A software house no Brasil que trata dados pessoais para um cliente estrangeiro está sujeita à LGPD, porque o tratamento acontece no território nacional (Lei 13.709/2018, art. 3º, I). Com cliente europeu, o GDPR entra pelo contrato: o cliente é o controlador e precisa de um contrato de operador com você (art. 28 do GDPR).
Com cliente americano, quase todas as regras vêm do contrato dele.
Uma mudança simplificou o trabalho com a Europa. Brasil e União Europeia adotaram decisões de adequação mútua, anunciadas pela Comissão Europeia e pela ANPD em 28 de janeiro de 2026. Dados pessoais circulam entre os dois sem cláusulas-padrão adicionais.
Quando a LGPD vale para cliente de fora?
A LGPD se aplica a qualquer tratamento, seja qual for o país da sede, em três casos (Lei 13.709/2018, art. 3º):
- o tratamento é feito no Brasil;
- o tratamento tem por objetivo ofertar bens ou serviços a pessoas no Brasil, ou tratar dados delas;
- os dados foram coletados no Brasil.
Há uma exceção para dados vindos de fora que não são compartilhados com agentes brasileiros nem transferidos a outro país, desde que o país de origem tenha proteção adequada (Lei 13.709/2018, art. 4º, IV). Uma software house que acessa o banco do cliente, roda testes com dados reais ou dá suporte com acesso à produção está tratando dados no Brasil.
E o GDPR, quando o cliente é europeu?
O GDPR vale para quem está fora da União Europeia quando oferece bens ou serviços a pessoas na União ou monitora o comportamento delas lá (art. 3(2) do GDPR). Para a software house que só presta serviço ao cliente europeu, o GDPR costuma chegar pelo contrato.
O art. 28 do GDPR obriga o controlador a usar só operadores com garantias suficientes e a assinar um contrato com eles. O contrato de operador, chamado DPA, costuma trazer:
- tratamento só por instrução documentada do cliente;
- confidencialidade de quem acessa os dados;
- medidas de segurança;
- regras para subcontratados, que precisam de autorização do cliente;
- apoio ao cliente para atender pedidos dos titulares;
- devolução ou eliminação dos dados no fim do contrato;
- informação e auditoria.
Preciso de cláusulas-padrão para dados da Europa?
Para dados que saem da União Europeia para o Brasil, não. A decisão de adequação da Comissão Europeia reconhece o Brasil como país com proteção equivalente, e a transferência pode ser feita sem as cláusulas-padrão europeias. Do lado brasileiro, a Resolução CD/ANPD nº 32/2026 reconhece a União Europeia como adequada para fins do art. 33, I, da LGPD.
| Direção dos dados | Mecanismo |
|---|---|
| União Europeia para o Brasil | Decisão de adequação da Comissão Europeia |
| Brasil para a União Europeia | Resolução CD/ANPD nº 32/2026 (LGPD, art. 33, I) |
| Brasil para os EUA | Cláusulas-padrão da ANPD ou outro mecanismo do art. 33 |
E com cliente nos EUA?
Até agora, a ANPD reconheceu como adequada apenas a União Europeia. Quando você envia dados pessoais coletados no Brasil para um servidor ou cliente nos EUA, a transferência precisa de um dos mecanismos do art. 33 da LGPD.
Entre empresas, o caminho mais prático costuma ser as cláusulas-padrão contratuais da ANPD. A Resolução CD/ANPD nº 19/2024 deu prazo até 23 de agosto de 2025 para incorporá-las aos contratos, e elas são usadas sem alterações.
O que fazer num incidente de segurança?
Pela LGPD, o controlador comunica à ANPD e aos titulares o incidente que possa causar risco ou dano relevante (Lei 13.709/2018, art. 48). O prazo é de três dias úteis a partir de quando o controlador sabe que o incidente afetou dados pessoais (Resolução CD/ANPD nº 15/2024, arts. 6º e 9º).
Como operador, você precisa avisar o cliente rápido o bastante para ele cumprir esse prazo. Escreva no contrato:
- em quantas horas você avisa o cliente;
- o que o aviso precisa conter;
- quem fala com a autoridade e com os titulares.
Checklist para software house com clientes de fora
- Defina, por cliente, se você é operador ou controlador.
- Assine DPA com cada cliente europeu e liste os subcontratados.
- Para dados enviados do Brasil para os EUA, use as cláusulas-padrão da ANPD.
- Mantenha registro das operações de tratamento.
- Tenha um procedimento de incidente com prazos menores que os do cliente.
- Tire dados reais de ambientes de teste.
O que isso significa para o código que é seu
Código próprio que você licencia para clientes de fora vai rodar com os dados deles. Um módulo que já nasce com registro de acesso, anonimização em ambiente de teste e exclusão de dados por titular vende melhor na Europa e nos EUA.
Ao montar a licença, deixe claro que o cliente é o controlador dos dados tratados pelo software.
Como licenciar está em licença de software e quanto o código pode valer em quanto vale um código fonte.