Perguntas frequentes

O mercado é testado primeiro, viabilidade comercial, viabilidade legal/regulatória, adequação do produto, e então Mario executa pessoalmente: operações de vendas, compliance local, condução de licitações e desenvolvimento de canais, antes de você se comprometer com uma entidade legal ou uma contratação local. O mesmo senior operator que conduz o teste faz o trabalho, do início ao fim, com relatórios transparentes durante todo o processo. O GCC é o mercado principal; Brasil, Itália, Espanha e Portugal estão agora abertos para um número limitado de projetos.

A porta de entrada da prática. Um teste de escopo fixo de viabilidade comercial, viabilidade legal e regulatória, e adequação do produto, conduzido sobre o seu produto real, seu preço e suas contas-alvo nos EAU e na KSA. Você recebe um veredito escrito e datado com as evidências anexadas: o que foi testado, o que o mercado disse, e se comprometer uma entidade ou uma contratação se justifica. A taxa é fixa e comunicada claramente na primeira conversa, sem diárias, sem contador correndo. Se o terreno se confirmar sólido, a execução continua com a mesma pessoa, sem transição. O veredito pode ser negativo. Um não documentado, com as evidências anexadas, vale metade do valor: a taxa é a mesma nos dois casos, então não há incentivo para achar um sim que não existe. Um não documentado é a coisa mais barata que você vai comprar no Golfo: libera o orçamento da entidade, a contratação local, e um ano de atenção do founder para o mercado que realmente merece.

Um virtual CISO (vCISO) é um líder sênior de cibersegurança contratado em regime fracionário ou como consultor, em vez de uma contratação em tempo integral. Você provavelmente precisa de um se enfrenta escrutínio regulatório (NIS2, PDPL, LGPD, ISO 27001), vende para contas enterprise que pedem evidências de segurança, ou está entrando em um mercado novo onde as regras de proteção de dados não são familiares. Um vCISO dá a você governança de segurança em nível de board sem o custo ou o tempo de uma contratação permanente.

A consultoria de AI governance cobre as políticas, controles e documentação que uma empresa precisa para usar IA de forma responsável e em conformidade. Na prática: inventariar os sistemas de IA em uso, classificá-los por nível de risco (especialmente sob a EU AI Act), definir procedimentos de supervisão humana para usos de alto risco, revisar contratos de fornecedores frente às obrigações da AI Act, e ajudar a liderança a explicar decisões de IA a reguladores, auditores e compradores enterprise.

AI governance é o conjunto de políticas, controles e processos de supervisão que determinam como a IA é desenvolvida, implantada e monitorada dentro de uma organização. Importa para vendas enterprise porque grandes compradores, bancos, seguradoras, telcos, governos, cada vez mais perguntam: "você consegue provar que sua IA é justa, auditável e segura?". Sob a EU AI Act, parte disso se torna obrigatório. Mas mesmo onde ainda não é lei, as empresas que conseguem demonstrar IA governada fecham negócios mais rápido e com menos atrito do que as que não conseguem.

A The Tek Atelier é uma prática liderada pelo principal. Mario Pucciarelli faz o trabalho, não uma equipe júnior. O foco é estreito: entrada no mercado tech, governança de segurança e compliance de IA no Golfo, na América Latina e na Europa. Não há grandes estruturas de overhead para sustentar, então os projetos são mais focados, mais rápidos de iniciar, e com preços que refletem o trabalho real. Os clientes lidam diretamente com alguém que atuou na interseção de tech, segurança e negócios comerciais nesses mercados por 25 anos.

Empresas tech, SaaS, cibersegurança e IA lideradas pelo founder, com receita, em sua primeira entrada no GCC, ainda sem entidade local. O comprador é diretamente o founder ou o CEO. Se você já tem uma entidade no Golfo e uma equipe local operando, você precisa de suporte à execução mais do que de um teste de mercado, e eu vou te dizer isso na primeira conversa.

Os projetos são estruturados como um retainer de escopo definido ou um projeto de taxa fixa. Um projeto de consultoria de entrada no mercado costuma durar de 3 a 6 meses. Uma avaliação de postura de segurança ou uma revisão de AI governance costuma ser um projeto de escopo fixo. As taxas refletem a seniority do trabalho e o valor criado. A primeira conversa é sempre gratuita e sem compromisso.

