Para muita empresa pequena, LGPD parece um assunto jurídico distante, coisa de banco e de multinacional. Só que o seu site coleta dados pessoais todos os dias: o nome e o e-mail de quem preenche o formulário, o endereço IP de quem acessa, os cookies das ferramentas de medição e de anúncios. Se o site recebe visitas, a lei se aplica.
A boa notícia é que estar em dia não exige um projeto gigante. Começa por poucas coisas bem feitas, e quase todas são visíveis no próprio site. Este guia mostra o mínimo, com exemplos do que escrever e do que evitar, e termina com um roteiro de 30 minutos para você auditar o seu site hoje.
Um aviso honesto: este texto é um guia prático e não substitui a orientação de um advogado, que deve revisar o que for específico do seu negócio.
1. Política de privacidade que descreve o seu site de verdade
A política é o documento que explica, em linguagem simples, o que acontece com os dados. Ela precisa responder a cinco perguntas:
- Quem é a empresa e como falar com ela sobre dados pessoais?
- Quais dados são coletados (formulários, navegação, cookies)?
- Para que cada dado é usado e com quem é compartilhado?
- Por quanto tempo fica guardado?
- Como a pessoa exerce os seus direitos?
Exemplo do que evitar: "Podemos coletar informações para melhorar a sua experiência." Não diz nada. Exemplo melhor: "Quando você preenche o formulário de contato, guardamos nome, e-mail e telefone para responder ao seu pedido. Os dados ficam no nosso CRM por até 24 meses e não são vendidos nem cedidos a terceiros."
Copiar a política de outro site é o erro mais comum. Se o seu site não tem chat, não cite chat. Se usa Google Analytics, cite o Google Analytics.
2. Aviso de cookies que respeita a escolha
Cookies que não são essenciais, como os de medição e de marketing, só devem ser carregados depois do consentimento. Na prática, "Aceitar" e "Recusar" precisam ser opções reais, com a mesma facilidade de clique, e recusar não pode carregar os rastreadores.
Antes: um banner com só o botão "Ok, entendi" e o Google Analytics já rodando. Depois: um banner com "Aceitar", "Recusar" e "Preferências", e as ferramentas de medição carregando apenas após o aceite. Ofereça também um link "Cookies" no rodapé para a pessoa rever a escolha quando quiser.
Como testar em dois minutos: abra o site em uma janela anônima, clique em "Recusar" e abra as ferramentas de desenvolvedor do navegador na aba Rede. Se ainda aparecem chamadas para domínios de análise ou de anúncios, a recusa não está funcionando. A ANPD publicou um guia orientativo sobre cookies que vale a leitura.
3. Uma base legal para cada uso de dado
Todo tratamento de dado precisa de um motivo previsto em lei, chamado de base legal. No site, os casos mais comuns são:
- Responder a quem pediu orçamento: execução de procedimentos preliminares ligados a um contrato.
- Cookies de medição e de marketing: consentimento.
- Enviar novidades a quem já é cliente: legítimo interesse, que exige uma avaliação e uma justificativa por escrito.
- Guardar notas fiscais e contratos: cumprimento de obrigação legal.
Monte uma planilha simples com três colunas: o dado, para que serve e qual a base legal. Ela é a espinha dorsal da política e ajuda quando alguém pergunta "por que vocês têm esse dado?".
4. Formulários com aviso e coleta mínima
Peça só o que você precisa para responder. Um formulário de contato raramente precisa de CPF, data de nascimento ou cargo. Quanto menos campos, menos risco e, em geral, mais conversões.
Ao lado do botão de envio, coloque uma frase curta: "Usamos seus dados apenas para responder a este contato. Saiba mais na Política de Privacidade", com o link para a política. Não deixe caixas de "aceito receber novidades" já marcadas: o consentimento precisa ser uma ação da pessoa.
5. Um canal para o titular e um processo para responder
A pessoa tem direito de saber quais dados você tem, corrigir, pedir exclusão e retirar o consentimento. Para isso, publique um e-mail de contato na política e combine internamente quem responde. A lei prevê resposta imediata em formato simplificado ou, para a declaração completa, em até 15 dias.
Um processo mínimo, em quatro passos:
- A solicitação chega no e-mail publicado e é registrada com data.
- Alguém confirma a identidade de quem pediu, sem exigir mais dados do que o necessário.
- A empresa localiza os dados (site, CRM, e-mail marketing, planilhas) e atende ao pedido.
- A resposta é enviada e o registro fica guardado.
Empresas de pequeno porte têm regras simplificadas pela ANPD, inclusive na indicação formal de um encarregado, mas o canal de contato continua obrigatório.
6. Cuide dos fornecedores
Ferramentas de e-mail, CRM, hospedagem, chat e medição também tratam dados que vieram do seu site. Faça uma lista com o nome da ferramenta, quais dados ela recebe e onde ficam, e cite as categorias na política. Quando trocar de ferramenta, atualize a lista.
7. Segurança também é LGPD
Proteger os dados é um dever da lei. Na prática, isso significa site com certificado HTTPS válido, WordPress e plugins atualizados, senhas fortes com autenticação em dois fatores, backup testado e acesso do administrador só para quem precisa. Um vazamento por falta de cuidado básico é o pior cenário, e a LGPD prevê sanções que vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.
Roteiro de 30 minutos para auditar o seu site hoje
- Abra a política de privacidade: ela cita as ferramentas que o site realmente usa?
- Teste o banner de cookies em janela anônima, como descrito acima.
- Envie o seu próprio formulário e confira se há aviso e link para a política.
- Procure no rodapé o e-mail do canal do titular.
- Liste as ferramentas que recebem dados do site e confirme que estão na política.
- Confira o cadeado HTTPS e se há atualizações pendentes no WordPress.
Perguntas frequentes
Preciso de um encarregado (DPO)? A lei prevê o encarregado, mas a ANPD flexibilizou a exigência para agentes de pequeno porte. Mesmo assim, é preciso ter um canal de contato e alguém responsável por responder.
Um modelo de política da internet resolve? Serve de ponto de partida. Ele só vale se você ajustar para o que o seu site realmente coleta e usa.
E se acontecer um vazamento? Registre o que aconteceu, contenha o problema, avise as pessoas afetadas e comunique a ANPD nos casos em que houver risco relevante. Quanto mais cedo o time agir, menor o dano.
Recursos e quando chamar um advogado
Para estudar, vale ler a Lei 13.709/2018 (LGPD) e os guias da ANPD sobre cookies e sobre agentes de pequeno porte, todos gratuitos no site gov.br/anpd. Chame um advogado especializado quando você tratar dados sensíveis (saúde, biometria), de crianças e adolescentes, quando enviar dados para fora do Brasil ou depois de um incidente de segurança.
Quer ajuda para colocar o site em dia? A Linkti cuida da parte técnica, com certificado, atualizações e segurança na Hospedagem Gerenciada, e o time responde no WhatsApp.
