Hospedar curso em plataforma gringa sem CNPJ no Brasil: o risco jurídico que ninguém conta

Escolher onde hospedar as videoaulas de um curso costuma ser tratado como decisão técnica — preço por giga, qualidade, player, DRM. Da nossa experiência lidando com hospedagem de vídeo no Brasil, é também uma decisão de risco jurídico e de continuidade de negócio, e essa parte quase nunca aparece na página de preços do fornecedor. Quando a plataforma gringa muda de dono ou de estratégia de monetização, o problema deixa de ser "qual o melhor plano" e vira "com quem eu resolvo isso quando der errado".

O que muda quando o fornecedor não tem CNPJ no Brasil

Existe um mito confortável de que "contra empresa gringa você não tem direito nenhum". Não é verdade, e não vamos vender esse medo. O consumidor brasileiro pode acionar o Judiciário nacional mesmo contra empresa estrangeira: o Código de Processo Civil trata da chamada competência internacional concorrente nos seus artigos 21 e 22, e o CDC se aplica à relação de consumo firmada aqui. O direito existe no papel.

O que muda — e muda muito — é a capacidade real de exercer esse direito. Uma empresa com CNPJ e sede formal no Brasil tem endereço para ser citada, patrimônio para responder e, na prática, um caminho de negociação e de execução que funciona. Uma empresa sem representação aqui não some do mapa jurídico, mas te obriga a percorrer o caminho internacional inteiro para conseguir qualquer coisa. É a diferença entre um direito que você usa e um direito que fica emoldurado na parede.

Quanto custa (de verdade) processar uma empresa americana

Aqui entra o custo que ninguém mostra antes da assinatura. Para acionar uma empresa nos Estados Unidos a partir do Brasil, você normalmente precisa de:

• Carta rogatória — o pedido oficial de cooperação para citar a parte no exterior, que tramita por vias diplomáticas e demora meses.
• Tradução juramentada das peças processuais para o idioma do país de destino.
• Advogado especializado em direito internacional aqui, muitas vezes somado a um correspondente no exterior (com honorários próprios).
• Tempo — e, mesmo assim, sem garantia de ganhar nem de executar a sentença lá fora.

No episódio do nosso podcast Café & Tech que deu origem a este artigo, relatamos por experiência própria que não se processa uma empresa nos Estados Unidos por menos de R$ 15.000 — e "jogando baixo". Importante: esse valor é um relato de caso nosso, não uma tabela oficial de custas judiciais. Serve para dar ordem de grandeza, não para ser citado como preço fixo de mercado. O ponto não é o número exato; é que o piso já é alto o bastante para inviabilizar a briga na maioria das disputas de curso online.

O caso Vimeo: aquisição pela Bending Spoons e demissão da engenharia de vídeo

O exemplo público mais recente é o do Vimeo. Em setembro de 2025 a empresa foi adquirida pela Bending Spoons por US$ 1,38 bilhão, em negócio all-cash que a tirou da bolsa. Poucos meses depois, em 20 de janeiro de 2026, veio a demissão da maior parte do quadro global. Segundo relato de um ex-funcionário de 13 anos de casa citado pela Gizmodo e reportado também pela Engadget, o corte incluiu praticamente todo o time de engenharia de vídeo.

Isso é consistente com o padrão da compradora. A Bending Spoons já adquiriu Evernote, WeTransfer, Brightcove, o próprio Vimeo, a AOL e a Eventbrite — mais de cinquenta aquisições no total, segundo a Wikipedia e a TechCrunch: comprar empresas maduras e cortar custo de forma agressiva para extrair receita. Não é juízo de valor sobre a estratégia — é um padrão público e verificável que muda o que você deve esperar do fornecedor depois da troca de dono.

