Nos documentos oficiais, a empresa que usa o Bitrix24 é a controladora dos dados que coloca na conta, e a Alaio processa “on Your behalf, under Your instructions” (Termos de Serviço, 17/08/2026). Os dados das contas bitrix24.com.br ficam em datacenters da AWS nos Estados Unidos, na Virgínia.
Este conteúdo não é parecer jurídico e não substitui análise jurídica. Ele descreve o que os documentos oficiais e a Lei 13.709/2018 dizem, com citação e data, e cada enquadramento precisa ser validado pelo jurídico ou pelo encarregado (DPO) da sua empresa.
A Tiqtech é parceira Bitrix24 de nível Gold (perfil oficial no diretório, verificado em 17/09/2026) e revende licenças Professional e Enterprise. Onde duas páginas oficiais divergem, o texto traz as duas com as datas, sem escolher lado. A parte de IA está em governança da IA no Bitrix24.
Onde ficam os dados da sua conta Bitrix24
O documento oficial de infraestrutura e subprocessadores separa a hospedagem por função. Na região Américas, que inclui www.bitrix24.com.br (Infrastructure and Sub-processors, PDF, 30/07/2025):
| Função | Região e datacenter | Salvaguarda declarada na linha |
|---|---|---|
| Armazenamento de dados do cliente | “Amazon AWS, us-east-1, N.Virginia, USA. Two Availability Zones (2 data centers)” | “Standard Contractual Clauses” |
| Processamento de dados do cliente | “Amazon AWS, eu-west-1, Dublin, Ireland” | não indicada |
| Servidores de arquivo | “Amazon AWS S3, us-east-1, N.Virginia, USA” | “Standard Contractual Clauses” |
| Servidores de rede | “Amazon AWS, eu-west-1, Dublin, Ireland” | não indicada |
| Servidores de e-mail | “Amazon AWS, us-east-1, N.Virginia, USA” | “Standard Contractual Clauses” |
A regra geral é a região da assinatura: “In general, Customer Data is stored in data centers in the region from which a customer subscribes to the Bitrix24 Services”, com pedido de mudança de região possível depois.
A página de LGPD confirma o destino e abre duas saídas: “as contas Bitrix24.com.br são hospedadas nos EUA nos datacenters da Amazon Web Services, portanto, as transferências de dados internacionais ocorrem”, mas contas comerciais “podem solicitar que seus dados sejam transferidos para os centros de dados da UE via helpdesk”, e há edições On-premise à venda.
As perguntas frequentes sobre segurança, de 20/01/2026, descrevem as duas regiões possíveis: “o Bitrix24 utiliza Amazon Web Services para hospedar os dados nos EUA (Virgínia) ou na União Europeia (Frankfurt, Alemanha)”. A página de segurança repete a divisão e registra que “os dados do usuário (dados de cada empresa/cliente) são separados a nível de banco de dados e armazenamento em nuvem”.
Onde as páginas oficiais divergem
A Política de Privacidade, com “Last Updated: November 6, 2024”, nomeia outro lugar para a hospedagem: o processamento “consisting in hosting provider services” é feito “by our authorized data processor Amazon Web Services, (“AWS”), Frankfurt, Germany”.
São quatro fontes oficiais com datas diferentes: a página de LGPD e o helpdesk de conformidade apontam os Estados Unidos para as contas .com.br, o documento de infraestrutura detalha Virgínia e Dublin por função, e a Política de Privacidade cita Frankfurt. Este artigo não escolhe lado. Se a resposta vai para um contrato ou para uma auditoria, confirme a versão vigente com o suporte e registre a data.
O helpdesk de conformidade com a LGPD, de 23/06/2026, liga esse fato à lei: “as transferências internacionais de dados somente são permitidas em conformidade com a LGPD (Artigo 33º, 35º (5), LGPD)”, e as contas .com.br “estão alojadas nos centros de dados de AWS nos Estados Unidos da América que estão em conformidade com a LGPD”.
A afirmação de conformidade é da própria página de ajuda, com a data acima. Avaliar se ela resolve o caso da sua empresa é trabalho do jurídico ou do encarregado.
