Para onde vai a sua foto quando você usa uma IA

Quem apertou o botão muda a resposta, e a lei tem nome para cada caso

Você anexa a selfie, aperta enviar e alguns segundos depois a ferramenta devolve o retrato pronto. A pergunta que sobra é honesta e quase ninguém responde: para onde vai a sua foto quando você usa uma IA, e esse arquivo saiu do Brasil? A resposta não é uma só, e o que decide não é a ferramenta que você escolheu. É quem apertou o botão.

O Regulamento de Transferência Internacional de Dados, aprovado pela Resolução CD/ANPD nº 19, de 23 de agosto de 2024, separa duas situações e dá nome a cada uma. O art. 3º, V define coleta internacional de dados como a "coleta de dados pessoais do titular efetuada diretamente pelo agente de tratamento localizado no exterior". E o art. 6º escreve, com todas as letras: "A coleta internacional de dados não caracteriza transferência internacional de dados."

Traduzindo para a sua tela: quando é você quem sobe a própria foto num serviço sediado fora do país, aquilo é coleta internacional, e a régua dos mecanismos do art. 33 não é a régua desse ato. Isso não significa terra sem lei. A Lei 13.709/2018 se aplica independentemente do país da sede da empresa e do país onde estejam os dados, desde que o tratamento tenha por objetivo a oferta de bens ou serviços a pessoas localizadas no território nacional (art. 3º, II da própria Lei). Esse território já foi destrinchado aqui quando o assunto foi o que cada ferramenta declara guardar, treinar e apagar, e não vale a pena repetir.

A outra situação é a do RH. Quando a sua empresa pega a foto do cadastro interno e joga numa ferramenta estrangeira para gerar o retrato do crachá ou da página institucional, existe alguém que exporta e alguém que importa. O Regulamento nomeia os dois: exportador é o "agente de tratamento, localizado no território nacional ou em país estrangeiro, que transfere dados pessoais para importador", e importador é o que "recebe dados pessoais transferidos por exportador" (art. 3º, I e II do Regulamento, não confundir com o art. 3º da Lei citado acima). O art. 5º do Regulamento fecha: "A transferência internacional de dados será caracterizada quando o exportador transferir dados pessoais para o importador." Nesse arranjo, a exportadora é a sua empresa, e é dela que se cobra.

Vale desfazer uma imagem enganosa aqui. Transferir não é o arquivo viajando dentro de um cabo até um prédio distante: o art. 3º, III define transferência como a operação em que um agente "transmite, compartilha ou disponibiliza acesso a dados pessoais a outro agente de tratamento". Disponibilizar acesso já basta. O arquivo pode estar parado num servidor no Brasil e, ainda assim, ter sido transferido para quem o acessa de fora.

Se a distinção parece óbvia depois de escrita, é porque ninguém a escreveu. Abrimos as cinco primeiras páginas em português da busca que junta foto enviada para IA, LGPD e transferência internacional, em 15/08/2026, e extraímos o texto delas: 8.443 palavras somadas, com zero ocorrência de "coleta internacional", zero de "cláusulas-padrão" e zero de "país de destino". A única das cinco que fala de foto não tem uma linha normativa; as duas com alguma densidade normativa não usam a palavra foto nenhuma vez.

As dez perguntas, por escrito, em duas versões

Comece pelo artefato. A versão A vai para o fornecedor de IA, pelo canal do encarregado de proteção de dados; a versão B, para o RH ou o jurídico que contratou a ferramenta que recebeu a sua foto. Cada pergunta existe por causa de um dispositivo específico, e a lista de motivos vem logo depois do bloco.

