O que é a certificação ISO 27018 e por que ela importa para seus dados pessoais na nuvem?

A ISO 27018 é a norma internacional que define como provedores de serviços em nuvem devem proteger dados pessoais. 

Para empresas que tratam informações de clientes, funcionários e parceiros, o tema ganha espaço nas decisões de compra.

Assim, quando esses dados passam por uma plataforma digital, surge uma pergunta: quem protege essas informações e com quais regras?

Neste artigo explicaremos o que é a ISO 27018, como ela se diferencia da ISO 27001 e o que ela controla. 

Além disso, mostraremos por que a norma importa para plataformas de assinatura eletrônica e digital e como se conecta à LGPD, além de perguntas que o time de compliance pode fazer para fornecedores de tecnologia.

O que é a ISO 27018?

A ISO 27018 é uma norma internacional que reúne boas práticas para proteger informações de identificação pessoal (PII) em nuvens públicas. 

PII é a sigla em inglês de personally identifiable information. O termo reúne dados que identificam uma pessoa, direta ou indiretamente, como nome, CPF, e-mail e endereço. 

A norma se dirige a provedores que atuam como processadores desses dados. Ou seja, o provedor trata as informações em nome do cliente e segue as instruções dele. 

Na prática, a ISO 27018 funciona como um conjunto de controles de privacidade. Os temas centrais são consentimento, finalidade do uso e transparência sobre onde os dados ficam. 

Também entram o apoio ao cliente em incidentes e as regras de devolução ou descarte ao fim do serviço.

A adesão à norma é voluntária. Por isso, a certificação mostra uma decisão da empresa de assumir compromissos adicionais com a privacidade. 

Além disso, ela depende de auditoria feita por organismo independente e de revisões periódicas.

A privacidade na nuvem faz parte de um cuidado maior com a proteção das informações no ambiente digital. Confira um artigo sobre o assunto: Segurança de dados: como manter documentos digitais protegidos? 

Qual é a diferença entre a ISO 27018 e a ISO 27001?

A ISO 27001 trata da gestão da segurança da informação como um todo. Ela estabelece o sistema de gestão, com análise de riscos, controles e melhoria contínua, e vale para qualquer tipo de informação da empresa.

Já a ISO 27018 olha para um recorte específico: a privacidade dos dados pessoais em serviços de nuvem pública. 

Ela se apoia na estrutura da ISO 27001 e, por isso, acrescenta controles voltados a esse tema.

Na prática, as duas normas trabalham juntas. A ISO 27018 costuma ser auditada como extensão da ISO 27001 e parte de um sistema de gestão já estruturado. Dessa forma, nenhuma das duas substitui a outra.

A tabela abaixo resume as principais diferenças:

Tema	ISO 27001	ISO 27018
Foco	Segurança da informação em geral.	Privacidade de dados pessoais (PII) em nuvem pública.
Tipo de informação	Qualquer informação da empresa.	Informações que identificam pessoas.
Para quem se aplica	Organizações de qualquer porte ou setor.	Provedores que tratam dados pessoais como processadores.
O que estabelece	Sistema de gestão, com análise de riscos e melhoria contínua.	Controles de consentimento, finalidade, localização, incidentes e descarte.
Relação entre elas	Base da estrutura de segurança.	Complemento da ISO 27001.

Juntas, as duas normas ajudam a avaliar a maturidade do fornecedor com mais clareza. A D4Sign também é certificada pela ISO 27001, e o conteúdo “ISO 27001: O que essa certificação significa para os seus contratos” explica o que ela representa. 

Quem responde pelos dados pessoais quando um fornecedor armazena as informações?

Em geral, a empresa que contrata o serviço continua responsável pelas informações que coleta, inclusive diante das pessoas a quem os dados pertencem. 

Contratar um fornecedor não transfere essa responsabilidade por completo.

Por isso, escolher um fornecedor que cuida bem da privacidade faz parte da gestão de risco. 

Um incidente do lado do fornecedor pode trazer consequências jurídicas, financeiras e de reputação para quem o contratou.

Nesse cenário, a ISO 27018 ajuda a conferir se o fornecedor segue regras claras para proteger dados pessoais.