Quem é controlador e quem é operador, e por que isso aparece em duas camadas
A Lei 13.709/2018 define os papéis no art. 5º: controlador é quem detém “as decisões referentes ao tratamento de dados pessoais”; operador é quem “realiza o tratamento de dados pessoais em nome do controlador”.
Camada 1: os dados que a sua empresa coloca na conta, como clientes, leads e colaboradores no CRM. O item 26.3 dos Termos de Serviço diz que a Alaio processa esses dados “on Your behalf, under Your instructions in the provision of the Service and the terms of the Data Processing Agreement”.
O item 26.5 nomeia o papel: quem quiser acessar, corrigir ou excluir informação deve procurar o usuário do serviço, que é o “Controller” desses dados. Pedidos de remoção são respondidos “within thirty (30) days”.
O Acordo de Processamento de Dados, de 29/11/2024, repete a divisão no item 2.1.1: “Alaio is a processor” e “Administrator is a controller or processor, as applicable”. Pelo item 2.4, o administrador instrui a Alaio a tratar dados “only in accordance with applicable law”.
Camada 2: os dados da sua empresa como cliente da plataforma, como conta, cobrança e navegação. Aqui a Política de Privacidade inverte a posição: “The Data Controllers are Alaio legal entities”.
Com quem é o contrato
No item 35.3 dos Termos de Serviço, na faixa “All other countries except the ones stated above”, que alcança o Brasil, a entidade é “Alaio Inc. 700 North Fairfax St., Suite 614-B, Alexandria, VA 22314, USA”. O item 30 diz que os Termos são regidos pelas leis “of the Commonwealth of Virginia”, e o item 12.1 do DPA sujeita o acordo às leis “of Republic of Cyprus”.
São fatos documentais, e o efeito prático dessas cláusulas em um caso brasileiro entra na lista do fim do artigo.
Duas regras da LGPD fecham a seção. O art. 39 determina que “o operador deverá realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções”. O art. 42 trata da reparação de dano, com o detalhamento na FAQ.
O que a plataforma entrega e o que é responsabilidade de configuração
| Documentado como responsabilidade da Bitrix24 e da Alaio | Depende de configuração ou decisão da sua empresa |
|---|---|
| Acordo de Processamento de Dados “assinado digitalmente” para todos os clientes do Brasil, com informações de infraestrutura, subprocessadores e controladores conjuntos (página de LGPD) | “Abra o widget das Configurações e forneça as informações obrigatórias na guia Conformidade com a LGPD” (helpdesk, 23/06/2026) |
| Conexões criptografadas, dados isolados e autorização de dois fatores disponível, pela mesma página de LGPD | Ativar nos formulários de CRM e no widget de bate-papo ao vivo “a opção que solicita o consentimento para o processamento de dados pessoais” (mesmo helpdesk) |
| Dados separados “a nível de banco de dados e armazenamento em nuvem” e TLS com chave de 256 bits (página de segurança) | Atender pedidos de cópia, exclusão e anonimização com os aplicativos “LGPD para funcionários” e “LGPD para CRM” (mesmo helpdesk) |
| Contratos com subprocessadores e responsabilidade por “all acts and omissions of, the Sub-processor” (item 7.2 do DPA) | Obter “all necessary notices, permissions, and consents” e manter “a published privacy policy” (item 26.4 dos Termos de Serviço) |
| Notificar incidente ao administrador “promptly and without undue delay” (item 8.1 do DPA) | Indicar encarregado (art. 41) e manter registro das operações (art. 37) da LGPD |
O helpdesk é explícito sobre o esforço: “se a sua empresa reside no Brasil ou trabalha com clientes do Brasil, também deve atender a todos os requisitos da LGPD”. Sobre os dois aplicativos indicados, a página de LGPD diz que um “anonimiza os dados pessoais de qualquer usuário do Bitrix24 mediante solicitação” e o outro permite “baixe dados pessoais coletados na sua conta”.
Boa parte dessa coluna depende de como estão desenhados os departamentos e permissões no Bitrix24, inclusive as permissões de um agente de IA que atue sobre os mesmos dados. Quando ninguém sabe dizer o que está ativo, a Tiqtech faz a revisão da configuração do Bitrix24 antes da auditoria.
