A maioria dos guias de LGPD foi escrita por advogado, pra advogado. Este é o oposto: o caminho que eu seguiria pra deixar um SaaS brasileiro em conformidade partindo do zero, na ordem em que cada coisa realmente importa. São seis frentes. Nenhuma exige um jurídico interno — todas exigem honestidade sobre o que o seu produto faz com os dados.
1. Mapeie os dados (o passo que ninguém pula impunemente)
Antes de qualquer documento, responda: que dado pessoal o meu produto toca? Vale listar de forma boba mesmo — e-mail no cadastro, nome, telefone, dados de pagamento, IP nos logs, eventos de analytics, o que vem do login social. Pra cada um, anote três coisas: de onde vem, onde fica armazenado e pra quê serve.
Esse mapa é a fundação. Sem ele, toda política de privacidade é chute, e todo pedido de exclusão vira caça ao tesouro no banco. Com ele, os outros cinco passos ficam quase mecânicos.
2. Defina a base legal de cada coleta
Com o mapa na mão, atribua uma base legal por linha. A LGPD tem dez (art. 7º). Na prática de um SaaS, três cobrem quase tudo:
- Execução de contrato — o que o produto precisa pra funcionar: login, cobrança, suporte.
- Obrigação legal — o que a lei te manda guardar: nota fiscal, dados fiscais.
- Consentimento — o opcional, que serve mais a você: marketing, cookie de terceiro.
Legítimo interesse existe e é útil, mas exige cuidado e um teste de proporcionalidade — não use como gaveta de “tudo que não sei classificar”.
3. Publique uma política de privacidade que bata com o mapa
Agora o documento sai quase sozinho, porque ele é só o seu mapa em forma de texto: o que coleta, pra quê, com qual base, com quem compartilha, por quanto tempo guarda e como a pessoa exerce os direitos dela. Link no rodapé de todas as páginas, linguagem clara, versão e data. Detalhei item por item aqui.
4. Abra um canal pro titular (e responda no prazo)
O art. 18 dá ao usuário direito de acessar, corrigir, exportar e excluir os dados dele. Você precisa de um lugar pra ele pedir isso — um privacidade@seudominio.com.br ou uma página dedicada — e de um jeito de responder dentro do prazo (com prazo em dobro se você for pequeno porte).
5. Tenha um plano de incidente antes de precisar
Vazamento acontece até com quem faz tudo certo. O que diferencia é ter um plano de uma página: quem é avisado, como você avalia o risco, e a comunicação à ANPD e aos titulares dentro do prazo — 3 dias úteis a partir do conhecimento (Resolução CD/ANPD nº 15/2024, e não as 72h da GDPR). Decidir isso no susto, no dia do incidente, é como escrever o plano de evacuação durante o incêndio.
6. Prepare o seu DPA (se você vende B2B)
No momento em que você processa dado de usuários do seu cliente, você é Operador e ele é Controlador — e ele vai querer um Acordo de Tratamento de Dados (DPA) assinado. Ter o seu modelo pronto, em vez de improvisar quando o contrato grande aparece, já fechou negócio pra muita gente. É o item que mais “paga” diretamente em vendas.
A ordem importa
Repare que tudo desce do passo 1. Mapeamento ruim contamina política, canal e incidente. Mapeamento bom faz o resto fluir. Se você só tiver energia pra uma coisa hoje, faça o mapa dos dados — é o investimento com maior retorno em conformidade que existe.
Material informativo, não substitui consultoria jurídica para casos específicos.