Software de origem russa em projetos de CFTV da UE (2026): revisão de conformidade, sanções e aquisições

Por que essa questão é importante nas contratações da UE em 2026?

Desde 2022, a UE adotou vários pacotes de sanções sucessivas contra a Rússia, juntamente com evoluções paralelas nas regras de contratação pública dos Estados-Membros. O efeito cumulativo na aquisição de software tem sido substancial: as entidades adjudicantes que anteriormente não questionavam a origem do software agora incluem rotineiramente requisitos de divulgação da origem na fase de qualificação, e as propostas que não conseguem comprovar uma origem não sancionada são geralmente filtradas antes da análise comercial.

O software de projeto de CFTV se enquadra em uma categoria particular de risco porque os artefatos que ele produz — plantas baixas, posicionamento de câmeras, topologia de rede, BOM — são sensíveis tanto do ponto de vista de segurança quanto operacional. Mesmo quando um instrumento de sanções não abrange explicitamente uma ferramenta específica de planejamento de CFTV, as autoridades contratantes tendem a adotar uma postura de precaução, especialmente em projetos de defesa, administração pública, infraestrutura crítica e grandes projetos de saúde ou transporte.

Este artigo é a explicação que gostaríamos que existisse quando os clientes integradores começaram a nos perguntar sobre a origem do software em propostas de licitação. Ele é descritivo, não prescritivo — seu objetivo é apresentar a estrutura em linguagem simples para que um projetista de CFTV possa fazer as perguntas certas ao seu consultor de compras, em vez de substituir essa conversa.

O atual quadro de sanções da UE — resumo de alto nível

As medidas restritivas da UE contra a Rússia são implementadas por meio de Regulamentos do Conselho publicados no Jornal Oficial da União Europeia e atualizados por meio de pacotes de alterações sucessivos. O quadro opera em três pilares principais relevantes para a aquisição de software.

Além da estrutura a nível da UE, Estados-Membros como a Alemanha, a França, a Polónia, os países nórdicos e os países bálticos introduziram a sua própria linguagem para os contratos públicos, com critérios mais rigorosos. O resultado é que o mesmo fornecedor pode ser aceite numa jurisdição da UE e rejeitado noutra, mesmo quando nenhum instrumento o menciona explicitamente. Por conseguinte, as equipas de contratação tendem a aplicar a linguagem mais rigorosa do Estado-Membro como referência interna.

Lado americano: Ordens executivas NDAA §889 e do ICTS

Do lado americano, dois instrumentos são rotineiramente citados, inclusive por funcionários de compras da UE, como parâmetros informais. A Seção 889 NDAA (Lei de Autorização de Defesa Nacional John S. McCain para o Ano Fiscal de 2019) proíbe que agências federais e contratados federais comprem ou usem equipamentos de telecomunicações e videovigilância abrangidos pela lei, de determinados fabricantes chineses. As ordens executivas sobre Tecnologia da Informação e Serviços de Comunicação (TICS), principalmente a Ordem Executiva 13873 e suas sucessoras, conferem ao Departamento de Comércio dos EUA ampla autoridade para revisar transações envolvendo adversários estrangeiros.

Nenhum dos instrumentos se aplica juridicamente a uma contratação pública típica da UE. No entanto, são frequentemente utilizados como modelos de linguagem para contratos de contratação. Uma entidade adjudicante da UE em 2026, ao elaborar um concurso para um sistema de videovigilância, normalmente exigirá que o fornecedor declare que o seu software, alojamento e pessoal não seriam excluídos ao abrigo de regras equivalentes ao §889, mesmo quando o próprio §889 seja irrelevante para o contrato. Os fornecedores que não puderem fazer essa declaração ficam em desvantagem competitiva, independentemente da legalidade da sua proposta.

Impacto direto das aquisições no software de projeto de CFTV

As categorias abaixo são as quatro em que observamos surgir com mais frequência questões relacionadas à origem do software em projetos de CFTV da UE para 2026.

Como os compradores verificam a origem do software

Um agente de compras que realiza uma verificação de origem utiliza um conjunto de ferramentas bastante padrão. Nenhuma dessas verificações, isoladamente, comprova a origem — elas compõem um panorama triangulado a partir de informações públicas.

Para aquisições de maior risco (defesa, infraestrutura crítica), a avaliação pode abranger a procedência do código-fonte, testes de segurança por terceiros e um parecer jurídico independente. O custo adicional dessa avaliação de nível superior é considerável, e as autoridades contratantes geralmente a solicitam apenas quando o valor ou a sensibilidade do contrato a justificam.

Ângulo de transferência de países terceiros segundo GDPR

Os artigos 44 a 49 GDPR regem as transferências de dados pessoais para países fora do Espaço Económico Europeu. A regra geral é que essa transferência é proibida, a menos que se aplique uma das salvaguardas especificadas: uma decisão de adequação da Comissão Europeia, um mecanismo de transferência aprovado, como cláusulas contratuais padrão com medidas suplementares adequadas, ou uma derrogação para situações específicas.