Subprocessadores: quem mais toca nos seus dados
O documento lista, na região Américas, quem participa do serviço além da AWS:
- Suporte técnico: “Bitrix Distribution Ltd, Russian Federation”, com “Standard Contractual Clauses”.
- Transcrição de voz e demais recursos de IA: “OpenAI OpCo, LLC, US”, também com “Standard Contractual Clauses”.
- Telefonia Voximplant: “Zingaya, Inc., United States”.
- Analytics e marketing: “Google, Inc. (GCP)”, com datacenters em Iowa e em São Paulo.
- Plataforma de marketing online: “Mailchimp operated by The Rocket Science Group LLC, US”.
- Comunicação do Contact Center: “MF Management, Republic of Cyprus”.
O DPA, de 29/11/2024 prevê aviso e objeção sob condição. Pelo item 7.4, quando “the GDPR applies to the processing of Personal Data”, a Alaio informa o administrador “at least 10 days before the new Sub-processor processes any Personal Data”, com nome, localização e atividades, e ele pode se opor “within five (5) business days”. Pelo item 7.2, a Alaio continua “fully liable” pelo que subcontrata.
O item 11.3.1 registra que a Alaio “may process User Personal Data in Russian Federation subject to appropriate safeguards under article 46 GDPR” e nos Estados Unidos; o 11.3.2 cita a adesão ao EU-U.S. Data Privacy Framework.
A existência das cláusulas é fato citável; se elas bastam para o seu caso é avaliação jurídica, e este artigo não conclui nada sobre isso. No recorte de IA, que dado sai da conta em cada caminho de IA tem artigo próprio.
Exclusão, retenção e incidente de segurança
Os prazos estão no DPA, com redação própria para cada caso:
- Fim da vigência. Pelo item 2.5, a Alaio exclui todos os dados pessoais dos sistemas do Bitrix24 “as soon as reasonably practicable and within a maximum period of 90 days, unless any applicable law requires storage”.
- Conta gratuita inativa. Pelo item 2.5.1, uma conta em plano gratuito completamente inativa por 30 dias é arquivada, e, se nenhum usuário entrar por mais 15 dias depois disso, “Bitrix24 Customer Account will be deleted”.
- Exclusão pedida pelo administrador. Pelo item 2.5.2, a conta “will be made inactive immediately and completely deleted over the course of 90 (ninety) calendar days”.
Em incidente, o item 8.1 obriga a Alaio a notificar o administrador “promptly and without undue delay”. O 8.4 devolve a comunicação legal ao cliente: “Administrator is solely responsible for complying with breach notification laws applicable to Administrator”.
Do outro lado, o art. 48 da LGPD determina que “o controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares”. O trecho citado não fixa prazo em número.
O DPA ainda dá dois direitos úteis em auditoria. Pelo item 9.1, a pedido do administrador, a Alaio fornece “more detailed information on the security measures described in the Appendix 2”. Pelo item 9.2, disponibiliza informação sobre o cumprimento do DPA a cliente que não seja concorrente ou ao auditor independente dele.
A retenção começa na entrada: a migração de dados para o Bitrix24 define o que entra na conta e, por consequência, o que precisará ser respondido depois.
Segurança da conta: o que está documentado e onde a documentação está atrasada
O dispositivo desta seção é o art. 46 da LGPD: “os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados”.
Sobre o segundo fator, as duas versões oficiais do mesmo artigo de ajuda, atualizadas em 17/09/2026, usam formulações diferentes. Em português: “a nova autenticação de dois fatores está ativada por padrão para contas Bitrix24 nos planos Professional e Enterprise” (helpdesk). Em inglês: “the new two-factor authentication is required for Bitrix24 on the Professional and Enterprise plans” (helpdesk).
As duas páginas são oficiais e têm a mesma data, e este artigo não define qual formulação vale. A versão em português detalha o efeito prático: “o supervisor pode torná-la obrigatória para toda a empresa” com prazo, e quem não ativar no período “não poderá acessar o Bitrix24”.
