Retenção legal não é a lixeira do tenant

A intimação chegou pedindo comunicações internas dos últimos três anos. A equipe de TI abriu o console da plataforma, foi direto à lixeira do tenant e descobriu que o sistema guarda no máximo 30 dias. Fim da conversa, começo do problema.

Esse cenário não é hipotético. Acontece em processos trabalhistas, em fiscalizações da Receita Federal, em auditorias de órgãos reguladores. E acontece porque há uma confusão conceitual que parece pequena no dia a dia e vira crise quando a pressão jurídica aparece: a diferença entre a lixeira do tenant e a retenção legal.

Na UNODATA, quando desenvolvemos o AHSU 360 (AntiHacking System UNODATA, nosso sistema de proteção e governança de dados para ambientes corporativos), tratamos retenção como requisito de produto desde o primeiro dia. Não como item de backlog para uma versão futura, não como diferencial de venda. Como condição para que a plataforma cumpra sua função real. O que eu quero explicar neste artigo é o raciocínio por trás dessa decisão.

O que é a lixeira do tenant e para que ela serve

Toda plataforma de colaboração ou armazenamento em nuvem, seja de e-mail, arquivos ou mensagens, tem algum mecanismo de recuperação de itens excluídos. Esse mecanismo é o que se chama de lixeira do tenant, o espaço temporário onde itens apagados ficam disponíveis antes de serem eliminados definitivamente.

O prazo típico é de 30 dias, embora varie conforme o fornecedor e a configuração. O propósito é um só: proteger o usuário contra erro operacional recente. Alguém apagou um arquivo por engano, um e-mail foi excluído antes de ser lido, uma pasta foi removida sem intenção. A lixeira resolve esse tipo de problema com rapidez e sem burocracia.

O que a lixeira não é: arquivo jurídico, repositório de conformidade, prova documental. Ela é conveniência operacional. Cumpre uma função legítima e importante, mas uma função delimitada.

O erro de gestão acontece quando a empresa trata a lixeira como se fosse a resposta para a pergunta errada. A pergunta “onde estão os registros que a norma exige que eu guarde?” não tem a lixeira como resposta.

O que é retenção legal e quem define o prazo

Retenção legal é a obrigação de manter registros específicos por um período determinado, de forma que esses registros não possam ser alterados, e de um modo que permita localizá-los e exportá-los quando solicitado por autoridade competente.

O prazo não é escolha da empresa. Ele está definido na norma que rege cada tipo de registro:

• Documentos trabalhistas, como holerites, controle de ponto e termos de rescisão: prazo mínimo de dois anos após o fim do contrato, conforme a CLT, mas processos podem estender a obrigação para cinco anos ou mais.
• Registros fiscais e contábeis: prazo geral de cinco anos a partir do fato gerador, com algumas obrigações chegando a dez anos dependendo do tributo e da esfera federativa.
• Comunicações relacionadas a operações financeiras reguladas: prazo definido pelo Banco Central ou pela CVM conforme o segmento.
• Dados pessoais tratados sob a LGPD (Lei Geral de Proteção de Dados): o prazo de retenção precisa ser justificado pela finalidade do tratamento, e a empresa deve ser capaz de demonstrar essa justificativa a qualquer momento.

O ponto central é a imutabilidade. Um registro que pode ser editado depois de gerado não tem validade jurídica como evidência. Para que um documento sirva como prova, ele precisa existir na forma exata em que foi produzido, sem possibilidade de adulteração posterior, e com metadados que atestem quando foi criado e por quem.

A lixeira protege contra erro de ontem. Retenção legal protege contra processo de amanhã. São problemas diferentes e precisam de respostas diferentes.

Por que a confusão persiste e o custo que ela gera

A confusão entre lixeira e retenção legal tem uma explicação estrutural: as duas funcionam sobre o mesmo conjunto de dados, estão no mesmo ambiente de plataforma e as duas envolvem a ideia de “guardar o que foi apagado”. Para quem não trabalha com o problema diariamente, parecem faces da mesma moeda.

O mercado de tecnologia não ajuda. Fornecedores de plataforma frequentemente descrevem funcionalidades de retenção de forma ambígua, usando termos como “backup”, “arquivo” e “retenção” de maneira intercambiável em materiais comerciais. O comprador precisa fazer a leitura técnica do contrato para entender o que está sendo entregue de fato.

Os três pontos onde a confusão cria risco real

Na prática, o problema se manifesta em três momentos distintos:

1. Fiscalização tributária. O auditor solicita registros de comunicações internas relacionadas a uma operação específica de três anos atrás. A empresa não tem o arquivo. O que existia na lixeira foi eliminado há anos. O resultado pode ser o enquadramento como omissão de informação.

