{"url":"https://www.spartanti.com.br/blog/lgpd-para-pequenas-empresas","titulo":"LGPD para pequenas empresas: o mínimo que seu site precisa ter","resumo":"Aviso de privacidade, banner de cookies que recusa de verdade, formulario enxuto, direitos do titular e seguranca basica: o checklist pratico de LGPD para PME.","categoria":"Segurança","publicado_em":"2026-10-26","atualizado_em":"2026-10-26","autor":"Spartan TI","markdown":"A Lei Geral de Proteção de Dados vale no Brasil desde 2020 e não tem nota de rodapé dispensando empresa pequena. O que muda, para quem tem cinco funcionários, é a proporção: ninguém espera que uma loja de bairro monte a estrutura de um banco. Espera-se que ela saiba quais dados coleta, por que coleta, onde guarda e o que faz quando o cliente pede para sair.\n\nEste artigo é um checklist prático do mínimo que o seu site precisa ter. Não é parecer jurídico — **não somos advogados**, e a aplicação da lei depende do seu caso concreto, do tipo de dado e do seu setor. Para decisão com efeito legal, procure apoio jurídico. O que você encontra aqui é a parte técnica e operacional, que é onde a maioria das pequenas empresas erra feio e barato de consertar.\n\n## O que é dado pessoal (é mais do que você pensa)\n\nDado pessoal é qualquer informação que identifique uma pessoa ou permita identificá-la. CPF e nome completo são o óbvio. O que pega as empresas de surpresa é o resto:\n\n  - **E-mail e telefone** — inclusive e-mail corporativo com nome da pessoa;\n\n  - **Endereço IP** do visitante, que seu servidor registra em log por padrão;\n\n  - **Identificador de cookie** e de dispositivo, usados por ferramentas de análise e anúncio;\n\n  - **Foto, áudio de ligação e imagem de câmera** de segurança;\n\n  - **Histórico de compra e de navegação** associado a uma pessoa;\n\n  - **Currículo** recebido pelo site, que costuma ficar numa caixa de e-mail para sempre.\n\nExiste ainda uma categoria com proteção reforçada, os **dados pessoais sensíveis**: saúde, biometria, dado genético, origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato e vida sexual. Se o seu negócio toca em qualquer um deles — clínica, laboratório, academia que pede atestado, empresa com ponto biométrico — o cuidado precisa ser maior e a consulta jurídica deixa de ser opcional.\n\n**Primeiro exercício, e o mais útil de todos:** faça uma lista de uma página com todo lugar em que a sua empresa guarda dado de pessoa — site, planilha, WhatsApp, caixa de e-mail, sistema de gestão, caderno do balcão, câmera. Sem esse mapa, nenhum dos passos seguintes é possível de verdade.\n\n## Bases legais em linguagem simples\n\nA lei não proíbe usar dado pessoal. Ela exige que exista um motivo legítimo, previsto em lei, para cada uso. Esse motivo é a **base legal**. Existem várias, mas três cobrem quase tudo numa empresa pequena.\n\n### Execução de contrato\n\nVocê precisa do endereço para entregar o produto, do CPF para emitir a nota, do e-mail para mandar o comprovante. Isso é cumprir o que foi combinado com o cliente, e não exige pedir autorização separada — já está implícito na relação. É a base mais confortável, porque é a mais difícil de contestar. O limite é o escopo: o endereço serve para entregar, não para virar mala direta.\n\n### Consentimento\n\nÉ a autorização da pessoa, livre, informada e para uma finalidade específica. Serve bem para newsletter, para cookies não essenciais e para uso de foto em material de divulgação. Três detalhes que invalidam consentimento na prática: caixa já marcada por padrão, texto genérico do tipo \"concordo com tudo\", e a impossibilidade de voltar atrás. A pessoa pode retirar o consentimento quando quiser, e a partir daí você precisa parar.\n\n### Legítimo interesse\n\nÉ a base para usos esperados e de baixo risco que não cabem nas outras, como prevenção a fraude, segurança do site e algumas ações de relacionamento com cliente já existente. É a mais flexível e a mais mal usada: não é curinga. Quem usa legítimo interesse precisa ter pensado se o uso é realmente esperado pela pessoa, se é necessário e se o interesse da empresa não atropela o direito dela — e precisa registrar esse raciocínio. Em caso de dúvida real, é exatamente aqui que o apoio jurídico compensa.