A escolha do fornecedor é um passo importante, e a empresa também pode cuidar dos próprios dados no dia a dia. O tema aparece em: “Cibersegurança: boas práticas para gerir os dados da sua empresa”. 

O que a ISO 27018 controla na prática?

Em resumo, a norma reúne cuidados que acompanham os dados pessoais durante todo o tratamento. 

Entre os principais estão:

• Uso dos dados: Os dados pessoais servem apenas à finalidade contratada. Para usar essas informações em publicidade ou marketing, o provedor precisa do consentimento do cliente.
• Onde os dados ficam: O cliente tem o direito de saber em quais países as informações ficam armazenadas.
• Comunicação com o cliente: O provedor mantém um fluxo definido para informar o cliente sobre qualquer situação que possa envolver dados pessoais e apoia a resposta. 
• Fim do serviço: Quando o contrato termina, uma política define o que acontece com os dados.

Na D4Sign, o armazenamento é feito em servidores da Amazon Web Services (AWS) no Brasil, nos Estados Unidos e na Itália. 

A escolha dessa infraestrutura faz parte do cuidado com a privacidade dos documentos. Confira os detalhes em: D4Sign e AWS: mais segurança para os seus documentos. 

Por que a ISO 27018 importa para plataformas de assinatura eletrônica?

Plataformas de assinatura funcionam na nuvem e guardam as informações que as empresas inserem nelas. 

Nesse cenário, a empresa que usa a solução passa a depender do fornecedor para proteger essas informações. 

É esse cuidado que a ISO 27018 cobre: como o fornecedor trata os dados pessoais que ficam sob a responsabilidade dele na nuvem.

Por isso, a norma funciona como um critério de escolha. Ela ajuda a avaliar se a plataforma segue regras claras sobre uso, localização e descarte desses dados.

Assim, a ISO 27018 dá aos clientes um parâmetro claro sobre o cuidado com essas informações.

A proteção de dados pessoais na nuvem depende de uma base de segurança da informação presente em todas as áreas da empresa. O conteúdo “Por que a segurança da informação deve ser prioridade em todos os departamentos” aborda esse ponto em detalhes.

Como a ISO 27018 se relaciona com a LGPD?

Dado pessoal é qualquer informação que identifica uma pessoa ou permite identificá-la, como nome, CPF, e-mail e telefone. 

A LGPD é a lei brasileira que regula o tratamento de dados pessoais e vale para todas as empresas. 

A ISO 27018 é uma norma internacional de boas práticas, que cada empresa decide adotar. 

Portanto, uma não substitui a outra. 

Ainda assim, os dois textos têm vários pontos em comum:

• Transparência: Ambos pedem clareza sobre como os dados são usados e onde ficam.
• Consentimento e finalidade: Ambos limitam o uso das informações ao motivo informado à pessoa.
• Segurança: A LGPD pede medidas técnicas e administrativas para proteger os dados (art. 46 da Lei 13.709/2018), e a ISO 27018 detalha cuidados voltados à nuvem.
• Direitos das pessoas: Ambos tratam de acesso, correção e exclusão das informações.

A certificação ajuda a mostrar as boas práticas do fornecedor. Já a adequação à LGPD depende das decisões e dos processos de cada empresa.

A LGPD tem muitos detalhes, e a D4Sign explica os principais em: O que é LGPD e como se adequar à Lei Geral de Proteção de Dados Pessoais.

O que muda na prática para quem usa a D4Sign?

A D4Sign conquistou a ISO 27018 como extensão da ISO 27001, certificação renovada em 2026. 

Com isso, as equipes de TI, jurídico e compliance ganham um ponto de partida mais claro para avaliar a plataforma:

• Apoio em avaliações de fornecedores: A certificação serve como evidência em questionários, análises de parceiros e processos internos de aprovação.
• Regras claras sobre os dados: O uso dos dados segue regras definidas por uma norma internacional. Eles servem à finalidade contratada, e o uso em marketing depende do consentimento do cliente. 
• Clareza sobre localização: O cliente sabe em quais países os dados ficam armazenados.
• Avaliação independente: Um organismo externo avalia os processos da D4Sign, e a certificação exige revisões periódicas. Assim, o compromisso com a privacidade ganha acompanhamento regular.
• Transparência com o cliente: Caso surja qualquer situação que possa envolver dados pessoais, a D4Sign segue um fluxo definido para comunicar o cliente de forma imediata. 

