A LGPD e as normas do Conselho Federal de Contabilidade (CFC) não dizem “use este servidor” ou “contrate aquela nuvem”. Elas dizem o que o escritório precisa garantir, não onde guardar fisicamente o arquivo. Isso deixa muita dúvida prática: servidor local resolve? Nuvem estrangeira é proibida? Por quanto tempo preciso manter o SPED Contábil depois que o cliente encerra o contrato?

Este guia organiza o que a Lei nº 13.709/2018 (LGPD) e a Interpretação Técnica ITG 2000 (R1), junto com as Resoluções CFC nº 1.626/2021 e nº 1.627/2021, exigem de quem guarda dados fiscais, trabalhistas e previdenciários de terceiros. Antes de decidir onde armazenar esses dados, vale revisar também como evitar a perda de dados na empresa, porque conformidade e continuidade andam juntas.

Quem é controlador e quem é operador de dados no escritório contábil?

O escritório contábil assume dois papéis diferentes ao mesmo tempo, e isso muda a responsabilidade sobre cada conjunto de dados. Como controlador, decide sozinho sobre os dados dos próprios funcionários, prestadores e sócios. Como operador, processa dados de terceiros (os clientes) seguindo instruções e finalidades definidas em contrato.

Na prática, folha de pagamento, holerites, apuração de impostos e transmissão de eSocial e SPED são atividades em que o escritório trata dado alheio por delegação. Essa distinção importa porque muda quem responde em caso de incidente: o controlador define a finalidade do tratamento, o operador responde por seguir as instruções recebidas e manter a segurança técnica combinada.

A LGPD não exige consentimento do titular para esse tipo de guarda. Três bases legais sustentam o armazenamento sem depender de autorização individual:

Isso resolve uma dúvida comum: não, o cliente não precisa “autorizar” a guarda de uma nota fiscal que a legislação tributária já obriga a manter.

Onde os dados dos clientes podem ficar armazenados, segundo LGPD e CFC?

Nem papel, nem servidor local, nem nuvem são proibidos por si só. O que a LGPD e a ITG 2000 (R1) exigem é que qualquer modalidade escolhida assegure segurança, prevenção, necessidade e confidencialidade. Cada formato carrega exigências técnicas próprias, e ignorá-las é o que gera risco, não o formato em si.

Dois pontos chamam atenção nessa tabela. O servidor local depende inteiramente da manutenção interna do escritório, e falhas ali já derrubaram operações inteiras, como mostramos em o que fazer quando o servidor da empresa para de funcionar. A nuvem nacional, por sua vez, concentra os requisitos de segurança em um único contrato com SLA mensurável, o que facilita auditoria.

É exatamente nesse ponto que entra a especialização. O Servidor na Nuvem opera como nuvem contábil nacional, com os dados dentro do Brasil, backup acompanhado (não só executado, mas verificado) e monitoramento de desempenho a cada 10 minutos. Quem quiser entender como essa estrutura de servidor em nuvem voltada à contabilidade funciona na prática pode conferir o modelo direto no site.

Por quanto tempo o escritório deve guardar os dados fiscais e trabalhistas?

Guardar demais também é risco, não só guardar de menos. O princípio da necessidade (Art. 6º, III da LGPD) exige que o dado seja eliminado quando a finalidade e a obrigação legal se encerram, mas antes disso o prazo mínimo de retenção precisa ser respeitado à risca.

Os prazos variam bastante conforme o tipo de documento. Notas fiscais eletrônicas e livros do SPED Fiscal devem ser guardados por 5 anos a partir do primeiro dia do exercício seguinte ao fato gerador, conforme o Código Tributário Nacional (Arts. 173 e 174). Esse mesmo prazo de 5 anos vale para os XMLs de documentos fiscais eletrônicos mantidos pelo contribuinte; o Ajuste SINIEF nº 2/2025 criou um prazo de 11 anos, mas ele se aplica à Administração Tributária, não ao escritório ou ao cliente.

