Não. O Microsoft 365 não faz backup dos seus dados — e essa é, provavelmente, a suposição mais perigosa que um gestor de PME pode carregar sobre a própria operação. A plataforma garante que o serviço esteja no ar; quem garante que o conteúdo da sua empresa possa ser recuperado é você. E não somos nós que dizemos isso: é a própria Microsoft, em contrato.
Resposta rápida: Não. O Microsoft 365 não faz backup dos seus dados. A Microsoft garante a disponibilidade da infraestrutura e replica informações entre datacenters, mas a proteção do conteúdo — e-mails, arquivos, Teams — é responsabilidade do cliente. O próprio Contrato de Serviços Microsoft recomenda backup regular do seu conteúdo, inclusive por meio de serviços de terceiros.
Resposta direta: não, o Microsoft 365 não faz backup dos seus dados
A resposta direta é não: o Microsoft 365 não faz backup dos seus dados, porque o serviço foi desenhado para garantir a disponibilidade da plataforma — e-mail, OneDrive, SharePoint e Teams sempre no ar — e não para manter cópias independentes e recuperáveis do conteúdo que a sua empresa produz todos os dias.
O que existe nativamente são mecanismos de replicação (o mesmo dado copiado entre datacenters, para que uma falha de hardware não derrube o serviço) e de retenção (lixeiras e políticas que seguram itens excluídos por um prazo limitado). Nenhum dos dois é backup.
A diferença é brutal na prática: se um arquivo é criptografado por ransomware, a replicação copia o arquivo criptografado para todos os datacenters — com a mesma eficiência com que copiava o original. Se um e-mail passa do prazo de retenção, ele deixa de existir em qualquer lugar.
O que a Microsoft realmente garante: o modelo de responsabilidade compartilhada
O modelo de responsabilidade compartilhada do Microsoft 365 estabelece que a Microsoft responde pela infraestrutura, pelo uptime e pela segurança física dos datacenters, enquanto o cliente — ou seja, a sua empresa — responde pelos dados em si: proteção contra exclusão, ransomware e erro humano, além das exigências legais de retenção.
Esse modelo foi bem documentado pela Veeam no Microsoft 365 Shared Responsibility Model, e a lógica é simples: a Microsoft é a processadora dos dados; a proprietária é a sua empresa. Quem é dono, responde.
| Área | Responsabilidade da Microsoft | Responsabilidade da sua empresa |
|---|---|---|
| Infraestrutura | Uptime do serviço, datacenters, rede global | — |
| Continuidade | Replicação geo-redundante contra falha de hardware | Backup independente e recuperável dos dados |
| Segurança | Segurança física, criptografia da plataforma, MFA disponível | Configurar MFA, controlar acessos, proteger credenciais |
| Dados | Processar e armazenar enquanto o serviço estiver ativo | Propriedade, proteção e recuperação do conteúdo |
| Exclusões | Lixeiras e retenção por prazo limitado | Recuperação após o fim dos prazos de retenção |
| Conformidade | Certificações da plataforma (ISO, SOC etc.) | LGPD, retenção legal e auditoria dos próprios dados |
Repare na segunda linha: replicação protege a Microsoft de falhas de infraestrutura; não protege você de exclusão, ataque ou erro. São problemas diferentes, com donos diferentes.
A cláusula do contrato que ninguém lê
O Contrato de Serviços Microsoft — aquele documento que todo mundo aceita sem ler — traz na cláusula 6.b uma recomendação explícita: a própria Microsoft orienta o cliente a fazer backup regular do conteúdo e dos dados armazenados nos Serviços, inclusive por meio de aplicativos e serviços de terceiros.
O texto oficial em português diz o seguinte, na seção sobre disponibilidade do serviço:
"Recomendamos que você faça backup regularmente do Seu Conteúdo e dos Dados armazenados nos Serviços ou que os armazene usando Aplicativos e Serviços de Terceiros."
E a mesma cláusula deixa claro o porquê: todos os serviços online sofrem interrupções ocasionais, a Microsoft não se responsabiliza por perdas decorrentes delas e, em caso de indisponibilidade, você pode não conseguir recuperar seu conteúdo. Está tudo no Contrato de Serviços Microsoft, seção 6.b.
Leia de novo, porque é isso mesmo: a empresa que fornece o serviço recomenda, por escrito, que você mantenha backup do que armazena nele. Quando o fornecedor da plataforma diz isso, o debate sobre "precisar ou não de backup" está encerrado — o que resta decidir é como fazer.
