O Backup GRS do Azure em Brazil South mantém dados de saúde no Brasil?

Não. Um cofre do Azure Backup em Brazil South configurado com armazenamento com redundância geográfica, ou GRS, não mantém todas as cópias de backup dentro do Brasil. A Microsoft documenta que o GRS replica o backup para a região pareada. Brazil South tem pareamento assimétrico com South Central US, fora da geografia Brasil.

Essa resposta descreve o comportamento técnico do serviço, não a licitude de uma transferência nem a conformidade de uma arquitetura. A equipe precisa confirmar região primária, tipo de cofre, redundância, carga protegida e requisitos aprovados antes de afirmar onde os dados ficam. O nome da região do recurso original não basta.

Para onde vai o backup quando o cofre usa GRS?

O Azure Backup guarda cópias, pontos de recuperação e políticas em cofres. A durabilidade e a resiliência dos dados dependem da redundância de armazenamento escolhida para o cofre. A documentação distingue armazenamento com redundância local, armazenamento com redundância de zona e armazenamento com redundância geográfica.

Com GRS, o backup é concluído primeiro na região primária. Depois, os dados são replicados de forma assíncrona para a região secundária, que é a região pareada pela Microsoft. A documentação informa que essa replicação pode levar até 12 horas. Portanto, o desenho contém cópias em duas regiões e não apenas uma opção de recuperação futura.

Em Brazil South, a região secundária pareada é South Central US. A página oficial de pares classifica esse vínculo como assimétrico: Brazil South aponta para South Central US, mas South Central US tem outro par. Para uma exigência de permanência no Brasil, essa topologia precisa ser identificada antes do primeiro backup protegido.

Por que o nome Brazil South não prova contenção nacional?

A região do cofre é a região primária. Ela informa onde o cofre e a fonte protegida são implantados para esse fluxo, mas não elimina a configuração de redundância. Quando o cofre usa GRS, a cópia secundária segue o par definido pela plataforma.

Também não se deve inferir que quase todos os pares ficam na mesma geografia e, por isso, Brazil South deve funcionar assim. A própria Microsoft apresenta Brazil South como exceção. A prova precisa usar a linha específica da tabela de regiões, não uma regra geral sobre o Azure.

O mesmo cuidado vale para outros provedores. O artigo sobre adequação entre União Europeia e Brasil para dados de saúde separa localização técnica, mecanismo de transferência e demais deveres. Uma região com nome brasileiro é um dado de arquitetura. Ela não resolve, por si, finalidade, base jurídica, contrato ou transferência.

GRS, ZRS e LRS respondem a riscos diferentes

O LRS mantém redundância na região primária, mas a documentação não garante distribuição entre zonas. O ZRS replica os backups de forma síncrona entre várias zonas de disponibilidade na mesma região usada pelo cofre. O GRS acrescenta proteção contra falha regional ao replicar para a região pareada.

Escolher entre essas opções envolve disponibilidade, recuperação, custo e localização. Não existe uma resposta universal para toda carga de saúde. Uma organização pode exigir resistência a falha regional e, ao mesmo tempo, proibir uma cópia fora do país. Nesse caso, o par de Brazil South cria uma tensão que precisa de decisão explícita, não uma suposição silenciosa.

A Microsoft recomenda ZRS como nível mínimo de redundância para cargas de produção e recomenda CRR quando GRS é usado com fontes compatíveis. Essas recomendações tratam confiabilidade. A equipe ainda precisa aplicar seus próprios requisitos de residência, contrato e privacidade ao cenário concreto.

O CRR altera onde os dados são armazenados?

O Cross Region Restore, ou CRR, permite restaurar pontos da região secundária para fontes compatíveis, inclusive para exercícios quando não há falha na região primária. Ao ativá-lo, a Microsoft informa que o armazenamento do cofre passa de GRS para RA-GRS. A disponibilidade para leitura e restauração muda, mas a existência da réplica secundária vem do GRS.

Assim, não habilitar CRR não transforma GRS em armazenamento exclusivo no Brasil. Sem CRR, a cópia secundária continua associada à estratégia geográfica do cofre. A diferença principal é quando e como essa cópia pode ser usada para restauração. A Microsoft informa que, depois de habilitado, o CRR não pode ser desativado.

Um teste de continuidade deve registrar a região do destino restaurado. O guia sobre testes de restauração de backups de saúde mostra por que uma cópia existente não prova recuperação segura. No Azure, o teste também deve verificar se a recuperação criou recursos, logs ou cópias temporárias fora da localização aprovada.

