O que é o limite de dados da UE?

Visão geral do limite de dados da UE

O Limite de Dados da UE é um limite geograficamente definido no qual a Microsoft se comprometeu a armazenar e processar Dados do Cliente e dados pessoais para nossos serviços online empresariais da Microsoft, incluindo Azure, Dynamics 365, Power Platform e Microsoft 365, sujeitos a circunstâncias limitadas em que dados do cliente e dados pessoais continuarão a ser transferidos fora do Limite de Dados da UE. Essa documentação fornece detalhes sobre essas transferências. Os serviços online incluídos no compromisso de Limite de Dados da UE (conhecido nesta documentação como Serviços de Limite de Dados da UE) são identificados nos Termos do Produto da Microsoft como parte dos contratos de serviços.

Dados do Cliente

Conforme definido nos Termos do Produto da Microsoft, Os Dados do Cliente significam todos os dados, incluindo todos os arquivos de texto, som, vídeo ou imagem e software, que são fornecidos à Microsoft por ou em nome do Cliente por meio do uso do Serviço Online. Os Dados do Cliente não incluem dados de serviços profissionais. Para obter clareza, os Dados do Cliente também não incluem informações usadas para configurar recursos nos Serviços Online, como configurações técnicas e nomes de recursos.

Dados pessoais em logs gerados pelo sistema

A Microsoft serviços online criar logs gerados pelo sistema como parte da operação regular dos serviços. Esses logs registram continuamente a atividade do sistema ao longo do tempo para permitir que a Microsoft monitore se os sistemas estão operando conforme o esperado. O "log" (armazenamento e processamento de logs) é essencial para identificar, detectar, responder e evitar problemas operacionais, violações de política e atividade fraudulenta; otimizar o desempenho do sistema, da rede e do aplicativo; ajudar em investigações de segurança e atividades de resiliência; e para cumprir as leis e regulamentos. Embora o foco desses logs esteja em como os sistemas estão operando e não em usos individuais, quando os eventos nos serviços de nuvem da Microsoft são iniciados pela interação do usuário com um serviço de nuvem, alguns logs que refletem diretamente esses eventos irão – e devem para cumprir suas finalidades – conter campos que identifiquem ou possam identificar pessoas específicas. Esses logs contêm dados pessoais. Exemplos de logs gerados pelo sistema que podem conter dados pessoais incluem:

• Dados de uso do produto e do serviço, como logs de atividades do usuário
• Dados gerados especificamente pela interação dos usuários com outros sistemas

Pseudonymization em logs gerados pelo sistema

A pseudonymization, conforme definido no GDPR, artigo 4º(5), é o processamento de dados pessoais para que ele não possa mais ser atribuído a um titular de dados específico sem usar informações adicionais. Em outras palavras, ele usa informações identificáveis pessoalmente em um registro de dados e as substitui por um ou mais identificadores artificiais ou pseudônimos, protegendo assim a identidade do titular dos dados.

A Microsoft exige que todos os dados pessoais em logs gerados pelo sistema sejam pseudônimos. A Microsoft usa várias técnicas para pseudonymize dados pessoais em logs gerados pelo sistema, incluindo criptografia, mascaramento, tokenização e desfoque de dados. Independentemente do método específico de pseudonymization, isso protege a privacidade do usuário, permitindo que o pessoal autorizado da Microsoft faça seu trabalho usando logs que contêm apenas dados pessoais pseudonymizados. Isso permite que nosso pessoal garanta a qualidade, a segurança e a confiabilidade de nossa serviços online sem identificar ou reidentificar os usuários. Por exemplo, isso permite que o pessoal do DevOps identifique a extensão de um problema de serviço entre regiões, incluindo o número de usuários afetados em qualquer região, sem que esses funcionários possam identificar ou reidentificar indivíduos específicos. Para obter mais informações sobre o modelo do Microsoft DevOps, confira Acesso remoto a dados armazenados e processados no Limite de Dados da UE. No caso de qualquer acesso não autorizado a logs gerados pelo sistema, a pseudonymization ajuda a proteger a privacidade do usuário. Controles em dados que poderiam permitir a reidentificação de indivíduos de logs pseudonymizados são os mesmos que os controles aplicados aos Dados do Cliente.