"Produto de prateleira": o que acontece com suporte e manutenção depois da troca de dono

Quando a engenharia sai, o produto tende a virar o que chamamos internamente de produto de prateleira: continua sendo vendido, mas para de evoluir e de se adaptar ao cliente quando um problema mais cabeludo aparece. O ciclo é conhecido — o suporte tem boa vontade, mas não tem atrás de si um time de infraestrutura e desenvolvimento que resolva a causa raiz. O chamado entra em loop: "estamos analisando", "vamos ver", e o vídeo continua travando ou a fatura continua subindo.

Para quem hospeda curso, isso tem dois efeitos diretos: reajustes de preço e de política sem aviso (no modelo pré-pago por tráfego, a conta pode disparar), e ausência de quem faça a plataforma se dobrar à sua necessidade. É o mesmo motivo pelo qual damos tanto peso a temas como DRM que não trava e marca d'água dinâmica para rastrear vazamento: proteção que depende de manutenção contínua de engenharia é exatamente o que um produto de prateleira deixa de entregar. (Tratamos desses dois pontos em artigos dedicados do mesmo ecossistema de conteúdo — os links recíprocos serão adicionados assim que ambos forem publicados.)

Amazon e Google também são gringas — por que elas são diferentes

Vale a honestidade: "gringa" por si só não é o problema. Amazon e Google também são estrangeiras, e ainda assim dão ao cliente brasileiro uma via jurídica que funciona — porque têm CNPJ e sede formal no Brasil. Existe endereço para citar, entidade local para responder e patrimônio no país. O critério que importa, portanto, não é o país de origem da marca; é a presença formal no Brasil. Uma multinacional com CNPJ ativo aqui está, para efeito de disputa, mais perto de um fornecedor nacional do que de uma plataforma que só existe lá fora.

E os dados? A parte que o CDC não resolve

Tudo o que está acima trata de um problema só: processar o fornecedor. Existe um segundo, que corre por fora e não acaba quando a ação acaba — responder pelo dado do seu aluno. Esse não some se você ganhar a causa contra a plataforma gringa, porque, perante o aluno e perante a autoridade brasileira, quem oferece o curso é você.

São duas conversas com normas e autoridades diferentes. De um lado, CDC, competência internacional e execução de sentença — o que discutimos até aqui. Do outro, a Lei Geral de Proteção de Dados (Lei 13.709/2018) e a ANPD, que não estão preocupadas com quem paga a fatura, e sim com o que acontece com o IP, o e-mail e o CPF de quem assiste à aula. Até aqui o assunto aparecia de raspão, num item do checklist. Vale abrir o capítulo, porque é onde mais se erra por ouvir dizer.

A LGPD não obriga hospedar no Brasil (e é justamente por isso que a conta é sua)

Começando pelo mito, que circula muito nesse tema: não existe regra de localização de dados no Brasil. A LGPD não manda guardar a videoaula em servidor nacional. Hospedar vídeo e dado de aluno fora do país é lícito, e quem contrata Vimeo, Bunny.net, AWS ou Cloudflare não fica irregular só por isso. Se alguém te oferecer hospedagem nacional dizendo que a lei obriga, o argumento está errado — e não é assim que a gente gosta de vender.

O que existe são três fatos bem menos confortáveis. O primeiro: a ANPD te alcança onde quer que o dado esteja. A página de Fiscalização da autoridade é literal:

"Estão sujeitos à fiscalização todos os agentes de tratamento (Controlador ou Operador) (…) independentemente do meio, do país - sede da organização ou de onde estejam localizados os dados, desde que: a operação de tratamento esteja sendo realizada no território nacional; o tratamento tenha por objetivo a oferta de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional; ou os dados pessoais tenham sido coletados no Brasil."

Para quem vende curso, os três critérios batem de uma vez: o aluno está no Brasil, a oferta é para o Brasil e o dado foi coletado aqui. Trocar o servidor de país não muda nenhum deles.

