PRD e PCN

PRD terceirizado: vantagens e limites

Um PRD terceirizado confia a um prestador o local onde os servidores são reiniciados e, muitas vezes, a guarda das cópias. Ele evita que uma PME tenha de comprar uma segunda sala de servidores. Não a dispensa de saber quem aciona o plano, onde está a chave e se o último teste foi bem-sucedido.

Atualizado em outubro de 20264 min de leitura5 fontes citadas

O essencial

Vantagens: nenhum segundo prédio, custo ligado sobretudo ao uso, cópias já fora do local, testes sem hardware interno.
Limites: o RPO continua sendo o do backup, o RTO depende das pessoas e dos horários, a chave é de sua responsabilidade.
A ANSSI, agência nacional francesa de segurança cibernética, recomenda criptografar antes do envio ao prestador e verificar se o tempo de restauração é compatível com o seu tempo de parada admissível.
O contrato deve listar os locais de hospedagem, prever a reversibilidade e, se houver tratamento de dados pessoais, as cláusulas do artigo 28 do RGPD, o regulamento europeu de proteção de dados.
Um teste automático de inicialização não é um teste funcional de negócio.

Vantagens

Nenhum segundo prédio. As instâncias existem no prestador. No dia do sinistro, ninguém sai correndo para comprar um servidor.
Custo ligado sobretudo ao uso. Em um modelo em que o acionamento é cobrado por dia, os meses sem incidente custam a preparação (armazenamento, agentes, endereços), e não uma frota de servidores ligada.
Cópias já fora do local. O PRD e o backup terceirizado se alimentam mutuamente. Não é preciso transportar fitas.
Testes técnicos possíveis sem hardware interno. Iniciar uma imagem no prestador não exige um servidor de teste guardado no armário.
Zona geográfica escolhida. Útil quando a lei ou o contrato impõe um país, desde que o contrato realmente o diga. A ANSSI recomenda exigir do prestador a lista de todos os locais de armazenamento dos dados, incluindo o local principal e os locais de contingência.

Limites

O RPO não é mágico. Ele continua igual à idade do backup escolhido. O prestador não reconstitui lançamentos que nunca foram copiados.
O RTO depende das pessoas. Se a única pessoa autorizada estiver inacessível, a instância não é iniciada. A terceirização não cria um plantão que você não contratou. Com um prestador que atende das 9h às 17h30 nos dias úteis, um sinistro no sábado à noite espera, salvo cláusula em contrário. A ANSSI pede atenção a esse ponto: o tempo de restauração no prestador deve ser compatível com o seu tempo máximo de interrupção admissível.
A chave. Se só você pode descriptografar, só você pode restaurar. A ANSSI recomenda justamente criptografar os backups por um meio próprio da organização antes do envio ao prestador. É uma proteção contra a leitura indevida. É também uma responsabilidade: chave perdida, PRD inutilizável. Um prestador honesto não vai propor guardar a chave “para ajudar” sem explicar que, nesse caso, poderá ler os dados.
A rede. Os usuários precisam alcançar a contingência. Um PRD terceirizado sem IP previsto nem VPN testada restaura servidores inacessíveis.
O retorno. Voltar ao local reparado, com os dados lançados nesse meio-tempo, é um projeto em si. Os contratos falam muito do failover de ida e pouco do retorno.
O teste de inicialização não é um teste funcional. Um controle mensal automático que verifica a inicialização é um verdadeiro diferencial. Ele não prova que o software de negócio funciona.
A dependência. Trocar de prestador exige reler as cópias. O contrato deve dizer em que prazo e de que forma você sai com os seus dados: é o que a ANSSI chama de reversibilidade, a possibilidade de reassumir a função terceirizada ou confiá-la a um terceiro, com a assistência do prestador durante a migração.

O que o contrato deve conter

O guia da ANSSI sobre terceirização recomenda anexar ao contrato um plano de garantia de segurança (PAS, na sigla francesa) e prever a auditoria dos procedimentos de backup e de contingência. Quando as cópias contêm dados pessoais, o que quase sempre acontece, o prestador é um operador (subcontratado) no sentido do RGPD. O artigo 28 exige então um contrato escrito, e o guia do operador da CNIL, autoridade francesa de proteção de dados, detalha o seu conteúdo.