[Versão A) para o fornecedor de IA, pelo canal do encarregado de dados]

1. Em que país (ou países) os arquivos de imagem que eu envio são processados
   e armazenados?
2. Se esse país não é o Brasil, com base em qual mecanismo essa operação
   acontece: decisão de adequação, cláusulas-padrão contratuais, normas
   corporativas globais, cláusulas contratuais específicas ou outra hipótese
   do art. 33 da Lei 13.709/2018?
3. Existe o documento em língua portuguesa sobre a transferência internacional
   previsto no art. 17, § 2º da Resolução CD/ANPD nº 19/2024? Qual é o
   endereço dele?
4. Há transferência posterior a subcontratado? Para quais destinatários e com
   qual finalidade?
5. Qual é o canal e o prazo para eu receber a íntegra das cláusulas utilizadas
   nessa transferência?

[Versão B) para o RH ou o jurídico que contratou a ferramenta]

1. Qual ferramenta recebeu a minha foto, e a empresa figura como controladora
   nessa operação?
2. Qual é a hipótese legal (art. 7º ou art. 11 da LGPD) e qual é o mecanismo
   de transferência internacional utilizado?
3. As cláusulas-padrão do Anexo II da Resolução CD/ANPD nº 19/2024 foram
   incorporadas ao contrato? Em que data?
4. Onde está publicado o documento do art. 17, § 2º, com o país de destino
   dos dados?
5. Se eu solicitar, em quantos dias recebo a íntegra das cláusulas utilizadas?

Por que cada pergunta está ali, uma linha por pergunta:

1. A pergunta do país não é curiosidade: "o país de destino dos dados transferidos" é um dos itens mínimos que o art. 17, § 2º manda o controlador publicar quando a transferência se apoia nas cláusulas-padrão. Você pede um item que a norma já nomeia.
2. A pergunta do mecanismo separa o que quase toda política mistura. O art. 9º do Regulamento exige hipótese legal e mecanismo, e as opções de mecanismo são poucas e fechadas: quem responde "seguimos a LGPD" não respondeu.
3. A pergunta do documento espera um endereço de internet como resposta. Se ele existe, o país já está publicado e a conversa acabou.
4. A pergunta da transferência posterior existe porque a Cláusula 14.1 do Anexo II inclui, entre as informações a publicar, as transferências posteriores, "incluindo as relativas aos destinatários e à finalidade da transferência".
5. A pergunta do prazo transforma intenção em processo: o art. 17 e o seu § 1º dão ao titular a cópia íntegra das cláusulas dentro de quinze dias, e a seção sobre o documento público destrincha esse pedido.
6. Na versão B, a primeira pergunta fixa quem responde. O art. 4º do Regulamento diz que cabe ao controlador verificar a caracterização, a sujeição à lei brasileira e a validade do mecanismo; ao operador cabe "prestar auxílio". Pedido enviado a quem só executa volta com um "não sou eu".
7. As demais perguntas da versão B repetem a mesma lógica com um acréscimo: elas cobram data. O prazo de incorporação das cláusulas-padrão é datado, como mostra a seção seguinte, e sem data a resposta "nosso contrato prevê cláusulas de proteção de dados" não diz nada.

Uma ressalva que precisa vir colada ao artefato: são perguntas, não uma notificação. Este texto descreve norma publicada e mostra o que ela nomeia; ele não é orientação jurídica para o seu caso, e parte da resposta que você receber pode depender de contrato que nem você nem eu vemos.

A trava é dupla: hipótese legal e mecanismo

O erro mais comum de quem tenta responder isso sozinho é achar que basta uma coisa. O art. 9º do Regulamento exige duas, ligadas por um "e": a transferência "somente poderá ser realizada para atender a propósitos legítimos, específicos, explícitos e informados ao titular" e desde que amparada em "uma das hipóteses legais previstas no art. 7º ou no art. 11" da LGPD e em "um dos seguintes mecanismos válidos", que são a decisão de adequação, as cláusulas-padrão, as normas corporativas globais, as cláusulas específicas e as demais hipóteses do art. 33. O parágrafo único acrescenta que a operação "deverá se limitar ao mínimo necessário".

Base legal sem mecanismo não fecha, e mecanismo sem base legal também não. A sua empresa pode ter base legal impecável para tratar a sua imagem no crachá e mesmo assim não ter mecanismo nenhum para mandar aquele arquivo a um fornecedor sediado fora do país. São duas perguntas separadas, e é por isso que o roteiro acima pede as duas juntas: resposta que cobre metade da trava passa por completa.