A Escrituração Contábil Digital (ECD, o SPED Contábil) é diferente: não existe norma que autorize o descarte, então a guarda é tratada como permanente. Folha de pagamento e documentos trabalhistas seguem o prazo de 5 anos da CLT (Art. 11), enquanto informações de FGTS e eSocial têm prazos históricos que variam de 5 a 30 anos conforme o tipo de registro.

O que muda quando o servidor fica fora do Brasil?

Guardar dados em servidores fora do país não é proibido pela LGPD, mas muda a classificação jurídica da operação. Usar provedores globais com data center no exterior caracteriza transferência internacional de dados, uma categoria que exige salvaguardas contratuais específicas antes de qualquer migração.

A Resolução CD/ANPD nº 19/2024 definiu como essa adequação deve ocorrer: por meio de Cláusulas-Padrão Contratuais (CPCs) homologadas pela ANPD ou de Decisões de Adequação reconhecendo o país de destino como equivalente em proteção de dados. Sem isso, o contrato de armazenamento no exterior fica juridicamente frágil.

Havia um prazo concreto para essa transição, e ele já passou: contratos firmados com provedores internacionais antes de agosto de 2024 tinham até 23 de agosto de 2025 para incorporar as Cláusulas-Padrão Contratuais. Escritórios que ainda usam nuvem estrangeira sem esse aditamento estão operando fora do prazo regulatório estabelecido pela ANPD.

Manter o dado em servidor nacional elimina essa camada inteira de complexidade contratual. Não existe transferência internacional a regularizar quando o data center, o backup e o suporte estão dentro do território brasileiro, sob jurisdição direta da LGPD sem necessidade de cláusula adicional.

Como o escritório contábil garante conformidade na prática?

Conformidade não é um documento assinado uma vez; é uma rotina de verificação. Dois pontos contratuais merecem atenção redobrada: a adequação dos contratos com os clientes e a resposta a incidentes de segurança.

Os contratos de prestação de serviço, seguindo os modelos orientados por CFC e FENACON, devem prever a origem dos dados que o cliente está autorizando a guardar, a permissão para armazenamento em nuvens parceiras e o procedimento de devolução ou descarte ao fim do contrato. Sem essa cláusula, o escritório fica exposto caso o cliente conteste depois.

Em caso de acesso não autorizado ou vazamento, a Resolução CD/ANPD nº 15/2024 estabelece o rito: se o incidente puder gerar risco ou dano relevante aos titulares, o escritório precisa notificar a ANPD e os próprios titulares. Ter um plano de resposta definido antes do incidente, não depois, é o que separa uma resposta rápida de uma crise prolongada.

Antes de contratar qualquer provedor de nuvem, vale checar sete pontos concretos:

Se alguma dessas respostas ficar vaga, o risco de conformidade continua com o escritório, não com o fornecedor.

Quer um servidor pensado para a rotina contábil, não genérico?

O Servidor na Nuvem mantém dados em servidores nacionais, com backup acompanhado, monitoramento contínuo e suporte que já conhece SPED, eSocial e fechamento fiscal. Fale com a equipe e veja se a estrutura atual do seu escritório está pronta para a próxima auditoria.

Conhecer o Servidor na Nuvem

Conclusão

A LGPD e as normas do CFC não escolhem o formato de armazenamento pelo escritório, mas definem o padrão mínimo de segurança e os prazos que qualquer formato precisa respeitar. Papel, servidor local e nuvem nacional são todos aceitos, desde que a modalidade escolhida cumpra criptografia, controle de acesso e prazo de retenção corretos.

O ponto prático é simples: quanto mais a infraestrutura depende de manutenção interna e improviso, maior a chance de uma falha virar também uma falha de conformidade. Antes de renovar o contrato de armazenamento do escritório, revise prazos de guarda, localização dos dados e cláusulas de transferência internacional, se houver.