O método também aparece de três formas. A página de LGPD fala em “Bitrix24 OTP ou Google Authenticator”; as perguntas frequentes de segurança, de 20/01/2026, em “um código único gerado por um aplicativo de autenticação”.
Já a versão em inglês de 17/09/2026 registra que agora “you can confirm sign-in using the Bitrix24 mobile app or a one-time SMS code”. Três páginas oficiais, três descrições, todas com data.
Um limite de plano vale registro: “o histórico de acesso está disponível apenas em alguns planos comerciais”, pelas perguntas frequentes de segurança. Os demais controles de acesso da conta estão no guia de governança, e o passo a passo da autenticação de dois fatores no Bitrix24 é assunto de outro texto.
O que levar ao jurídico ou ao DPO
- O DPA de 29/11/2024 e a definição de “Data Protection Legislation”, que inclui a Lei Geral de Proteção de Dados, citada no documento como “Law No. 13.709/2018 of Brazil”.
- A cadeia dos Termos de Serviço de 17/08/2026: o 26.1 nomeia o GDPR, o 26.3 incorpora o DPA por referência e o 26.4 atribui à empresa avisos, consentimentos e política de privacidade publicada.
- A lei aplicável de cada documento: Commonwealth of Virginia nos Termos, República de Chipre no DPA.
- A transferência internacional e as cláusulas contratuais padrão declaradas para armazenamento, suporte técnico e recursos de IA.
- O suporte técnico na Federação Russa e o item 11.3.1 do DPA, que prevê processamento nesse país com salvaguardas.
- Os prazos de exclusão e o fluxo de incidente, com quem, na sua empresa, comunica a ANPD e o titular pelo art. 48.
- A base legal de cada tratamento, o registro das operações (art. 37) e a indicação do encarregado (art. 41), atribuídos ao controlador.
Este conteúdo não é parecer jurídico e não substitui a análise do jurídico ou do encarregado.
Perguntas frequentes
O que diz o artigo 42 da LGPD?
Pelo caput, “o controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo”. O § 1º, I, equipara o operador ao controlador quando descumpre a legislação ou não segue instruções lícitas.
A quem a LGPD não se aplica?
O art. 4º lista as hipóteses: tratamento “realizado por pessoa natural para fins exclusivamente particulares e não econômicos”; para fins “jornalístico e artísticos” ou acadêmicos; para “segurança pública”, “defesa nacional”, “segurança do Estado” e investigação de infrações penais; e dados “provenientes de fora do território nacional” que não sejam objeto de comunicação.
Quais empresas precisam cumprir as exigências da LGPD?
O art. 3º aplica a lei a qualquer operação de tratamento “independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados”, desde que a operação ocorra no território nacional ou trate dados de indivíduos localizados nele. O texto não condiciona a aplicação ao país onde os dados estão armazenados.
Qual empresa responde pelo Bitrix24 no contrato?
Os documentos consultados não tratam de participação societária. No item 35.3 dos Termos de Serviço, a entidade contratante para os países não listados, caso do Brasil, é a “Alaio Inc.” em Alexandria, Virgínia. Os Termos são regidos pela lei da Virgínia e o Acordo de Processamento de Dados, pela lei da República de Chipre.
Onde ficam os dados do Bitrix24?
O documento de infraestrutura, de 30/07/2025, registra armazenamento em “us-east-1, N.Virginia, USA” e processamento de dados do cliente em “eu-west-1, Dublin, Ireland” para a região das Américas. O helpdesk de segurança fala em EUA (Virgínia) ou União Europeia (Frankfurt). A Política de Privacidade cita Frankfurt como operador de hospedagem.
Por onde começar a resposta
Quando a pergunta chega do jurídico, de um cliente ou de uma auditoria, o caminho curto é juntar quatro documentos com a data da versão lida: Termos de Serviço, Acordo de Processamento de Dados, documento de infraestrutura e subprocessadores e Política de Privacidade. A lista acima indica o que perguntar.
Para revisar a configuração da conta antes desse tipo de conversa, fale com a Tiqtech sobre a revisão da conta, parceira Bitrix24 de nível Gold. Nada aqui substitui a validação do jurídico ou do encarregado da sua empresa.