Quem tem o dever de verificar isso tem nome. O art. 4º do Regulamento: "Cabe ao controlador verificar, previamente à realização da transferência internacional de dados, se a operação de tratamento: I - caracteriza transferência internacional de dados; II - submete-se à legislação nacional de proteção de dados; e III - está amparada em hipótese legal e em mecanismo de transferência internacional válidos." O § 1º diz que o operador "prestará auxílio ao controlador". Ou seja: o pedido tem endereço, e o endereço é o controlador. Quem é controlador e quem é operador quando existem uma plataforma e uma empresa contratante no mesmo fluxo é outro assunto, com dono próprio no blog.

Uma nota de forma que quase ninguém publica: cláusula-padrão não se negocia. O art. 16 do Regulamento diz que a validade da transferência amparada nelas "pressupõe a adoção integral e sem alteração do texto disponibilizado no Anexo II", e o § 2º proíbe que as demais disposições contratuais venham a "excluir, modificar ou contrariar, direta ou indiretamente, o disposto nas cláusulas-padrão". Ou entra inteiro, ou não é esse o mecanismo. Isso importa na hora de ler a resposta que você recebe, porque "usamos cláusulas contratuais de proteção de dados" e "incorporamos as cláusulas-padrão da ANPD" não são a mesma frase.

A data que quase ninguém publica: 23 de agosto de 2025

O regulamento que organiza tudo isso tem nome, número e data: Resolução CD/ANPD nº 19, de 23 de agosto de 2024, publicada no Diário Oficial da União naquela data (edição 163, seção 1, página 123). A ementa cabe numa linha: "Aprova o Regulamento de Transferência Internacional de Dados e o conteúdo das cláusulas-padrão contratuais." O Anexo I é o Regulamento, de onde saem os artigos citados até aqui; o Anexo II é o texto das cláusulas.

O prazo está no art. 2º, parágrafo único: os agentes que usam cláusulas contratuais para transferir "deverão incorporar as cláusulas-padrão contratuais aprovadas pela ANPD aos seus respectivos instrumentos contratuais, no prazo de até 12 (doze) meses, contados da data de publicação desta Resolução". A conta é direta e cabe numa linha: 23 de agosto de 2024 mais doze meses dá 23 de agosto de 2025. O prazo é do dispositivo, e este artigo não afirma que qualquer empresa específica esteja fora dele. O que existe publicamente é a data, e é ela que transforma "a empresa deveria" numa pergunta com calendário.

A página de transferência internacional de dados da ANPD, aberta em 15/08/2026, responde a outra metade da história: o que já foi aprovado. Sobre adequação, ela publica que "até o momento, a União Europeia foi considerada como organismo internacional adequado pelo Conselho Diretor da ANPD por meio da publicação da Resolução nº 32/2026". Sobre os outros mecanismos, a mesma página repete a mesma frase em variações: nenhuma cláusula-padrão contratual equivalente foi reconhecida, nenhuma cláusula contratual específica foi aprovada, nenhuma norma corporativa global foi aprovada, e no repositório de mecanismos, "até a presente data, não houve nenhuma decisão do Conselho Diretor da ANPD" sobre nenhum dos três.

A consequência prática não aparece em nenhum dos cinco primeiros resultados da busca: para destino fora da União Europeia, a porta praticável hoje é a cláusula-padrão contratual do Anexo II, que não depende de aprovação prévia da autoridade, ou uma das hipóteses do art. 33 que não dependem de regulamentação. As portas que exigem decisão do Conselho Diretor estão, por enquanto, sem decisão publicada. É leitura do que está no ar na data da consulta, não previsão.

Duas notas de fronteira. A primeira: a ANPD escreve que "decisões de adequação emitidas por outros países não são válidas para o Brasil", o que derruba o argumento de que basta o fornecedor ter cláusulas europeias no contrato. A segunda: a União Europeia entra nesta seção por um motivo que não tem nada a ver com rotular imagem gerada. Esse é tema de outro artigo, sobre a norma europeia que manda identificar a imagem sintética. Lá a regra é sobre marcar a imagem; aqui, sobre mover o dado.

