LGPD para SaaS: Por onde começar a adequação

Escrito por Maria Andrade, advogada especialista em proteção de dados para startups, fintechs e empresas do setor financeiro na NDM Advogados.

Desde 2014 oferecemos assessoria jurídica completa para empresas tech crescerem com segurança e poderem focar no que importa.

Atualizado em 12/10/2026

Começar a adequação à LGPD para Plataformas Software as a Service (SaaS) exige a definição do seu modelo de negócios para a elaboração de Termos de Uso e Aviso de Privacidade que realmente reflitam a realidade do seu serviço. Além disso, é importante definir e entender o papel da sua empresa, dos seus clientes e dos seus fornecedores no tratamento de dados pessoais e as responsabilidades de cada lado, como controladores ou operadores.

A aprovação da Lei Geral de Proteção de Dados (Lei nº 13.709/2018) mudou o cenário para empresas de tecnologia no Brasil. No entanto, para os fundadores de plataformas de software como serviço (SaaS), a regulação muitas vezes soa como um freio na inovação. O receio comum é que a burocracia trave o desenvolvimento ágil do produto.

Por outro lado, o mercado dita que a conformidade deixou de ser um diferencial competitivo e passou a ser uma exigência básica. Grandes corporações (Enterprise) e instituições financeiras simplesmente não contratam fornecedores de tecnologia que não estejam aderentes às normativas de privacidade.

Isso significa que entender a LGPD para SaaS é, no fim das contas, uma estratégia de vendas e de valorização do seu negócio. Neste artigo, vamos destrinchar como empresários e líderes de tecnologia podem iniciar essa jornada de forma estratégica, unindo segurança jurídica e eficiência de produto.

A plataforma de SaaS é Controladora ou Operadora?

O primeiro passo para adequar sua operação é entender a classificação da sua empresa diante da lei. A LGPD divide os agentes de tratamento em duas categorias principais: o Controlador e o Operador. Essa distinção dita o tamanho da sua responsabilidade e o nível de risco envolvido na sua operação diária.

O Controlador é quem toma as decisões sobre o tratamento dos dados. Ele define o propósito, a base legal e como os dados serão usados. Já o Operador é quem realiza o processamento desses dados em nome do Controlador, seguindo estritamente as suas diretrizes.

Na prática, a grande maioria das plataformas SaaS B2B (Business to Business) atua como Operadora na relação com os dados dos clientes finais. Se você fornece um software de CRM para uma clínica médica, por exemplo, a clínica é a Controladora (decide por que coletar os dados dos pacientes), e seu SaaS é o Operador (armazena e processa esses dados na nuvem).

Além disso, vale lembrar que o seu SaaS também atua como Controlador em determinados contextos. Isso ocorre, por exemplo, em relação aos dados dos seus próprios funcionários ou aos dados de faturamento e contato dos representantes das empresas que assinam o seu software.

O impacto comercial do Data Processing Agreement (DPA)

Como a sua plataforma frequentemente atua como Operadora, seus clientes (os Controladores) exigirão garantias de que você protege os dados deles. É aqui que entra o DPA (Acordo de Processamento de Dados), um anexo contratual que protege ambas as partes.

O DPA estabelece regras sobre o que o seu SaaS pode ou não fazer com as informações hospedadas. Ele proíbe, por exemplo, que você use os dados do banco de clientes do seu contratante para treinar algoritmos próprios sem autorização expressa.

Para startups e fintechs, ter um DPA padrão, bem redigido e pronto para ser assinado, acelera o ciclo de vendas corporativas. Isso evita que o time jurídico do seu cliente paralise a negociação por semanas fazendo exigências desproporcionais de conformidade.

O que é o mapeamento de dados e como fazer

O Mapeamento de Dados, também conhecido como Data Mapping é a formalização de todo o fluxo de dados pessoais em todas as atividades da sua empresa. O objetivo dele é registrar, para cada atividade, informações como: quais dados são utilizados, como eles são coletados, as finalidades de uso, quem tem acesso, a base legal de coleta, medidas de segurança adotadas, etc.

