Perguntas sobre residência de dados para compradores de educação no Médio Oriente

Pergunte a um fornecedor de software educativo onde estão guardados os seus dados e receberá, quase sempre, o nome de uma região. Isso responde a cerca de um quinto da pergunta. Os dados em repouso estão num sítio; o processamento está noutro; as cópias de segurança estão ainda noutro; e os subcontratantes por trás das funcionalidades do próprio fornecedor — o modelo de AI, o serviço de envio de email, o rastreador de erros, o serviço de apoio — estão cada um no seu país. Um compromisso de residência que cubra apenas o primeiro destes pontos não é um compromisso de residência. É uma preferência de alojamento.

Isto pesa mais no Golfo do que pesava há cinco anos, porque as regras passaram a ser específicas. A Lei de Proteção de Dados Pessoais da Arábia Saudita, aplicada pela SDAIA, impõe condições à saída de dados pessoais do Reino. Os Emirados Árabes Unidos têm uma lei federal a par de regimes separados dentro do DIFC e do ADGM. O Catar, o Barém, Omã e o Egito têm cada um o seu próprio diploma, e os reguladores setoriais acrescentam por cima regras de classificação. As equipas de compras fazem hoje perguntas que não faziam em 2019.

Residência, soberania e jurisdição são três promessas diferentes

São coisas distintas, e um fornecedor pode cumprir uma delas e falhar as outras duas.

A soberania dos dados é a afirmação mais forte: que os dados são regidos pela lei do país onde estão, e apenas por essa lei. É uma posição jurídica e não técnica, e depende de quem opera a infraestrutura, de quem detém as chaves de cifra e de onde está constituída a entidade que opera.

A jurisdição segue a entidade societária, não o disco. Um fornecedor constituído nos Estados Unidos que guarde os seus registos num centro de dados em Riade continua a ser uma empresa norte-americana, continua ao alcance de um tribunal norte-americano, e continua dentro do âmbito do US CLOUD Act de 2018, que permite às autoridades norte-americanas obrigar um fornecedor sediado nos Estados Unidos a entregar dados que controla, onde quer que esses dados estejam guardados. Mudar o disco não mudou a empresa.

Por que razão "a nuvem" não é uma resposta

"A nuvem" não é um sítio. É um modelo de compra assente numa frota global de centros de dados, e a frota é precisamente o objetivo. Quando um fornecedor diz "corremos na AWS", todas as perguntas que interessam continuam em aberto.

• Que região? Uma conta pode ter recursos em vinte regiões ao mesmo tempo, e a resposta é por serviço, não por conta.
• Estão todos os serviços nessa região? Alguns replicam entre regiões por defeito; outros têm um plano de controlo que vive permanentemente noutro sítio.
• Onde correm os servidores da aplicação, por oposição à base de dados?
• Para onde vão os registos, os rastreios de erros e a análise de utilização do produto? Levam nomes, endereços de email e, por vezes, respostas de alunos em texto livre.
• Onde está sediada a equipa de apoio, e o que consegue ver a partir daí?
• Onde ficam as cópias de segurança, e quanto tempo persistem depois de uma eliminação?

Cada um destes pontos é uma decisão de engenharia vulgar, tomada cedo, por razões de latência ou de custo e não de direito, por alguém que não esteve na reunião de compras. É por isso que as respostas são tantas vezes vagas: ninguém as pôs por escrito.

As sete perguntas

Envie-as por escrito e anexe as respostas ao contrato. Um fornecedor que não responde por escrito não pode ser vinculado à resposta.

1. Onde estão os dados em repouso, e em que região identificada pelo nome?

Pergunte por classe de dados, não por plataforma. Os registos de alunos, as tentativas de avaliação, os ficheiros carregados, o vídeo, os certificados e os registos de auditoria vivem muitas vezes em sistemas diferentes, e o fornecedor pode só ter pensado no primeiro. Peça uma tabela: para cada classe de dados, o país, o fornecedor e o código da região.

2. Onde são processados?

O armazenamento é a metade fácil; é no processamento que os dados se movem. A indexação de pesquisa, a geração de relatórios, a produção de PDF, a transcodificação de vídeo e tudo o que é assistido por AI leem os dados e correm nalgum sítio. A AI é o caso mais agudo no software educativo neste momento: um tutor, um assistente de criação de conteúdos ou uma proposta de classificação envia texto de alunos para um fornecedor de modelos, e a região de inferência desse fornecedor é um facto separado da região de alojamento do fornecedor da plataforma. Pergunte que fornecedor, em que região, se os conteúdos são usados para treino, e obtenha a retenção em dias.

3. Que subcontratantes lhes tocam, e em que país?

Peça-o como uma lista, com três colunas: nome, função, país de processamento. Uma plataforma em 2026 tem tipicamente entre oito e quinze — um alojamento em nuvem, um fornecedor de base de dados, um armazenamento de objetos, um serviço de envio de email, um fornecedor de modelos de AI, um rastreador de erros, uma ferramenta de análise, um serviço de apoio, e um processador de pagamentos se receber dinheiro.

Duas perguntas de seguimento separam um fornecedor sério de um esperançoso. Como é que é avisado quando um subcontratante muda, e pode opor-se? E quais deles recebem dados pessoais e não metadados? Um fornecedor que nunca pôs isto por escrito leva uma semana a produzi-lo, e a demora é, ela própria, informação.

4. Para onde vão as cópias de segurança e as cópias de recuperação de desastre?

As cópias de segurança são a forma mais comum de um compromisso de residência falhar em silêncio. A replicação entre regiões é a recomendação por defeito em todos os guias de arquitetura em nuvem, por razões que nada têm que ver com o seu regulador. Pergunte onde são escritas as cópias de segurança, se alguma réplica sai da região, e quanto tempo é que um registo eliminado sobrevive lá dentro. Se a sua obrigação de apagamento é de 30 dias e a retenção das cópias é de 90, essa diferença pertence a uma política e não a uma constatação de auditoria.