A própria autoridade avisa que a lista vai mudar: "A ANPD publicará neste site uma lista dos países e organismos internacionais que receberam decisões de adequação", e essa lista "será constantemente atualizada". O endereço é fixo, e a resposta que vale é a do dia em que você precisa decidir, não a deste parágrafo.

O documento que tem de existir na internet, com o país de destino dentro

Existe um pedaço do Regulamento que resolve a pergunta do título sem depender de boa vontade de ninguém: o art. 17. Ele mora na seção de medidas de transparência do capítulo das cláusulas-padrão, e essa localização é uma condicionante que precisa vir dentro de toda frase sobre ele. O dever descrito abaixo vale quando a transferência se apoia nas cláusulas-padrão contratuais, e o art. 32 estende dever equivalente às cláusulas específicas e às normas corporativas globais.

Com a condicionante na mesa: o § 2º manda o controlador publicar "em sua página na Internet documento contendo informações em língua portuguesa, em linguagem simples, clara, precisa e acessível sobre a realização da transferência internacional de dados", com seis itens mínimos.

1. A forma, a duração e a finalidade específica da transferência internacional.
2. O país de destino dos dados transferidos.
3. A identificação e os contatos do controlador.
4. O uso compartilhado de dados pelo controlador e a finalidade.
5. As responsabilidades dos agentes que realizarão o tratamento e as medidas de segurança adotadas.
6. Os direitos do titular e os meios para o seu exercício, incluindo canal de fácil acesso e o direito de peticionar contra o controlador perante a ANPD.

O item 2 é a resposta da pergunta deste artigo, e não é interpretação: "o país de destino dos dados transferidos" está escrito, em letra de norma, entre as informações mínimas. O § 3º permite que esse conteúdo viva em página própria ou integrado "de forma destacada e de fácil acesso" à política de privacidade, o que explica por que às vezes ele existe e você não achou.

O caput do mesmo artigo cria o pedido individual: o controlador "deverá disponibilizar ao titular, em caso de solicitação, a íntegra das cláusulas utilizadas para a realização da transferência internacional de dados, observados os segredos comercial e industrial", e o § 1º dá quinze dias para atender. Cuidado para não somar prazos que a norma não somou: esses quinze dias são para receber a cópia das cláusulas, e não são os quinze dias que valem para confirmação e acesso, que estão em outro artigo da LGPD e cobrem outro pedido.

O texto das cláusulas repete o dever e acrescenta uma alínea que interessa a quem usa IA. A Cláusula 14.1 do Anexo II manda a parte designada publicar o mesmo documento em linguagem simples, e a alínea "g" inclui as transferências posteriores, "incluindo as relativas aos destinatários e à finalidade da transferência". É por aí que o subcontratado entra na conversa: quem você contratou pode não ser o único a tocar no seu arquivo, e a cadeia tem de estar descrita. A Cláusula 14.4 acrescenta que todas as informações disponibilizadas aos titulares "deverão ser redigidas na língua portuguesa".

E quando o mecanismo não são as cláusulas-padrão, a transparência continua exigível por outro caminho. O art. 2º, V do Regulamento lista entre as diretrizes a "implementação de medidas efetivas de transparência, que assegurem o fornecimento aos titulares de informações claras, precisas e facilmente acessíveis sobre a realização da transferência", e a ANPD escreve na página temática que os agentes "devem garantir o exercício de direitos e fornecer informações claras aos titulares sobre a transferência". A LGPD, por sua vez, coloca a transferência internacional dentro da definição de uso compartilhado de dados (art. 5º, XVI) e manda que o uso compartilhado esteja entre as informações disponíveis "de forma clara, adequada e ostensiva" (art. 9º, V).

