Segurança, LGPD e due diligence: o que o time de TI precisa verificar antes de aprovar a HubSpot

A HubSpot hospeda a infraestrutura do produto na Amazon Web Services, em cinco regiões: Estados Unidos (Virgínia e Oregon), Canadá (Montreal), União Europeia (Alemanha) e Austrália (Sydney). Não há data center no Brasil, e a LGPD não exige que haja. O que a lei exige é base legal para o tratamento e um mecanismo válido de transferência internacional, hoje regulado pela Resolução CD/ANPD nº 19/2024, cujas cláusulas-padrão contratuais tiveram prazo de incorporação encerrado em 23 de agosto de 2025.

Este artigo organiza o que um comitê de TI, segurança ou compliance costuma perguntar, com a origem de cada resposta, para que a avaliação seja feita sobre documento e não sobre afirmação comercial.

Onde os dados ficam e como a região é escolhida

Cada conta é alocada em um desses data centers, e os dados do cliente são processados e armazenados naquela localidade, com replicação para recuperação de desastre dentro da mesma região de hospedagem.

Aqui está o ponto que mais surpreende empresas brasileiras: a alocação é feita pela geolocalização do endereço IP no momento do cadastro. Uma conta aberta no Brasil recebe, por padrão, um data center das Américas, sem que ninguém tenha decidido isso conscientemente. Contas com assinatura Starter, Professional ou Enterprise podem trocar de data center; contas com ferramentas gratuitas precisam fazer upgrade para trocar.

A verificação é direta, e vale fazer antes de qualquer questionário: nas configurações da conta, em Privacy & Consent, aba Data Hosting, o campo de localização de hospedagem mostra onde os dados estão. A mesma informação consta nos order forms, em Account & Billing, aba Transactions.

Os casos em que o processamento ocorre fora da região

Este é o item que separa uma due diligence superficial de uma bem feita. A documentação da HubSpot lista explicitamente as situações em que o processamento pode acontecer fora do data center escolhido:

• Aplicativos de terceiros e serviços em beta. Um app instalado do Marketplace pode processar e transferir dados para fora da região.

• Serviços de consultoria. Um Solutions Partner que trabalha na conta pode processar e transferir dados para fora da localidade de hospedagem.

• Conteúdo HubSpot. Inclui serviços de consultoria e dados de enriquecimento, que podem ser hospedados fora da região.

• Dados de analytics e uso. Dados sobre como a empresa usa a plataforma são transferidos da região de hospedagem para os Estados Unidos.

• Subprocessadores. A página de subprocessadores da HubSpot traz uma coluna por região de hospedagem, indicando onde cada um processa dados. Os marcados com asterisco correspondem a funcionalidades que a empresa pode optar por não usar, e nesse caso os dados não passam por eles.

• Acesso de usuários. Se colaboradores acessam a plataforma de outras regiões, os dados podem trafegar para fora do data center. A gestão desse acesso é responsabilidade da empresa contratante.

• Afiliadas da HubSpot, suporte e desenvolvimento, segurança e prevenção a abuso. A HubSpot, Inc. está nos Estados Unidos, e equipes de outras regiões podem acessar dados para suporte, correção de defeito ou investigação de incidente.

Um questionário de due diligence que pergunta apenas onde ficam os dados e aceita "Alemanha" como resposta não capturou nenhuma dessas hipóteses. A resposta completa é a região de hospedagem mais o mapa dessas exceções, com a decisão consciente de quais funcionalidades opcionais serão ativadas.

Certificações: o que é da HubSpot e o que é do provedor

Aqui vale precisão, porque circula informação contraditória. A própria documentação da HubSpot registra que a companhia não é certificada em ISO 27001, e que a certificação ISO 27001 e o relatório SOC 2 Type 2 pertencem à AWS, provedor de infraestrutura, dos quais a HubSpot se vale para os controles físicos, ambientais e de infraestrutura.

No acordo de processamento de dados, a HubSpot registra que seus sistemas são auditados anualmente no âmbito de SOC 2 e testados regularmente por empresas independentes de teste de intrusão, e que o relatório SOC 2 e resumos dos relatórios de pentest são fornecidos sob confidencialidade mediante solicitação. O relatório SOC 3 está disponível no Trust Center sem necessidade de acordo de confidencialidade.

A leitura correta para uma avaliação de fornecedor é a seguinte: trate a informação pública como declaração do fornecedor, solicite o relatório vigente, verifique o escopo e o período coberto, e anexe ao dossiê de avaliação. Um relatório cujo escopo não cobre o produto efetivamente contratado não comprova o que se pretende comprovar. Esse rigor não é desconfiança do fornecedor, é o padrão de qualquer avaliação de terceiros bem conduzida.

Transferência internacional sob a LGPD

O acordo de processamento de dados da HubSpot indica, como mecanismos de transferência da União Europeia para os Estados Unidos, o Data Privacy Framework nas versões UE, Suíça e extensão do Reino Unido, além das Cláusulas Contratuais Padrão da Comissão Europeia.