Quando a redundância do cofre deve ser decidida?

A documentação de confiabilidade trata GRS como configuração para cofres novos. Ela diz que a redundância deve ser definida antes do primeiro backup. Em um Recovery Services vault, a configuração fica bloqueada depois que uma carga é protegida. Em um Backup vault, a redundância é configurada na criação.

Esse limite torna a revisão inicial importante. Descobrir a réplica nos Estados Unidos depois de acumular pontos de recuperação não equivale a trocar uma preferência visual. A migração pode exigir novo cofre, nova proteção, tratamento dos pontos antigos e uma decisão sobre continuidade. Cada etapa precisa de autorização e evidência.

Não altere ou elimine backups de produção apenas para corrigir localização sem verificar retenção, restauração, obrigações contratuais e autoridade. O artigo sobre eliminação de dados de clínica sob a LGPD explica por que pedido, prontuário, marketing e cópias sujeitas a conservação não podem ser tratados como um único conjunto.

Como comprovar a localização do backup real?

O inventário deve começar no recurso, não no desenho de arquitetura. Registre assinatura, grupo de recursos, tipo e nome do cofre, região primária, redundância atual, data da configuração, cargas protegidas e estado do CRR. Guarde identificadores técnicos, mas não copie conteúdo de saúde para o relatório.

1. Confirme que o cofre observado é o cofre usado pela carga em análise.
2. Leia a redundância efetiva no recurso e na automação que o cria.
3. Associe a região primária ao par oficial publicado pela Microsoft.
4. Liste pontos de recuperação, exportações e cofres antigos ainda existentes.
5. Verifique se CRR está habilitado e quais fontes ele suporta.
6. Teste a restauração com dados sintéticos em destino autorizado.
7. Registre lacunas, exceções e a data da próxima revisão.

Inferência operacional: se o inventário mostra Brazil South, GRS e uma carga armazenada no cofre, trate South Central US como parte do mapa de localização até que evidência específica do produto demonstre uma exceção aplicável. Essa conclusão operacional aplica a topologia documentada ao recurso observado. Ela não decide a qualificação jurídica da transferência.

O que GRS não prova sobre privacidade ou conformidade?

GRS é um controle de resiliência. Ele não prova que o serviço inteiro está conforme a LGPD, o GDPR, uma regra setorial, um contrato ou uma política interna. Também não prova minimização, autorização de acesso, retenção adequada, segregação entre clientes ou capacidade de restauração da aplicação.

Criptografia não muda a localização da cópia. O conteúdo sobre criptografia e anonimização de dados de agenda explica que dados recuperáveis por meio de chave não se tornam automaticamente anônimos. No inventário do backup, registre localização, controle da chave, funções autorizadas e trilha de restauração como fatos separados.

Uma conclusão segura é limitada: “O cofre identificado está em Brazil South, usa GRS e, conforme o par publicado pelo Azure, replica backups para South Central US.” Depois, jurídico, privacidade, segurança e continuidade avaliam esse fato diante das regras que realmente se aplicam à organização.

Perguntas frequentes

Qualquer backup em Brazil South é copiado para os Estados Unidos?

Não. A resposta depende da redundância e do produto usados. Este artigo trata do Azure Backup configurado com GRS. LRS e ZRS têm topologias diferentes, e algumas fontes usam camadas operacionais fora do cofre.

Não habilitar CRR mantém o backup GRS apenas no Brasil?

Não. CRR controla acesso e restauração na região secundária para fontes compatíveis. O GRS é que replica o backup para a região pareada.

O GRS replica imediatamente para South Central US?

Não. A Microsoft descreve a replicação como assíncrona e informa que ela pode levar até 12 horas. Esse intervalo afeta recuperação, mas não elimina a região secundária do desenho.

Usar ZRS resolve qualquer requisito de residência?

Não há conclusão universal. ZRS mantém as cópias de backup entre zonas da região usada pelo cofre, mas a organização ainda precisa verificar fontes, metadados, logs, chaves, restaurações e regras aplicáveis.

Referências

• Microsoft Learn, “Reliability in Azure Backup,” consultado em 16 de agosto de 2026, https://learn.microsoft.com/en-us/azure/reliability/reliability-backup
• Microsoft Learn, “Azure region pairs and nonpaired regions,” consultado em 16 de agosto de 2026, https://learn.microsoft.com/en-us/azure/reliability/regions-paired