Ponto	Por quê	Onde verificar
Locais de hospedagem, principal e de contingência	Exigência legal ou contratual de localização	Contrato, PAS
Horários de suporte e de acionamento	Eles fazem parte do RTO real	Condições de serviço
Testes incluídos e testes mediante orçamento	Medir o RTO antes do sinistro	Proposta comercial
Posse da chave de criptografia	Confidencialidade e capacidade de restaurar	Contrato, procedimento interno
Reversibilidade	Sair com os seus dados em caso de troca	Cláusula específica
Destino dos dados ao final do contrato	RGPD: devolução ou destruição de todas as cópias	Contrato de operação de dados
Suboperadores	RGPD: autorização prévia por escrito	Contrato de operação de dados
Alerta em caso de violação	RGPD: o operador avisa o cliente	Contrato de operação de dados

O artigo 32 do RGPD exige, além disso, meios que permitam restabelecer a disponibilidade e o acesso aos dados pessoais em prazos adequados, bem como um procedimento para testar regularmente a eficácia das medidas. Um PRD terceirizado contribui para isso, se for realmente testado.

Quando é a escolha certa

PME sem segunda sala de servidores, com um ou poucos servidores cuja parada se conta em horas e não em minutos, e sem vontade de investir em hardware ocioso. Quando a parada se conta em minutos, avalie antes um PCN, ciente do seu custo permanente: veja PCN terceirizado: vantagens e limites.

Na WeDoBack

O PRD terceirizado corresponde à oferta PRD publicada: armazenamento a partir de 175 € sem impostos por TB e por mês, agentes, endereços IP públicos a 0,54 € sem impostos por mês, instâncias, acionamento em caso de sinistro cobrado por dia, teste mensal de inicialização sem afetar a produção, teste em condições reais de até 10 horas mediante orçamento. Os dados são criptografados na máquina antes do envio, com uma chave mantida pelo cliente, e armazenados em servidores dedicados ao backup, redundantes em vários países da Europa ou na zona exigida pela legislação do cliente. Os data centers e as soluções utilizados são certificados ISO 27001 e HDS (certificação francesa para hospedagem de dados de saúde), e o tratamento segue o RGPD. O suporte humano atende das 9h às 13h e das 14h às 17h30 (horário de Paris). Esses horários fazem parte do RTO real. Devem ser lidos antes de assinar, e não depois do sinistro.

Conhecer o PRD Solicitar um orçamento

Perguntas frequentes

Quais cláusulas verificar em um contrato de PRD terceirizado?

Os locais de hospedagem (principal e de contingência), os horários de suporte e de acionamento, a forma de acionamento, os testes incluídos, a reversibilidade (de que forma e em que prazo você recupera seus dados) e, para os dados pessoais, as cláusulas do RGPD, o regulamento europeu de proteção de dados: instruções documentadas, segurança, suboperadores, destino dos dados ao final do contrato.

O prestador pode ficar com a chave de criptografia para mais segurança?

Pode, mas nesse caso ele poderá ler os seus dados. Se apenas você detém a chave, ninguém mais consegue descriptografar as cópias, mas você precisa guardá-la em local seguro, fora do site, com pelo menos duas pessoas capazes de recuperá-la. A ANSSI, agência nacional francesa de segurança cibernética, recomenda a criptografia por um meio próprio da organização antes do envio.

Um PRD terceirizado basta para estar em conformidade com o RGPD?

Ele contribui para o artigo 32, que exige meios de restabelecer a disponibilidade dos dados pessoais em prazos adequados e um procedimento para testar regularmente as medidas. Sozinho, não basta: também são necessários um contrato de operação de dados conforme o artigo 28, um registro de violações e testes documentados.

Para saber mais

Fontes

Documentos consultados em outubro de 2026.

Um projeto de backup, PRD ou PCN?

Mais de 20 anos de experiência na proteção de dados empresariais.

Solicitar um orçamento +33 9 72 50 78 28

Proteja seus dados com a WeDoBack

Backup criptografado externo, armazenamento imutável, PRD e PCN: descreva seus servidores e indicaremos a combinação mais adequada.

Solicitar um orçamento Ver ofertas e preços