Mario trabalha em inglês, italiano, espanhol e português. Consultoria, propostas e comunicações com o cliente podem ser entregues em qualquer um desses idiomas, relevante para projetos na América Latina e na Europa.

É a escolha certa se: você é uma empresa tech ou SaaS entrando no GCC ou na LatAm, precisa de governança de segurança para fechar negócios enterprise, está lidando com compliance de IA (EU AI Act, PDPL, LGPD), ou quer uma consultoria sênior e direta em vez de um deck bem-acabado de uma grande equipe. A forma mais simples de descobrir é uma chamada de 30 minutos, sem compromisso, sem pitch. Não é a escolha certa se: você já tem uma entidade no GCC com uma equipe local operando, tem um produto pré-receita, ou está buscando o menor preço.

A The Tek Atelier atua principalmente no GCC (EAU, Arábia Saudita, Catar, Bahrein, Kuwait, Omã), na Europa continental (com foco na Itália e no perímetro regulatório da UE), e na América Latina (Brasil, México, Colômbia, Chile, Argentina). Mario Pucciarelli mora e trabalha no Golfo há 12 anos e traz conhecimento direto do cenário comercial e regulatório de cada região.

Um prazo realista para uma empresa tech ou SaaS entrando nos EAU do zero é de 6 a 18 meses até a primeira receita significativa. Os primeiros 90 dias costumam ser gastos com constituição da entidade legal, linha de base de compliance, identificação dos primeiros parceiros, e construção de relacionamentos-chave. Os EAU recompensam persistência e presença presencial: empresas que aparecem trimestralmente fecham significativamente mais rápido do que as que trabalham só remotamente.

Nem sempre, mas na prática sim para atividade comercial séria. Contratos governamentais e vendas em setores regulados (bancos, telco, saúde) quase sempre exigem uma entidade local ou, no mínimo, um parceiro local com licença comercial válida. Entidades de free zone (RAKEZ, DIFC, ADGM, DMCC) são rápidas de constituir e permitem 100% de propriedade estrangeira. Entidades mainland exigem mais interação regulatória, mas dão acesso mais amplo ao mercado.

Três coisas importam mais: relacionamentos antes de transações (decisões são tomadas com pessoas de confiança), hierarquia e autoridade (propostas funcionam melhor quando dirigidas ao verdadeiro tomador de decisão), e paciência (os prazos no Golfo são mais longos que os ciclos tech ocidentais, e uma pausa após sinais positivos é normal, não uma rejeição). O calendário do Ramadã, aprovações governamentais, e o fim de semana sexta-sábado também exigem planejamento.

DIFC (Dubai International Financial Centre) e ADGM (Abu Dhabi Global Market) são ambas free zones financeiras de common law, com suas próprias cortes, reguladores e marcos de proteção de dados amplamente alinhados ao GDPR. O DIFC fica em Dubai e costuma ser preferido para serviços financeiros e consultoria profissional. O ADGM fica em Abu Dhabi e é cada vez mais relevante para fintech e veículos de investimento. Ambos são reconhecidos pela UE para fins de transferência de dados.

Sim. A The Tek Atelier trabalha com empresas europeias entrando no GCC, empresas latino-americanas navegando obrigações de compliance da UE, e empresas do GCC se expandindo para a Europa ou a LatAm. Empresas baseadas em qualquer lugar podem contratar consultoria regulatória (EU AI Act, GDPR, NIS2, LGPD, PDPL) independentemente de onde estejam sediadas.

O Federal Decree-Law No. 45 de 2021 (PDPL) é o principal marco de proteção de dados dos EAU. Aplica-se a qualquer organização que trate dados pessoais de indivíduos nos EAU, independentemente de onde a organização esteja sediada. As obrigações principais incluem designar um controlador ou operador de dados, implementar medidas de segurança, e gerenciar transferências transfronteiriças de dados. As entidades de DIFC e ADGM têm normas próprias paralelas.

A PDPL da Arábia Saudita, aplicada pela SDAIA, cobre todo tratamento de dados pessoais relacionados a indivíduos na Arábia Saudita. Compartilha a arquitetura geral da lei dos EAU, consentimento, limitação de finalidade, controles de transferência transfronteiriça, mas é aplicada por uma autoridade diferente, com multas e prazos distintos. Empresas que operam nos dois países precisam de trilhas de compliance separadas.