Instrução prática, então: procure no site do fornecedor uma página com esse conteúdo. Se ela existir, o país está lá dentro e a sua pesquisa acabou em dois minutos. Se não existir, você não tem uma conclusão sobre a empresa. Você tem uma pergunta com endereço, que é coisa diferente e bem mais útil.

Protocolo de dez minutos: o que duas páginas publicadas dizem hoje

O percurso abaixo é feito no navegador, sem ferramenta nenhuma. Ele não produz certeza jurídica: produz um registro datado do que a empresa publica, que é o que falta quando a conversa vira discussão.

1. Abra a política específica do recurso de IA que você usa e anote a data de atualização declarada no topo (2 minutos).
2. Busque na página, com Ctrl+F ou Cmd+F, seis palavras, uma de cada vez: país, países, transferência, internacional, servidores, armazenamento. Anote quantas vezes cada uma aparece, inclusive quando a resposta for zero (30 segundos).
3. Se der zero, suba um nível e repita a busca na política de privacidade guarda-chuva da empresa, que costuma ser outro documento (2 minutos).
4. Procure a página específica de transferência internacional, de subprocessadores ou de residência de dados, em geral no rodapé ou na documentação técnica (2 minutos).
5. Registre o que está escrito e o que não está, com a data da leitura e uma captura de tela que inclua o cabeçalho da página (2 minutos).
6. Se sobrou pergunta, mande a versão A do roteiro pelo canal do encarregado e guarde o protocolo (1 minuto e meio).

Fizemos o percurso em 15/08/2026 nas páginas publicadas de duas empresas cujas ferramentas geram e editam imagem a partir de foto, o Google e a OpenAI. O que segue descreve o que essas páginas publicam, com a data da leitura, e não avalia a conformidade de ninguém.

Google: a página que fala da sua imagem não usa a palavra país

A central de privacidade dos apps do Gemini, em português, declara no topo "Última atualização: 10 de agosto de 2026" e tem uma seção dedicada a uploads, com a pergunta "Como o Google processa as imagens enviadas?". Extraímos o texto da página (cerca de 65 mil caracteres) e contamos: "país" aparece 0 vez, "países" 0, "transferência" 0, "internacional" 0, "jurisdição" 0, "centro de dados" 0. A única ocorrência de "servidores" fala de servidores de terceiros em apps conectados. A página que explica o que a empresa faz com a imagem que você envia não usa a palavra país nenhuma vez, nem para dizer que ela fica no Brasil, nem para dizer que ela sai.

A geografia aparece um nível acima. A política de privacidade do Google, marcada como "em vigor a partir de 2 de abril de 2026", tem uma seção chamada Transferências de dados: "Temos servidores em todo o mundo, e suas informações podem ser processadas em servidores localizados fora do país em que você vive. As leis de proteção de dados variam dependendo do país, sendo que algumas oferecem mais proteção que outras." O documento afirma aplicar as mesmas proteções independentemente do local e atuar "em conformidade com determinadas estruturas legais relacionadas à transferência de dados". Ele não nomeia país de destino nem mecanismo: no mesmo texto, "cláusulas" aparece 0 vez e "ANPD" 0.

A mesma política entrega, porém, algo que o roteiro pede e quase ninguém procura: o endereço. Na seção "Requisitos do Brasil" ela escreve que, "para usuários localizados no Brasil, o controlador de dados responsável por suas informações é a Google LLC, a menos que indicado de outra forma em um aviso de privacidade específico do serviço", nomeia a encarregada de dados e publica um e-mail de contato no Brasil. A ressalva do fim da frase importa: pode existir aviso específico de um produto que aponte outro controlador, e é isso que você confere antes de escrever. Saber quem é o controlador é metade do trabalho, porque é dele que se cobra.

OpenAI: dez regiões publicadas, e nenhuma é o Brasil

Do outro lado, o primeiro achado é de acesso. Em 15/08/2026, com um cliente que se identifica como navegador, a política de privacidade de consumidor, a lista de subprocessadores, o adendo de tratamento de dados e a central de ajuda da OpenAI devolveram HTTP 403 à leitura automatizada. É um fato de acesso, medido e datado, não uma acusação: a consequência é que este artigo não afirma nada com base nessas páginas.

