Servidor em Portugal ou em Frankfurt? Localização e RGPD para o seu site
Uma explicação prática para empresas portuguesas: onde ficam os nossos servidores, o que o RGPD diz sobre a localização e o que deve pedir a qualquer fornecedor. Informação a 30.09.2026.
Resposta curta
- 1Os servidores da 4hosting não estão em Portugal: os centros de dados ficam na UE, em Frankfurt.
- 2Segundo o texto do RGPD, a localização do servidor não é, por si só, o critério de licitude: o que conta é ter uma base legal para tratar os dados e um contrato de subcontratação (art. 28.º) com o fornecedor.
- 3Frankfurt fica dentro da UE, pelo que os dados não saem do espaço do RGPD.
- 4Um servidor em Portugal pode fazer sentido por razões contratuais ou internas do seu cliente, mas isso é uma exigência a verificar caso a caso, não uma regra geral do RGPD.
- 5Para o seu site, a latência a partir de Frankfurt é baixa; não publicamos valores em milissegundos que não medimos.
O que o RGPD diz sobre a localização dos dados
O RGPD (Regulamento (UE) 2016/679) aplica-se de forma uniforme em todos os Estados-Membros. Segundo o seu texto, a circulação de dados pessoais dentro da União não deve ser restringida por razões ligadas à proteção de dados, o que inclui alojar um site português num servidor noutro país da UE.
As regras mais exigentes surgem quando os dados são transferidos para fora da UE/EEE. Não é o caso de Frankfurt, que é uma localização da União. Continua, no entanto, a ser necessário perguntar onde estão os subcontratantes do seu fornecedor e se algum acede aos dados a partir de fora da UE.
Nota: não conseguimos abrir o texto oficial no EUR-Lex durante a preparação desta página. Trate as referências a artigos como orientação e confirme-as na versão oficial do regulamento.
A autoridade em Portugal: a CNPD
A autoridade de controlo em Portugal é a Comissão Nacional de Proteção de Dados (CNPD), cujo sítio oficial é cnpd.pt. É a ela que se recorre para orientações nacionais e para reclamações.
A 4hosting não substitui o seu encarregado de proteção de dados nem um parecer jurídico. Não assinamos, em nome do cliente, a conformidade com a lei portuguesa: fornecemos infraestrutura e um contrato de tratamento de dados; a responsabilidade pelo tratamento continua a ser sua.
Onde a localização do servidor realmente importa
Há três situações em que vale a pena discutir a localização: um contrato com um cliente público ou regulado que exige alojamento em território nacional, uma política interna de risco, ou requisitos setoriais específicos. Nestes casos, a exigência vem do contrato ou do regulador do setor, e deve pedi-la por escrito.
Fora dessas situações, a decisão costuma resumir-se a três perguntas: onde estão os dados, quem os pode aceder e que contrato regula esse acesso. Um servidor em Frankfurt com um contrato de subcontratação adequado responde a estas perguntas tão bem como um servidor em Lisboa sem contrato.
Três exemplos
Loja online portuguesa com clientes na UE
Uma loja em Lisboa que vende para vários países da UE guarda encomendas e dados de clientes. Alojar em Frankfurt mantém os dados dentro da UE; o essencial é o contrato de subcontratação, a política de privacidade e a lista de subcontratantes atualizada.
Clínica ou consultório com dados de saúde
Dados de saúde são categorias especiais de dados. Antes de escolher servidor, confirme com o seu encarregado de proteção de dados e com o regulador do setor se existe alguma exigência de localização; se existir, deve ficar refletida no contrato.
Empresa que presta serviços a um organismo público
Alguns cadernos de encargos impõem alojamento em território nacional. Se o seu for o caso, um servidor em Frankfurt não cumpre essa cláusula, e é melhor saber isso antes de contratar do que depois.
Erros comuns
- Assumir que “servidor em Portugal” é sinónimo de “conforme com o RGPD”. A localização é um fator, não a conformidade.
- Não pedir o contrato de subcontratação (DPA, art. 28.º do RGPD) ao fornecedor de alojamento.
- Ignorar onde estão os subcontratantes e as cópias de segurança, e não apenas o servidor principal.
- Esperar que o fornecedor certifique a conformidade do seu site. A 4hosting não é entidade certificadora e não atesta conformidade legal em nome do cliente.
- Confundir o IP do servidor com a segmentação geográfica de SEO: o Google usa conteúdo e hreflang, não o país do IP.
Como a 4hosting ajuda
- Centros de dados na UE, em Frankfurt, e não em Portugal — dito de forma clara.
- Contrato de tratamento de dados (DPA, art. 28.º do RGPD) e cláusulas contratuais-tipo (SCC) para transferências, quando aplicáveis.
- Alinhamento com a ISO 27001 (alinhamento, não certificação); a 4hosting não tem certificação ISO, SOC 2 ou equivalente.
- Migração gratuita a partir do seu fornecedor atual e proteção DDoS L3/L4 incluída.
- Cada plano inclui horas mensais de DevOps, cibersegurança e programação (1 a 8 horas nos VPS), pedidas no painel.
Perguntas frequentes
A 4hosting tem servidores em Portugal?
Não. Os centros de dados são em Frankfurt, na UE.
Alojar um site português fora de Portugal é permitido pelo RGPD?
Segundo o texto do RGPD, a localização dentro da UE não é, por si só, um obstáculo. Confirme sempre os requisitos do seu setor e dos seus contratos, e peça um contrato de subcontratação ao fornecedor.
A 4hosting garante que o meu site cumpre o RGPD?
Não. A 4hosting fornece infraestrutura e um contrato de tratamento de dados, mas não certifica nem assina a conformidade legal do cliente.