LGPD em produtos digitais: o mínimo obrigatório para o seu sistema ou aplicativo não virar dor de cabeça (com custos reais de 2026)

Um cliente manda um e-mail pedindo para apagar todos os dados dele. Ninguém na empresa sabe onde esses dados estão. Tem uma cópia no banco do sistema, outra na planilha que o comercial exportou em março, outra no CRM, outra no backup de seis meses atrás e mais umas fotos de documento no WhatsApp da atendente. O fornecedor que fez o sistema responde que excluir cadastro não estava no escopo.

Ou então o cenário é outro. Um cliente corporativo grande manda um questionário de segurança antes de fechar contrato, com perguntas sobre base legal, retenção de dados e plano de resposta a incidentes. Ninguém sabe responder, e o contrato fica parado.

Se alguma dessas cenas parece familiar, o problema não é falta de política de privacidade no rodapé do site. É que o produto foi construído sem a LGPD dentro dele. Este artigo mostra o mínimo que um sistema ou aplicativo precisa ter, quanto custa fazer isso em 2026 e o que perguntar ao fornecedor antes de assinar. Não substitui orientação jurídica, mas vai deixar você muito mais preparado para a conversa com o advogado e com o time de desenvolvimento.

Por que a LGPD vira problema só depois do lançamento

A Lei Geral de Proteção de Dados (Lei 13.709/2018) está em vigor desde 2020, e a ANPD aplica sanções desde 2023. Mesmo assim, a maioria dos sistemas que a gente recebe para manutenção trata LGPD como assunto do jurídico, resolvido com um texto no site e um banner de cookies.

A causa é estrutural, não é descuido de ninguém. Quem contrata o software pensa em funcionalidades que geram receita. Quem desenvolve orça o que foi pedido. Exportar os dados de um usuário, anonimizar um cadastro sem quebrar o histórico financeiro, registrar quem acessou um documento: nada disso aparece no briefing, então nada disso entra no orçamento.

O resultado aparece depois. O dado pessoal foi copiado para seis lugares, cada integração nova criou mais uma cópia, e excluir um cliente vira uma investigação manual de horas. A multa máxima da ANPD chega a 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, mas para a maioria das pequenas e médias empresas o risco mais provável é outro: processo de titular, reclamação no Procon, contrato B2B perdido e horas de time gastas apagando incêndio.

O que a LGPD exige de um sistema ou aplicativo, na prática

Traduzindo a lei para o que precisa existir no produto, o mínimo cabe em sete itens.

1. Finalidade e base legal para cada dado coletado

Todo campo de formulário precisa de um motivo. Consentimento é só uma das dez bases legais da LGPD. Execução de contrato, cumprimento de obrigação legal e legítimo interesse cobrem boa parte das operações. Pedir consentimento para tudo é um erro comum: se o usuário revoga, você perde o direito de usar um dado que talvez precisasse por obrigação fiscal.

2. Coleta mínima

Se o cadastro pede CPF, data de nascimento e endereço completo só porque um dia pode ser útil, corte. Dado que você não coleta é dado que não vaza e que não precisa ser gerenciado.

3. Direitos do titular funcionando de verdade

O titular pode pedir confirmação de que você trata os dados dele, acesso, correção, portabilidade, eliminação e informação sobre com quem você compartilhou. A declaração completa precisa sair em até 15 dias. Se cada pedido exige um desenvolvedor rodando consulta no banco, o custo por solicitação fica alto e o prazo fica arriscado.

4. Segurança proporcional ao risco

Senha com hash, conexão criptografada, perfis de acesso por função, documentos sensíveis em armazenamento privado e log de quem acessou o quê. Atenção também à obrigação do Marco Civil da Internet de guardar registros de acesso à aplicação por seis meses.

5. Plano de resposta a incidente

Pela regulamentação da ANPD, incidente com risco relevante aos titulares precisa ser comunicado à autoridade e aos afetados em até três dias úteis. Agentes de pequeno porte têm prazos diferenciados, mas em qualquer caso você precisa conseguir responder rápido: quais dados vazaram, de quantas pessoas, desde quando. Sem log, essa resposta não existe.

6. Canal do titular e encarregado

Empresas que se enquadram como agente de pequeno porte podem ser dispensadas de indicar encarregado (DPO), mas continuam obrigadas a manter um canal de comunicação com o titular. Um e-mail que ninguém lê não conta.

7. Contrato com quem processa dados por você

Hospedagem, gateway de pagamento, ferramenta de e-mail, CRM: todos são operadores. Você continua responsável como controlador, então precisa saber onde os dados ficam e ter cláusulas de proteção de dados nesses contratos.

Quanto custa adequar um produto digital à LGPD em 2026

Não existe resposta única, mas existe conta certa. O fator que mais move o preço é o momento: construir desde o início custa uma fração de adaptar depois.

