A 10 de junho de 2025, perante uma comissão de inquérito do Senado francês (a câmara alta do Parlamento), o diretor dos assuntos públicos e jurídicos da Microsoft France responde sob juramento. A pergunta: pode garantir que os dados dos cidadãos franceses confiados à Microsoft nunca serão transmitidos às autoridades americanas sem o acordo das autoridades francesas? A resposta cabe numa frase: «Não, não o posso garantir» (traduzido do francês). Acrescenta que isso nunca aconteceu — e que, se uma decisão judicial americana o exigir, a Microsoft tem de entregar os dados (Usine Digitale, Techniques de l'Ingénieur).
Não é uma confissão da Microsoft em particular. É a descrição exata de uma lei que todos os seus concorrentes americanos também aplicam: o CLOUD Act. E diz respeito diretamente ao ficheiro que está prestes a carregar num conversor PDF.
O que diz a lei, em três frases
O Clarifying Lawful Overseas Use of Data Act foi aprovado pelo Congresso americano em 2018, após anos de braço de ferro entre o FBI e a Microsoft por causa de e-mails guardados na Irlanda (Techniques de l'Ingénieur, recursos do Departamento de Justiça dos EUA). Autoriza as autoridades americanas a exigir a um fornecedor de serviços sujeito à jurisdição dos Estados Unidos os dados que estejam na sua «posse, guarda ou controlo», onde quer que esses dados estejam fisicamente armazenados (IT for Business). O critério não é a localização do servidor. É a nacionalidade da empresa que o controla.
Na prática: um ficheiro num servidor da AWS em Paris, da Azure em Marselha ou da Google Cloud em Saint-Ghislain é acessível a um pedido americano exatamente como se estivesse na Virgínia. «Servidores na Europa» é uma informação sobre geografia. O CLOUD Act é uma questão de direito.
Quem é abrangido
Qualquer empresa «sujeita à jurisdição dos Estados Unidos»: as sociedades americanas e as suas filiais, onde quer que operem. Isto abrange os três hyperscalers (Amazon Web Services, Microsoft Azure, Google Cloud) e, mais amplamente, qualquer editor americano de software ou de serviços online.
Para as ferramentas PDF, isso dá dois círculos:
Os serviços que são eles próprios americanos. A Adobe (Acrobat online) e a Foxit são sociedades americanas. Um ficheiro carregado nesses serviços está, durante o período de conservação, na posse de uma entidade diretamente visada pela lei.
Os serviços europeus alojados num fornecedor americano. É o caso mais frequente e o menos visível. O iLovePDF (Barcelona) descreve, na sua página de Segurança, uma infraestrutura assente em «parcerias cloud» e num fornecedor de armazenamento que não identifica. O Smallpdf (Suíça) indica que processa os ficheiros «na cloud». Se essa cloud for um dos três hyperscalers — o que acontece com a imensa maioria dos serviços desta dimensão —, o ficheiro fica na posse de um fornecedor sujeito ao CLOUD Act, seja qual for a nacionalidade do serviço que vê no ecrã. Só o PDF24 escreve «servidores localizados na Alemanha», também sem dizer de quem.
A pergunta a fazer a qualquer serviço não é, portanto, «onde estão os vossos servidores?», mas «quem é o dono deles?». Nenhum dos cinco grandes conversores responde a isso na página onde carrega o ficheiro — nós lemos as páginas deles uma a uma.
«Isso nunca aconteceu»
É a segunda metade da resposta da Microsoft, e é verdadeira tanto quanto a empresa sabe. Três observações:
- Um pedido ao abrigo do CLOUD Act pode vir acompanhado de uma proibição de informar o cliente. «Nunca aconteceu» significa «nunca aconteceu que saibamos, ou nunca foi divulgado».
- O risco não é estatístico, é estrutural: a lei existe, o procedimento existe, e um ficheiro que esteja num fornecedor abrangido fica exposto durante todo o tempo em que aí permanece.
- O Estado francês tirou daí as consequências: a lei SREN de 2024 impõe que os dados sensíveis da administração sejam alojados em infraestruturas qualificadas SecNumCloud (a qualificação de segurança francesa atribuída pela ANSSI, a agência nacional de cibersegurança). O referencial 3.2 exige que o prestador e as suas filiais não estejam sujeitos — nem pela sede, nem pelo acionariado, nem pelo direito que lhes é aplicável — a injunções de acesso de autoridades estrangeiras (donneespersonnelles.fr). O Health Data Hub, alojado na Microsoft Azure desde 2020 e criticado por isso, anunciou a 23 de abril de 2026 a sua passagem para a Scaleway, prestador qualificado (Tech Insider, ActuIA). Quando o Estado abandona um fornecedor para os seus dados de saúde, a pergunta merece ser feita para os seus.
A resposta dos hyperscalers: três estratégias, um mesmo problema
Os fornecedores americanos perceberam que «servidores na Europa» já não bastava. Cada um construiu uma resposta, e a forma como a construíram diz muito sobre o que a lei realmente exige.