Para uma empresa brasileira, o mecanismo relevante é outro. A Resolução CD/ANPD nº 19/2024 regulamentou os artigos 33 a 36 da LGPD e aprovou as cláusulas-padrão contratuais brasileiras, com prazo de doze meses para incorporação nos instrumentos contratuais, encerrado em 23 de agosto de 2025. As alternativas previstas são decisão de adequação emitida pela ANPD, normas corporativas globais, cláusulas-padrão equivalentes reconhecidas por decisão da autoridade, ou as hipóteses do artigo 33 da LGPD.

Duas consequências práticas para a avaliação. Primeiro, a existência de mecanismo europeu não substitui o brasileiro: são regimes distintos, e o dossiê precisa demonstrar qual instrumento sustenta a transferência a partir do Brasil. Segundo, o regulamento determina que a transferência internacional se limite ao mínimo necessário para a finalidade, com dados pertinentes, proporcionais e não excessivos, o que conversa diretamente com a decisão sobre quais funcionalidades opcionais e quais integrações serão ativadas, porque cada uma amplia o conjunto de dados transferidos.

Este é um ponto em que uma condução local do projeto tem efeito prático: o mapeamento de finalidade, de base legal e de mínimo necessário precisa ser feito sobre o desenho real do cenário, e não sobre a documentação genérica da plataforma.

O que fica sob responsabilidade da empresa contratante

Nenhuma certificação de fornecedor cobre configuração de cliente. A camada que a empresa controla, e pela qual responde:

Autenticação. A HubSpot suporta SSO baseado em SAML com os principais provedores de identidade, incluindo Okta, Azure AD e OneLogin, com possibilidade de tornar o SSO obrigatório, definir exceções de usuário e usar provisionamento via SCIM com Okta.

Restrição de acesso. É possível limitar logins a endereços IP confiáveis, o que também alcança a configuração de acesso do suporte à conta.

Permissões e segregação. Estrutura de times, permissões por objeto e por ação, e definição de quem pode exportar dados.

Retenção e exclusão. Política de retenção definida pela empresa, procedimentos de atendimento a titular e exclusão ao término do contrato, conforme o acordo de processamento.

Governança de integrações. Cada app instalado é uma nova relação de tratamento. A avaliação precisa ser por app, não por plataforma.

Checklist de due diligence

Continue lendo

• Integrar ERP e HubSpot: as decisões de arquitetura que definem o projeto

• HubSpot Professional ou Enterprise: como decidir sem subdimensionar nem pagar demais

• Conheça os Hubs e as ofertas da Reevia

Perguntas frequentes

A HubSpot tem data center no Brasil?
Não. A infraestrutura do produto fica na AWS, nas regiões Estados Unidos (Virgínia e Oregon), Canadá (Montreal), União Europeia (Alemanha) e Austrália (Sydney). Contas pagas podem migrar entre regiões.

A LGPD proíbe armazenar dados de brasileiros fora do país?
Não. A LGPD admite a transferência internacional desde que amparada por um dos mecanismos previstos nos artigos 33 a 36, regulamentados pela Resolução CD/ANPD nº 19/2024, entre eles as cláusulas-padrão contratuais aprovadas pela autoridade.

A HubSpot é certificada em ISO 27001?
A documentação da própria HubSpot informa que a companhia não é certificada em ISO 27001 e que a certificação pertence à AWS, provedor da infraestrutura. A HubSpot registra auditoria anual no âmbito de SOC 2 e testes de intrusão por terceiros independentes, com relatórios fornecidos sob confidencialidade mediante solicitação.

Meus dados podem sair da região que escolhi?
Sim, em situações específicas listadas pela HubSpot: apps de terceiros, serviços de consultoria, dados de analytics e uso transferidos para os Estados Unidos, subprocessadores, acesso de usuários de outras regiões, afiliadas, suporte e desenvolvimento, e resposta a incidentes de segurança.

Como reduzir a superfície de transferência internacional?
Escolhendo conscientemente a região de hospedagem, avaliando cada app instalado como uma relação de tratamento própria, verificando quais subprocessadores são opcionais e desativando funcionalidades que não serão usadas, e limitando o acesso de usuários por política e por IP.

Quem responde pela configuração de segurança da conta?
A empresa contratante. Autenticação, permissões, retenção, exportação e governança de integrações são camadas de responsabilidade do cliente, e nenhuma certificação de fornecedor as substitui.

Fontes

• HubSpot Knowledge Base: infraestrutura em nuvem e hospedagem de dados

• HubSpot Legal Center: programa de segurança

• HubSpot Legal Center: acordo de processamento de dados

• ANPD: transferência internacional de dados e Resolução CD/ANPD nº 19/2024

Este artigo tem caráter informativo e não substitui orientação jurídica. Configurações, regiões e listas de subprocessadores mudam; confirme na documentação oficial na data da avaliação.