LGPD em produtos digitais: o mínimo que seu app ou sistema precisa ter para não virar dor de cabeça

A cena costuma ser essa: o produto já está no ar, os primeiros clientes estão usando, e aí chega um e-mail. Pode ser de um cliente corporativo pedindo o "documento de conformidade com a LGPD" antes de assinar o contrato. Pode ser de um usuário pedindo a exclusão dos dados dele. Pode ser, no pior cenário, uma notificação da ANPD depois de um vazamento. E a resposta interna é sempre a mesma: "a gente nunca parou para olhar isso". Quem já passou por um projeto travado sabe do que estou falando, só que aqui o travamento não é técnico, é jurídico. E ele chega justamente na hora em que o produto começou a dar certo.

A boa notícia: para a maioria dos produtos digitais, estar razoavelmente adequado à LGPD não é um projeto de seis meses com consultoria cara. É um conjunto de decisões de arquitetura e de processo que, tomadas cedo, custam pouco. Tomadas tarde, custam retrabalho, contrato perdido e, em casos extremos, multa.

Por que a LGPD vira problema em produto digital

A Lei Geral de Proteção de Dados (Lei 13.709/2018) vale para qualquer operação que trate dados pessoais no Brasil. Se o seu sistema tem cadastro de usuário, formulário de contato, checkout, ou simplesmente um Google Analytics instalado, você já trata dados pessoais. Não existe "produto pequeno demais para a LGPD".

O problema estrutural é que dado pessoal se espalha. Ele entra pelo formulário, vai para o banco, é copiado para a ferramenta de e-mail marketing, aparece no log de erro, vaza para a planilha do comercial e fica em um backup que ninguém sabe onde está. Quando alguém pede a exclusão, ninguém consegue dizer com certeza onde aquele dado vive. A lei não pune ter dados, pune não ter controle sobre eles.

E tem um segundo efeito, mais silencioso: empresas médias e grandes hoje exigem adequação à LGPD dos fornecedores. Se o seu produto vende para outras empresas, cedo ou tarde um departamento jurídico vai mandar um questionário de privacidade. Responder "não temos nada" mata a venda.

O mínimo obrigatório: o que todo app ou sistema precisa ter

Não existe resposta única, mas existe conta certa. Para um produto digital típico, o piso de adequação é esse:

1. Base legal para cada dado coletado

Cada dado pessoal que o sistema coleta precisa de uma justificativa prevista na lei. Na prática, os dois casos mais comuns são execução de contrato (o e-mail é necessário para o login, o endereço é necessário para a entrega) e consentimento (o usuário aceitou receber newsletter). O exercício é simples: liste os campos do seu cadastro e pergunte, para cada um, "por que eu preciso disso?". Se a resposta for "pode ser útil um dia", corte o campo. Coletar menos é a forma mais barata de conformidade.

2. Política de privacidade que descreve a realidade

Não o template copiado de outro site. Um documento que diga, em português claro: quais dados são coletados, para quê, com quem são compartilhados (gateway de pagamento, ferramenta de analytics, servidor de e-mail) e por quanto tempo ficam guardados. Se a política diz uma coisa e o sistema faz outra, o documento vira prova contra você.

3. Um canal e um processo para direitos do titular

O usuário tem direito de saber quais dados você tem sobre ele, corrigir, e pedir exclusão. O mínimo é um e-mail de contato divulgado na política e um processo interno que consiga, de fato, executar o pedido em prazo razoável. Aqui a arquitetura importa: se excluir um usuário exige que um dev rode queries manuais em três bancos diferentes, o processo vai falhar. Sistemas bem construídos têm rotina de exclusão ou anonimização desde o início.

4. Segurança básica de verdade

A LGPD exige "medidas técnicas aptas a proteger os dados". Traduzindo para o dia a dia de engenharia:

• Senhas com hash forte (bcrypt ou argon2), nunca em texto puro nem criptografia reversível.
• HTTPS em tudo, sem exceção.
• Controle de acesso por perfil: o estagiário do suporte não precisa ver CPF de todo mundo.
• Dados sensíveis fora dos logs. É impressionante a quantidade de sistemas que logam o corpo inteiro da requisição, com senha e cartão dentro.
• Backups com a mesma proteção do banco principal.

