A maior parte dos projetos de LGPD termina em um PDF na gaveta, porque ninguém mexeu nos sistemas.
Conduzimos adequação e atuamos como encarregado partindo de onde o dado realmente está: no CRM, no ERP, na planilha e no formulário do site. Documento é consequência, não entrega principal.
A diferença aqui
Quem escreve a política é quem consegue mexer no sistema.
A adequação é conduzida junto das frentes técnicas, então uma decisão de retenção ou de acesso vira mudança implementada, não recomendação pendente.
Mapeamento a partir dos sistemas
O inventário sai de onde o dado está: bancos, integrações, formulários e planilhas, em vez de sair de entrevista.
Decisão que vira configuração
Retenção, acesso por perfil e anonimização deixam de ser item de relatório e passam a ser implementados.
Encarregado com canal ativo
Atuação como encarregado, com canal de atendimento ao titular funcionando e prazo de resposta acompanhado.
O que aparece no diagnóstico
A empresa tem política de privacidade publicada e não sabe onde os dados moram.
A adequação costuma travar no mesmo ponto: o documento descreve um tratamento de dados que não corresponde ao que os sistemas fazem de fato.
Existe política de privacidade no site, mas ninguém consegue listar em quais sistemas e planilhas há dado pessoal hoje.
Um cliente pediu exclusão dos dados e a empresa não sabe em quantos lugares aquele cadastro existe.
Contrato novo exigiu cláusula de proteção de dados, ou um cliente grande mandou um questionário, e não há a quem repassar.
O que entra na adequação
Do inventário de dados ao atendimento do titular, com o encarregado atuando de forma contínua e não pontual.
Inventário e fluxo de dados
Levantamento de onde há dado pessoal, de onde ele veio, para onde vai e com quem é compartilhado, incluindo fornecedor e ferramenta de marketing.
Base legal e finalidade
Definição da base legal de cada tratamento e revisão das finalidades declaradas, para que a política publicada descreva o que realmente acontece.
Atendimento ao titular
Canal para pedidos de acesso, correção e exclusão, com processo definido de quem responde, em quanto tempo e como o pedido é executado nos sistemas.
Encarregado como serviço
Atuação como encarregado nomeado, respondendo a titular, a cliente corporativo e, se preciso, à autoridade, com apoio nas exigências contratuais.
Plano de resposta a incidente
Definição prévia de como identificar, conter, registrar e comunicar um incidente com dado pessoal, incluindo os prazos que a lei espera.
Orientação das áreas
Comercial, RH e atendimento são onde mais se coleta dado. A orientação é prática e voltada ao que cada área faz, não a treinamento genérico.
Quando faz sentido conversar
O serviço resolve quando a exigência já chegou, ou quando o volume de dado pessoal virou risco real.
Empresa pequena que trata pouco dado pessoal raramente precisa de encarregado dedicado. O ganho aparece quando há volume, compartilhamento com terceiros ou exigência contratual.
Um cliente ou parceiro passou a exigir cláusula de proteção de dados ou mandou questionário de segurança.
A empresa trata dado pessoal em volume: base de clientes, cadastro de pacientes, folha, currículos.
Já houve pedido de exclusão ou de acesso e a resposta foi improvisada.
Existe política publicada, mas ninguém garante que ela corresponde ao que os sistemas fazem.
Como funciona a adequação contínua
Adequação não termina: sistema novo, campanha nova e fornecedor novo mudam o tratamento de dados. Por isso o ciclo se repete.
ETAPA 01
Levantamento
Inventário do dado pessoal que existe hoje, de onde ele vem, onde fica, com quem é compartilhado e sob qual base legal.
ETAPA 02
Implantação
Implementação do que foi decidido: retenção, controle de acesso, canal do titular, política revisada e ajuste nos sistemas.
ETAPA 03
Operação
Encarregado atuando: pedidos do titular respondidos no prazo, questionários de cliente atendidos e dúvidas das áreas resolvidas.
ETAPA 04
Revisão
Revisão periódica do inventário e dos riscos, porque sistema novo e campanha nova mudam o tratamento. O ciclo recomeça.
O que muda quando a adequação sai do papel
Resposta pronta quando o cliente pergunta
Questionário de segurança e cláusula contratual deixam de travar negociação, porque existe quem responda com informação verdadeira.
Dado que a empresa sabe onde está
Pedido de exclusão deixa de ser caça ao tesouro entre sistemas e planilhas, e passa a ter um caminho conhecido.
Menos exposição em caso de incidente
Ter plano de resposta e registro do tratamento muda a posição da empresa diante de um incidente, tanto tecnicamente quanto perante a autoridade.
Dúvidas mais comuns
O que perguntam antes de começar
“Isso não é trabalho de advogado?”
A parte jurídica é de advogado, e trabalhamos junto quando existe. O que fazemos é a ponte que falta: transformar a decisão jurídica em mudança nos sistemas.
“Minha empresa é pequena, preciso disso?”
A lei vale independentemente do porte, mas a proporção muda. Empresa pequena que trata pouco dado precisa de organização, não de encarregado dedicado. Dizemos isso na conversa.
“Já fizemos um projeto de LGPD. Serve?”
Serve como ponto de partida. O que falta é a execução: verificar se o que o documento descreve corresponde aos sistemas e manter isso atualizado.
“Isso me deixa em conformidade de verdade?”
Conformidade não é um selo que se conquista e guarda. É um estado que se mantém, e é por isso que o serviço é contínuo e não projeto com data de entrega.
“Preciso nomear alguém interno como encarregado?”
Pode ser interno ou terceirizado. Encarregado externo funciona melhor quando não há alguém interno com tempo e conhecimento para a função.
“E se acontecer um vazamento?”
Existe prazo e forma para comunicar, e o que a empresa consegue demonstrar sobre o tratamento pesa muito. Por isso o plano de resposta é definido antes, não durante.
Frentes relacionadas
Voltar para Segurança GerenciadaPróximo passo
Se a empresa não consegue listar hoje em quais sistemas há dado pessoal, a adequação começa por aí, não pelo documento.
O diagnóstico levanta onde o dado está, sob qual base legal é tratado e quais exigências já chegaram por contrato ou por cliente.
- Inventário inicial de onde há dado pessoal hoje
- Leitura das exigências contratuais e pedidos já recebidos
- Proposta de escopo entre adequação pontual e encarregado contínuo