5. Quem lhes pode aceder, e a partir de onde?

A residência é desfeita pelo acesso remoto. Pergunte onde estão sediadas as equipas de apoio e de engenharia, se é possível aceder à produção a partir de fora da região, se esse acesso exige aprovação, e se pode ver o registo. "Os nossos engenheiros podem ler dados de clientes a partir de qualquer sítio, sem registo" é uma resposta real que alguns fornecedores dão, se perguntar com clareza.

6. Qual é o mecanismo de transferência?

Se algum dado sair do país — e, na maioria dos fornecedores, algum vai sair —, tem de existir um fundamento legal identificado para a transferência, e não um encolher de ombros. Pergunte em que disposição de que lei local se apoia.

Um sinal comum: o fornecedor envia-lhe as cláusulas contratuais-tipo da UE. São um instrumento da UE, feito para transferências para fora do Espaço Económico Europeu. São uma base contratual razoável e não são, por si só, um mecanismo de transferência saudita ou emiradense. Um fornecedor que trata um acordo GDPR como conformidade universal não leu o diploma local.

7. O que acontece se a lei mudar?

Esta é a pergunta que quase ninguém faz e aquela a que está agarrado mais dinheiro. O direito de proteção de dados na região é jovem e está em movimento: um regulador pode emitir uma nova classificação, e uma posição que era conforme à data da assinatura deixa de o ser no segundo ano de um contrato de cinco. Ponha quatro coisas no contrato:

1. Se a lei mudar de tal forma que o nosso acordo deixe de ser lícito, o que têm de fazer, e em que prazo?
2. Quem paga a migração — vocês, nós, ou repartida consoante a causa?
3. Podemos rescindir sem penalização se não conseguirem cumprir nesse prazo?
4. À saída, em que formato recebemos os dados, quanto tempo demora a exportação, e quando é que são eliminados dos vossos sistemas e das vossas cópias de segurança?

Onde a Lurno se situa, com clareza

Aqui fica a nossa própria resposta ao nosso próprio questionário, na forma em que a quereríamos de qualquer outro.

A Augmental Learning Inc. é uma empresa dos Estados Unidos, e a nossa infraestrutura e os nossos subcontratantes por defeito estão sediados nos Estados Unidos. Daí decorrem duas coisas, e um comprador do Golfo deve ouvir ambas diretamente. Por defeito, os seus registos ficam nos Estados Unidos. E a empresa está constituída nos Estados Unidos, pelo que a jurisdição norte-americana lhe chega, onde quer que viva cada byte individual. Nenhuma definição de configuração muda a segunda — nem no nosso caso, nem no de qualquer outro fornecedor norte-americano.

O que é genuinamente configurável hoje é o armazenamento de media. É definido por organização no Supabase, no Amazon S3, no Azure e no Google Cloud Storage — o seu próprio bucket, na sua própria região — e é herdado ao longo da árvore de organizações, pelo que uma editora pode manter os ficheiros de um país nesse país sem o separar num inquilino distinto. Isso cobre a maior parte do volume: documentos carregados, gravações, trabalhos entregues por alunos e ficheiros de evidência. A forma como se configura está na página de criação de conteúdos.

O que não afirmamos: uma implantação na região da base de dados principal e da camada aplicacional não é coisa que hoje se assinale numa nota de encomenda. Se o seu requisito abranger essas partes, isso é uma conversa com âmbito e calendário, e não uma caixa para assinalar — e deve exigir essa mesma especificidade a todos os fornecedores, incluindo àqueles cuja apresentação diz "soberano".

Não somos certificados SOC 2 nem certificados ISO 27001, e preferimos escrevê-lo a deixar que um selo num diapositivo o insinue. O que existe é um acordo de processamento de dados, um aditamento FERPA, um registo de auditoria encadeado por hash, fluxos de consentimento e de apagamento do GDPR com uma regra de duas pessoas, e isolamento entre inquilinos imposto por 868 políticas de segurança ao nível da linha dentro da base de dados, e não apenas no código da aplicação. O isolamento é uma garantia diferente da residência: quer dizer que outro cliente não consegue chegar às suas linhas. Um fornecedor que responde a uma pergunta de residência com uma resposta de isolamento mudou de assunto — nós incluídos.

Escrever o requisito de modo a obter uma resposta a sério

Os fornecedores devolvem respostas vagas porque a pergunta o permitiu. "Suportam residência de dados?" convida a um sim, e nunca ninguém lhe respondeu que não. Substitua-a por perguntas que tenham uma resposta errada.

1. Peça uma tabela, não um parágrafo: classe de dados, país de armazenamento, país de processamento, fornecedor, código da região.
2. Peça a lista de subcontratantes como anexo, com os países e uma cláusula de notificação de alterações.
3. Peça as localizações das cópias de segurança, a retenção em dias, e quanto tempo é que os registos eliminados sobrevivem nelas.
4. Pergunte em que disposição de que lei local se apoia cada transferência transfronteiriça.
5. Pergunte o que acontece em termos contratuais se a lei mudar, incluindo quem paga a mudança.

Depois, pontue as respostas pela especificidade e não pelo entusiasmo. Enquanto as regras da região ainda assentam, é mais fácil manter-se em conformidade com um fornecedor que lhe diz exatamente onde estão os seus dados — incluindo as partes que não queria ouvir — do que com um que concorda com tudo. A nossa própria versão está na página de segurança. Exija-lhe o mesmo padrão que exige à de toda a gente.