Seu sistema responderia a uma cláusula de LGPD hoje?
Catorze perguntas sobre o seu próprio sistema, na ordem em que o jurídico de um cliente corporativo costuma perguntar. Sem cadastro, sem varredura, nada para instalar: você responde, você vê o resultado, você decide o que fazer. Em cada ponto, marque se verificou de fato ou se está supondo. Se não souber responder, marque "Não sei": a resposta conta como ponto em aberto, do mesmo jeito que conta para o jurídico do outro lado.
Base legal por finalidade
Para cada coisa que o seu sistema faz com dado de pessoa, você sabe dizer o que na lei permite aquilo?
A LGPD tem dez hipóteses no art. 7º e consentimento é só uma delas, sem privilégio sobre as outras. E a base se registra por finalidade: cadastro, cobrança, suporte e marketing não cabem numa base guarda-chuva. Se a resposta é 'a pessoa aceita os termos no cadastro', é um 'não'.
Dado sensível que entrou sem convite
Além de nome, e-mail e telefone, existe em algum canto do sistema informação de saúde, biometria, religião, sindicato ou opinião política?
Vale conferir o campo livre de observação, o anexo que o cliente sobe e o filtro por convênio. A lei alcança qualquer tratamento que revele dado sensível e possa causar dano ao titular (art. 11, §1º), e nesse regime legítimo interesse simplesmente não existe.
Inventário do que você trata
Existe uma lista escrita de quais dados pessoais o sistema coleta, para que servem, onde ficam e com quem são compartilhados?
É o registro das operações de tratamento, obrigação de controlador e de operador (art. 37). Empresa de pequeno porte pode mantê-lo em versão simplificada (Res. CD/ANPD 2/2022, art. 9º). Lista que só existe na cabeça do fundador não conta como registro.
Prazo de guarda e descarte
Existe prazo de guarda escrito por tipo de dado, e alguma rotina que de fato apaga quando o prazo vence?
Abra o banco e procure o registro mais antigo: ele ainda deveria estar aí? Se o expurgo mora só na política e não no código, a cláusula que você assinar vira dívida no dia da assinatura.
Isolamento entre clientes
Um usuário de uma empresa consegue alcançar o registro de outra empresa trocando um id na requisição?
Teste no seu ambiente de homologação, com dado semeado, na leitura e na escrita. Política de acesso por linha ligada não é a mesma coisa que política escrita e cobrindo escrita. É a falha que mata contrato corporativo.
Quem tem acesso hoje
Você consegue listar agora quem tem acesso ao banco e ao painel administrativo, e o ex-funcionário já perdeu o dele?
Conta que ninguém sabe de quem é continua sendo conta viva. Esconder o botão no painel também não é permissão: o servidor precisa recusar a chamada de quem não pode fazer aquilo.
Chave e segredo expostos
Alguma senha de serviço que dá acesso total ao banco de dados fica visível no navegador?
Ver código-fonte da página e buscar por 'key'. A chave pública anon é normal; uma chave de serviço no navegador significa banco inteiro aberto.
Criptografia
O dado pessoal trafega e fica guardado cifrado, incluindo anexos e backups?
HTTPS em tudo, banco e arquivo cifrados em repouso, chave guardada fora do código. Na avaliação da gravidade de um incidente conta a comprovação de medidas que tornem o dado ininteligível a terceiro não autorizado (art. 48, §3º), então isso é argumento técnico com efeito prático.
Backup com restauração testada
Existe backup automático, e você já restaurou um pelo menos uma vez?
Backup que nunca foi restaurado é esperança, não backup, e o número que importa é quanto tempo você leva para voltar ao ar. Vale checar também por quanto tempo o backup guarda: dado que você apagou a pedido de alguém continua vivo lá dentro até o backup vencer.
Registro de acesso a dado pessoal
Se alguém abrir o cadastro de um cliente hoje, é possível saber depois quem foi, quando e o que viu?
Sem log de quem fez o quê, você não consegue medir o tamanho de um incidente nem responder auditoria de cliente. A obrigação de segurança é do art. 46 e vale desde a concepção do produto até a execução (§2º).
Atendimento ao titular
Se um usuário pedir hoje uma cópia ou a exclusão dos dados dele, quem responde, por qual canal e em quanto tempo?
O único prazo em dias que a lei fixa é o do art. 19, II, até 15 dias para a declaração completa, e ele corre em dobro para empresa de pequeno porte (Res. 2/2022). Os outros pedidos não têm prazo em dias na lei: prometer 'respondo tudo em 15 dias' no contrato é assumir obrigação que a lei não impõe.
Plano de incidente
Se você descobrir hoje de manhã um vazamento de dado sensível, ou que atinja muitos clientes de uma vez, existe procedimento escrito dizendo quem avisa quem e em quanto tempo?
O relógio começa quando você fica sabendo, não quando você fica pronto: 3 dias úteis para a ANPD e 3 dias úteis para os titulares, pela Res. CD/ANPD 15/2024, em paralelo. Pequeno porte tem prazo em dobro, com exceção quando há potencial comprometimento à integridade física ou moral. Ninguém monta isso em três dias.
Fornecedores e país onde o dado mora
Você tem a lista de quem toca dado dos seus clientes por fora, e sabe em que país cada um guarda?
Hospedagem, e-mail, IA, analytics, CRM, ferramenta de suporte, serviço de nota fiscal. Fornecedor fora do Brasil sem instrumento de transferência não é problema futuro: o prazo de 12 meses para incorporar as cláusulas-padrão da ANPD a contrato já existente venceu em 23/08/2025.
Encarregado e canal do titular
Existe alguém indicado para falar com o titular e com a ANPD, e esse contato está publicado no seu site?
Empresa de pequeno porte é dispensada de indicar encarregado, mas mantém o canal de comunicação com o titular (Res. 2/2022, art. 11 e §1º). Não precisa ser advogado, nem ter certificação, nem ser funcionário seu. O que a norma pede é que seja pessoa, não um departamento, e que identidade e contato sejam divulgados (art. 41, §1º).
A Fabership faz engenharia de software e de segurança da informação. Não somos escritório de advocacia, não emitimos parecer jurídico e não declaramos conformidade de ninguém à LGPD. Quando o caso pede assinatura de advogado, trabalhamos com advogada parceira especializada em proteção de dados. Nenhum sistema é acessado sem contrato e autorização por escrito.