O segundo: mandar dado para fora tem regra própria. O art. 33 da LGPD só permite a transferência internacional em hipóteses nomeadas — para países ou organismos internacionais com grau de proteção adequado ao previsto na lei; ou quando o controlador oferece e comprova garantias, na forma de cláusulas contratuais específicas, cláusulas-padrão contratuais, normas corporativas globais ou selos, certificados e códigos de conduta; além dos casos de cooperação jurídica internacional e das demais hipóteses do artigo. Repare que a lista é de mecanismos contratuais e de governança. Nenhum deles é "o fornecedor é grande" ou "o fornecedor é americano".

O terceiro: a responsabilidade não viaja junto com o arquivo. Se a plataforma estrangeira vazar o dado do seu aluno, quem o aluno procura — e quem a ANPD procura — é o curso. Sobre a sanção, vale registrar o número certo, porque a versão errada circula bastante: o art. 52, II prevê multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50 milhões por infração. São duas precisões que costumam se perder na hora de citar a lei: a base de cálculo é o faturamento excluídos os tributos, e o teto de R$ 50 milhões vale por infração, não como limite único por empresa. A conta detalhada, aplicada a quem vende curso, está em quanto custa, de verdade, uma sanção da LGPD.

Junte os três e sobra a frase que resume o capítulo: "servidor nos EUA" não é automaticamente irregular; "o fornecedor é uma empresa americana" também não é automaticamente conformidade. Quem decide são o contrato, o mecanismo do art. 33 e o que você informa ao aluno.

Resolução ANPD 19/2024: o prazo que já venceu

Se o seu mecanismo do art. 33 são cláusulas contratuais — o caso da maioria esmagadora de quem contrata plataforma estrangeira —, existe uma data que já passou. A Resolução CD/ANPD nº 19, de 23 de agosto de 2024 aprovou o Regulamento de Transferência Internacional de Dados e o conteúdo das cláusulas-padrão contratuais. O art. 2º, parágrafo único, é direto:

"Os agentes de tratamento que utilizam cláusulas contratuais para realizar transferências internacionais de dados deverão incorporar as cláusulas-padrão contratuais aprovadas pela ANPD aos seus respectivos instrumentos contratuais, no prazo de até 12 (doze) meses, contados da data de publicação desta Resolução."

Publicada em 23/08/2024, doze meses depois dá 23 de agosto de 2025. O prazo não está chegando: ele venceu. Houve uma retificação publicada no Diário Oficial em 18/08/2025, e fomos conferir o que ela muda: mexe apenas no Anexo II — as próprias cláusulas-padrão —, no item 15.4, alínea "b", trocando a remissão do "item 15.2" para o "item 15.3". Não toca no art. 2º nem no prazo.

Na prática, isso vira um pedido objetivo ao seu fornecedor, gringo ou não: me manda o DPA (contrato de tratamento de dados) e me mostra onde ele incorpora as cláusulas-padrão da ANPD. Se o que voltar for um PDF em inglês com cláusulas de GDPR e nada sobre a Resolução 19/2024, você tem uma lacuna documentada — e a lacuna é sua, não da plataforma.

Não é só o arquivo: o que o player entrega ao provedor estrangeiro

Aqui está a parte que quase todo mundo pula. Quando a aula é servida por um player de terceiro, o que chega ao provedor não é só o .mp4. Chega, dependendo da arquitetura, o IP do aluno, cookies e identificadores, logs de acesso e dados de dispositivo — e, quando há integração com a área de membros, nome e e-mail. Por isso "eu só hospedo o vídeo lá" não descreve a operação corretamente: o vídeo é o que se vê; o resto é o que trafega.

Um exemplo da nossa própria casa, para deixar concreto: a marca d'água dinâmica que exibe o CPF ou o e-mail do aluno sobre a aula para desestimular a gravação de tela. Para esse dado aparecer em cima do vídeo, ele precisa estar disponível onde o vídeo é servido. Ou seja: uma medida antipirataria, tomada com a melhor das intenções, cria um fluxo de dado pessoal. Não é motivo para não usar — é motivo para ela entrar no seu mapeamento de dados, e não ficar de fora porque "é só uma proteção".

