Um parceiro de desenvolvimento na Armênia ou na Geórgia em vez da Polônia: o que muda para uma fintech da UE com o GDPR, o DORA e o contrato

Para uma fintech da UE, uma empresa de desenvolvimento na Armênia ou na Geórgia exige mais trabalho no contrato do que uma na Polônia. Se os engenheiros dela podem ver dados pessoais, o contrato precisa de um instrumento de transferência, como as cláusulas contratuais padrão, e a cláusula de solução de disputas deve levar a uma decisão que possa ser executada lá. Se o DORA se aplica a você e o serviço apoia uma função crítica ou importante, sua avaliação de riscos também precisa perguntar sobre a proteção de dados e a aplicação da lei nesse país. As verificações de engenharia, a checagem de sanções, a propriedade do código e a maior parte das cláusulas do contrato funcionam como na Polônia.

O que muda em relação a uma empresa na Polônia, e o que continua igual?

A Polônia está na UE, e a Armênia e a Geórgia não. A maior parte da diferença vem daí:

• Dados: se um engenheiro de uma empresa em Yerevan ou Tbilisi consegue ver os dados pessoais dos seus clientes, esse acesso conta como uma transferência para fora da UE. O acesso a partir de Varsóvia, não
• DORA: em serviços que apoiam funções críticas ou importantes, um fornecedor de fora da UE acrescenta duas perguntas à sua avaliação de riscos, sobre proteção de dados e sobre a aplicação efetiva da lei no país dele
• Disputas: uma decisão judicial de outro país da UE é reconhecida na Polônia pelas regras da UE. Na Armênia e na Geórgia, uma sentença arbitral é mais fácil de executar do que uma decisão judicial
• Registros: o Portal Europeu de Justiça (e-Justice) pesquisa os registros comerciais da Polônia e de outros países da UE em um só lugar. Empresas armênias e georgianas estão nos seus próprios registros nacionais, em parte em armênio ou georgiano

O resto não depende do país: conhecer os engenheiros que vão fazer o trabalho, a cessão por escrito do código para a sua empresa, repositórios e contas de nuvem em nome da sua empresa, a checagem de sanções da empresa e dos donos dela e a maior parte das cláusulas contratuais que o DORA lista.

Quantas horas de trabalho temos em comum com um time em Yerevan ou Tbilisi?

Armênia e Geórgia ficam em UTC+4 o ano inteiro, segundo o banco de dados de fusos horários da IANA. Os países da UE adiantam os relógios no último domingo de março e os atrasam no último domingo de outubro. Por isso Yerevan e Tbilisi estão três horas à frente de Frankfurt, Paris e Varsóvia no inverno e duas no verão.

Com um expediente das 9h às 18h dos dois lados, um time em Yerevan tem seis horas de expediente em comum com Frankfurt no inverno e sete no verão. Com Londres, são cinco horas no inverno e seis no verão. Planeje a call diária, as revisões de código e os releases dentro dessa janela e coloque as horas em comum no contrato.

Antes de assinar, ouça em uma videochamada os engenheiros e a pessoa que vai liderar o trabalho no dia a dia usando o idioma de trabalho da sua equipe.

É transferência de dados se os engenheiros só acessam o sistema de Yerevan?

Sim, se eles conseguem ver dados pessoais. O Comitê Europeu de Proteção de Dados, que reúne as autoridades de proteção de dados da UE, escreveu nas suas Diretrizes 05/2021 que “o acesso remoto a partir de um país terceiro (mesmo que ocorra apenas pela exibição de dados pessoais em uma tela, por exemplo em situações de suporte, solução de problemas ou para fins de administração)” também conta como transferência quando os três critérios de transferência das diretrizes são cumpridos. Eles são cumpridos quando os engenheiros trabalham para outra empresa, como o seu parceiro de desenvolvimento.

O jeito mais simples de limitar a transferência é manter os dados pessoais fora do alcance dos engenheiros: dados de teste, cópias mascaradas e acesso à produção só quando necessário e com registro. O artigo sobre terceirizar o desenvolvimento de IA sem que os seus dados saiam descreve essa configuração.

Uma decisão de adequação permite que dados pessoais fluam para um país sem garantias adicionais. Em 26 de outubro de 2026, a lista dessas decisões da Comissão Europeia não inclui nem a Armênia nem a Geórgia. Para os dois países, o instrumento habitual são as cláusulas contratuais padrão, termos contratuais prontos que a Comissão adotou em 4 de junho de 2021.

