Seu cliente pediu a cláusula de LGPD.
Você consegue responder com evidência?
A Fabership analisa o seu sistema e transforma o que ele realmente faz em documento para encaminhar ao jurídico do seu cliente: onde o dado fica, quem acessa, o que é isolado, o que é apagado e quando. Cada resposta sai com a evidência técnica atrás e o artigo da lei na frente.
Ninguém acorda querendo falar de LGPD
O telefone toca por um destes quatro motivos, e nos quatro o que trava não é o texto do contrato: é a prova de que o sistema faz o que o contrato promete.
O contrato parou no jurídico do seu cliente
Chegou a minuta com obrigações de operador, exigência de notificação de incidente em prazo e direito de auditoria. Você leu, entendeu metade, e o contrato ficou parado esperando a sua resposta.
O edital exige LGPD
Licitação ou credenciamento com exigência de conformidade à LGPD escrita no edital. O prazo é do edital, não seu, e a data é dura.
Aconteceu alguma coisa
Um cliente reclamando que viu dado de outro, uma tentativa de acesso, um ex-funcionário que provavelmente ainda tem acesso vivo. Susto concreto decide rápido e cobra resposta rápida.
O cliente perguntou onde o dado fica
Em que país está hospedado, quem tem acesso, por quanto tempo você guarda, o que acontece se vazar. São perguntas técnicas, e a resposta certa sai do sistema, não de uma declaração de boa intenção.
Três peças, e as três existem para serem encaminhadas
É a mesma varredura de 13 pontos da verificação de prontidão, lida pela lente da LGPD. Isolamento entre clientes vira "o dado de um cliente é acessível por outro", chave exposta no navegador vira "vazamento por configuração", log de auditoria vira a medida de segurança do art. 46, retenção vira prazo de guarda e expurgo, fornecedor estrangeiro vira transferência internacional do art. 33.
Ficha de Respostas de Proteção de Dados
De 8 a 12 páginas, escrita para o jurídico do cliente corporativo, para a comissão de licitação ou para o convênio. Responde, item a item, o que aparece em cláusula de proteção de dados: onde os dados ficam hospedados e em que país, como o dado de um cliente é isolado do de outro, quem tem acesso e como isso é registrado, como a autenticação funciona, o que é cifrado e o que não é, qual o prazo de guarda e como o expurgo acontece, como um pedido de titular é atendido, qual o procedimento e o prazo em caso de incidente, e quais fornecedores tratam dado, com a situação de transferência internacional de cada um. Cada resposta sai com a evidência do sistema atrás, e o que não existe sai escrito como não existe, não como "em implementação".
Registro de Operações de Tratamento, versão inicial
O mapa do que o sistema coleta, para que, com que base legal por finalidade, por quanto tempo guarda, com quem compartilha e para onde envia. É obrigação de controlador e de operador, e empresa de pequeno porte pode mantê-lo em versão simplificada (Res. CD/ANPD 2/2022, art. 9º). A versão inicial é montada a partir do que o sistema realmente faz, não do que se supõe que ele faça. Sai como documento técnico de engenharia, para você adotar e manter.
Laudo técnico com plano de correção priorizado
Os achados classificados por risco (crítico, alto, médio), cada um com evidência, o artigo da LGPD que a falha toca, o esforço estimado de correção e a ordem recomendada. A entrega sai junto com a proposta de correção, com o que entra e o valor, no mesmo documento.
Não entra parecer jurídico, opinião sobre chance de êxito em processo, declaração de conformidade ou selo, contrato e política redigidos como peça de advogado, correção do que for encontrado (isso é o passo seguinte), norma setorial (conselho profissional, NR, Bacen, PCI, ANVISA) e nenhum teste em sistema que você não seja dono ou não tenha autorização escrita para autorizar. E nada disso começa antes de contrato assinado e autorização por escrito. Até lá, nenhum sistema é acessado, e a porta de entrada é o autodiagnóstico grátis.
Corrigir é outro trabalho, e ele é ofertado no fim deste
A análise não conserta nada: ela mostra o que está em risco, com evidência e em ordem. A correção vem depois, para quem quiser seguir, em uma de duas formas:
Adequação técnica
Isolamento de dados real entre clientes, autenticação e segundo fator, permissão por papel, cifragem dos campos que pedem cifragem, retenção e expurgo automatizados, trilha de auditoria de acesso a dado pessoal, canal de atendimento ao titular funcionando de verdade, roteiro de resposta a incidente com os prazos da Resolução CD/ANPD 15/2024 já calculados para o seu caso, e o inventário de fornecedores com a situação de transferência internacional de cada um resolvida. Definição de pronto: está no ar e o teste prova. Não entra funcionalidade nova, redesenho de telas nem redação de peça jurídica.
Acompanhamento mensal
Depois da adequação, a proteção de dados entra no acompanhamento mensal do CTO as a Service: cada mudança no sistema é revista também pela lente da LGPD, o registro de operações é mantido vivo e a resposta a incidente segue o relógio da Res. CD/ANPD 15/2024.
Ver o CTO as a ServiceO mesmo cuidado, aplicado primeiro em casa
O relatório de impacto do nosso próprio produto concluiu alto risco, e isso foi escrito no documento em vez de amaciado.
É a régua da casa: enquadramento se decide, com o artigo na mão, mesmo quando a conclusão é desconfortável. Documento que só diz o que o dono quer ouvir não serve para mostrar a ninguém.
Isolamento de dados ativo em 167 tabelas, conferido tabela a tabela depois de uma migração completa de nuvem.
Backup com restauração provada de ponta a ponta, com os campos cifrados reabertos só com a chave do cofre.
Todo acesso a dado pessoal deixa rastro: quem acessou, de onde e quando.
Acesso fora do padrão gera alerta automático, e o login com segundo fator só abre a sessão depois da segunda confirmação.
Descubra antes do jurídico do seu cliente descobrir.
Rode o autodiagnóstico de 14 pontos no seu próprio sistema, grátis e sem falar com ninguém. Você responde, você vê o resultado, você decide se quer conversar.
A Fabership faz engenharia de software e de segurança da informação. Não somos escritório de advocacia, não emitimos parecer jurídico e não declaramos conformidade de ninguém à LGPD. Quando o caso pede assinatura de advogado, trabalhamos com advogada parceira especializada em proteção de dados.