O barato que sai caro aqui é o seguinte: economizar 60 horas no início do projeto pode custar 250 horas dois anos depois, quando a exclusão de um cadastro precisa considerar integrações, relatórios, backups e um histórico financeiro que não pode ser apagado por obrigação fiscal. O valor sobe quando o sistema lida com dado sensível (saúde, biometria, dados de menores), quando há muitas integrações e quando o produto tem usuários de vários perfis com acessos diferentes.

Quem resolve: advogado, ferramenta pronta ou o time de desenvolvimento

LGPD não é um projeto de um fornecedor só. Cada um resolve uma parte, e misturar os papéis é como a empresa paga duas vezes.

• Advogado ou consultoria de privacidade: define bases legais, escreve políticas, revisa contratos com operadores e orienta sobre incidentes. Não resolve o que o sistema faz com o dado.
• Ferramenta pronta: plataformas de gestão de consentimento e de cookies resolvem bem a camada do site. Se a sua presença digital é um site institucional com formulário de contato, isso mais uma boa política provavelmente basta, e você não precisa contratar desenvolvimento nenhum.
• SaaS que você já usa: se a operação roda em ferramentas prontas como e-commerce, CRM ou ERP de mercado, boa parte da segurança é responsabilidade técnica do fornecedor. Seu trabalho é ler o acordo de tratamento de dados dele e configurar acessos direito.
• Time de desenvolvimento: entra quando você tem sistema ou aplicativo próprio. É quem implementa exclusão, exportação, logs, controle de acesso e retenção. Sem essa parte, a política de privacidade promete coisas que o produto não entrega.

Checklist LGPD: 10 perguntas para fazer ao fornecedor do seu sistema

Antes de assinar qualquer contrato, pergunta isso:

1. Quais dados pessoais o sistema vai coletar, e qual a finalidade de cada um?
2. Onde os dados ficam hospedados, em qual provedor e em qual região?
3. Como o usuário pede exclusão ou exportação dos dados, e quanto disso é automático?
4. O que acontece com o histórico financeiro e fiscal quando um cadastro é excluído?
5. Quem da minha equipe vai enxergar o quê? Existem perfis de acesso por função?
6. O sistema registra quem acessou ou alterou dados pessoais, e por quanto tempo esse log fica guardado?
7. Documentos e arquivos enviados ficam em armazenamento privado, com link temporário?
8. Como os backups são feitos, onde ficam e quem tem acesso?
9. Se houver um vazamento, em quanto tempo vocês conseguem me dizer quais dados e quantas pessoas foram afetadas?
10. Quais terceiros recebem dados pessoais (gateway, e-mail, analytics), e esse fluxo está documentado?

Se o fornecedor responde a maioria com "isso a gente vê depois", você já sabe onde vai estar o custo escondido do projeto. Quem já passou por um projeto travado sabe do que estou falando.

Como a OCA trata dados pessoais nos sistemas que constrói

Esse é o tipo de projeto que a gente constrói. O sistema de Gestão para Imobiliárias que a OCA desenvolveu e mantém em produção lida com dados que exigem cuidado: CPF, comprovante de renda e documentos de inquilino e fiador. Num sistema assim, a proteção de dados não é uma tela a mais, é uma decisão de arquitetura tomada antes da primeira linha de código: quais perfis enxergam cada documento, por quanto tempo ele fica guardado depois do fim do contrato e o que é anonimizado quando não precisa mais existir.

No Revo App, nosso produto próprio com mais de 40 mil usuários cadastrados, o pagamento é processado pelo gateway, o que tira o dado de cartão do nosso banco e reduz bastante o que precisa ser protegido. Esse tipo de decisão simples, tomada cedo, é o que mantém o custo de LGPD baixo ao longo dos anos. Você pode ver esses e outros produtos na nossa página de projetos em produção.

A gente trabalha com time sênior, e parte do trabalho é dizer o que não construir. Se o seu caso se resolve com uma ferramenta de consentimento e uma boa política escrita por advogado, é isso que vamos recomendar.

Próximo passo: comece pelo inventário de dados

Uma ação gratuita que você pode fazer esta semana: abra uma planilha e liste cada dado pessoal que sua empresa coleta, em qual sistema ele fica, para que é usado e quem tem acesso. Depois, passe as 10 perguntas acima pelo fornecedor atual do seu sistema. Em duas horas você vai saber se está razoavelmente coberto ou se existe um passivo crescendo dentro do produto.

Se o resultado mostrar que o sistema precisa de ajuste, ou se você vai começar um projeto novo e quer a LGPD dentro dele desde o primeiro dia, a gente pode olhar o caso com você.

Converse com a OCA sobre o seu sistema