Adequação à LGPD não é publicar uma política de privacidade no rodapé do site. O que a ANPD, o cliente enterprise e o investidor querem ver é outra coisa: se a empresa sabe quais dados coleta, com qual base legal, onde eles ficam, quem acessa e o que acontece nas primeiras horas depois de um vazamento. Isso se responde com mapeamento das operações de tratamento, contrato assinado com cada fornecedor que toca dado pessoal e um plano de resposta a incidente que já existia antes do incidente.
Privacidade e direito digital, aqui, começam no desenho do produto: diagnóstico e adequação à LGPD, ROPA, relatório de impacto, DPO as a Service, transferência internacional, resposta a incidente com comunicação à ANPD e governança do uso de inteligência artificial.
- Diagnóstico e adequação à LGPD: mapeamento das operações de tratamento, definição de base legal para cada uma, registro no ROPA, relatório de impacto (RIPD) quando o tratamento é de alto risco e plano de ação priorizado por risco, não uma lista genérica de pendências.
- DPO as a Service: encarregado nomeado e publicado, canal de atendimento ao titular, resposta a pedidos de acesso, correção e exclusão dentro do prazo legal, interlocução com a ANPD em caso de ofício e reporte periódico para sócios e board.
- Contratos e cadeia de fornecedores: acordo de tratamento de dados (DPA) com processadores e subprocessadores, cláusulas de segurança e de notificação de incidente, transferência internacional com o instrumento correto e respostas ao questionário de privacidade do seu cliente enterprise.
- Resposta a incidente de segurança: plano definido antes do problema, avaliação de risco aos titulares, comunicação à ANPD e aos afetados no prazo do regulamento de incidentes e preservação de evidências. Decisão técnica, tomada com engenharia, e não improviso em grupo de WhatsApp.
- Governança de IA e ECA Digital: política de uso de LLM na empresa, revisão dos contratos com fornecedores de IA (retenção e treinamento com os seus dados), base legal para decisão automatizada e, em plataformas com público jovem, adequação aos deveres do ECA Digital.
Por que escolher a NDM Advogados?
Privacidade dentro do produto
Trabalhamos com produto e engenharia: base legal decidida no desenho da feature, consentimento e cookies no fluxo real do app, prazo de retenção definido onde o dado mora. Conformidade que sobrevive ao próximo deploy.
Mapeamento de Dados
Cada operação de tratamento fica registrada com finalidade, base legal, responsável e histórico de alteração. É esse registro que se apresenta no security review do cliente e na próxima diligência, sem remontar nada às pressas.
Pronta para due diligence
Organizamos a documentação que o cliente enterprise pede no security review e que o investidor pede na rodada: políticas, ROPA, contratos com fornecedores, plano de incidente e histórico de atendimento a titulares.
Privacidade e regulatório na mesma mesa
Em fintech, o dado que sustenta o KYC também está sob a LGPD. Nosso time de proteção de dados trabalha junto com o de regulatório e PLD-FT, evitando políticas que se contradizem na hora da fiscalização.
Em instituição regulada, os dois programas se cruzam o tempo todo: a política de privacidade precisa caber no que a norma de PLD-FT exige, e o inverso também. Veja como conduzimos o lado regulatório:
Compliance e PLD-FTDúvidas
Perguntas frequentes
Um projeto de adequação costuma levar de dois a quatro meses, dependendo do número de sistemas e de fornecedores envolvidos. O mapeamento de dados é a etapa mais longa, porque exige conversar com produto, engenharia, marketing e RH. Políticas, contratos e ROPA saem rápido depois que o mapa está pronto.
Controlador é quem decide por que e como os dados são tratados. Operador é quem trata em nome do controlador, como o provedor de nuvem ou a ferramenta de e-mail. Encarregado, ou DPO, é a pessoa indicada como canal entre a empresa, os titulares e a ANPD. Um SaaS costuma ser controlador dos dados dos próprios usuários e operador dos dados que o cliente sobe na plataforma.