Por outro lado, outros métodos de proteção à privacidade do usuário que eliminam dados pessoais, como o anonimato, alterariam permanentemente os dados de modo que não poderiam ser usados para identificar números exclusivos de eventos ou ocorrências e eliminariam a capacidade de reidentificar indivíduos. Como os logs gerados pelo sistema contêm informações sobre ações factuais, como o tipo, o conteúdo ou o tempo das transações realizadas na nuvem da Microsoft, o anonimato comprometeria o registro histórico de ações, comprometendo a capacidade da Microsoft de garantir qualidade, confiabilidade e segurança de nossos serviços.

A Microsoft adota várias etapas para limitar o acesso e o uso de logs gerados pelo sistema. Os controles de segurança incluem:

• Minimização de dados por meio da implementação de políticas de retenção definidas no tempo mínimo de retenção necessário para cada tipo de log.
• Verificações regulares e limpeza de logs gerados pelo sistema para detectar erros ou não conformidade com a política.
• Uso limitado de logs gerados pelo sistema apenas para fins relacionados a operações de serviço.
• Políticas que exigem controles de acesso que limitam a reidentificação ou reidentificação de dados pessoais de modo que ele seja retornado à sua forma original.

Países de limite de dados da UE e locais de datacenter

O Limite de Dados da UE consiste nos países da União Europeia (UE) e da EFTA (Associação Europeia de Livre Comércio). Os países da UE são Áustria, Bélgica, Bulgária, Croácia, Chipre, Tchecos, Dinamarca, Estônia, Finlândia, França, Alemanha, Grécia, Hungria, Irlanda, Itália, Letônia, Lituânia, Luxemburgo, Malta, Holanda, Polônia, Portugal, Romênia, Eslováquia, Eslovênia, Espanha e Suécia; e os países da EFTA são Liechtenstein, Islândia, Noruega e Suíça.

O Limite de Dados da UE usa ou pode usar datacenters da Microsoft anunciados ou atualmente operando na Áustria, Bélgica, Dinamarca, Finlândia, França, Alemanha, Grécia, Irlanda, Itália, Holanda, Noruega, Polônia, Espanha, Suécia e Suíça. No futuro, a Microsoft poderá estabelecer datacenters em países adicionais localizados na UE ou na EFTA para fornecer serviços de limite de dados da UE.

Como configurar serviços para uso no Limite de Dados da UE

Para os Serviços de Limite de Dados da UE, os Dados do Cliente e os dados pessoais pseudonymizados são armazenados e processados em datacenters localizados em países da UE ou EFTA. Em alguns casos, os clientes podem selecionar a região de implantação da UE diretamente; em outros, o local é atribuído automaticamente com base no local do cliente, no endereço de cobrança ou em uma decisão do cliente de fazer com que seu ambiente resida no Limite de Dados da UE.

• Para o Azure, os serviços regionais que um cliente implanta em uma região de Limite de Dados da UE estarão no escopo do Limite de Dados da UE. Para obter mais informações, incluindo detalhes sobre quais regiões do Azure estão na UE e no EFTA, consulte Data Residency no Azure. Para serviços não regionais do Azure, consulte Configurar serviços não regionais do Azure para o Limite de Dados da UE para obter detalhes sobre como configurar cada um desses serviços para estar no escopo do Limite de Dados da UE.
• Para Dynamics 365 e Power Platform, a área geográfica (Geo) na qual a locação de serviços de um cliente é hospedada é determinada pelo endereço de cobrança. Os clientes podem configurar seus serviços para estar no escopo do Limite de Dados da UE provisionando seu locatário e todos os ambientes Dynamics 365 e Power Platform em um Geo localizado no Limite de Dados da UE. Para obter mais informações, confira o deck de disponibilidade e Criar e gerenciar ambientes no centro de administração do Power Platform.
• Para o Microsoft 365, os clientes com um local de inscrição em um país ou região na UE ou no EFTA estão no escopo do Limite de Dados da UE. No entanto, os clientes que compraram recursos multi-geográficos não estão no escopo do Limite de Dados da UE, mesmo que seu locatário esteja listado como sendo em um país ou região na UE ou EFTA. Os clientes podem marcar o país ou a região do locatário no Centro de administração do Microsoft 365.