Vale separar dois casos que costumam ser tratados como um só:

• Dado em volta do vídeo — log de acesso, IP, e-mail e CPF do aluno logado, identificadores de dispositivo. É o cenário quando só o professor aparece na gravação: o que preocupa é o fluxo, não o arquivo.
• Dado dentro do vídeo — mentoria gravada, live com participação, aula prática em que o aluno aparece ou fala. Aí a imagem e a voz dele são dado pessoal, e o próprio arquivo passa a conter dado pessoal. Muda o que você precisa informar ao aluno e o que sustenta a gravação.

Com isso na mesa, a comparação útil na hora de contratar não é "nacional × gringo", e sim onde cada peça fica e o que pedir por escrito:

Provedor	Onde ficam os dados	O que verificar
Plataforma estrangeira (Vimeo, Bunny.net, AWS, Cloudflare)	Arquivo e logs na região contratada, tipicamente fora do Brasil	DPA com as cláusulas-padrão da ANPD; lista de subprocessadores e países; região de armazenamento e de backup
Fornecedor com CNPJ no Brasil rodando em nuvem estrangeira	Contrato nacional, dado no exterior — combinação mais comum do que parece	Perguntar por escrito onde ficam dados e backups e qual mecanismo do art. 33 ampara a transferência
JMV Stream	Datacenter próprio em São Paulo; há também datacenter em Miami para atender audiência internacional	Se a sua operação roda só no Brasil, não há capítulo de transferência internacional a cumprir; se usar a estrutura de Miami, ele existe e vale o mesmo checklist

Hospedar no Brasil não dispensa a LGPD — nada dispensa. O que ele dispensa é o capítulo de transferência internacional: um contrato a menos para auditar, uma lista de subprocessadores a menos para acompanhar. É uma simplificação real e limitada, e é assim que ela deve ser vendida.

"Empresa brasileira" que roda em nuvem estrangeira

Esse é o item do checklist que merece parágrafo próprio, porque é o mais comum e o mais silencioso. Contratar CNPJ nacional não garante que o dado fique aqui. Storage no exterior costuma sair mais barato, e é escolha legítima do fornecedor ou do desenvolvedor que montou a área de membros — só que ela não aparece na proposta comercial. Você assina contrato em português, em reais, com nota fiscal brasileira, e o vídeo da sua aula dorme em outro continente.

O que perguntar, por escrito, antes de assinar:

• Onde ficam os dados e os backups — são perguntas diferentes, e a resposta costuma ser diferente.
• Quais são os subprocessadores e em que países eles operam.
• Qual mecanismo do art. 33 ampara a transferência: adequação reconhecida, cláusulas-padrão contratuais ou normas corporativas globais.
• O que a sua política de privacidade informa ao aluno — que existe transferência internacional, com que finalidade, para qual país, quem responde e quais medidas de segurança são adotadas.

O último item é o que mais pega. Não adianta o fornecedor estar em ordem se o seu próprio aviso de privacidade não conta ao aluno que o dado dele atravessa a fronteira.

Checklist antes de contratar: como verificar se o fornecedor responde no Brasil

• Peça o CNPJ e confira a situação cadastral no site da Receita Federal. Sem CNPJ ativo, assuma o caminho internacional em caso de disputa.
• Cheque a estrutura, não só a marca. Empresa nacional com servidores no exterior ainda expõe dados a regime estrangeiro — o que importa para LGPD e para jurisdição é onde a operação realmente roda.
• Leia a política de reajuste e de tráfego. Modelos pré-pagos por giga (inclusive DRM cobrado por giga) são onde as faturas disparam depois de uma troca de dono.
• Verifique se há contrato em reais com valor fixo durante a vigência, em vez de cobrança em dólar sujeita a câmbio e a "fair use".
• Teste o suporte antes de migrar. Pergunte quem resolve um problema de infraestrutura — se a resposta some no primeiro nível, é sinal de produto de prateleira.
• Peça o DPA (contrato de tratamento de dados) e verifique se ele incorpora as cláusulas-padrão contratuais da ANPD — o prazo da Resolução 19/2024 venceu em 23/08/2025.
• Mapeie o que o player envia, não só onde o arquivo está: IP, cookies, logs de acesso, dados de dispositivo e, havendo integração, nome e e-mail do aluno.
• Confira a política de privacidade do seu próprio curso. Ela precisa declarar a transferência internacional, a finalidade, o país de destino e as medidas de segurança.

