PRD e PCN

PRD externalizado: vantagens e limites

Um PRD externalizado confia a um prestador o local onde os servidores reiniciam e, muitas vezes, a guarda das cópias. Evita que uma PME tenha de adquirir uma segunda sala. Não a dispensa de saber quem desencadeia o procedimento, onde está a chave e se o último teste foi bem-sucedido.

Atualizado em outubro de 20264 min de leitura5 fontes citadas

O essencial

Vantagens: sem segundo edifício, custo sobretudo associado à utilização, cópias já fora das instalações, testes sem hardware interno.
Limites: o RPO continua a ser o da cópia de segurança, o RTO depende das pessoas e dos horários, a chave está sob a sua responsabilidade.
A ANSSI, agência nacional francesa de cibersegurança, recomenda cifrar antes do envio para o prestador e verificar que o tempo de restauro é compatível com o seu tempo de paragem admissível.
O contrato deve enumerar os locais de alojamento, prever a reversibilidade e, se forem tratados dados pessoais, as cláusulas do artigo 28.º do RGPD.
Um teste de arranque automático não é um teste funcional de negócio.

Vantagens

Sem segundo edifício. As instâncias existem no prestador. No dia do sinistro, não é preciso correr a comprar um servidor.
Custo sobretudo associado à utilização. Num modelo em que a ativação é faturada ao dia, os meses sem incidentes custam a preparação (armazenamento, agentes, endereços), e não uma frota sempre ativa.
Cópias já fora das instalações. O PRD e a cópia de segurança externalizada alimentam-se mutuamente. Não é preciso transportar bandas magnéticas.
Testes técnicos possíveis sem hardware interno. Arrancar uma imagem no prestador não exige um servidor de teste guardado num armário.
Zona geográfica escolhida. Útil quando a lei ou o contrato impõem um país, desde que o contrato o diga efetivamente. A ANSSI recomenda exigir ao prestador a lista de todos os locais de armazenamento dos dados, incluindo o local principal e os locais de recurso.

Limites

O RPO não é mágico. Continua a ser igual à idade da cópia de segurança escolhida. O prestador não reconstitui registos que nunca foram copiados.
O RTO depende das pessoas. Se a única pessoa autorizada estiver incontactável, a instância não arranca. A externalização não cria um serviço de prevenção que não contratou. Num prestador aberto das 9h00 às 17h30 nos dias úteis, um sinistro num sábado à noite fica à espera, salvo cláusula em contrário. A ANSSI apela à vigilância neste ponto: o tempo de restauro no prestador deve ser compatível com o seu tempo máximo de interrupção admissível.
A chave. Se só o cliente puder decifrar, só o cliente pode restaurar. A ANSSI recomenda precisamente cifrar as cópias de segurança por um meio próprio da entidade antes do envio para o prestador. É uma proteção contra a leitura indevida. É também uma responsabilidade: chave perdida, PRD inutilizável. Um prestador honesto não lhe proporá guardar a chave «para o ajudar» sem lhe explicar que poderá então ler os dados.
A rede. Os utilizadores têm de conseguir chegar ao sistema de recurso. Um PRD externalizado sem IP previsto nem VPN testada restaura servidores inacessíveis.
O regresso. Regressar ao local reparado, com os dados registados entretanto, é um projeto em si. Os contratos falam muito da comutação de ida e pouco do regresso.
O teste de arranque não é um teste funcional de negócio. Um controlo mensal automático que verifica o arranque é uma verdadeira mais-valia. Não prova que o software de negócio funciona.
A dependência. Mudar de prestador obriga a reler as cópias. O contrato deve indicar em que prazo e em que formato sai com os seus dados: é aquilo a que a ANSSI chama reversibilidade, a possibilidade de retomar a função externalizada ou de a confiar a terceiros, com a assistência do prestador durante a migração.

O que o contrato deve conter

O guia da ANSSI sobre externalização recomenda anexar ao contrato um plano de garantia de segurança (PAS, na sigla francesa) e prever a auditoria dos procedimentos de cópia de segurança e de recurso. Quando as cópias contêm dados pessoais, o que acontece quase sempre, o prestador é um subcontratante na aceção do RGPD. O artigo 28.º impõe então um contrato escrito, e o guia do subcontratante da CNIL, a autoridade francesa de proteção de dados, detalha o seu conteúdo.