Sim. A EU AI Act tem alcance extraterritorial: aplica-se a qualquer empresa cujos sistemas de IA sejam colocados no mercado da UE ou cujos resultados de IA sejam usados por pessoas na UE, independentemente de onde a empresa esteja constituída. Uma empresa dos EAU ou do Brasil que distribui IA a usuários europeus precisa cumprir. As disposições de alto risco se aplicam a partir de 2 de dezembro de 2027 e 2 de agosto de 2028, dependendo do tipo de sistema.

A Lei Geral de Proteção de Dados (LGPD) é a lei nacional de proteção de dados aplicada pela ANPD. Aplica-se a qualquer organização que trate dados pessoais de indivíduos no Brasil, incluindo empresas sediadas fora do Brasil. Os requisitos principais incluem uma base legal para o tratamento, a designação de um Encarregado de Dados (DPO) em muitos casos, os direitos do titular dos dados, e a notificação de violações de dados. A ANPD está em fiscalização ativa desde 2023.

A NIS2 (Diretiva UE 2022/2555) exige que entidades essenciais e importantes em setores críticos implementem medidas de gestão de risco, reportem incidentes significativos dentro de 24–72 horas, e garantam a segurança da cadeia de suprimentos. A alta direção pode ser pessoalmente responsabilizada por não conformidade. Empresas com 50+ funcionários ou faturamento acima de €10 milhões operando na UE em setores no escopo costumam estar cobertas. A fiscalização nacional está ativa em todos os estados-membros da UE.

A SDAIA (Saudi Data and AI Authority) é o órgão governamental saudita responsável tanto pela proteção de dados (aplicando a PDPL saudita) quanto pela estratégia nacional de IA. Publicou a National AI Strategy e os AI Ethics Principles, e espera-se que emita regulamentações específicas de IA alinhadas a padrões internacionais. A Arábia Saudita designou 2026 como seu "Ano da IA". Empresas entrando no mercado saudita com produtos de IA devem se aproximar cedo dos frameworks publicados pela SDAIA.

O PL 2338 é a proposta de regulação de IA do Brasil, um framework baseado em risco amplamente inspirado na EU AI Act. Já passou pelo Senado e avança na Câmara dos Deputados em meados de 2026. Mesmo antes de virar lei, empresas que processam dados com IA no Brasil já estão sujeitas às obrigações da LGPD sobre decisões automatizadas. Empresas com uma base de usuários brasileira significativa devem começar agora a classificação de risco de IA: o esforço de compliance é menor se você começar antes de a lei ser aprovada.

Equipes de compras enterprise, especialmente em bancos, seguradoras, telco e governo, agora enviam rotineiramente questionários de segurança de fornecedores como condição de avaliação. Sob a NIS2 e equivalentes no GCC, os compradores são legalmente responsáveis pela segurança de seus fornecedores. Uma postura fraca te coloca no fim das shortlists ou te exclui delas. Sua postura de segurança agora faz parte da conversa comercial.

Uma avaliação de postura de segurança é uma revisão estruturada dos seus controles atuais, lacunas e exposição a risco em relação a um framework (ISO 27001, NIST CSF, DORA, ou o questionário próprio de um comprador). Para uma empresa tech de mercado médio com um ambiente razoavelmente documentado, uma avaliação inicial leva de 2 a 4 semanas e produz uma análise de lacunas, achados priorizados por risco, e um roteiro de remediação. O resultado é pensado para ser apresentável a um board e defensável em conversas de compras.

A ISO 27001 é o padrão internacional para sistemas de gestão de segurança da informação. Cada vez mais é esperada, não apenas preferida, ao vender para entidades governamentais, grandes telcos e bancos nos EAU. A SDAIA e vários órgãos governamentais sauditas a referenciam em requisitos de compras. Preparar-se para a certificação costuma levar de 6 a 18 meses, dependendo da postura atual.

Use o formulário de contato ou escreva diretamente para mario@tek-atelier.com. Descreva brevemente o que você quer alcançar, entrada no mercado, postura de segurança, AI governance, ou uma combinação. Mario responderá dentro de um dia útil e proporá uma breve chamada introdutória para estabelecer se e como a prática pode ajudar.