O Tribunal de Justiça da União Europeia, no caso Schrems II (Processo C-311/18, 2020), deixou claro que as cláusulas contratuais padrão devem ser complementadas por uma avaliação de impacto da transferência que leve em consideração as leis do país de destino e se estas oferecem proteção essencialmente equivalente. A Rússia não consta da lista de adequação da Comissão Europeia, e a interpretação predominante é que alcançar uma proteção "essencialmente equivalente" para transferências para a Rússia é difícil, dada a situação jurídica local. A consequência prática é que qualquer ferramenta de projeto de CFTV que transmita dados pessoais para servidores na Rússia, ou para entidades sob jurisdição russa, enfrenta um ônus significativo de avaliação de impacto da transferência, algo que as ferramentas hospedadas na UE simplesmente não enfrentam.

Para projetos de CFTV, isso é importante porque as ferramentas de design lidam com dados pessoais com mais frequência do que as pessoas imaginam — metadados do projeto, informações do site do cliente final, endereços de e-mail da conta, conteúdo de chamados de suporte. Um comprador que leva GDPR a sério vai querer ter a garantia de que nenhum desses dados sairá da UE/EEE de uma forma que desencadeie a fiscalização do Capítulo V.

Por que o CCTVplanner existe — hospedado na UE, desenvolvido na UE

O CCTVplanner é operado pela DEFENSAR, registrada na Polônia, com o frontend hospedado na Polônia e o backend em infraestrutura de nuvem na região da UE. Esse é o significado do título "100% Desenvolvido e Hospedado na UE" — a entidade legal, a engenharia e a hospedagem estão todas dentro da União Europeia. Os dados essenciais de conta e de projeto são armazenados em servidores da UE; um pequeno conjunto de subprocessadores (pagamentos, análises, e-mail — por exemplo, Stripe, Google, Resend) é coberto por salvaguardas de transferência do GDPR: as SCCs e o Data Privacy Framework UE–EUA, conforme indicado na política de privacidade.

Para as equipes de compras, isso se traduz em uma resposta curta e direta às perguntas sobre a origem dos dados descritas acima. Não há nenhum subprocessador russo, chinês ou de jurisdição americana em nenhum ponto do fluxo de dados. Não há ônus de avaliação de impacto de transferência sob o Capítulo V GDPR, porque os dados não saem da UE. Não há nenhum fator de desqualificação equivalente ao §889 na cadeia de suprimentos. Confiável para integradores de todo o mundo, a arquitetura padrão da UE é o recurso que surge com mais frequência nas discussões sobre compras em 2026.

Trocando sua ferramenta de design de CFTV

Uma pergunta prática que ouvimos de integradores em 2026 é: "Estamos satisfeitos com nossa ferramenta atual de projeto de CFTV, mas a equipe de compras sinalizou a divulgação da origem do software como um risco. Como seria a transição?" A resposta é basicamente mecânica: exportar a planta baixa para DXF, importá-la para o CCTVplanner, substituir as câmeras de um catálogo com mais de 65.000 modelos, ajustar os limites DORI, redirecionar a fiação e exportar o arquivo PDF com várias páginas. Criamos um guia passo a passo para a migração, cujo link está abaixo. Nenhuma das etapas é particularmente difícil. A parte mais difícil geralmente é a decisão de fazer a mudança, não a mudança em si.

Especificamente para mudanças impulsionadas por processos de compras, nossa recomendação é documentar a transição por escrito — o evento que desencadeou a mudança, as alternativas avaliadas, a ferramenta escolhida para substituí-la e a data em que a ferramenta existente será desativada do fluxo de trabalho. Tanto os consultores de compras quanto os auditores de ESG valorizam decisões documentadas, e um registro escrito da transição é um documento comum em processos de due diligence.

Aviso final

Este artigo é uma análise factual baseada em normas, regulamentos e jurisprudência publicamente disponíveis até maio de 2026. Não constitui aconselhamento jurídico e não substitui a consulta a um advogado especializado em direito das compras na sua jurisdição. As sanções, os controlos de exportação e as regras de contratação pública estão em constante evolução e são interpretadas de forma diferente nos Estados-Membros da UE. Todas as decisões concretas relativas a contratos públicos devem ser confirmadas por um advogado familiarizado com a entidade adjudicante, o setor e a jurisdição em causa.

Nenhuma declaração neste artigo tem a intenção de depreciar qualquer país, empresa ou categoria de fornecedor. O objetivo é descrever a estrutura de compras conforme a experiência dos compradores em 2026, para que os integradores possam preparar propostas e projetar fluxos de trabalho que sobrevivam à fase de qualificação.

Perguntas frequentes