Residência de dados era uma pergunta que só advogados faziam, e times de IoT escolhiam plataforma sem saber em qual continente seus dados dormiam. Essa era acabou. Clientes europeus perguntam onde a telemetria fica armazenada antes de perguntar sobre funcionalidades, licitações públicas transformam residência em critério eliminatório e setores da saúde ao de utilidades carregam regras nacionais sobre dados que saem do país. Para quem vende serviços de IoT, as opções de residência da plataforma definem silenciosamente o seu mercado endereçável: uma plataforma com uma única região nos EUA é um teto sobre a quem você pode vender, não importa quão bom seja o produto.
Avaliar residência corretamente se resume a um punhado de perguntas, e elas separam respostas reais de respostas de marketing.
O que é residência, e o que não é
Residência de dados é a localização física e legal onde seus dados são armazenados. Ela está relacionada, mas não é a mesma coisa, a três vizinhos com os quais é confundida. Soberania de dados é sob quais leis os dados caem, o que decorre da residência mas também de quem opera a infraestrutura. Propriedade de dados é quem tem direitos sobre eles, uma questão contratual que cobrimos em quem é o dono dos seus dados de IoT. E conformidade com o GDPR é um regime legal que restringe transferências mas não exige, por si só, armazenamento na União Europeia.
Um fornecedor que responde a uma pergunta de residência com “somos compatíveis com o GDPR” respondeu outra pergunta, e vale notar quando essa substituição acontece.
As cinco perguntas que expõem respostas fracas
Primeira: em quais regiões nossos dados podem ficar, e podemos escolher por implantação? A resposta mais forte é uma lista documentada de regiões com escolha do cliente no nível de perfil ou tenant. A TagoIO, por exemplo, opera clusters separados nos EUA e na Europa, e a escolha é sua no cadastro. Se a resposta é uma região só, isso é um teto de mercado, não um impedimento, mas coloque no preço.
Segunda: todos os dados ficam na região, ou só a telemetria? É aqui que histórias fracas de residência desmoronam. Dados de série temporal podem estar em Frankfurt enquanto metadados de conta, armazenamento de arquivos ou backups silenciosamente moram em outro lugar. Pergunte especificamente sobre metadados, backups e logs, e obtenha a resposta por escrito.
Terceira: os dados transitam fora da região durante o processamento? Algumas plataformas armazenam na região mas processam, rodam analytics ou roteiam notificações por serviços em outro lugar. Se seus clientes se importam com residência, normalmente também se importam com trânsito. Isso inclui a camada de IA: se a plataforma roda Analytics e IA sobre seus dados, pergunte onde essas cargas executam e se alguma parte deixa a região. Uma plataforma que roda a inteligência dentro da mesma infraestrutura do armazenamento tem uma resposta muito mais limpa que uma que manda dados para APIs de modelo de terceiros por padrão.
Quarta: o que acontece se precisarmos mudar de região depois? Migração entre regiões é a versão de residência do vendor lock-in: possível em todo lugar, dolorosa em graus diferentes. APIs de exportação documentadas e um caminho de migração declarado são a resposta honesta; “fale com o suporte” é um sinal de alerta.
Quinta: quem pode acessar os dados, e de onde? Residência de bytes importa menos para alguns reguladores que residência de acesso. A jurisdição da equipe de suporte, as listas de subprocessadores e a entidade legal com quem você contrata pertencem todas à diligência, e uma plataforma com DPA assinado e certificação ISO 27001, como a TagoIO carrega, dá ao seu revisor de compliance uma base auditada em vez de garantias verbais.
Casando o requisito com a implantação
Não toda implantação precisa da resposta mais rigorosa, e superespecificar residência também custa dinheiro. Uma triagem útil: implantações de sensibilidade comercial (a maior parte do monitoramento industrial) precisam de escolha de região e de um DPA. Implantações com dados pessoais (qualquer coisa que toque ocupantes, trabalhadores, veículos) precisam de escolha de região, respostas sobre trânsito e a maquinaria do GDPR, o checklist completo do nosso guia de avaliação de GDPR. Implantações de setores regulados (saúde, utilidades, governo) precisam de tudo isso mais regras setoriais, e às vezes precisam genuinamente de componentes on-premises, que é onde uma opção de borda como o TagoCore mantém o processamento sensível local enquanto o resto da frota fica na nuvem.
Se você revende serviços de IoT, faça essa triagem para seus clientes antes de eles pedirem. Um revendedor que consegue dizer “seus dados ficam na Europa, aqui está o documento” ganha licitações de concorrentes que precisam de três semanas para descobrir.
O teste que resolve
Peça ao fornecedor para mostrar, não contar: um modelo de DPA assinado, a lista de regiões na documentação pública, a lista de subprocessadores e a certificação. Dez minutos de documentos valem mais que uma hora de garantias. Residência bem feita é chata, e chata é exatamente o que o time de compliance do seu cliente está comprando.
A TagoIO roda clusters na Europa e nos EUA, assina DPAs e é certificada ISO 27001, com os detalhes públicos na página de confiança. Agende uma demonstração ou comece gratuitamente.