Ponto	Porquê	Onde verificar
Locais de alojamento, principal e de recurso	Exigência legal ou contratual de localização	Contrato, PAS
Horários de assistência e de ativação	Fazem parte do RTO real	Condições de serviço
Testes incluídos e testes mediante orçamento	Medir o RTO antes do sinistro	Proposta comercial
Detenção da chave de cifragem	Confidencialidade e capacidade de restauro	Contrato, procedimento interno
Reversibilidade	Sair com os seus dados em caso de mudança	Cláusula específica
Destino dos dados no fim do contrato	RGPD: devolução ou destruição de todas as cópias	Contrato de subcontratação
Subcontratantes ulteriores	RGPD: autorização prévia por escrito	Contrato de subcontratação
Alerta em caso de violação	RGPD: o subcontratante informa o cliente	Contrato de subcontratação

O artigo 32.º do RGPD exige, além disso, meios que permitam restabelecer a disponibilidade e o acesso aos dados pessoais num prazo adequado, bem como um processo para testar regularmente a eficácia das medidas. Um PRD externalizado contribui para isso, se for efetivamente testado.

Quando é a escolha certa

PME sem segunda sala, com um ou alguns servidores cuja paragem se conta em horas e não em minutos, e sem vontade de investir em hardware inativo. Quando a paragem se conta em minutos, considere antes um PCN, conhecendo o seu custo permanente: ver PCN externalizado: vantagens e limites.

Na WeDoBack

O PRD externalizado corresponde à oferta PRD publicada: armazenamento a partir de 175 € s/ IVA por TB e por mês, agentes, endereços IP públicos a 0,54 € s/ IVA por mês, instâncias, ativação em caso de sinistro faturada ao dia, teste de arranque mensal sem tocar na produção, teste em condições reais até 10 horas mediante orçamento. Os dados são cifrados na máquina antes do envio, com uma chave detida pelo cliente, e armazenados em servidores dedicados à cópia de segurança, redundantes em vários países da Europa ou na zona imposta pela legislação do cliente. Os centros de dados e as soluções utilizados têm certificação ISO 27001 e HDS (certificação francesa para o alojamento de dados de saúde), e o tratamento segue o RGPD. A assistência humana está disponível das 9h00 às 13h00 e das 14h00 às 17h30 (hora de Paris). Estes horários fazem parte do RTO real. Devem ser lidos antes de assinar, e não depois do sinistro.

Conhecer o PRD Pedir um orçamento

Perguntas frequentes

Que cláusulas verificar num contrato de PRD externalizado?

Os locais de alojamento (principal e de recurso), os horários de assistência e de ativação, o modo de desencadeamento, os testes incluídos, a reversibilidade (em que formato e em que prazo recupera os seus dados) e, para os dados pessoais, as cláusulas do RGPD: instruções documentadas, segurança, subcontratantes ulteriores, destino dos dados no fim do contrato.

O prestador pode guardar a chave de cifragem para maior segurança?

Pode, mas nesse caso poderá ler os seus dados. Se for o único a deter a chave, mais ninguém pode decifrar as cópias, mas tem de a conservar num local seguro, fora das instalações, com pelo menos duas pessoas capazes de a encontrar. A ANSSI, agência nacional francesa de cibersegurança, recomenda a cifragem por um meio próprio da entidade antes do envio.

Um PRD externalizado basta para cumprir o RGPD?

Contribui para o artigo 32.º, que exige meios para restabelecer a disponibilidade dos dados pessoais num prazo adequado e um processo para testar regularmente as medidas. Por si só não basta: são também necessários um contrato de subcontratação conforme ao artigo 28.º, um registo de violações e testes documentados.

Para saber mais

Fontes

Documentos consultados em outubro de 2026.

Externalização e segurança dos sistemas de informação: um guia para controlar os riscos (2010) — ANSSI (agência francesa)
Cópia de segurança dos sistemas de informação – Os fundamentos (ANSSI-BP-100, v1.1, 27 de novembro de 2025) — ANSSI (agência francesa)
Regulamento europeu sobre a proteção de dados pessoais – Guia do subcontratante (edição de setembro de 2017) — CNIL (autoridade francesa)
Regulamento (UE) 2016/679 (RGPD), artigos 28.º e 32.º — EUR-Lex
Oferta PRD: recuperação da atividade após um sinistro — WeDoBack

Um projeto de cópia de segurança, PRD ou PCN?

Mais de 20 anos de experiência na proteção dos dados das empresas.

Pedir um orçamento +33 9 72 50 78 28

Proteja os seus dados com a WeDoBack

Cópia de segurança encriptada fora das instalações, armazenamento imutável, PRD e PCN: descreva-nos os seus servidores e propomos-lhe a combinação adequada.

Pedir um orçamento Ver ofertas e preços