\n\n| Situação | Base que costuma caber | Cuidado principal |\n| --- | --- | --- |\n| Entregar pedido e emitir nota | execução de contrato | não usar para outra finalidade |\n| Enviar newsletter | consentimento | caixa desmarcada e saída fácil |\n| Cookie de análise de visita | consentimento | só disparar depois do aceite |\n| Antifraude e log de acesso | legítimo interesse | registrar a justificativa |\n| Guardar nota fiscal por anos | obrigação legal | prazo definido, não eterno |\n\n## Aviso de privacidade no site\n\nTambém chamado de política de privacidade. É o documento em que você conta, em linguagem que o cliente entende, o que faz com os dados dele. Precisa estar acessível de qualquer página — rodapé é o lugar de sempre — e dizer, no mínimo:\n\n  - **Quem é o controlador:** razão social, CNPJ e um canal de contato de verdade;\n\n  - **Quais dados você coleta** e por quais meios: formulário, cookie, WhatsApp, ligação;\n\n  - **Para que serve cada coleta**, com a finalidade escrita de forma específica;\n\n  - **Com quem você compartilha:** hospedagem, meio de pagamento, transportadora, ferramenta de e-mail, plataforma de anúncio;\n\n  - **Por quanto tempo guarda** cada tipo de dado, e com qual critério;\n\n  - **Quais são os direitos da pessoa** e como exercê-los, com canal e prazo;\n\n  - **Se há transferência para fora do Brasil**, o que acontece sempre que a sua ferramenta é estrangeira;\n\n  - **A data da última atualização**, para a pessoa saber se está lendo a versão vigente.\n\nDois erros comuns: copiar a política de outra empresa (ela descreve ferramentas que você não usa e omite as que usa, e isso é pior que não ter) e escrever um texto que ninguém entende. Aviso de privacidade não é peça de defesa; é comunicação. Se puder, escreva um resumo de cinco linhas no topo e o detalhe abaixo.\n\n*Imagem: Checklist de conformidade com oito itens: site com HTTPS marcado como pronto, aviso de privacidade acessível marcado como pronto, banner de cookies cujo botão recusar realmente recusa pendente, formulário coletando só o necessário pendente, canal para pedido do titular pendente, senha individual por pessoa pendente, backup com restauração testada marcado como pronto e contrato com fornecedor que trata dados pendente — Os pendentes são a fila: comece pelo banner que recusa de verdade e pelo canal de atendimento ao titular.*\n\n## Cookies e um banner que funciona de verdade\n\nCookie é um pequeno arquivo que o site guarda no navegador do visitante. Alguns são essenciais para o site funcionar — manter o login, lembrar o carrinho, segurança. Esses não precisam de autorização. Os outros, os de medição e de publicidade, precisam.\n\nE é aqui que está o problema mais frequente, porque dá para implementar banner errado sem perceber:\n\n  - **O botão recusar tem que recusar.** Se o script de análise ou de anúncio já disparou antes do clique, o banner é decoração. É muito comum o código de consentimento rodar depois das ferramentas que ele deveria controlar — o resultado é um site que pergunta e ignora a resposta.\n\n  - **Recusar precisa ser tão fácil quanto aceitar.** Dois botões, mesmo tamanho, mesma tela. Esconder a recusa dentro de \"configurações avançadas\" descaracteriza a escolha.\n\n  - **Sem aceite forçado.** Bloquear o conteúdo até a pessoa aceitar não é consentimento livre, salvo nas raras hipóteses em que o cookie é essencial.\n\n  - **A escolha tem que persistir** e ser revisável. Deixe um link no rodapé para a pessoa mudar de ideia depois.\n\n  - **Teste numa janela anônima.** Abra o site, clique em recusar e confira se as ferramentas de medição realmente não carregaram. Esse teste de dois minutos derruba a maioria dos banners mal configurados.\n\nVale lembrar que isso afeta métrica: parte dos visitantes vai recusar e desaparecer dos seus relatórios. Isso é esperado e não é defeito. Se você usa esses números para decidir, leia o artigo sobre [site que converte em clientes](https://www.spartanti.com.br/blog/site-que-converte-em-clientes) com essa limitação em mente.\n\n## Formulários: colete menos\n\nA lei fala em necessidade: só o dado indispensável para a finalidade. Essa regra, por sorte, é a mesma que aumenta conversão. Formulário curto preenche mais.\n\n  - **Pergunte o mínimo.** Para um orçamento, nome, forma de contato e o que a pessoa precisa. CPF, data de nascimento e endereço completo em formulário de contato não têm justificativa;\n\n  - **Diga para que serve**, em uma linha ao lado do botão: \"usamos seus dados apenas para responder este pedido\";\n\n  - **Link para o aviso de privacidade** visível no formulário;\n\n  - **Consentimento de marketing separado**, com caixa desmarcada, e nunca como condição para enviar o formulário;\n\n  - **Campo livre é risco.** Um \"conte seu caso\" pode receber dado sensível sem você pedir. Avise o que não deve ser escrito ali;\n\n  - **Formulário sempre em HTTPS**, com SSL válido. Sem isso, o dado viaja aberto.