Estados Unidos crie o mesmo risco. Mas as organizações precisam entender quais leis se aplicam, como as solicitações de acesso legal são gerenciadas e se a arquitetura de sua plataforma oferece controle suficiente para responder às políticas internas, aos requisitos de proteção de dados e às expectativas de confiança dos clientes.
 

Por que o open source importa para a soberania de dados

O open source não garante automaticamente a soberania de dados. As organizações ainda precisam da governança adequada, da infraestrutura adequada, da segurança adequada e da maturidade operacional.

Mas o open source pode dar às organizações uma base mais sólida para a soberania ao reduzir a dependência em relação a uma plataforma fechada e controlada por um fornecedor.
 

O open source dá às organizações mais visibilidade e controle

Com o software open source, as organizações têm mais capacidade para:

• Inspecionar como a plataforma funciona

• Auditar o código

• Adaptar o software a requisitos específicos

• Operar a plataforma no ambiente que melhor se adapte ao seu modelo de governança

• Reduzir a dependência em relação à arquitetura fechada ou ao roteiro de um único fornecedor

• Manter o controle se a estratégia de nuvem, a conformidade da soberania de dados ou os requisitos de negócios mudarem

Essa transparência importa quando a soberania depende de algo mais do que promessas contratuais.

É por isso que o open source é cada vez mais tratado como uma camada de controle estratégico, ajudando as organizações a evitar uma dependência desnecessária da arquitetura fechada, do roteiro ou do modelo comercial de um único fornecedor.

Para as organizações europeias, essa flexibilidade pode ser particularmente valiosa à medida que as leis de dados, as regras de compras e os requisitos de infraestrutura continuam a evoluir.
 

Por que a implantação auto-hospedada importa

O open source é apenas uma parte da resposta. A flexibilidade de implantação importa na mesma medida.

Uma plataforma pode ser aberta, mas se só puder ser executada em um ambiente de nuvem controlado pelo fornecedor, a organização ainda terá um controle limitado sobre onde e como essa plataforma funciona.
 

O auto-hospedamento dá às organizações mais controle sobre todo o ambiente

A implantação auto-hospedada (self-hosted) dá às organizações um controle mais direto sobre a infraestrutura por trás de suas experiências digitais.

Em vez de ficarem presas a um modelo de nuvem controlado por um fornecedor, as equipes podem escolher onde a plataforma é executada, quais provedores de infraestrutura estão envolvidos, como o acesso é governado e como o ambiente se alinha aos requisitos internos de segurança e conformidade.

Para organizações com requisitos de soberania de dados, isso pode fazer uma diferença significativa.

Um modelo auto-hospedado pode ajudar as organizações a:

• Escolher uma infraestrutura ou data centers baseados na UE que se alinhem aos seus requisitos

• Reduzir a dependência em relação a um único hyperscaler ou provedor SaaS

• Aplicar suas próprias políticas de segurança, de monitoramento e de controle de acesso

• Manter mais controle sobre atualizações, integrações e cronogramas operacionais

• Preservar a portabilidade se os requisitos legais, regulatórios ou de negócios mudarem

• Decidir como criptografar os dados e gerenciar as chaves de criptografia

• Limitar a transferência desnecessária de dados entre regiões ou provedores

A capacidade de auto-hospedar não é apenas um detalhe técnico. É uma opção estratégica que dá às organizações mais margem de manobra para se adaptarem à medida que os requisitos mudam.
 

Boas práticas de soberania de dados para a avaliação de DXPs

A conformidade da soberania de dados depende de um conjunto de decisões legais, técnicas e operacionais. A abordagem correta variará de acordo com o setor da organização, os países de operação, o perfil de risco e as necessidades de soberania de dados.

Ainda assim, várias boas práticas em matéria de soberania de dados podem ajudar as organizações a avaliar as opções de DXP de forma mais eficaz.
 

Mapear onde os dados são armazenados, processados e acessados

As organizações devem entender onde os dados são armazenados, onde são processados, para onde podem ser transferidos e quem pode acessá-los.

Isso inclui dados de clientes, dados pessoais, registros financeiros, dados sensíveis, conteúdo operacional e outras informações que possam cair sob a alçada de regulamentações de proteção de dados ou de leis locais.
 

