O Google Workspace não faz backup dos seus dados — e isso está nos termos de serviço deles

Muitas organizações operam sob a premissa de que o Google Workspace protege integralmente seus e-mails, arquivos e calendários. A realidade contratual é distinta, e está documentada de forma explícita nos próprios termos do serviço.

Dados do relatório The Evolution of Data Protection Cloud Strategies, do Enterprise Strategy Group (ESG), com 381 profissionais de TI responsáveis por decisões de proteção de dados.

Considere três cenários recorrentes no ambiente corporativo. No primeiro, um colaborador exclui acidentalmente um conjunto de contratos armazenados no Google Drive. No segundo, um ex-funcionário remove de forma deliberada pastas compartilhadas antes de seu desligamento. No terceiro, um ataque de ransomware criptografa arquivos sincronizados com o Drive de uma equipe inteira.

Em todas essas situações, a expectativa natural da organização é acionar o suporte do Google para solicitar a restauração dos dados. É nesse momento que muitas empresas descobrem, frequentemente a um custo elevado, que o provedor não tem condições de recuperar a informação — e que essa responsabilidade nunca lhe coube.

O que o Google garante — e o que não garante

O Google Workspace oferece um SLA (Acordo de Nível de Serviço) de 99,9% de disponibilidade mensal. Trata-se de um compromisso com a disponibilidade do serviço: a garantia de que a plataforma estará acessível e operante. É nesse aspecto que o Google concentra sua infraestrutura global, por meio de redundância e replicação de servidores.

Disponibilidade, contudo, não se confunde com backup. São conceitos tecnicamente distintos. As condições contratuais do serviço — atualmente consolidadas nos Google Cloud Terms of Service, que passaram a reger também o Workspace — tornam essa distinção evidente em suas cláusulas de isenção e limitação de responsabilidade:

As disposições acima integram os Termos de Serviço do Google Workspace — hoje consolidados nos Google Cloud Terms of Service — e o respectivo Acordo de Nível de Serviço (SLA), disponíveis publicamente no site oficial do Google.

Não se trata de interpretação ou de cláusulas de difícil acesso. São disposições expressas, mantidas pelo próprio Google em seus termos de serviço. A leitura conjunta dessas seções conduz a uma conclusão inequívoca: o contrato não assegura a recuperação de dados perdidos. A responsabilidade por sua proteção é do cliente, e não do provedor.

O modelo de responsabilidade compartilhada

O Google adota, à semelhança dos demais grandes provedores de nuvem, o modelo de responsabilidade compartilhada (shared responsibility model). Nesse modelo, a divisão de atribuições é clara e inegociável:

Tal divisão tem fundamento técnico. O Google não dispõe de meios para distinguir uma exclusão intencional de uma acidental, tampouco para diferenciar um administrador legítimo de um agente que utiliza credenciais comprometidas. Da mesma forma, não há como o provedor preservar dados que o próprio cliente, consciente ou inadvertidamente, determinou que fossem removidos.

O que ocorre após a exclusão de um dado

O Workspace dispõe de janelas nativas de recuperação. Tais janelas, no entanto, são limitadas e, em geral, insuficientes para as exigências de um ambiente corporativo:

A própria documentação do Google Workspace Admin Help é explícita: o administrador dispõe de até 25 dias, contados a partir do esvaziamento da lixeira, para restaurar arquivos do Drive e mensagens do Gmail. Decorrido esse prazo, a recuperação não é viável nem mesmo por meio do suporte técnico. O whitepaper de segurança do Google confirma ainda que os dados excluídos pelo cliente são eliminados dos sistemas do Google em um prazo máximo de 180 dias.

Principais causas de perda de dados no Workspace

As ameaças à integridade dos dados extrapolam, de forma significativa, as eventuais falhas técnicas do provedor. Segundo o relatório do ESG, a exclusão é a principal causa de perda de dados em ambientes SaaS, distribuída entre exclusão acidental, exclusão maliciosa externa e exclusão maliciosa interna:

Distribuição por causa conforme o relatório do ESG The Evolution of Data Protection Cloud Strategies; os percentuais referem-se às causas de perda de dados em aplicações SaaS.

