# Onde ficam realmente os dados dos teus clientes? O que o teu fornecedor web não te disse Source: https://baqueiro.es/pt/seguridad-y-juridico/onde-ficam-dados-clientes-fornecedor-web/ Published: 2026-04-10T03:04:48+00:00 Updated: 2026-04-10T03:04:48+00:00 Author: Baqueiro Desarrollo Web Language: pt-PT Usage: Attribution required: quoting allowed with a visible link back --- **TL;DR** - Um site empresarial típico envia dados dos utilizadores para muitos mais sistemas do que o alojamento (analytics, publicidade, email marketing, CDN, formulários), e vários costumam ter servidores fora da União Europeia. - Cada sistema com servidores fora da UE implica uma transferência internacional de dados, com requisitos específicos ao abrigo do RGPD. - No fim do artigo há uma checklist de auditoria para identificar todos os sistemas que recebem dados dos utilizadores do teu site. Quando se pergunta a um responsável de negócio onde ficam guardados os dados dos seus clientes, a resposta habitual é o nome do fornecedor de alojamento: «Na SiteGround», «Na AWS», «No servidor que a nossa agência gere». É uma resposta parcialmente correta e, sobretudo, incompleta. Os dados dos utilizadores de um site empresarial típico não vivem num só sítio. Vivem no servidor de alojamento, mas também no Google Analytics, no CRM integrado, no serviço de email marketing, no píxel da Meta, na CDN que serve os ficheiros, nos registos (logs) do servidor e no formulário de contacto de terceiros. Cada um desses sistemas tem a sua própria política de privacidade, os seus próprios servidores e as suas próprias implicações legais. *⚠️ Este artigo é informativo e não constitui aconselhamento jurídico. Para aplicar estas considerações ao teu caso concreto, consulta um especialista em proteção de dados.* ## A pergunta que poucas empresas fazem sobre os seus próprios sites O RGPD exige que as empresas saibam que dados pessoais tratam, com que finalidade, onde são armazenados e quem tem acesso a eles. É a base do registo das atividades de tratamento que qualquer organização que trate dados pessoais deve manter. Na prática, muitas empresas têm uma política de privacidade que menciona as categorias de dados que recolhem e os direitos dos utilizadores, mas não têm um mapa real de todos os sistemas que recebem esses dados. A política de privacidade descreve a intenção. O mapa de dados descreve a realidade. E muitas vezes não coincidem. ## O mapa real de um site empresarial típico Para perceber para onde vão os dados dos utilizadores de um site, é preciso seguir o rasto de cada interação desde o momento em que o utilizador chega até ao momento em que sai. Este é o mapa de um site institucional com formulário de contacto, Google Analytics e um píxel da Meta, uma configuração muito comum em empresas de média dimensão. ### Ponto 1: o servidor de alojamento É o sistema que a maioria dos proprietários conhece. A base de dados do CMS (WordPress, na maioria dos casos), os ficheiros carregados, os dados de registo de utilizadores, se existirem, e os formulários de contacto, se forem geridos pelo próprio CMS. Consoante o fornecedor de alojamento, os servidores podem estar na UE (OVH, Arsys, muitos fornecedores europeus) ou fora dela (alguns planos da Bluehost, da HostGator e de outros fornecedores norte-americanos usam servidores nos EUA). Os registos do servidor (cada pedido HTTP, incluindo o endereço IP do visitante, a página visitada, o navegador e o sistema operativo) também ficam guardados aqui e contêm dados pessoais ao abrigo do RGPD. A maioria das configurações de servidor por defeito conserva estes registos durante meses sem que ninguém o tenha decidido explicitamente. ### Ponto 2: Google Analytics Quando se instala o Google Analytics num site, cada visita envia dados para os servidores da Google. Esses dados incluem o endereço IP do visitante (que o Google Analytics 4 não guarda, mas recebe, e que continua a ser um dado pessoal na origem), o comportamento de navegação, o dispositivo, a localização aproximada e os eventos configurados. O Google Analytics processa esses dados em servidores que podem estar nos EUA, o que implica uma transferência internacional de dados. A Google tem mecanismos de cumprimento do RGPD