\n\nOs detalhes de construção e teste estão em [formulário de contato que funciona](https://www.spartanti.com.br/blog/formulario-de-contato-que-funciona). E se o formulário manda o lead para planilha ou CRM automaticamente, o cuidado se estende ao destino — tema do artigo sobre [tarefas que dá para automatizar neste mês](https://www.spartanti.com.br/blog/automatizar-tarefas-na-empresa).\n\n## Direitos do titular e como atender um pedido\n\nTitular é a pessoa a quem o dado pertence. Ela pode pedir confirmação de que você trata dados dela, acesso ao que você tem, correção do que está errado, eliminação, informação sobre com quem você compartilhou, portabilidade e revogação de consentimento. Também pode se opor a um tratamento feito com base em legítimo interesse.\n\nO que você precisa ter pronto é um processo, não um departamento:\n\n  1. **Um canal publicado** no aviso de privacidade: e-mail dedicado ou formulário próprio;\n\n  2. **Confirmação de recebimento** no mesmo dia, dizendo o que vai acontecer;\n\n  3. **Verificação de identidade** proporcional — o suficiente para não entregar dado de uma pessoa a outra, sem transformar isso em barreira;\n\n  4. **Busca nos lugares do seu mapa**, inclusive WhatsApp, planilha e backup;\n\n  5. **Resposta por escrito**, dentro do prazo que você publicou, explicando o que foi feito e o que não pôde ser apagado por obrigação legal — nota fiscal, por exemplo, tem prazo de guarda;\n\n  6. **Registro do atendimento**, com data e desfecho.\n\nConselho prático de quem opera: atenda sem discutir. Pedido de titular virar discussão custa muito mais caro, em tempo e em reputação, do que simplesmente cumprir.\n\n## Segurança básica que resolve a maior parte do risco\n\nVazamento em empresa pequena raramente é ataque sofisticado. É senha compartilhada, acesso de ex-funcionário que ninguém removeu e planilha no e-mail pessoal. O mínimo honesto:\n\n  - **Acesso individual**, um usuário por pessoa, com permissão só do que ela precisa. Senha de setor é o pior arranjo possível, porque ninguém é responsável;\n\n  - **Senha forte em gerenciador**, nunca em caderno ou arquivo chamado senhas;\n\n  - **Verificação em duas etapas** no e-mail, no painel do site, no banco e nas redes sociais;\n\n  - **Remoção de acesso no desligamento**, no mesmo dia, com checklist;\n\n  - **Backup diário e restauração testada** — e lembre que o backup também contém dado pessoal e precisa do mesmo cuidado;\n\n  - **Atualização de sistema e plugin** em dia, porque falha conhecida e não corrigida é a porta mais usada;\n\n  - **SSL válido** e site todo em HTTPS, sem página de formulário fora disso.\n\nEssas rotinas são as mesmas da [manutenção de site](https://www.spartanti.com.br/blog/manutencao-de-site-importancia): na prática, manutenção bem feita é metade da conformidade.\n\n## Contrato com quem trata dados por você\n\nVocê é responsável pelos dados mesmo quando quem os guarda é outro. Hospedagem, meio de pagamento, plataforma de e-mail, ERP, transportadora, agência: todos tratam dado dos seus clientes em seu nome. Isso precisa estar no papel.\n\nO que olhar em cada fornecedor: cláusula dizendo que ele só usa o dado para prestar o serviço contratado, compromisso de segurança e sigilo, aviso de incidente para você em prazo curto, regra sobre subcontratados, informação de onde os dados ficam hospedados e o que acontece no fim do contrato — devolução e exclusão. Guarde também o contato de privacidade de cada um; você vai precisar dele no dia em que algo acontecer. Essas cláusulas entram na mesma conversa de [o que exigir num contrato de criação de site](https://www.spartanti.com.br/blog/contrato-de-criacao-de-site-o-que-exigir), inclusive a titularidade do domínio e dos acessos.\n\nSe você integra sistemas, cada integração move dado pessoal de um lado para o outro. Vale mapear o que atravessa cada ponte — o raciocínio técnico está em [o que é uma API e quando vale integrar](https://www.spartanti.com.br/blog/integracao-de-sistemas-api-erp). O mesmo vale para quem vende online e distribui dado do comprador entre plataforma, pagamento e logística, situação detalhada em [loja virtual ou marketplace](https://www.spartanti.com.br/blog/loja-virtual-ou-marketplace).\n\n**Conformidade não é um PDF.** É rotina: mapa de dados revisado, acessos revogados no desligamento, banner testado depois de cada mudança no site e pedido de titular atendido no prazo. Documento sem rotina não protege ninguém.