O que abriu com 200 foi a documentação sobre os dados enviados à API da OpenAI. Ela publica uma seção de controles de residência de dados e uma tabela de regiões disponíveis. São dez: Estados Unidos, Europa (EEE mais Suíça), Austrália, Canadá, Japão, Índia, Singapura, Coreia do Sul, Reino Unido e Emirados Árabes Unidos. A palavra "Brazil" aparece zero vez na página. E os endpoints de imagem estão nomeados na tabela, /v1/images/edits e /v1/images/generations, o que mostra que o recorte deste artigo não é analogia: são os serviços que geram e editam foto. Três detalhes dessa página valem mais do que a lista de países.

• Escolher região não é um botão de usuário. A página manda "entrar em contato com a equipe comercial para ver se você é elegível", informa acréscimo de 10% nos endpoints de residência para modelos lançados a partir de 5 de março de 2026 e exige, para qualquer região que não os Estados Unidos, aprovação de controles de monitoramento de abuso e uma emenda de retenção assinada. Tudo configurado por projeto, dentro de uma organização de API.
• Guardar numa região não é processar nela. O texto separa as duas coisas: o conteúdo do cliente fica "armazenado em repouso na região selecionada", e a inferência só acontece ali quando a região suporta processamento regional. Na tabela, das dez regiões, apenas Estados Unidos, Europa e Emirados Árabes Unidos marcam processamento regional; nas outras sete, a página avisa que a empresa "pode também processar e armazenar temporariamente o conteúdo do cliente fora da região".
• A residência não cobre tudo. A página diz que ela "does not apply to system data", ou seja, não alcança dados de conta, metadados e dados de uso sem conteúdo do cliente, que podem ser processados fora da região escolhida. E há subcontratado declarado: para os endpoints dos Estados Unidos e da Europa, a empresa afirma usar o Cloudflare Regional Services para que a terminação TLS e a decriptação HTTPS aconteçam dentro da região de processamento.

Junte os três e você tem o mecanismo que explica a frustração de quem procurou um botão. Desligar o histórico e desligar o treino são chaves de produto, dentro da sua conta. O país é decisão de infraestrutura, tomada por projeto, com contato comercial, contrato e custo, e sequer aparece numa conta de consumidor. É por isso que a geografia é a quinta coisa que não sai junto com o histórico: este blog já publicou as quatro coisas que o botão não desliga, e vale acrescentar a quinta. Na mesma linha, usar a sua foto como dado de treino é uma decisão de outra camada ainda, com chave própria e efeito próprio.

Quando a resposta é "não dá para saber", e o que a lei não te dá

Vai acontecer de você percorrer os seis passos e terminar sem o nome de um país. Isso não é fracasso do método: é um resultado, e resultado se registra.

• Anote a ausência com a precisão do passo 5: endereço, data de atualização declarada, palavra buscada e quantas vezes ela apareceu. "A página não diz" é uma informação. "A empresa escondeu" é uma conclusão que você não tem como sustentar.
• Separe duas coisas que parecem iguais: a página não trata do assunto, e a empresa respondeu que não vai informar. A segunda é uma resposta, entra no registro com data e canal, e só existe se você tiver mandado o pedido por escrito.

Agora a parte desconfortável, que quase nenhum texto sobre o assunto escreve: o que a lei não te dá. Ela não te dá o direito de escolher o país. Não existe dispositivo que permita ao titular exigir que o processamento aconteça em território nacional. Ela também não trata a transferência como algo a ser evitado. O art. 2º do próprio Regulamento lista entre as diretrizes a "promoção do livre fluxo transfronteiriço de dados com confiança e do desenvolvimento social, econômico e tecnológico, com observância aos direitos dos titulares" e, no inciso I, a garantia de nível de proteção equivalente "independentemente do país onde estejam localizados os dados pessoais objeto da transferência, inclusive após o término do tratamento e nas hipóteses de transferências posteriores".