Sem saber quais dados entram na sua plataforma, onde são armazenados, quem tem acesso a eles e com quem são compartilhados, é bem mais difícil redigir contratos precisos ou configurar arquiteturas de software seguras. O mapeamento funciona como um inventário completo do ciclo de vida da informação.

Para startups e pequenas e médias empresas (PMEs), há uma boa notícia. A Resolução CD/ANPD nº 2, publicada em janeiro de 2022, estabeleceu regras flexibilizadas para agentes de tratamento de pequeno porte. Isso permite que o registro das operações seja feito de forma simplificada, reduzindo a carga administrativa.

Ainda assim, o mapeamento é inegociável. Você precisa listar processos como: captura de leads no marketing, cadastro de usuários na plataforma, processamento de pagamentos e suporte via chat. Para cada fluxo, deve-se definir a finalidade específica e a base legal apropriada (como Execução de Contrato ou Legítimo Interesse).

Privacy by Design: Construindo a Adequação no Código

No universo da tecnologia, a adequação não vive apenas no departamento jurídico. Ela precisa estar embutida no DNA do produto. É isso que chamamos de Privacy by Design (Privacidade desde a Concepção), um conceito que determina que a proteção de dados deve ser pensada desde o primeiro rascunho de uma nova feature.

Se o seu time de produto (PMs e desenvolvedores) desenha uma funcionalidade e só depois pergunta ao jurídico se ela é legal, o processo está invertido. A privacidade deve ser um requisito de arquitetura, tão importante quanto escalabilidade e performance.

O seu sistema só deve exigir os campos de dados estritamente necessários para entregar a solução. Se o seu SaaS é de gestão de tarefas, por exemplo, não há motivo justificável para obrigar o usuário a preencher data de nascimento ou gênero no cadastro inicial.

Funcionalidades essenciais para a jornada do usuário

A arquitetura do software também deve facilitar o exercício dos direitos dos titulares. Como os usuários hoje têm controle sobre suas informações, o produto precisa ser capaz de atender a essas demandas sem que sua equipe precise fazer intervenções manuais no banco de dados.

Algumas features importantes incluem:

• Painéis de gerenciamento de consentimento (opt-in e opt-out granulares).
• Logs de auditoria (quem acessou qual dado e quando) para garantir rastreabilidade em caso de vazamentos.
• Controle de acesso baseado em funções (RBAC), garantindo que apenas funcionários autorizados vejam dados sensíveis.
• Ferramentas para exportação de dados em formato estruturado, garantindo o direito à portabilidade.

Direitos dos titulares e o desafio da exclusão de dados

Um dos direitos mais conhecidos trazidos pela legislação é o direito à eliminação dos dados. O titular pode, a qualquer momento, solicitar que suas informações sejam apagadas da sua base. 

Um ponto importante de se lembrar é que a exclusão não é absoluta. Existem obrigações legais que se sobrepõem ao pedido do usuário e determinam que a empresa mantenha certos dados. O maior exemplo no Brasil é o Marco Civil da Internet (Lei nº 12.965/2014), que obriga os provedores de aplicação a guardarem os registros de acesso (porta lógica de origem, endereço IP, data e hora) por, no mínimo, seis meses.

Além disso, algumas informações são essenciais para comprovar a correta prestação de serviços, como o histórico de uso da plataforma, logs de acesso, etc., que são importantes caso a empresa precise se defender em um processo administrativo ou judicial. Nesses casos, algumas informações têm o armazenamento justificado a partir da necessidade da empresa de ter provas para tal defesa, pelos prazos prescricionais cabíveis, ou seja, pelo prazo estipulado em lei que o cliente teria para iniciar algum processo.

Além disso, há o desafio técnico dos backups. Quando um dado é excluído do banco principal, ele frequentemente permanece nos arquivos de recuperação de desastres (disaster recovery). A boa prática técnica é garantir que esses backups tenham ciclos de vida curtos e sejam sobrepostos, assegurando que o dado excluído desapareça permanentemente em poucos dias.

