Empresas de Tecnologia · Adequação à LGPD

Adequação à LGPD: o que a lei exige da sua empresa, e como chegar lá sem burocracia.

Mapeamos os dados que a empresa trata, ajustamos documentos e contratos e montamos os processos que a lei exige: base legal, atendimento ao titular, segurança e resposta a incidentes. Para empresas de tecnologia e para qualquer negócio que lida com dados de clientes.

Quero adequar a minha empresa Tivemos um incidente

Multa de até 2% do faturamento, limitada a R$ 50 milhões.

Por infração (art. 52, II, da LGPD). Antes da multa, a ANPD pode advertir e dar prazo para correção, e a lei também prevê publicização da infração e bloqueio dos dados.

Pequena empresa tem regras mais leves, não está fora da lei.

Microempresas, empresas de pequeno porte e startups têm dispensas e prazos em dobro (Resolução CD/ANPD 2/2022), salvo se fizerem tratamento de alto risco.

O que a lei exige

As obrigações da LGPD, artigo por artigo.

A Lei 13.709/2018 vale para quem trata dados pessoais com fins econômicos, de qualquer porte e em qualquer setor.

Base legal. Todo tratamento precisa se apoiar em uma das hipóteses do art. 7º: consentimento, execução de contrato, obrigação legal, legítimo interesse, entre outras.

Transparência. O titular tem direito a informações claras sobre finalidade, forma e duração do tratamento e sobre o compartilhamento (art. 9º).

Direitos do titular. Confirmação, acesso, correção, eliminação e portabilidade, entre outros, mediante requisição (art. 18).

Encarregado. O controlador deve indicar encarregado e divulgar o contato dele (art. 41), com a dispensa para os agentes de pequeno porte.

Registro e segurança. Registro das operações de tratamento (art. 37) e medidas de segurança técnicas e administrativas (art. 46).

Incidentes. Comunicação à ANPD e aos titulares quando houver risco ou dano relevante (art. 48), em três dias úteis (Resolução CD/ANPD 15/2024).

Casos típicos

O que fazemos na adequação

Política de privacidade e de cookies

Textos que descrevem o que a empresa faz de verdade, e o banner de cookies com as escolhas que a lei pede.

Contratos com clientes e fornecedores

Quem é controlador e quem é operador, cláusula de proteção de dados, sigilo e responsabilidade em caso de incidente.

Registro das operações

O mapa dos dados: quais são coletados, para quê, com que base legal, onde ficam e com quem são compartilhados.

Atendimento ao titular

Canal e roteiro para responder pedidos de acesso, correção e eliminação no prazo.

Incidente de segurança

Avaliação do risco, comunicação à ANPD e aos titulares no prazo e registro do incidente.

Encarregado externo

O escritório pode atuar como encarregado ou apoiar a pessoa indicada pela empresa.

Agentes de pequeno porte

O que muda para microempresas, empresas de pequeno porte e startups

Resolução CD/ANPD 2/2022.

Obrigação	Regra geral	Pequeno porte
Encarregado	Obrigatório (art. 41 da LGPD)	Dispensado, mas é obrigatório um canal de comunicação com o titular (art. 11)
Prazos de atendimento ao titular e de comunicação de incidente	Os da lei e da regulamentação	Em dobro, com exceções (art. 14)
Quem não pode usar o regime simplificado	—	Quem faz tratamento de alto risco, ultrapassa o limite de receita ou pertence a grupo econômico acima do limite (art. 3º)

Como atuamos

Da fotografia dos dados à rotina.

Diagnóstico

Entrevistas e questionário para mapear os dados, os sistemas, os fornecedores e os riscos.

Documentos

Políticas, registro das operações, cláusulas contratuais e avaliação de legítimo interesse quando for o caso.

Processos

Atendimento ao titular, resposta a incidentes e treinamento de quem lida com os dados.

Acompanhamento

Encarregado externo ou assessoria mensal para as dúvidas, os novos produtos e os contratos.

Dúvidas comuns

Perguntas frequentes sobre a LGPD

Pequena empresa precisa se adequar à LGPD?

Sim. A LGPD vale para quem trata dados pessoais com fins econômicos, de qualquer porte. A ANPD criou regras mais leves para microempresas, empresas de pequeno porte e startups (Resolução CD/ANPD 2/2022): dispensa do encarregado, desde que haja um canal de comunicação com o titular, e prazos em dobro, por exemplo. Essas regras não valem para quem faz tratamento de alto risco ou ultrapassa os limites de receita (art. 3º da resolução).

Qual é a multa da LGPD?

A multa simples vai até 2% do faturamento da pessoa jurídica, do grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração (art. 52, II). A lei prevê também advertência, publicização da infração, bloqueio e eliminação dos dados, entre outras sanções.

Minha empresa precisa de um encarregado (DPO)?

Em regra, sim: o controlador deve indicar um encarregado (art. 41). O encarregado pode ser uma pessoa da equipe, uma pessoa externa ou uma empresa, e não precisa de certificação específica (Resolução CD/ANPD 18/2024, arts. 12 e 14). Veja o guia sobre quem precisa ter encarregado.

Tivemos um vazamento. Qual é o prazo para comunicar?

Quando o incidente pode acarretar risco ou dano relevante aos titulares, o controlador deve comunicá-lo à ANPD e aos titulares (art. 48). A ANPD fixou o prazo de três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais (Resolução CD/ANPD 15/2024, arts. 6º e 9º). Para agentes de pequeno porte, o prazo é em dobro, salvo exceções.

Só ter política de privacidade no site resolve?

Não. A política é a parte visível. A lei exige também base legal para cada tratamento (art. 7º), registro das operações (art. 37), medidas de segurança (art. 46), atendimento aos direitos dos titulares (art. 18) e um plano para incidentes.