5 cenários em que você perde dados para sempre
Existem cenários reais e recorrentes em que dados do Microsoft 365 desaparecem de forma definitiva, sem qualquer possibilidade de recuperação nativa, porque os prazos de retenção expiraram, a conta deixou de existir ou o ataque comprometeu justamente as cópias sincronizadas — e nenhum deles é raro no dia a dia de uma PME.
1. Exclusão descoberta depois do período de retenção
Um e-mail excluído da pasta Itens Excluídos ainda pode ser recuperado por um prazo padrão de 14 dias (ampliável para 30). No SharePoint e no OneDrive, a lixeira segura itens por até 93 dias, segundo a documentação de retenção da Microsoft.
O problema é que boa parte das perdas só é percebida meses depois: uma auditoria, uma disputa trabalhista, um cliente que pede o histórico. Passado o prazo, não há chamado de suporte que traga o dado de volta — ele não existe mais.
2. Ransomware que criptografa OneDrive e SharePoint
O OneDrive sincroniza tudo — inclusive arquivos criptografados por ransomware. Um ataque na máquina local sobe em minutos para a nuvem e se espalha por bibliotecas compartilhadas do SharePoint e do Teams. O versionamento nativo ajuda em casos pequenos, mas restaurar milhares de arquivos versão por versão é inviável, e variantes modernas também excluem versões anteriores. Explicamos o cenário brasileiro em ransomware no Brasil: como proteger sua empresa.
3. Funcionário desligado e conta removida
Uma distribuidora desliga o gerente comercial e, semanas depois, a TI remove a conta para economizar a licença. Três meses mais tarde, um cliente importante contesta um acordo que estava documentado apenas nos e-mails daquele gerente. A caixa postal, porém, foi eliminada 30 dias após a exclusão da conta — prazo padrão da Microsoft. O acordo virou palavra contra palavra, e a empresa perdeu a negociação.
4. Erro de sincronização ou de automação
Sincronização mal configurada, migração de site, script de limpeza com filtro errado, integração de terceiros com permissão demais: erros silenciosos que sobrescrevem ou apagam dados em lote. Como nada "quebra" na hora, ninguém percebe — e quando percebem, os prazos de retenção já correram por semanas.
5. Conta comprometida e exclusão maliciosa
Um invasor com credenciais válidas — ou um funcionário mal-intencionado — pode excluir e-mails, esvaziar lixeiras e eliminar arquivos de forma deliberada, inclusive limpando os estágios de recuperação a que tem acesso. Sem uma cópia fora do ambiente, o estrago é definitivo. Por isso backup e cibersegurança gerenciada andam juntos: um reduz a chance do incidente, o outro garante que haja volta.
Retenção não é backup: a diferença em uma tabela
Retenção e backup resolvem problemas diferentes: a retenção mantém o dado dentro do próprio Microsoft 365, por prazo limitado e sujeita às mesmas credenciais e aos mesmos riscos da plataforma, enquanto o backup cria uma cópia independente, fora do ambiente de origem, com histórico de versões e restauração granular.
| Critério | Retenção nativa (M365) | Backup verdadeiro |
|---|---|---|
| Onde o dado fica | Dentro do próprio Microsoft 365 | Em repositório independente, fora da plataforma |
| Prazo | Limitado (14 a 93 dias nos padrões) | Definido por você (anos, se necessário) |
| Ransomware | Vulnerável: a cópia vive no ambiente atacado | Protegido: cópia isolada e imutável |
| Conta excluída | Dados eliminados após o prazo (30 dias padrão) | Dados preservados mesmo sem a conta |
| Exclusão maliciosa | Admin ou invasor pode esvaziar | Cópia fora do alcance das credenciais do M365 |
| Restauração | Item a item, dentro dos prazos | Granular ou em massa, para qualquer ponto no tempo |
| Objetivo | Conformidade e recuperação de curto prazo | Continuidade do negócio e recuperação garantida |
Se a sua "estratégia de backup" depende de lixeira, versionamento e políticas de retenção, você tem uma estratégia de conveniência — não de continuidade. Ela funciona até o dia em que o problema for maior que o prazo.
Como funciona um backup gerenciado de M365 (e o que observar de custo)
Um backup gerenciado de Microsoft 365 usa uma solução especializada — como o Veeam Backup for Microsoft 365 — para copiar automaticamente Exchange Online, OneDrive, SharePoint e Teams para um repositório independente, operado por uma equipe que monitora as rotinas, testa restaurações e responde quando algo dá errado.
