ABNT NBR ISO/IEC 27018 · Certificamos esta norma
Proteção de Dados Pessoais em Nuvem Pública
A ISO/IEC 27018 estabelece controles para provedores de nuvem pública que processam dados pessoais (PII) por conta de seus clientes: consentimento e finalidade, transparência sobre subcontratados e localização, devolução e eliminação de dados, notificação de incidentes e limites ao uso para marketing.
Na auditoria
O que é esperado
- Tratamento de PII restrito às instruções do cliente, sem uso próprio (ex.: publicidade);
- Transparência sobre subcontratados, países de processamento e solicitações de autoridades;
- Mecanismos de devolução, transferência e eliminação segura de PII;
- Notificação tempestiva de incidentes envolvendo dados pessoais;
- Criptografia, controle de acesso e registros específicos para PII.
Implantação
Dicas úteis para implantar
- Mapeie onde há PII nos seus serviços de nuvem — inclusive logs e backups;
- Formalize em contrato o papel de operador e as instruções do cliente controlador;
- Publique a lista de subcontratados e localizações — transparência é requisito e argumento de venda;
- Prepare o fluxo de resposta a incidentes com foco em prazos de notificação;
- Implemente junto com 27001 + 27017; para o sistema de privacidade completo, avalie a 27701.
Onde se aplica
Segmentos aplicáveis e recomendados
Provedores SaaS B2B
Plataformas de RH e folha
Healthtechs
Edtechs
Fintechs
CRMs e martech
Hospedagem e e-mail
GovTech
Diferenciais
O que sua organização ganha
Clientes públicos
Fornecedores de nuvem para o setor público comprovam tratamento de dados de cidadãos sob controles reconhecidos internacionalmente — resposta direta às exigências de proteção de dados nas contratações públicas de TIC.
Clientes privados
Provedores certificados viram a resposta pronta ao anexo de proteção de dados dos contratos corporativos: operador confiável, com PII sob instruções do cliente e incidentes tratados com transparência.
Base legal
Legislações e referências sobre o tema
No Brasil
Clique em qualquer bloco para abrir a íntegra da lei ou referência no site oficial (nova aba). As referências indicam normas e políticas públicas que dialogam com o tema — a aplicabilidade a cada organização deve ser avaliada caso a caso.
Dúvidas frequentes
Perguntas sobre a ISO/IEC 27018
Somos um SaaS pequeno. Vale a pena?
Se o seu produto processa dados pessoais de clientes corporativos, provavelmente sim — porque o custo de não ter está no seu funil de vendas: cada cliente grande manda um questionário de privacidade diferente, e cada resposta consome dias do seu time técnico. A 27018 responde de uma vez o que todos perguntam: onde os dados ficam, quem são os subcontratados, como são devolvidos e eliminados, como incidentes são comunicados. Para um SaaS em crescimento, é das certificações com retorno comercial mais direto.
É uma certificação separada da 27001?
Na prática, não — a 27018 é um conjunto de controles que se implementa e audita como extensão da 27001, num único ciclo. O caminho típico de um provedor de nuvem: sistema 27001 como base, controles 27017 (segurança de nuvem) e 27018 (PII) incorporados ao escopo e à Declaração de Aplicabilidade. O resultado é uma auditoria só, um ciclo de manutenção só e um conjunto de certificados que conta a história completa: gestão segura de nuvem com proteção específica de dados pessoais.
Cobre transferência internacional de dados?
Sim — este é um dos pontos onde a norma mais entrega. Ela exige transparência sobre os países onde a PII é processada e sobre toda a cadeia de subcontratados, além de salvaguardas técnicas (criptografia, controle de acesso) que sustentam os mecanismos legais de transferência. Com a regulamentação de transferências internacionais da ANPD em vigor, essa transparência estruturada deixa de ser cortesia e vira insumo direto da conformidade — sua e dos seus clientes controladores.
Qual a diferença para a 27701?
Escopo e natureza. A 27018 é um conjunto de controles com foco preciso: proteger PII que você processa em nuvem pública por conta dos seus clientes — ideal para provedores no papel de operador. A 27701 é maior: um sistema de gestão de privacidade completo (PIMS), cobrindo os papéis de controlador e operador, bases legais, direitos dos titulares, avaliações de impacto e governança. Muitos provedores começam pela 27018 (resolve a dor comercial imediata) e evoluem para a 27701 quando a privacidade se torna central no negócio.
O que muda nos contratos com meus clientes?
A norma materializa o que um bom contrato de operador já deveria ter — e dá evidência auditada para sustentá-lo: tratamento de PII somente sob instruções documentadas do cliente (nunca para fins próprios, como publicidade), lista de subcontratados publicada e atualizada, prazos de comunicação de incidentes, e procedimentos de devolução e eliminação ao fim do contrato. Na negociação, isso encurta a revisão dos anexos de proteção de dados (DPAs): em vez de discutir cláusula a cláusula, você aponta os controles certificados.
Como ficam logs e backups que contêm PII?
São o teste ácido da norma — porque é onde a PII se esconde. O sistema precisa saber onde há dados pessoais além do banco principal: logs de aplicação, trilhas de auditoria, backups, réplicas e ambientes de teste. Para cada um: retenção definida e justificada, acesso restrito, criptografia e — o ponto crítico — eliminação efetiva quando o prazo vence ou o cliente encerra o contrato, incluindo a rotina que expira a PII dos backups. ‘Apagamos do sistema, mas ficou no backup para sempre’ é a não conformidade clássica que a auditoria procura.
Pronto para certificar a ISO/IEC 27018?
Solicite o orçamento com dimensionamento personalizado para o seu escopo.