Sim. A LGPD não tem porte mínimo, e usar ferramentas de terceiros não transfere responsabilidade: você continua controlador dos dados dos seus usuários. Na prática, a cobrança chega antes da ANPD, no security review do primeiro cliente grande ou na due diligence da rodada. Mapeamento e contratos com fornecedores resolvem a maior parte do risco.
Contenha o acesso, preserve logs e monte a linha do tempo do que aconteceu. Em paralelo, avalie o risco relevante aos titulares: disso depende a obrigação de comunicar à ANPD e às pessoas afetadas no prazo do regulamento de incidentes. Comunicação mal escrita gera mais exposição do que o próprio incidente, então o texto precisa ser revisado antes de sair.
Depende da base legal e do que você prometeu na política de privacidade e no contrato. Dado coletado para prestar o serviço não vem com permissão automática de treinar modelo. Antes de ligar qualquer coisa, revise finalidade, contrato com o cliente e termos do fornecedor de IA (se ele retém ou treina com o que você envia) e defina o que nunca pode ser enviado a um LLM externo.
Mapeamento de Dados
Monte seu ROPA e mapeie o tratamento de dados da empresa para chegar à conformidade com a LGPD.
Como podemos apoiar o próximo passo do seu negócio?
Atuamos ao lado de startups, fintechs e negócios digitais, com serviços que protegem, estruturam e impulsionam o crescimento da sua empresa.
Contratos para Empresas de Tecnologia, SaaS e Negócios Digitais
Contratos de SaaS, licenciamento, NDA, parceria e termos de uso para startups e empresas de tecnologia. Redigidos para serem assinados, cobrados e mostrados a investidor.
Saiba mais →Direito do Consumidor e Adequação ao CDC para E-commerce, Marketplace e SaaS
Adequação ao CDC para e-commerce, marketplace, SaaS e aplicativo: termos de uso, trocas, arrependimento, publicidade e cobrança recorrente, ajustados antes do lançamento.
Saiba mais →Compliance e PLD-FT para Fintechs e Instituições Financeiras
Programas de compliance e PLD-FT sob medida para fintechs, IPs, SCDs, securitizadoras, subadquirentes e PSAV. Reduza risco regulatório perante o Bacen e a CVM sem travar a operação.
Saiba mais →Estruturação Societária para Startups: Contrato Social, Acordo de Sócios e Vesting
Contrato social, acordo de sócios, vesting, stock options e holding de fundadores. A estrutura societária arrumada antes de a rodada exigir.
Saiba mais →Investimentos, Rodadas de Captação e M&A para Startups e Fintechs
Term sheet, SAFE, mútuo conversível, due diligence e acordo de acionistas, nas duas pontas: para quem capta e para quem compra.
Saiba mais →Propriedade Intelectual, Registro de Marca no INPI e Proteção de Software
Registro de marca no INPI, proteção de software e cessão de propriedade intelectual de fundadores, freelancers e agências. Dono documentado desde o começo.
Saiba mais →Trabalhista Preventivo para Startups e Empresas de Tecnologia
CLT ou PJ, non-compete, stock options, NR-1 e política de trabalho remoto para times de tecnologia. Trabalhista tratado antes de virar passivo.
Saiba mais →Regulatório, Autorização Bacen/CVM e Estruturação de Negócio para Fintechs
Da adequação do modelo de negócio à autorização de funcionamento: normas Bacen e CVM, contratos regulatórios e estruturação societária para fintechs, IPs, SCDs, subadquirentes, PSAV, gestoras e Bets.
Saiba mais →Planejamento Tributário, Reforma Tributária e Regime Fiscal para Startups e SaaS
Escolha de regime, tributação de software e de stock options, Reforma Tributária e defesa administrativa. Tributário para quem tem receita recorrente.
Saiba mais →LGPD, Proteção de Dados e Governança de IA para Startups e SaaS
Adequação à LGPD, ROPA, DPO as a Service, resposta a incidente na ANPD e governança de IA para startups, fintechs e SaaS.
Saiba mais →Treinamentos Jurídicos in Company para Times de Tecnologia e Fintechs
Treinamentos de LGPD, PLD-FT, contratos e uso de IA para o time da empresa. Remoto ou presencial, construídos sobre a operação real de cada cliente.
Saiba mais →