Alinhar a estratégia de nuvem aos requisitos de soberania

Uma estratégia de nuvem pronta para a soberania deve levar em consideração mais do que desempenho e custo. Sua estratégia também deve abordar a localização dos dados, locais de armazenamento, data centers, provedores de nuvem, acordos de nível de serviço, obrigações legais, criptografia e portabilidade.

Isso é especialmente importante para organizações globais que operam em múltiplas regiões ou trabalham sob diferentes regulamentações locais.
 

Utilizar controles de segurança que apoiem a proteção de dados

A segurança dos dados é um componente chave da soberania. As organizações devem avaliar como cada plataforma suporta o controle de acesso, criptografia de dados, monitoramento, trilhas de auditoria e, quando apropriado, a capacidade de criptografar dados usando chaves controladas pela própria organização.

Esses controles podem ajudar a proteger dados sensíveis e a reduzir riscos de cibersegurança, mas devem funcionar ao lado dos controles de governança e de implantação, em vez de substituí-los.
 

Manter a flexibilidade à medida que os requisitos mudam

A soberania de dados se torna mais importante à medida que as leis e regulamentações continuam a evoluir. Uma plataforma que oferece às organizações maior flexibilidade de implantação, auditabilidade e controle sobre os dados pode facilitar a adaptação à medida que as leis de soberania de dados, leis de proteção de dados ou requisitos de compras mudam.

É aí que a soberania operacional importa. As organizações precisam da capacidade prática de executar, governar e ajustar sua infraestrutura de experiência digital sem ficarem presas a um modelo único controlado por um fornecedor.
 

Como o Liferay DXP ajuda as organizações a manter o controle

O Liferay DXP é um software open source projetado para organizações que precisam de experiências digitais flexíveis, seguras e escaláveis. Essa base open source dá às empresas e às equipes do setor público mais transparência e controle do que teriam tipicamente com uma plataforma fechada e proprietária.

O Liferay DXP também oferece às organizações flexibilidade de implantação, o que é particularmente importante para equipes que precisam alinhar a infraestrutura de experiência digital com requisitos de soberania, segurança e conformidade.
 

Implantação auto-hospedada

Com a implantação auto-hospedada (self-hosted), as equipes podem executar o Liferay DXP em sua própria infraestrutura ou em um ambiente de nuvem de sua escolha.

Isso dá às organizações mais controle sobre onde sua plataforma funciona, como é governada e como se alinha aos requisitos internos de segurança, conformidade e soberania de dados.
 

Liferay Cloud Native Experience

Com o Liferay Cloud Native Experience, as organizações podem executar e escalar o Liferay DXP em sua própria nuvem e aproveitar a infraestrutura de nuvem existente.

Isso dá às equipes um meio de modernizar a implantação e as operações sem sacrificar o controle sobre o ambiente por trás de sua plataforma de experiência digital.
 

Uma base flexível para experiências digitais corporativas

Com o Liferay DXP, as organizações podem projetar e gerenciar:

• Sites

• Portais de clientes

• Portais de parceiros

• Intranets

• Experiências de comércio

• Ambientes de autoatendimento

• Experiências digitais ricas em conteúdo

• Aplicações orientadas por fluxos de trabalho (workflows)

Você pode fazer isso sem ser forçado a um modelo de operação exclusivamente na nuvem.

Essa combinação é particularmente relevante para organizações europeias que avaliam plataformas de experiência digital sob a ótica da soberania de dados. O Liferay DXP dá a elas a flexibilidade de escolher a abordagem de implantação que melhor se adapta às suas necessidades de segurança, conformidade, infraestrutura, governança de dados e operações.
 

Perguntas a fazer durante a avaliação de uma DXP para soberania de dados

À medida que a soberania de dados se torna uma parte mais importante das compras de tecnologia, as organizações devem fazer mais do que a pergunta: "Onde nossos dados serão armazenados?"

Elas também devem examinar o nível de controle que terão sobre a plataforma, a infraestrutura, os relacionamentos com fornecedores e o roteiro a longo prazo.
 

Controle da plataforma

• A plataforma pode ser auto-hospedada (self-hosted)?

• A plataforma é de código aberto (open-source) ou fechado (closed-source)?

• Nossas equipes podem inspecionar, auditar e adaptar a plataforma se necessário?