documentados (está certificada no Quadro de Privacidade de Dados UE-EUA e disponibiliza Cláusulas Contratuais-Tipo), mas esses mecanismos têm de estar refletidos na política de privacidade e no registo das atividades de tratamento da empresa. Muitos sites têm o Google Analytics instalado sem terem documentado essa transferência internacional. Nos últimos anos, várias autoridades europeias de proteção de dados (como as da Áustria, França ou Itália) consideraram contrários ao RGPD usos concretos do Google Analytics, por não oferecerem garantias suficientes nas transferências de dados para os EUA. ### Ponto 3: o píxel da Meta (Facebook e Instagram) O píxel da Meta é um fragmento de código que, instalado num site, envia à Meta informação sobre o comportamento dos visitantes: que páginas visitam, que ações realizam, se concluem uma compra ou um formulário. A Meta usa essa informação para otimizar os anúncios da empresa e para o seu próprio sistema de publicidade. Os servidores da Meta estão maioritariamente nos EUA, com as mesmas implicações de transferência internacional que o Google Analytics. Além disso, o píxel da Meta pode cruzar os dados do visitante com o seu perfil de Facebook ou Instagram se o visitante tiver sessão iniciada nessas plataformas, o que acrescenta uma camada de tratamento de dados que vai além da análise. ### Ponto 4: o serviço de email marketing Quando um utilizador subscreve a newsletter ou deixa o email num formulário, esse dado é normalmente enviado de forma automática para a plataforma de email marketing integrada: Mailchimp, Brevo (antiga Sendinblue), ActiveCampaign, HubSpot. Cada uma destas plataformas tem os servidores em locais diferentes, com implicações diferentes para a transferência internacional de dados. A Mailchimp, por exemplo, tem os servidores principais nos EUA e recorre a mecanismos como as Cláusulas Contratuais-Tipo para cumprir o RGPD nas transferências a partir da UE. A Brevo tem servidores na UE e é uma opção que alguns encarregados de proteção de dados preferem precisamente por isso. A escolha da plataforma de email marketing tem implicações de cumprimento do RGPD que raramente são tidas em conta quando se toma a decisão. ### Ponto 5: a CDN Uma CDN (Content Delivery Network, rede de distribuição de conteúdos) é um sistema de servidores distribuídos geograficamente que serve os ficheiros estáticos do site (imagens, CSS, JavaScript) a partir do servidor mais próximo do visitante. A Cloudflare, a CDN mais usada do mundo, tem nós em mais de 300 cidades em todo o mundo. A CDN regista os IPs dos visitantes para otimizar o encaminhamento. Consoante a configuração, pode também registar informação sobre os pedidos para análise de desempenho e segurança. São dados pessoais ao abrigo do RGPD que circulam por uma infraestrutura distribuída a nível global. ### Ponto 6: os formulários de terceiros Muitos sites usam ferramentas de terceiros para os formulários de contacto, os chats em direto ou os sistemas de reservas: Typeform, Calendly, Tally, Intercom. Cada uma destas ferramentas recebe os dados que o utilizador introduz e guarda-os nos seus próprios sistemas, que geralmente estão fora da UE. O problema específico dos formulários de terceiros é que os dados do utilizador vão diretamente para a plataforma externa, sem passarem pelo servidor do cliente, o que faz com que o cliente esteja potencialmente menos consciente dessa transferência e das implicações que tem. ## O problema dos servidores fora da UE O facto de os servidores estarem fora da UE não é automaticamente um problema legal, mas implica requisitos adicionais ao abrigo do RGPD. Desde a invalidação do Privacy Shield em 2020 (acórdão Schrems II do Tribunal de Justiça da UE), as transferências de dados pessoais para países fora do Espaço Económico Europeu exigem garantias específicas. O mecanismo mais habitual são as Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia, que a maioria dos grandes fornecedores tecnológicos norte-americanos adotou, e desde 2023 existe também o Quadro de Privacidade de Dados UE-EUA para as empresas certificadas. Mas ter um mecanismo não chega: quando a transferência assenta nas cláusulas, a empresa que transfere os dados tem de avaliar o