Ransomware no Google Workspace: como o ataque acontece na prática

Um ponto frequentemente mal compreendido é que o ransomware, em regra, não precisa invadir os servidores do Google para causar impacto no Workspace. O cenário mais comum começa no dispositivo do usuário: um notebook ou desktop comprometido executa o malware localmente, criptografa arquivos armazenados em uma pasta sincronizada pelo Google Drive for desktop e, em seguida, essas alterações são replicadas para a nuvem.

Na prática, o Google Drive pode interpretar a criptografia como uma modificação legítima do arquivo. Assim, um contrato em PDF, uma planilha XLSX, uma apresentação PPTX ou um arquivo ZIP pode ser substituído por uma versão criptografada, corrompida ou inacessível. Quando esses arquivos estão em pastas compartilhadas ou em unidades compartilhadas, o impacto deixa de ser individual e passa a afetar equipes inteiras.

Esse tipo de incidente pode afetar especialmente arquivos tradicionais sincronizados com o Drive, como PDF, DOCX, XLSX, PPTX, imagens, arquivos compactados e documentos de engenharia. Já arquivos nativos do Google, como Google Docs, Sheets e Slides, possuem comportamento diferente, mas ainda podem ser impactados por exclusão, sobrescrita, abuso de permissões, comprometimento de conta ou manipulação maliciosa via aplicações conectadas.

O próprio Google passou a documentar recursos de detecção e recuperação relacionados a ransomware no Drive for desktop, justamente porque o risco não está limitado à disponibilidade da plataforma. O problema central é a integridade do dado do cliente: se uma alteração maliciosa é sincronizada como se fosse legítima, a organização precisa ter meios de identificar o ponto anterior ao incidente e restaurar os arquivos afetados com consistência.

Há ainda uma segunda modalidade de ataque: o comprometimento de contas. Nesse caso, o invasor não depende necessariamente de malware no endpoint. Ele pode usar credenciais roubadas, tokens OAuth ou uma aplicação maliciosa com permissões excessivas para excluir arquivos, exportar dados, alterar compartilhamentos ou remover conteúdos de unidades compartilhadas. Em ataques modernos, esse cenário pode ser combinado com extorsão: primeiro ocorre a cópia dos dados, depois a ameaça de vazamento.

O Google Vault não constitui solução de backup

Equívoco comum no mercado consiste em tratar o Google Vault como ferramenta de backup. Não é o caso. O Vault é uma solução de arquivamento para fins legais, concebida para retenção de dados associada a compliance, e-discovery e investigações internas. Suas limitações como recurso de proteção operacional são as seguintes:

• Não viabiliza a restauração granular de e-mails ou arquivos individuais ao seu estado original.
• Não abrange todos os tipos de dado; Google Chat, Meet e Sites apresentam cobertura limitada.
• Requer a configuração prévia de políticas de retenção; sem essa configuração anterior ao incidente, a ferramenta não cumpre a finalidade.
• Não oferece proteção contra ransomware que corrompe arquivos sem efetivamente excluí-los.
• Mostra-se adequado para compliance, e-discovery e ao atendimento de obrigações legais de retenção.

Requisitos de uma proteção efetiva do Workspace

Uma estratégia de backup adequada não se limita à confiança nas janelas nativas do Google. Os critérios essenciais a serem observados são os seguintes:

A questão a ser respondida por toda organização

Diante da exclusão acidental de uma conta de usuário-chave, da criptografia de arquivos por ransomware ou da remoção deliberada de pastas compartilhadas por um ex-colaborador, em quanto tempo a organização seria capaz de restaurar tais dados? Com qual nível de granularidade? Com qual garantia de integridade?

Caso a resposta seja incerta ou dependente exclusivamente do Google, há um risco operacional concreto, que deve ser endereçado de forma prioritária.