\n\n## O que fazer num vazamento\n\nIncidente de segurança com dado pessoal precisa de reação rápida e organizada. A lei prevê comunicação à Autoridade Nacional de Proteção de Dados e às pessoas afetadas quando o incidente puder gerar risco ou dano relevante, em prazo razoável — e a avaliação disso é jurídica, não técnica. Por isso, o seu plano precisa ter nomes e telefones antes de acontecer:\n\n  1. **Contenha.** Corte o acesso indevido, troque senhas, isole o que foi comprometido;\n\n  2. **Registre.** Data, hora, o que aconteceu, quais dados e quantas pessoas, com evidências e logs preservados;\n\n  3. **Acione apoio jurídico e técnico** imediatamente, para avaliar risco e obrigação de comunicar;\n\n  4. **Comunique** quem precisa ser comunicado, com texto claro, dizendo o que houve e o que a pessoa deve fazer;\n\n  5. **Corrija a causa** e anote a lição, para o mesmo buraco não ser usado duas vezes.\n\nO que não fazer: apagar rastro, demorar para avisar na esperança de que ninguém perceba, e tratar como problema de TI aquilo que é decisão da empresa. Transparência rápida costuma custar menos que silêncio descoberto depois.\n\n## Seu plano de duas semanas\n\nSemana 1: monte o mapa de uma página com todos os lugares em que você guarda dado; confirme HTTPS em todas as páginas; escreva ou reescreva o aviso de privacidade com a sua realidade, não com a de outra empresa; enxugue os formulários. Semana 2: teste o banner de cookies em janela anônima clicando em recusar; crie o canal e o prazo de atendimento ao titular; reveja acessos e ative verificação em duas etapas; peça as cláusulas de proteção de dados aos fornecedores principais.\n\nDepois disso, você não está \"em conformidade total\" — ninguém está, de forma permanente — mas sai da situação que mais gera problema, que é não saber o que se coleta nem ter como responder um pedido. Para ver como organizamos isso nos projetos, dê uma olhada no [portfólio](https://www.spartanti.com.br/portfolio) e no [guia](https://www.spartanti.com.br/guia); dúvidas rápidas sobre hospedagem, SSL e manutenção estão nas [perguntas frequentes](https://www.spartanti.com.br/faq). Se quiser revisar o seu site com alguém, fale pelo [contato](https://www.spartanti.com.br/#contact) — e, para a parte jurídica do seu caso, procure um advogado. É uma divisão de trabalho que funciona melhor que tentar resolver tudo de um lado só.\n\n## Perguntas frequentes\n\n### Empresa pequena precisa cumprir a LGPD?\n\nSim. A lei não isenta empresa por tamanho; ela permite que o rigor das medidas seja proporcional ao risco e ao volume de dados tratados. Para a maioria das pequenas empresas, isso significa aviso de privacidade verdadeiro, coleta enxuta, segurança básica de acesso e backup, e um canal para atender pedidos de clientes.\n\n### Preciso contratar um encarregado de dados?\n\nA lei exige a indicação de um encarregado, que é a pessoa de contato para titulares e para a autoridade, e há regras específicas para agentes de pequeno porte que podem flexibilizar o formato. Na prática, muitas empresas pequenas indicam um sócio ou responsável interno e publicam o contato no site. Confirme com apoio jurídico o que se aplica ao seu caso antes de decidir.\n\n### Copiar a política de privacidade de outro site resolve?\n\nNão, e costuma piorar. A política descreve ferramentas, finalidades e prazos específicos: a copiada vai citar serviços que você não usa e deixar de fora os que você usa. Além de não proteger, cria contradição entre o que o documento diz e o que o site faz, o que é fácil de demonstrar.\n\n### Meu banner de cookies está certo?\n\nTeste em vez de supor. Abra o site numa janela anônima, clique em recusar e verifique se os scripts de medição e publicidade realmente não carregaram. Se carregarem, o banner é enfeite. O outro ponto é a simetria: aceitar e recusar precisam estar na mesma tela, com o mesmo destaque.\n\n### Posso guardar dado de cliente para sempre?\n\nNão. Cada dado deve ficar pelo tempo necessário à finalidade ou pelo prazo que a lei exige, como no caso de documentos fiscais e trabalhistas. O que vence e não tem obrigação de guarda deve ser eliminado. Defina um prazo por tipo de dado, escreva no aviso de privacidade e cumpra, inclusive nos backups antigos.\n\n### Qual é a multa por descumprir a LGPD?\n\nA lei prevê sanções administrativas que vão de advertência até multa e, em casos graves, bloqueio ou eliminação dos dados, aplicadas pela autoridade nacional conforme a gravidade e o porte do infrator. Não vale decorar número: o custo mais provável para uma empresa pequena é perda de cliente e desgaste de reputação. Para a dimensão legal do seu caso, consulte um advogado."}