Na prática, o serviço cobre quatro frentes:
- Cópia automática e frequente de e-mails, arquivos, sites e conversas de Teams, sem depender de ação do usuário;
- Armazenamento independente, fora do tenant do Microsoft 365, com versões históricas e retenção definida pela sua política — não pelos padrões da Microsoft;
- Restauração granular: um e-mail específico, uma pasta, uma caixa postal inteira ou o OneDrive de um ex-funcionário, para o ponto no tempo que você escolher;
- Gestão por especialistas: monitoramento dos jobs, testes periódicos de restauração e suporte no momento do incidente — a diferença entre ter uma ferramenta e ter proteção.
Sobre custo, o mercado internacional de backup de M365 por assinatura trabalha, em geral, em faixas de US$ 2,50 a US$ 7 por usuário/mês, variando conforme retenção, armazenamento incluído e nível de serviço. A própria Microsoft lançou um backup nativo cobrado por consumo, a US$ 0,15 por GB/mês — modelo que pode encarecer rápido para quem tem muitos dados e que segue dentro do mesmo ecossistema.
No Brasil, os valores variam com câmbio, impostos e escopo do gerenciamento, então trate essas faixas como referência de ordem de grandeza — e compare sempre o custo por usuário com o custo de um único dia sem acesso aos dados da operação. Com uma nuvem própria e backup gerenciado, também é possível manter as cópias em ambiente independente do tenant Microsoft, com atendimento local.
Perguntas frequentes sobre backup do Microsoft 365
Reunimos as dúvidas mais comuns de gestores de PMEs sobre backup do Microsoft 365 — dos limites da lixeira aos prazos reais de retenção da Microsoft, passando por Teams e pela diferença entre retenção jurídica e backup — com respostas diretas para orientar a sua decisão.
A lixeira do Microsoft 365 não basta como backup?
Não. A lixeira é um mecanismo de conveniência com prazo curto (até 93 dias no SharePoint/OneDrive, menos no e-mail), que vive dentro do mesmo ambiente e pode ser esvaziada por quem tem acesso. Backup exige cópia independente, com retenção controlada por você.
Quanto tempo a Microsoft guarda e-mails excluídos?
Itens removidos da pasta Itens Excluídos ficam recuperáveis por 14 dias por padrão, ampliáveis para 30 via configuração. Depois disso, a exclusão é definitiva. Políticas de retenção do Purview podem estender prazos, mas dependem de licenciamento adequado e de configuração correta — e continuam dentro da plataforma.
O que acontece com os dados de um funcionário desligado?
Quando a conta é excluída, a Microsoft mantém a caixa postal e o OneDrive por um período padrão de 30 dias (ajustável para o OneDrive). Depois, os dados são eliminados. Com backup independente, o conteúdo permanece recuperável por anos, sem precisar manter licença ativa para "guardar" o histórico.
O backup cobre o Teams?
Depende da solução. Ferramentas maduras, como o Veeam Backup for Microsoft 365, protegem conversas, canais e os arquivos do Teams (que vivem no SharePoint e no OneDrive). Ao contratar, confirme explicitamente a cobertura de Teams — nem toda oferta básica inclui.
As políticas de retenção do Purview não substituem o backup?
Não substituem. Retenção atende à conformidade: impede que itens sejam eliminados antes do prazo definido. Mas mantém tudo dentro do próprio M365, sujeito às mesmas credenciais, ao mesmo tenant e aos mesmos ataques — e não oferece restauração em massa para um ponto no tempo após um incidente.
Ter backup dispensa investir em segurança?
Não — são camadas complementares. A segurança reduz a probabilidade do incidente; o backup garante a recuperação quando ele acontece mesmo assim. O modelo de responsabilidade compartilhada deixa as duas camadas do lado do cliente: proteger acessos e dados é tarefa sua, não da Microsoft.
O mito de que "está na nuvem, está protegido" já custou caro para muitas empresas — e a resposta está escrita no próprio contrato que todos aceitam sem ler. Desde 2013, a Novatera, parceira oficial Microsoft e Veeam, opera backup gerenciado de Microsoft 365 para PMEs de todo o Brasil, com cópias independentes, monitoramento contínuo e restauração conduzida por especialistas. Antes que um dos cinco cenários acima aconteça na sua empresa, coloque seus dados sob a sua responsabilidade — de verdade.