Para uma empresa de desenvolvimento que trabalha com os seus dados seguindo as suas instruções, a parte das cláusulas que se aplica é o Módulo 2, para transferências de um controlador para um operador. Se a sua fintech trata os dados por conta de clientes empresariais, aplica-se em vez dele o Módulo 3, para transferências de um operador para outro operador. As perguntas e respostas da Comissão sobre as cláusulas dizem que, com o Módulo 2, você “não precisa celebrar um acordo de tratamento de dados separado”, porque ele já contém os termos que o artigo 28 do GDPR exige. O texto das cláusulas não pode ser alterado, a não ser para escolher os módulos e as opções, preencher os anexos e acrescentar garantias.

Antes de assinar, as duas partes precisam avaliar se “as leis e práticas do país terceiro de destino” podem impedir a empresa de cumprir as cláusulas. As perguntas e respostas também listam o que examinar, como as categorias e o formato dos dados e o tamanho da cadeia de tratamento.

Uma fintech britânica segue o UK GDPR. As regras de adequação do Reino Unido cobrem a Polônia como parte do Espaço Econômico Europeu e não cobrem a Armênia nem a Geórgia. Para transferências para esses países, o Information Commissioner's Office (ICO) cita o International Data Transfer Agreement (IDTA) e o International Data Transfer Addendum, que é acrescentado às cláusulas da UE, e pede também uma avaliação de risco da transferência.

O que o DORA pede quando o fornecedor está fora da UE?

O DORA, o Regulamento de Resiliência Operacional Digital da UE, é aplicável desde 17 de janeiro de 2025. Ele abrange bancos, instituições de pagamento e de moeda eletrônica, empresas de investimento, prestadores de serviços de criptoativos, plataformas de negociação e outras entidades financeiras. As regras dele se aplicam a serviços de TIC, o termo do regulamento para serviços de tecnologia. Se um contrato de desenvolvimento conta como um deles depende do que ele inclui, como suporte, manutenção ou hospedagem depois do lançamento, então pergunte primeiro à sua equipe de compliance.

Se contar, você continua “plenamente responsável” pelas suas obrigações no DORA, nas palavras do artigo 28, e registra o contrato no seu registro de informações, o cadastro de contratos de TIC exigido pelo DORA. O artigo 30 lista os termos de que todo contrato desse tipo precisa, entre eles os países onde os serviços são prestados e os dados são tratados, o aviso prévio antes de mudar esses locais e a devolução dos seus dados se o fornecedor quebrar ou o contrato terminar. Uma empresa na Polônia também precisa aceitar esses termos.

A diferença está em uma parte da avaliação de riscos, a dos serviços que apoiam funções críticas ou importantes, aquelas cuja falha prejudicaria seriamente o seu negócio ou a sua conformidade. Para qualquer fornecedor desse tipo, o artigo 29 pede que você considere as regras de insolvência aplicáveis e qualquer limitação à “recuperação urgente dos dados da entidade financeira”. Para uma empresa na Armênia ou na Geórgia, são as regras armênias ou georgianas. Para um fornecedor “estabelecido num país terceiro”, ele acrescenta “o cumprimento das regras da União em matéria de proteção de dados e a aplicação efetiva da lei nesse país terceiro”.

Pergunte à empresa onde o pessoal e os servidores dela vão trabalhar no seu sistema e como você recupera o seu código e os seus dados se ela parar de trabalhar para você. Pergunte aos seus advogados se uma decisão a seu favor pode ser executada lá. Contratos desses serviços também precisam de direitos de auditoria e de acesso e de uma estratégia de saída com período de transição, onde quer que o fornecedor esteja.

Dá para executar um contrato com uma empresa na Armênia ou na Geórgia?

Sim, se você planejar o caminho antes de assinar. Uma decisão contra a empresa precisa ser executada onde estão as contas e os bens dela, o que normalmente é o próprio país dela.

Uma sentença arbitral é mais fácil de executar. Armênia, Geórgia e Polônia são todas partes da Convenção de Nova York de 1958, pela qual os Estados contratantes reconhecem e executam sentenças arbitrais proferidas em outros Estados contratantes. A tabela de situação da UNCITRAL mostra a Convenção em vigor para a Geórgia desde 1994 e para a Armênia desde 1998. A Armênia a aplica apenas a sentenças proferidas em outro Estado contratante e a disputas que a sua lei considera comerciais.

Com decisões judiciais é mais difícil. Dentro da UE, o Regulamento Bruxelas I-A faz com que uma decisão de um tribunal alemão ou francês seja reconhecida na Polônia sem procedimento especial. A Polônia também está coberta, por meio da UE, pela Convenção da Haia de 2019 sobre sentenças, que se aplica ao Reino Unido desde 1º de julho de 2025. Em 26 de outubro de 2026, nem a Armênia nem a Geórgia são partes dessa convenção nem da Convenção da Haia de 2005 sobre acordos de eleição de foro, segundo as tabelas de situação da Conferência da Haia.