AWS: uma estrutura separada, mas ainda Amazon. A 15 de janeiro de 2026, a AWS abriu a AWS European Sovereign Cloud em Brandeburgo: infraestrutura física e logicamente isolada do resto da AWS, 7,8 mil milhões de euros de investimento, operação reservada a pessoal residente na UE, uma nova sociedade-mãe e três filiais de direito alemão dirigidas por cidadãos europeus, um diretor-geral europeu, um conselho consultivo composto exclusivamente por cidadãos da UE (About Amazon, aws.eu, Developpez.com). É um esforço real e dispendioso. Mas essas entidades continuam detidas pela Amazon, e o CLOUD Act visa o que está sob o «controlo» de um fornecedor americano: a imprensa especializada sublinhou que nenhuma organização, por mais compartimentada que seja, pode oferecer uma garantia absoluta enquanto a casa-mãe continuar sujeita ao direito dos Estados Unidos (IT for Business). A oferta não tem qualificação SecNumCloud.
Google: ceder o controlo a um terceiro europeu. A Google escolheu outra via: a S3NS, uma joint venture de direito francês criada em 2022, detida maioritariamente e operada pela Thales, que fornece os serviços Google Cloud a partir de centros de dados franceses. A sua oferta PREMI3NS obteve a qualificação SecNumCloud 3.2 em dezembro de 2025 — a primeira combinação de uma tecnologia americana com uma operação francesa a passar o exame de imunidade às leis extraterritoriais da ANSSI (Business Wire, PAC).
Microsoft: a mesma via, ainda sem chegar ao fim. A Bleu, sociedade francesa detida pela Orange e pela Capgemini, distribui o Azure e o Microsoft 365 numa infraestrutura isolada dos sistemas mundiais da Microsoft. Ultrapassou as primeiras etapas da qualificação SecNumCloud em 2025 e visa a qualificação completa em 2026, que a meio do ano ainda não tinha sido obtida (Usine Digitale, Synapsys). A Microsoft propõe também a EU Data Boundary, um compromisso de processamento na UE — que nada muda quanto à nacionalidade da empresa.
O que estas três estratégias têm em comum é mais interessante do que as suas diferenças: para escapar à lei, a empresa que detém os dados tem de deixar de ser americana. Uma filial não basta (AWS); é preciso um acionista europeu maioritário e uma operação independente (S3NS, Bleu). É exatamente o que o referencial SecNumCloud 3.2 exige, e é o que os próprios hyperscalers acabaram por reconhecer ao construir estas estruturas. Os críticos falam de «soberania de fachada», já que o código e as atualizações continuam a ser propriedade do editor americano (Parlons Cloud); os defensores veem aí a única forma de ter serviços completos sem exposição jurídica. O debate é legítimo. Está também fora do alcance do utilizador de um conversor PDF.
Porque este é o ponto que lhe diz respeito: nenhum dos grandes conversores PDF online declara usar uma destas ofertas. Não indicam sequer quem os aloja. Não está, portanto, nem na S3NS, nem na Bleu, nem num prestador SecNumCloud; está, muito provavelmente, numa região clássica de um hyperscaler americano — precisamente aquela que o Estado decidiu abandonar para os seus dados de saúde.
O que isso muda para um ficheiro PDF
Um conversor online conserva o seu ficheiro uma hora, duas horas, por vezes sem prazo definido. Durante essa janela, o ficheiro está em claro (o servidor tem de o ler para o processar) e na posse do fornecedor de alojamento. Se esse fornecedor estiver sujeito ao CLOUD Act, o seu ficheiro também está, durante essa janela.
Para um CV ou uma brochura, a questão não se coloca. Para tudo o que envolva segredo profissional, um processo judicial, um processo clínico, uma negociação ou dados de terceiros pelos quais é responsável nos termos do RGPD, coloca-se exatamente da mesma forma que para o Estado e os seus dados de saúde.
E há um ponto que as discussões sobre soberania esquecem: o RGPD torna-o responsável pelo tratamento dos dados contidos nos ficheiros que carrega. As políticas de privacidade dos conversores dizem-no. Se um ficheiro com dados dos seus clientes ou dos seus trabalhadores for entregue a uma autoridade estrangeira a partir dos servidores de um subcontratante que escolheu, é a sua cadeia de subcontratação que está em causa.
O único dado fora de alcance: o que não sai
O CLOUD Act aplica-se a dados na posse de um fornecedor. Um dado que nunca foi transmitido a nenhum fornecedor não está na posse de ninguém a não ser de si. É uma isenção por construção, não por contrato.
É o princípio do PDFKami: juntar, comprimir, dividir e converter executam-se no seu navegador, na sua máquina. O ficheiro não é carregado. Não há cloud — nem americana, nem europeia — porque não há servidor de processamento. O próprio site é servido a partir de uma infraestrutura europeia, mas esse detalhe só diz respeito à página, não aos seus ficheiros: esses não circulam. E não é uma declaração para acreditar de olhos fechados: a política de segurança da página (CSP) proíbe tecnicamente qualquer ligação de saída, e pode verificá-lo em 60 segundos.
O que esta abordagem não cobre: o OCR pesado, a conversão de PDF para Word, a assinatura qualificada. Para essas operações, é preciso um servidor — e só para essas operações a pergunta «quem é o dono do servidor?» passa a ser a primeira a fazer. Junta-se, desde 2 de agosto de 2026, às que o AI Act coloca quando uma ferramenta «IA» lê os seus documentos.