Critério de risco	Fornecedor sem CNPJ no Brasil	Fornecedor com CNPJ no Brasil
Citação em disputa	Carta rogatória, meses	Direta, no endereço da empresa
Custo para acionar	A partir de ~R$ 15 mil (relato de caso)	Ordem de grandeza menor
Aplicação prática do CDC	Existe, mas de baixa efetividade	Efetiva
Cobrança	Em geral em dólar / pré-pago	Em reais, com contrato
Manutenção pós-aquisição	Risco de "produto de prateleira"	Depende da empresa — verificar

Ver também

Este artigo cobre só o ângulo jurídico e de risco de negócio. Para os outros lados do mesmo evento, veja:

• Vimeo está saindo do Brasil? Alternativas em 2026 — o guia de migração operacional (cobrança em dólar, falta de datacenter no Brasil, passo a passo).
• Vimeo in 2026: Bending Spoons layoffs and what to do next — a análise técnica e comercial do declínio do produto (em inglês).
• JMVStream vs. Vimeo — comparativo direto de hospedagem de vídeo e OTT para o mercado brasileiro.

Se você está reavaliando onde hospedar suas aulas, dá para testar a hospedagem de vídeo da JMVStream por 30 dias — CNPJ no Brasil, contrato e cobrança em reais, e suporte que baixa até a infraestrutura quando precisa.

Assista ao episódio completo

Este texto distila o ângulo jurídico de um episódio mais longo do nosso podcast Café & Tech, que também trata de DRM, tráfego e o custo real de trocar de hospedagem. Assista ao episódio completo no YouTube (link para o vídeo original — este site não incorpora player do YouTube). Trechos que ancoram este artigo, na fala dos apresentadores:

"Você não tem direito com empresa gringa (…) que não tem o CNPJ no Brasil. Se você faz negócio com a Amazon, faz negócio com o Google, que tem sede, CNPJ no Brasil, aí você tem direito (…) porque você tem aonde ir."

"Um, você não processa uma empresa nos Estados Unidos por menos de R$ 15.000. E eu tô jogando baixinho. Isso não garante que você vai ganhar."

"O Vimeo demitiu toda a equipe de engenharia de vídeo deles (…) vai virar produto de prateleira."

Nota: as falas acima foram transcritas e levemente limpas do áudio do episódio para leitura; o registro completo e literal está no vídeo original. O enquadramento jurídico deste artigo foi nuançado pela redação — o direito contra fornecedor estrangeiro existe, o que pesa é a efetividade prática de exercê-lo. Este conteúdo é informativo e não substitui orientação jurídica individual.

Perguntas frequentes

Uma empresa de hospedagem de vídeo sem CNPJ no Brasil pode ser processada aqui?

Pode. O Judiciário brasileiro tem competência internacional concorrente (arts. 21 e 22 do CPC) para relações de consumo firmadas no Brasil. O obstáculo não é o direito, e sim a efetividade: citar e executar a sentença contra empresa sem representante ou bens no país é caro e demorado.

O Código de Defesa do Consumidor vale para empresas estrangeiras como o Vimeo?

A relação de consumo estabelecida com o consumidor brasileiro atrai o CDC. Na prática, porém, aplicar a decisão contra uma empresa sem presença formal no Brasil depende de cooperação internacional, o que reduz muito a efetividade.