impacto da transferência e documentar que as garantias são adequadas. A solução não passa necessariamente por mudar de fornecedor. Passa por documentar corretamente as transferências que existem, verificar que os fornecedores têm os mecanismos de cumprimento adequados e refletir isso na política de privacidade e no registo das atividades de tratamento. ## O que podes exigir ao teu fornecedor web O teu fornecedor web (a agência ou o freelancer que gere a tua presença digital) deve ser capaz de te responder com precisão a estas perguntas: - Onde estão os servidores do alojamento? Estão dentro da UE? - Que serviços de terceiros estão integrados no site e que dados recebe cada um? - Que dados ficam nos registos do servidor e durante quanto tempo? - Como está configurado o Google Analytics quanto ao consentimento, à conservação de dados e às transferências internacionais? - Há formulários ou ferramentas de terceiros que recebem dados de utilizadores diretamente? Um fornecedor que não consegue responder a estas perguntas não tem o nível de critério necessário para gerir corretamente a privacidade dos dados dos teus clientes. ## Checklist de auditoria para não técnicos Esta checklist permite identificar os sistemas que recebem dados de utilizadores do teu site sem precisares de conhecimentos técnicos: - Sabes em que país estão os servidores do teu fornecedor de alojamento? - Tens o Google Analytics instalado? Está configurado de forma a respeitar o consentimento e com os termos de tratamento de dados da Google aceites? - Tens o píxel da Meta instalado? Está documentado na tua política de privacidade e no registo das atividades de tratamento? - Usas uma plataforma de email marketing? Sabes onde estão os servidores dela? - Usas uma CDN? Sabes que dados regista e durante quanto tempo? - Há formulários, chats ou ferramentas de reservas de terceiros no teu site? Para onde vão os dados que recolhem? - A tua política de privacidade menciona todos os serviços de terceiros que recebem dados dos teus utilizadores? - Tens um registo das atividades de tratamento que inclua todas estas transferências? Se não consegues responder com segurança a 3 ou mais destas perguntas, está na altura de fazer uma auditoria aos sistemas que tratam dados no teu site. ## FAQ ### Usar o Google Analytics com o modo de consentimento ativado resolve todos os problemas? O modo de consentimento do Google Analytics reduz significativamente o tratamento de dados de utilizadores que não deram consentimento, mas não elimina todas as implicações da transferência internacional de dados. É uma melhoria importante, mas continua a ser necessário documentar a transferência e ter os termos de tratamento de dados com a Google corretamente configurados. ### Há alternativas ao Google Analytics com servidores na UE? Sim. O Matomo (auto-alojado ou em servidores europeus), o Plausible (servidores na UE, código aberto), o Fathom Analytics (opção de servidores na UE) e o Pirsch são alternativas que processam os dados na UE e que alguns encarregados de proteção de dados preferem precisamente para evitar as complexidades das transferências internacionais. ### Quem é responsável por cumprir estas obrigações: a empresa ou o seu fornecedor web? A empresa é a responsável pelo tratamento ao abrigo do RGPD: é quem decide que dados são tratados, com que finalidade e que ferramentas são usadas. O fornecedor web é o subcontratante: atua segundo as instruções do responsável. A responsabilidade principal perante a autoridade de controlo (a AEPD, em Espanha) recai sobre a empresa, embora o fornecedor tenha obrigações próprias como subcontratante e possa passar a ser considerado responsável se tratar os dados à margem das instruções recebidas. *⚠️ Este artigo é informativo e não constitui aconselhamento jurídico. Para uma auditoria completa aos sistemas que tratam dados no teu site, consulta um especialista em proteção de dados.* Na Baqueiro documentamos todos os serviços de terceiros integrados nos projetos que desenvolvemos e incluímo-los no mapa de dados que entregamos ao cliente. Se não sabes ao certo que sistemas estão a receber dados dos utilizadores do teu site, [podemos ajudar-te a fazer esse mapa](https://baqueiro.es/pt/contacto/).