• As opções de implantação estão comprometidas de forma estrutural ou correm o risco de serem descontinuadas gradualmente?

• A plataforma nos ajuda a manter o controle se as necessidades de soberania de dados mudarem?
   

Infraestrutura e hospedagem

• Podemos escolher o provedor de infraestrutura e a região onde a plataforma funciona?

• Somos dependentes de um hyperscaler específico ou de um ambiente de nuvem controlado pelo fornecedor?

• Podemos selecionar provedores de nuvem com base em nossos requisitos de conformidade, desempenho e soberania?

• Podemos migrar a plataforma se nossos requisitos de soberania mudarem?

• A plataforma pode funcionar em múltiplas regiões sem criar um risco desnecessário de soberania de dados?
   

Considerações legais e de governança

• Qual jurisdição legal se aplica ao fornecedor e à sua empresa-mãe?

• Qual jurisdição legal se aplica ao provedor de nuvem ou de infraestrutura?

• Quais leis relevantes se aplicam em cada país específico onde operamos?

• Como o fornecedor responde a solicitações de acesso legal?

• O fornecedor oferece um controle arquitetônico real ou apenas compromissos de residência de dados?

• Como a plataforma nos ajudará a garantir a soberania de dados à medida que as leis, regulamentações e expectativas de confiança dos clientes evoluem?
   

Essas perguntas ajudam a separar as verdadeiras capacidades de soberania das promessas superficiais.
 

Construa experiências digitais em uma infraestrutura que você controla

A agenda de soberania tecnológica da UE reflete uma realidade crescente: as organizações precisam de mais controle sobre as arquiteturas tecnológicas que sustentam serviços digitais críticos.

Para plataformas de experiência digital, isso significa que a residência de dados não é mais suficiente. As organizações também devem avaliar a dependência em relação ao fornecedor, a arquitetura de nuvem, a transparência do software, a flexibilidade de implantação e a portabilidade a longo prazo.

O Liferay DXP foi projetado em torno de princípios que se alinham a essa mudança:

• Transparência do open source

• Flexibilidade de implantação

• Segurança e escalabilidade de nível corporativo

• Extensibilidade

• Controle da infraestrutura

• Portabilidade a longo prazo

• Maior controle sobre as decisões relativas a dados e implantação

Para organizações europeias que precisam fornecer experiências digitais modernas sem abrir mão do controle de sua infraestrutura, o Liferay DXP oferece um caminho prático para seguir em frente.

Descubra como a implantação do Liferay DXP pode ajudar sua organização a construir experiências digitais em uma infraestrutura que você controla.
 

Perguntas frequentes

Os Estados Unidos têm leis de soberania de dados?

Os Estados Unidos não dispõem de uma única lei federal de soberania de dados que funcione como um quadro nacional de localização de dados. Em vez disso, os requisitos de controle de dados e de privacidade estão distribuídos entre leis federais, leis estaduais sobre privacidade, regulamentações do setor e regras que podem afetar o acesso transfronteiriço a dados.

Para organizações europeias, a preocupação chave é frequentemente saber se um provedor de tecnologia está sujeito à jurisdição dos Estados Unidos. Em alguns casos, isso pode afetar a maneira como os dados podem ser acessados por meio de processos legais válidos, mesmo que os dados estejam armazenados fora dos Estados Unidos.
 

Qual é um exemplo de soberania de dados?

Um exemplo comum de soberania de dados é uma organização do setor público europeu que exige que os dados dos cidadãos sejam armazenados, processados e governados dentro da UE.

Mas a verdadeira soberania de dados iria além da escolha de um data center da UE. A organização também avaliaria quem é o proprietário da plataforma, qual provedor de nuvem opera a infraestrutura, quais leis se aplicam ao fornecedor, quem pode acessar os dados e se a organização pode auditar a plataforma ou movê-la se os requisitos mudarem.

Qual é o princípio da soberania de dados?

O princípio da soberania de dados é que os dados devem permanecer sob o controle legal, operacional e de governança da organização ou da jurisdição responsável por eles.

Na prática, isso significa que as organizações devem entender não apenas onde os dados são armazenados, mas também quem controla a plataforma, quais leis se aplicam, como o acesso é gerenciado e se a tecnologia subjacente oferece transparência e portabilidade suficientes para manter o controle ao longo do tempo.