Quanto custa processar uma empresa americana de hospedagem de vídeo?

Não há tabela oficial. Por relato de caso da JMV, o piso realista fica em torno de R$ 15.000, somando advogado especializado, tradução juramentada e carta rogatória — sem garantia de ganhar ou de executar a sentença.

O que é carta rogatória e por que ela encarece o processo?

É o pedido oficial de cooperação para praticar um ato — como citar a parte — em outro país. Ela tramita por vias diplomáticas, exige tradução juramentada e leva meses, o que soma custo e tempo à disputa.

Por que a Amazon e o Google respondem no Brasil e o Vimeo não?

Porque Amazon e Google têm CNPJ e sede formal no país: há entidade local para ser citada e patrimônio para responder. O que importa não é a marca ser estrangeira, e sim ter presença formal no Brasil.

O que aconteceu com o Vimeo depois da aquisição pela Bending Spoons?

Após ser comprado por US$ 1,38 bilhão em setembro de 2025, o Vimeo demitiu a maior parte do quadro em janeiro de 2026, incluindo, segundo relato de ex-funcionário reportado pela imprensa, praticamente todo o time de engenharia de vídeo.

Como saber se uma plataforma de hospedagem de vídeo tem CNPJ ativo no Brasil?

Peça o número do CNPJ e verifique a situação cadastral no site da Receita Federal. Se a empresa não fornece um CNPJ ativo, assuma que qualquer disputa seguirá o caminho internacional.

Trocar por uma hospedagem com CNPJ no Brasil reduz o risco do meu curso?

Reduz o risco jurídico e o de continuidade: você ganha uma via de disputa que funciona, contrato e cobrança em reais e um fornecedor com quem negociar. Não elimina a necessidade de avaliar suporte, estrutura e política de reajuste antes de contratar.

A LGPD se aplica fora do Brasil?

Sim, quando o tratamento tem ligação com o Brasil. A página de Fiscalização da ANPD diz que estão sujeitos todos os agentes de tratamento, independentemente do meio, do país-sede da organização ou de onde estejam localizados os dados, desde que o tratamento ocorra no território nacional, tenha por objetivo ofertar bens ou serviços a pessoas no Brasil, ou os dados tenham sido coletados aqui. Para um curso online vendido a alunos brasileiros, os três critérios costumam se aplicar de uma vez.

A LGPD obriga a hospedar os vídeos das aulas em servidor no Brasil?

Não. Não existe regra de localização de dados no Brasil: hospedar vídeo e dado de aluno fora do país é lícito. O que a lei exige é que a transferência internacional se apoie em uma das hipóteses do art. 33 da LGPD — adequação reconhecida pela ANPD ou garantias do controlador, como as cláusulas-padrão contratuais — e que o aluno seja informado disso.

Usar Vimeo, Bunny.net ou AWS nos Estados Unidos deixa meu curso irregular?

Não automaticamente. “Servidor nos EUA” não é irregularidade por si só, assim como “é uma empresa americana grande” não é conformidade por si só. O que decide é o contrato: pedir o DPA, verificar se ele incorpora as cláusulas-padrão da ANPD, saber onde ficam dados e backups, quais subprocessadores existem e em que países, e declarar a transferência na sua política de privacidade.

O que é a Resolução ANPD 19/2024 e o que ela exige de quem usa fornecedor estrangeiro?

É a Resolução CD/ANPD nº 19, de 23 de agosto de 2024, que aprovou o Regulamento de Transferência Internacional de Dados e o conteúdo das cláusulas-padrão contratuais. O art. 2º, parágrafo único, deu 12 meses, contados da publicação, para quem usa cláusulas contratuais incorporar as cláusulas-padrão da ANPD aos contratos — prazo encerrado em 23/08/2025. A retificação publicada no DOU em 18/08/2025 alterou apenas o Anexo II (item 15.4, alínea “b”) e não mexeu nesse prazo.