Então, para uma empresa na Armênia ou na Geórgia, pergunte ao seu advogado sobre uma cláusula de arbitragem com sede, ou seja, o domicílio jurídico da arbitragem, em um país signatário da Convenção. Pergunte também como uma decisão dos tribunais do seu país seria tratada lá. Para funções críticas ou importantes, essa resposta faz parte do que o DORA pede que você considere.

Uma empresa na Armênia ou na Geórgia é um risco de sanções em comparação com uma na Rússia ou em Belarus?

Não como país. Em 26 de outubro de 2026, o EU Sanctions Map mostra regimes de sanções da UE para a Rússia e para Belarus e nenhum para a Armênia ou a Geórgia. A lista de regimes de sanções do Reino Unido e a lista de programas de sanções do Departamento do Tesouro dos EUA também não têm nenhum para a Armênia ou a Geórgia.

Um país sem regime não deixa nenhuma empresa dele automaticamente limpa. Pesquise a empresa, cada dono que aparece no registro, o diretor e o banco que vai receber o pagamento na lista consolidada de sanções financeiras da UE e, se a sua empresa for britânica, também na UK Sanctions List. Nas suas Boas Práticas para a aplicação efetiva de medidas restritivas, atualizadas em 3 de julho de 2024, o Conselho da UE considera que uma entidade pertence a uma pessoa listada a partir de “50% ou mais dos direitos de propriedade”. Pagar a uma entidade assim contará, em princípio, como disponibilizar recursos indiretamente à pessoa listada.

Pergunte também de onde cada engenheiro do seu projeto vai trabalhar e, se alguém for trabalhar da Rússia ou de Belarus, ouça um advogado especializado em sanções antes de assinar. O artigo sobre como escolher uma empresa no Leste Europeu ou no Cáucaso explica as regras dos EUA sobre isso.

Se o seu grupo inclui uma empresa americana, verifique também onde moram os donos e os engenheiros da empresa: o Data Security Program do Departamento de Justiça, em vigor desde 8 de abril de 2025, nomeia seis “países de preocupação” (countries of concern), entre eles a Rússia, e não Belarus, a Armênia nem a Geórgia. Por esse programa, uma empresa americana só pode dar a um fornecedor constituído na Rússia acesso aos dados financeiros pessoais de mais de 10.000 pessoas dos EUA (US persons), contadas nos doze meses anteriores, se cumprir os requisitos de segurança e de conformidade do programa. A regra também alcança um fornecedor de fora dos EUA que pertença em 50% ou mais a empresas assim ou a pessoas que moram principalmente na Rússia. Um engenheiro que mora principalmente na Rússia também é uma pessoa coberta (covered person), seja quem for o empregador dele.

Com qual empresa assinamos, e como verificamos que ela é real?

Assine com a empresa que emprega os engenheiros do seu projeto. Se uma empresa oferecer um contrato com a sua entidade na UE ou nos EUA enquanto os engenheiros trabalham para a entidade armênia ou georgiana, peça para ver como o código e os direitos passam de uma empresa para a outra e depois para você.

Depois, encontre você mesmo a empresa no registro oficial. Na Armênia, é o registro de pessoas jurídicas do Ministério da Justiça, em e-register.moj.am. Na Geórgia, é o registro da Agência Nacional do Registro Público. Para uma empresa polonesa, o Portal Europeu de Justiça (e-Justice) pesquisa os registros comerciais nacionais. O artigo sobre como escolher uma empresa no Leste Europeu ou no Cáucaso explica o que cada registro mostra e com o que comparar.

Uma empresa real ainda pode parar o trabalho no meio. O artigo sobre um time dedicado que não desaparece cobre as verificações para esse risco. Os termos do DORA acima também protegem você aqui: o seu código nos seus repositórios, os seus dados devolvidos em um formato utilizável e um período de transição enquanto você faz a mudança.

Onde a amBrain se encaixa?

A amBrain, que publica este blog, é uma empresa de engenharia de software de Yerevan, Armênia, então a parte armênia deste artigo se aplica a ela. Entre os seus serviços está o “desenvolvimento de terminais de trading, sistemas de gestão de ordens e integração com bolsas via protocolo FIX”. Ela constrói software desde 2019 e trabalha em três formatos: entrega completa, time dedicado ou engenheiros embarcados no seu time.

A frase dela sobre propriedade é: “O cliente mantém a propriedade integral do produto e do código, exceto dos nossos componentes reutilizáveis.” Se a amBrain estiver na sua lista curta, faça a ela as perguntas acima, como a qualquer outra empresa: se assina as cláusulas contratuais padrão, de onde cada engenheiro trabalha, se aceita os termos do artigo 30 e a quais componentes reutilizáveis ela se refere.

Este artigo não é assessoria jurídica: peça a um advogado que leia o contrato antes de você assiná-lo.