2. Processo trabalhista. O ex-funcionário questiona a jornada registrada. A empresa precisa apresentar os logs de acesso ao sistema, as comunicações sobre escala, os registros de ponto em formato auditável. Se esses dados não foram retidos com imutabilidade, a empresa perde a capacidade de se defender com evidência concreta.

3. Auditoria regulatória. Empresas de setores regulados, como saúde, finanças e educação, estão sujeitas a auditorias que podem requerer o histórico de como uma decisão foi tomada, quais informações estavam disponíveis, quais comunicações precederam a ação. Sem arquivo imutável, a resposta é silêncio.

Em todos esses casos, o custo não é apenas financeiro. É operacional, é reputacional e, dependendo do porte da irregularidade, é criminal.

Arquivamento real: o que separa conformidade de ilusão de conformidade

Arquivamento de verdade tem três propriedades que o diferenciam da lixeira e de soluções intermediárias que tentam fazer as vezes de arquivo jurídico.

Imutabilidade verificável. O registro não pode ser alterado depois de gravado. Isso precisa ser garantido por mecanismo técnico, não por política interna. Política pode ser violada por acidente ou por intenção. O mecanismo técnico não deixa margem.

Prazo governado por política, não por conveniência. O tempo de retenção de cada categoria de dado precisa estar definido em uma política documentada, com base na norma aplicável. A plataforma executa essa política de forma automática, sem depender de ação humana para estender ou encerrar o prazo.

Recuperabilidade organizada. Quando a intimação chega, o dado precisa ser encontrado e exportado em formato que a outra parte consiga ler e validar. Um arquivo que existe mas não pode ser recuperado em tempo útil tem o mesmo efeito prático de um arquivo que não existe.

No AHSU 360, essa distinção é estrutural. O módulo de retenção opera separado do fluxo operacional da plataforma. O dado retido não está acessível para edição pelo usuário comum, não é afetado pela lixeira e não depende de configuração manual por ciclo. A política define o prazo, o sistema executa, o registro permanece imutável até o término do período e é então eliminado de forma auditável.

Essa arquitetura não surgiu de uma demanda específica de cliente. Surgiu de uma decisão de produto: retenção legal é pré-requisito de entrega responsável para o mercado corporativo, não funcionalidade opcional.

Fechando

A maioria das empresas não descobrirá esse problema até receber a primeira intimação que a lixeira não consegue responder. Essa é a natureza do risco jurídico: ele só aparece quando o evento que o aciona já aconteceu.

A pergunta prática para qualquer gestor de TI ou CEO é direta: se um auditor pedisse hoje os registros de comunicações corporativas dos últimos cinco anos, você saberia onde estão, em que formato, e se foram preservados sem modificação? Se a resposta não vier com certeza, o gap já existe.

Perguntas frequentes

Qual é a diferença entre lixeira do tenant e retenção legal?

A lixeira do tenant é um mecanismo operacional que guarda itens excluídos por um período curto, geralmente até 30 dias, para permitir recuperação de erros recentes. Retenção legal é uma obrigação normativa que exige a preservação de registros específicos por prazos definidos em lei, de forma imutável e recuperável para fins de fiscalização, auditoria ou processo judicial. As duas funcionam sobre os mesmos dados, mas têm finalidades completamente distintas.

Por quanto tempo uma empresa precisa guardar registros corporativos?

Depende da categoria do registro e da norma aplicável. Documentos trabalhistas têm prazo mínimo de dois anos após o encerramento do contrato, podendo ser estendido em caso de litígio. Registros fiscais e contábeis seguem prazo geral de cinco anos a partir do fato gerador, com algumas obrigações chegando a dez anos. Comunicações de setores regulados seguem as exigências específicas de cada regulador, como Banco Central ou CVM. O prazo não é escolha da empresa: ele está fixado na norma.

O que é imutabilidade de dados e por que ela importa para conformidade legal?

Imutabilidade significa que o registro não pode ser alterado depois de gravado. Para que um documento tenha validade como evidência jurídica, ele precisa existir na forma exata em que foi produzido, sem possibilidade de edição posterior. Imutabilidade precisa ser garantida por mecanismo técnico, não apenas por política interna, porque política pode ser violada por acidente ou intenção. Um dado que pode ser modificado não serve como prova.

O AHSU 360 resolve a retenção legal para ambientes corporativos?

Sim. O AHSU 360 (AntiHacking System UNODATA) inclui módulo de retenção que opera separado do fluxo operacional da plataforma, com imutabilidade técnica garantida, política de prazo governada por norma e capacidade de recuperação e exportação em formato auditável. A retenção foi tratada como requisito de produto desde a concepção, não como funcionalidade adicional.