Compreenda a hospedagem na UE, as transferências internacionais de dados, o Quadro de Proteção de Dados e as questões práticas a colocar a um fornecedor de software de RH.
Escolher uma plataforma de RH implica compreender onde os dados dos colaboradores são armazenados, quem pode aceder aos mesmos e quais as medidas de segurança aplicáveis. Uma resposta clara deve abranger a base de dados, os documentos, as cópias de segurança, o acesso ao apoio técnico e os serviços associados.
Informação verificada a 21 de setembro de 2026.
A hospedagem na UE pode constituir um requisito útil no âmbito da contratação pública. Por si só, tal não garante a conformidade, e o RGPD não impõe uma proibição geral ao armazenamento ou tratamento de dados pessoais fora do Espaço Económico Europeu. As transferências internacionais requerem uma via válida ao abrigo do Capítulo V, a par dos restantes requisitos aplicáveis ao tratamento. EDPB: transferências internacionais de dados
Peça ao fornecedor que distinga a sua sede social dos locais de tratamento. Uma empresa da UE pode utilizar infraestruturas ou equipas de apoio noutros locais. O endereço de um servidor, por si só, também pouco revela sobre quem detém as chaves de encriptação ou quem pode aceder aos registos remotamente.
O acórdão Schrems II de 2020 invalidou o Privacy Shield, mas confirmou as Cláusulas Contratuais-Tipo como instrumento de transferência, sujeitas à avaliação e às proteções exigidas. As Cláusulas Contratuais-Tipo não constituem uma aprovação genérica de todas as transferências: as partes devem analisar se estas são adequadas às circunstâncias e recorrer a medidas suplementares sempre que necessário. EDPB: medidas suplementares
A Comissão adotou a decisão de adequação do Quadro de Proteção de Dados UE-EUA em 2023. Esta abrange as transferências para organizações norte-americanas participantes no âmbito da sua certificação. Verifique se o destinatário consta da lista atual e se esta abrange os dados relevantes, incluindo dados de RH, quando aplicável. Comissão Europeia: Transferências UE-EUA
Em setembro de 2025, o Tribunal Geral indeferiu o recurso no processo Latombe contra a Comissão, avaliando a decisão na altura em que foi adotada. Esse acórdão não deve ser descrito como uma garantia relativamente a futuros litígios ou à política governamental. Verifique a situação atual em matéria de adequação ao tomar uma decisão de adjudicação de contrato. Tribunal Geral: acórdão Latombe
A Lei CLOUD esclareceu que os prestadores de serviços sujeitos a processos legais relevantes nos EUA podem ter de divulgar dados na sua posse, custódia ou controlo, mesmo quando estes se encontram armazenados no estrangeiro. Não se trata de um acesso ilimitado a todas as bases de dados no estrangeiro, e a constituição da empresa, por si só, não responde a todas as questões relativas à jurisdição ou ao controlo. Departamento de Justiça dos EUA: Explicação sobre a Lei CLOUD
Algumas perguntas de aprofundamento úteis são: que entidade pode aceder aos dados, quem controla as chaves de acesso, como são analisados os pedidos das autoridades e que tipo de aviso prévio pode o prestador de serviços dar? Essas respostas são mais informativas do que uma promessa de que a localização de uma empresa ou de um servidor elimina todos os riscos legais.
Solicite o seguinte antes de escolher uma plataforma:
Separe os dados da aplicação dos dados de faturação, mas não presuma que as informações de faturação sejam anónimas. Os dados de contacto de um titular de conta identificado podem continuar a ser dados pessoais. As integrações opcionais devem ser avaliadas tanto quanto às informações que enviam como às que recebem.
Guarde o Acordo de Tratamento de Dados (DPA) e as declarações de tratamento do prestador de serviços juntamente com a sua avaliação. Registe qualquer requisito que seja relevante para a sua organização, tal como uma região de alojamento específica ou restrições ao acesso ao apoio técnico. Solicite esclarecimentos por escrito sobre quaisquer pontos por resolver antes de se basear numa designação genérica como «alojado na UE».
No caso da PersoHR, comece por consultar as nossas medidas de segurança, o Acordo de Tratamento de Dados e a lista de subcontratantes. Estes documentos descrevem diferentes aspetos do serviço e devem ser lidos em conjunto. Uma descrição completa do fluxo de dados é mais útil do que a alegação de que a localização geográfica, por si só, torna um produto conforme com a legislação.
Experimente o PersoHR gratuitamente durante 30 dias. Sem cartão de crédito.
Comece o seu período experimental gratuito de 30 dias