A privacidade também depende dos hábitos do dia a dia, tanto no fornecedor quanto na empresa que contrata. O tema aparece em: “Cultura de segurança digital: como transformar sua equipe em aliados?” 

Quais perguntas o time de compliance pode fazer a fornecedores de tecnologia?

Uma conversa organizada ajuda a conhecer melhor qualquer fornecedor que trate dados pessoais na nuvem. 

Algumas ideias de perguntas para começar:

• Certificações: Quais certificações de segurança e privacidade o fornecedor possui? Elas cobrem o serviço que a empresa pretende contratar? A resposta ajuda a entender se o cuidado com a privacidade vale para o serviço que será usado.
• Avaliação independente: Um organismo externo faz a auditoria? Qual é o prazo de validade da certificação? Um olhar de fora e uma certificação em vigor dão mais confiança à análise.
• Uso dos dados: Os dados dos clientes podem servir a outras finalidades além do serviço contratado? Entender a finalidade ajuda a alinhar o uso das informações ao que foi combinado em contrato.
• Localização: O fornecedor informa em quais países os dados ficam armazenados? Saber onde as informações ficam facilita o alinhamento com as políticas da própria empresa.
• Comunicação: Existe um fluxo para manter o cliente informado caso surja alguma situação envolvendo dados pessoais? Um fluxo definido ajuda a empresa a se organizar com rapidez, se precisar tomar alguma providência.
• LGPD e atendimento: O fornecedor está em conformidade com a LGPD e oferece suporte em português para dúvidas sobre privacidade? A conformidade com a lei e um atendimento próximo facilitam o dia a dia da parceria.

Cada empresa pode adaptar a lista à própria rotina. Respostas claras e fáceis de registrar ajudam a decidir com mais tranquilidade.

Essas perguntas costumam fazer parte da análise prévia de um fornecedor, conhecida como due diligence. O tema aparece em “O que é due diligence e como a tecnologia pode apoiar o processo”.

Perguntas frequentes sobre a ISO 27018

A ISO 27018 é obrigatória?

Não. A norma é voluntária. Mesmo assim, muitas empresas passaram a pedir a certificação de fornecedores. Ela mostra de forma clara como o fornecedor cuida dos dados pessoais na nuvem.

A ISO 27018 substitui a ISO 27001?

Não. A ISO 27001 cuida da segurança da informação em toda a empresa. A ISO 27018 acrescenta cuidados de privacidade para dados pessoais em nuvem pública. Por isso, as duas se complementam.

Ter a ISO 27018 significa estar em conformidade com a LGPD?

Não, são coisas diferentes. A LGPD é uma lei, e a ISO 27018 é uma norma de boas práticas que cada empresa decide adotar. A norma tem pontos em comum com a lei, como transparência e finalidade, e apoia o cuidado com os dados pessoais. A adequação à LGPD depende dos processos e das decisões de cada empresa. 

Quem pode obter a ISO 27018?

A norma se aplica a provedores que tratam dados pessoais em nuvem pública, em nome dos clientes. Um organismo independente faz a auditoria, e a empresa passa por revisões periódicas.

Onde são armazenados os dados na D4Sign?

Na D4Sign, os dados ficam armazenados em servidores da AWS no Brasil, nos Estados Unidos e na Itália. 

Quando a escolha envolve uma plataforma de assinatura, os mesmos critérios ajudam a separar as opções. Confira a análise dos requisitos no artigo: “Como escolher um serviço de assinatura digital confiável e seguro para contratos?” 

Segurança, privacidade e validade jurídica em uma só plataforma

Na D4Sign, a segurança da informação, a privacidade dos dados na nuvem e a conformidade com a LGPD caminham juntas. 

A validade jurídica das assinaturas segue as leis que amparam a assinatura eletrônica no Brasil, como a MP 2.200-2/2001 e a Lei 14.063/2020. 

Assim, a empresa assina, gerencia contratos e usa inteligência artificial em um só lugar, com usuários ilimitados* e suporte em português. 

Essa combinação traz paz operacional para o dia a dia. 

Conheça os planos e preços da D4Sign ou fale com vendas para encontrar a opção ideal para o momento da empresa.

*Exceto o plano de documentos ilimitados.