5. Contratos com quem toca nos seus dados

Gateway de pagamento, ferramenta de e-mail, hospedagem: todos são operadores dos dados dos seus usuários. Fornecedores sérios (Stripe, Pagar.me, AWS, Google Cloud) já têm termos de tratamento de dados prontos, o famoso DPA. O seu trabalho é saber quem são esses fornecedores e ter esses termos aceitos. Uma lista simples, mantida atualizada, resolve.

O que provavelmente é exagero para o seu estágio

A honestidade aqui vale tanto quanto o checklist. Coisas que consultores adoram vender e que a maioria dos produtos em estágio inicial não precisa:

• DPO dedicado em tempo integral. A lei exige um encarregado, mas para operações pequenas pode ser um sócio ou um serviço terceirizado por algumas centenas de reais por mês.
• Certificações ISO 27001 logo de cara. Relevante quando você vende para banco ou governo. Antes disso, é custo sem retorno.
• Criptografia de tudo em repouso com gestão própria de chaves. Os bancos gerenciados (Supabase, RDS, Cloud SQL) já criptografam em repouso por padrão. Use o que a plataforma dá antes de construir por cima.
• Banner de cookies com 14 categorias. Se o seu site usa só analytics básico, um aviso simples e a opção de recusar resolvem. Complexidade de banner não é proporcional a conformidade.

O barato que sai caro aqui é o seguinte: gastar com o que é vitrine (banner bonito, selo no rodapé) e ignorar o que é estrutura (senha sem hash, log com CPF, banco sem controle de acesso). A ANPD e o jurídico do seu cliente olham a estrutura.

LGPD é decisão de arquitetura, não anexo de contrato

O ponto que quase ninguém fala: 80% da adequação de um produto digital é decidida por quem escreve o código, não por quem escreve o contrato. Exclusão de usuário, minimização de coleta, logs limpos, controle de acesso, tudo isso é design de sistema. Adequar um produto que nasceu sem essas decisões custa, na nossa experiência, entre R$ 15 mil e R$ 60 mil de retrabalho dependendo do tamanho da base e de quantos lugares o dado se espalhou. Nascer adequado custa perto de zero, porque são as mesmas horas de desenvolvimento, apenas com as escolhas certas.

É por isso que a pergunta "o sistema de vocês está adequado à LGPD?" deveria estar em qualquer conversa de contratação de desenvolvimento. Antes de assinar qualquer contrato, pergunta isso:

1. Como o sistema trata a exclusão de um usuário que pede para sair?
2. Onde as senhas ficam guardadas e com qual algoritmo?
3. Quais dados aparecem nos logs de erro?
4. Quais fornecedores terceiros recebem dados dos usuários?
5. Quem, dentro do painel administrativo, consegue ver dados pessoais completos?

Se quem está vendendo o desenvolvimento não responde essas cinco perguntas com naturalidade, o problema não é de privacidade, é de senioridade.

Como a gente lida com isso na prática

Na OCA, essas decisões entram no desenho do sistema antes da primeira linha de código. No Revo App, nossa plataforma de eventos com mais de 40 mil usuários cadastrados, o dado pessoal passa por checkout, ingresso e comunicação com o produtor do evento. Isso obrigou a gente a resolver cedo exatamente os pontos acima: exclusão de conta funcional dentro do app (exigência das lojas, inclusive), pagamento delegado ao gateway para que dado de cartão nunca encoste no nosso banco, e acesso segmentado por perfil no painel. Não porque um consultor mandou, mas porque operar um produto com essa base de usuários sem esse controle seria irresponsável.

Esse é o tipo de projeto que a gente constrói: sistemas onde a conformidade é consequência da arquitetura, não uma camada de documentos colada por cima. Se você está tirando um produto do papel, ou herdou um sistema que nunca passou por essa revisão, vale uma conversa antes que o e-mail do jurídico do seu maior cliente chegue.

Converse com a OCA sobre o seu sistema

Próximo passo prático, mesmo sem contratar ninguém

Abra uma planilha e faça o inventário: liste cada dado pessoal que seu produto coleta, onde ele fica armazenado, quem acessa e qual fornecedor terceiro recebe. Uma hora de trabalho. Esse documento é a base de qualquer adequação, é o que o jurídico dos seus clientes vai pedir, e é o que vai mostrar, preto no branco, se o seu produto tem um problema de privacidade ou só uma pendência de organização. Na maioria dos casos, é a segunda opção. Mas só dá para saber olhando.