Onde ficam seus dados? Nuvem, IA e Transferência Internacional

A grande maioria das plataformas SaaS opera em infraestruturas de nuvem de terceiros (AWS, Google Cloud, Microsoft Azure). Como os data centers dessas gigantes geralmente estão localizados fora do Brasil, principalmente nos Estados Unidos, a sua operação realiza rotineiramente o que a LGPD chama de Transferência Internacional de Dados.

Para que essa transferência seja legal, o país de destino deve ter um nível de proteção de dados adequado, ou a sua empresa deve garantir conformidade por meio de cláusulas contratuais padrão. Ao contratar esses provedores, é essencial revisar os termos de adesão para garantir que eles atuem como operadores adequados.

Ao mesmo tempo, o advento da Inteligência Artificial adicionou uma nova camada de complexidade. Muitas empresas de tecnologia estão integrando APIs de terceiros (como OpenAI ou Anthropic) em seus sistemas para oferecer recursos de IA generativa aos clientes.

Quando o seu sistema envia dados imputados pelo seu cliente para a API do ChatGPT, você está compartilhando dados com terceiros. Se esses dados não estiverem anonimizados, há um alto risco de não conformidade, especialmente se o provedor de IA utilizar esses prompts para treinar seus próprios modelos globais. O controle rígido sobre o envio dessas requisições é essencial.

Governança: A figura do DPO em startups

O Encarregado pelo Tratamento de Dados Pessoais, mundialmente conhecido como DPO (Data Protection Officer), é a pessoa responsável por ser a ponte entre a empresa, os titulares dos dados e a Agência Nacional de Proteção de Dados (ANPD). Mas será que toda startup SaaS precisa contratar um executivo caro para essa função?

Novamente, a Resolução CD/ANPD nº 2/2022 trouxe um alívio. Ela dispensou as empresas de pequeno porte e startups de nomearem um DPO formalmente, caso não estejam presentes os critérios de descaracterização listados na Resolução, embora exija que haja um canal de comunicação estruturado para atender aos titulares de dados.

Apesar da dispensa, o mercado B2B frequentemente exige a figura do DPO para fechar grandes contratos. Diante disso, uma dúvida muito comum surge entre os empresários: um dos sócios fundadores (CEO ou CTO) pode assumir o papel de DPO?

O risco do conflito de interesses entre o sócio e o DPO

Embora a lei brasileira não proíba expressamente, nomear um sócio ou diretor de tecnologia como DPO pode gerar um conflito de interesses. O DPO precisa de independência para auditar as práticas da empresa e apontar falhas.

Como um CTO, cujo objetivo principal é lançar novos recursos rapidamente e extrair o máximo de valor dos dados, poderia auditar de forma imparcial suas próprias decisões de engenharia? Por conta desse risco, autoridades europeias de proteção de dados (cujas diretrizes frequentemente influenciam a ANPD) já multaram empresas que colocaram diretores nessa posição.

Para startups, a solução mais segura e econômica costuma ser a contratação do “DPO as a Service”. Trata-se da terceirização dessa função para escritórios jurídicos ou consultorias especializadas, que fornecem o conhecimento técnico necessário de forma fracionada e totalmente imparcial.

Conclusão

Tratar a proteção de dados como um mero obstáculo burocrático é uma visão ultrapassada que custa caro, seja na forma de multas da ANPD ou, principalmente, na perda de grandes contratos corporativos (SaaS Enterprise). A privacidade, hoje, é um diferencial de produto e um selo de maturidade institucional.

Nós, da NDM Advogados, apoiamos empreendedores e empresas de tecnologia a construírem arquiteturas jurídicas que acompanham a velocidade da inovação, sem abrir mão da segurança técnica e legal. Se a sua plataforma está escalando e você precisa organizar a casa para fechar contratos maiores, entender as nuances do seu próprio negócio é o melhor lugar para começar.

FAQ em LGPD para SaaS