LGPD no CRM: o que a pequena empresa pode guardar sobre clientes
Guia prático da LGPD aplicada ao CRM: bases legais, dados que podem ser coletados, direitos dos titulares, segurança, prazo de guarda e regras para agentes de pequeno porte.
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018, a LGPD) vale para qualquer empresa que trata dados pessoais, inclusive uma pequena empresa com um CRM: nome, telefone, e-mail, CPF e histórico de compras de clientes são dados pessoais. Isso não proíbe o CRM. A lei pede que você tenha um motivo válido (base legal) para cada uso, colete só o necessário, informe o cliente, proteja os dados e atenda aos pedidos dos titulares. Este guia traduz esses pontos para a rotina de um pequeno negócio, sem juridiquês.
Quem é quem na LGPD
- Titular: a pessoa a quem os dados se referem, como o seu cliente.
- Controlador: quem decide sobre o uso dos dados, que normalmente é a sua empresa.
- Operador: quem trata dados em nome do controlador. O fornecedor do CRM costuma ser operador.
- Encarregado (DPO): pessoa indicada para atender titulares e a Autoridade Nacional de Proteção de Dados (ANPD). Agentes de tratamento de pequeno porte têm regras simplificadas, definidas em regulamento da ANPD, inclusive quanto à indicação do encarregado. Verifique o regulamento vigente na página da ANPD.
Como controladora, a sua empresa responde pelos dados que coloca no CRM, mesmo que o fornecedor seja quem armazena.
Bases legais mais usadas em vendas
A LGPD (art. 7º) lista as hipóteses que autorizam o tratamento de dados pessoais. As mais relevantes para um CRM são:
| Base legal | Quando se aplica no CRM | Exemplo |
|---|---|---|
| Execução de contrato ou procedimentos preliminares | O cliente pediu orçamento ou comprou | Guardar nome, endereço e pedido para entregar o serviço |
| Cumprimento de obrigação legal | A lei exige guardar certos dados | Registros fiscais de vendas |
| Consentimento | Uso que depende da escolha do cliente | Enviar newsletter ou promoções por mensagem |
| Legítimo interesse | Interesse da empresa, que não prejudica direitos do titular | Contatar clientes atuais sobre produtos semelhantes, com opção de sair |
| Exercício regular de direitos | Defesa em processo | Guardar contrato por prazo de prescrição |
Não há base "melhor": escolha a que corresponde de fato à situação. O consentimento deve ser livre, informado e específico, e pode ser retirado a qualquer momento. O legítimo interesse exige uma avaliação do equilíbrio entre o seu interesse e os direitos do cliente, e deve ser documentado.
Princípios que orientam o CRM
- Finalidade: diga para que usa o dado (atender, vender, cobrar).
- Adequação e necessidade: guarde só o que precisa. Não peça CPF ou data de nascimento se não for necessário.
- Transparência: informe o cliente, por exemplo em uma política de privacidade clara no site e no atendimento.
- Segurança: proteja o acesso com senhas fortes, permissões por usuário e autenticação em duas etapas.
- Prevenção e responsabilização: registre como você trata os dados e o que faz quando algo dá errado.
O que costuma ir para o CRM, e cuidados
| Dado | Cuidado |
|---|---|
| Nome, telefone, e-mail | Dado comum; necessário para contato. |
| CPF ou CNPJ | Colete quando for útil (nota fiscal, cadastro); limite o acesso. |
| Histórico de compras e propostas | Útil para atendimento; defina por quanto tempo guardar. |
| Conversas e anotações | Evite comentários subjetivos ou ofensivos; o titular pode pedir acesso. |
| Dados de saúde, biometria, religião, etc. | São dados sensíveis, com regras mais rígidas; só trate se for estritamente necessário e com base legal adequada. |
| Dados de crianças e adolescentes | Exigem cuidados específicos, com atenção ao melhor interesse do menor. |
Direitos dos titulares
O art. 18 da LGPD garante ao titular, entre outros: confirmação de que há tratamento, acesso aos dados, correção, anonimização ou eliminação de dados desnecessários, portabilidade, informação sobre compartilhamento e revogação do consentimento. Defina internamente:
- Um canal para receber pedidos (um e-mail ou formulário).
- Quem responde e em quanto tempo (a lei e a regulamentação da ANPD definem prazos; confirme-os na fonte oficial).
- Como localizar todos os dados da pessoa no CRM, em planilhas e no WhatsApp.
- Como confirmar a identidade de quem pede.
Prazo de guarda
A LGPD não fixa um prazo único. Em geral, os dados devem ser mantidos pelo tempo necessário à finalidade, e depois eliminados ou anonimizados, salvo quando a lei exige a guarda (por exemplo, para fins fiscais, trabalhistas ou de defesa em processos). Uma política simples, ilustrativa: contatos que nunca compraram e não respondem há dois anos são revisados e eliminados; clientes têm dados mantidos enquanto houver relação e pelo prazo exigido por obrigações legais, a confirmar com o contador.
Segurança na prática
- Crie usuários individuais e use permissões mínimas.
- Ative a autenticação em duas etapas.
- Desative o acesso de quem sai da empresa no mesmo dia.
- Evite exportar listas para planilhas soltas ou enviá-las por mensagem.
- Revise quem tem acesso a cada pasta e relatório.
- Tenha um plano para incidentes: quem avisar, o que registrar, e quando comunicar a ANPD e os titulares, nos casos previstos em lei (art. 48).
O fornecedor do CRM
Ao escolher a ferramenta, verifique: política de privacidade em português, contrato ou termos de tratamento de dados, local de armazenamento (inclusive transferência internacional), medidas de segurança e como o fornecedor ajuda a atender pedidos de titulares. Para fornecedores estrangeiros, a transferência internacional de dados tem regras próprias. O guia de critérios para escolher um CRM inclui esses pontos.
Marketing e comunicação
Antes de enviar e-mails ou mensagens promocionais, verifique se o contato tem uma relação com você e se há base legal para a comunicação. Ofereça sempre um modo simples de se descadastrar e registre a origem do contato no CRM. Para mensagens pelo WhatsApp, veja o guia sobre WhatsApp no CRM.
Quando consultar um profissional
A LGPD tem pontos que dependem do caso: escolha da base legal, transferência internacional, dados sensíveis e resposta a incidentes. Se a sua empresa trata muitos dados, dados sensíveis ou de crianças, procure um advogado ou consultor especializado. Este guia é informativo e não substitui orientação jurídica.
Perguntas frequentes
Preciso de consentimento para guardar o cliente no CRM?
Nem sempre. Para atender um pedido ou cumprir um contrato, pode haver outra base legal. O consentimento é mais usado para comunicações opcionais, como promoções.
Pequena empresa precisa ter encarregado?
A ANPD estabeleceu regras simplificadas para agentes de pequeno porte, inclusive sobre a indicação do encarregado. Consulte o regulamento vigente no site da ANPD e, em caso de dúvida, um profissional.
O cliente pode pedir que eu apague seus dados?
Em muitos casos sim, mas há exceções, como quando a lei obriga a guardar o dado. Avalie cada pedido e registre a resposta.
Planilhas e WhatsApp também estão sujeitos à LGPD?
Sim. A lei vale para qualquer tratamento de dados pessoais, em qualquer suporte.
Fontes e referências
- Autoridade Nacional de Proteção de Dados (ANPD) — regulamentos, guias e canais oficiais.
- Planalto — Lei nº 13.709/2018 — texto da LGPD no portal da legislação.
- Sebrae — materiais de adequação à LGPD para pequenos negócios.