Traduzindo sem rodeio: mandar dado para fora do Brasil não é irregularidade. Mandar sem hipótese legal, sem mecanismo válido e sem informar o titular é outra conversa, e ela é operação por operação, não país por país. O que a norma te dá é menos glamouroso e bem mais utilizável: informação, mecanismo e endereço. Você pode saber com base em quê a sua foto sai, pode pedir a cópia das cláusulas quando esse for o mecanismo, pode cobrar que a informação sobre uso compartilhado esteja clara e ostensiva, e sabe a quem endereçar, porque o dever de verificar é do controlador.

Uma fronteira, para não misturar assuntos: tudo acima pressupõe um fluxo que funciona e está autorizado. Quando o fluxo falha e o arquivo vai parar onde não deveria, o assunto é outro, com procedimento, prazos e canais próprios. E o limite deste texto, dito com todas as letras: ele descreve norma publicada e mostra o que dá para perguntar. Não é orientação jurídica para o seu caso concreto e não substitui advogado quando existem contrato, prejuízo ou litígio no meio.

E aqui: para onde vai a foto que você sobe no fotoslinkedin

Seria estranho publicar esse roteiro e não responder a versão A dele sobre nós mesmos. Então: a geração de imagem do fotoslinkedin roda no endpoint padrão da OpenAI. No código, o cliente é criado apenas com a chave de API, sem baseURL regional, ou seja, sem nenhum dos dez prefixos de residência de dados listados na seção anterior. O modelo é o gpt-image-2. A consequência, dita sem eufemismo: a sua foto é processada fora do Brasil.

O arquivo que você envia e a imagem gerada ficam num bucket privado na Cloudflare R2. O cliente é criado com region "auto", que é o padrão do serviço, sem restrição de jurisdição declarada no código. O que acontece com esse arquivo depois, quanto tempo ele fica e o que o botão de apagar realmente apaga já está publicado em detalhe no artigo sobre o envio da foto para a IA, citado duas vezes acima. Aqui a resposta nova é só a geográfica.

Não existe selo nisso e não é autoavaliação jurídica. É a resposta à primeira pergunta do roteiro, publicada numa página com data, que é o nível de resposta que dá para exigir de qualquer fornecedor: qual país, com base em qual mecanismo, e onde isso está publicado. Se responde as três, você tem o que precisa. Se responde uma, você sabe quais duas faltam.

Resumo e próximos passos

Quatro linhas para levar daqui:

1. Quem apertou o botão muda o regime. Você enviando é coleta internacional (art. 6º do Regulamento); a empresa enviando é transferência internacional, com exportador e importador nomeados na norma.
2. A trava é dupla: hipótese legal do art. 7º ou do art. 11 da LGPD e mecanismo válido. Uma sem a outra não fecha, e resposta pela metade passa por completa se você não perguntar as duas.
3. A data existe e é 23 de agosto de 2025, doze meses depois da publicação da Resolução CD/ANPD nº 19/2024. E, na consulta de 15/08/2026, o único reconhecimento de adequação publicado pela autoridade é o da União Europeia.
4. Quando o mecanismo são as cláusulas-padrão, existe um documento público, em português, com o país de destino dentro. Onde ele não existe, você tem uma pergunta com endereço, não uma conclusão sobre a empresa.

Três saídas, conforme o que ficou pendurado. Se a sua dúvida é o processo inteiro, do arquivo que você anexa até a imagem publicada, o guia que explica como a foto é gerada, antes de ela sair do país é o mapa completo. Se o próximo passo é gerar, comece por quais arquivos anexar antes de apertar gerar, porque referência ruim custa mais caro que qualquer configuração. E se o que ficou foi tempo em vez de lugar, quem responde pelo arquivo depois da candidatura segue a outra metade da mesma pergunta.

E se você só quer fazer uma coisa hoje, faça o passo 2 do protocolo na ferramenta que usou na semana passada: trinta segundos de Ctrl+F já dizem se a palavra país existe naquela página.