13.6 LGPD na mesa do vendedor: o que muda na segunda-feira
Pergunta antes de ler
A base de prospecção da Órbita tem 84.000 contatos. Quantos deles são dados pessoais na definição da Lei Geral de Proteção de Dados? Escreva um número antes de continuar, não um percentual.
Agora o segundo: para quantos desses contatos a Órbita conseguiria dizer, hoje, de onde o dado veio e sob qual base legal está sendo tratado?
A resposta mais comum à primeira pergunta é algo como metade, ou uma fração pequena, com a justificativa de que a Órbita vende para empresas. A justificativa é o erro mais caro desta seção inteira, e ele tem nome: achar que se é entre empresas (business to business), a lei não se aplica. Aplica. CNPJ e razão social não são dados pessoais. Nome, cargo, endereço de e mail nominal e celular do contato são, e é exatamente isso que está na sua base de prospecção, porque é isso que permite ligar para alguém.
A resposta à segunda pergunta está no inventário de sistemas da Órbita, e é zero. Nenhum registro de base legal, nenhum fluxo de atendimento ao titular, nenhum encarregado nomeado. Não é um detalhe de conformidade: é uma linha que entra na diligência da próxima rodada, e a Órbita tem uma condição de Série C escrita em contrato. Guarde isso, porque é o argumento que aprova o orçamento no fim desta seção.
- Dado pessoal em contexto entre empresas
Dado pessoal é toda informação relacionada a pessoa natural identificada ou identificável (art. 5º, I). O critério não é se a sua venda é para empresa: é se a informação aponta para uma pessoa.
Não é dado pessoal: CNPJ, razão social, faturamento da empresa, código de atividade econômica, tamanho de frota, endereço da sede. É dado pessoal: nome do contato, cargo quando associado ao nome, e mail nominal, celular, gravação de voz em reunião, endereço de rede a partir do qual a pessoa preencheu o formulário, e qualquer anotação do vendedor sobre a pessoa.
A consequência prática é desconfortável e simples. A sua base de contas é cadastro de empresa. A sua base de contatos é base de dados pessoais. Toda operação comercial tem as duas, e o time trata as duas com o mesmo cuidado, que costuma ser nenhum.
Duas bases legais sustentam praticamente toda operação comercial brasileira. A primeira é a execução de contrato (art. 7º, V): depois que a empresa vira cliente, o tratamento dos dados das pessoas que operam o contrato está amparado sem precisar de mais nada. A segunda é o legítimo interesse (art. 7º, IX, combinado com o art. 10), e é sobre ela que repousa a prospecção. A terceira, consentimento (art. 7º, I), é a pior escolha possível para prospecção e a melhor para gravação de reunião e marketing, pelo motivo que o próximo parágrafo explica.
Consentimento é revogável a qualquer momento e precisa ser livre, informado e inequívoco. Se a sua prospecção inteira depende dele, cada revogação derruba a base legal de um registro que você já usou, e você fica com o ônus de provar que o consentimento existiu na forma exigida. Legítimo interesse não é uma brecha: é uma base legal condicionada, que só existe enquanto o documento que a sustenta existir. E o documento é o teste de balanceamento.
- Legítimo interesse e o teste de balanceamento
O legítimo interesse autoriza o tratamento de dados pessoais não sensíveis quando o controlador tem interesse legítimo próprio ou de terceiro e esse interesse não sobrepõe direitos e liberdades fundamentais do titular. O art. 10 menciona expressamente o apoio e a promoção de atividades do controlador, o que dá base mais confortável à prospecção entre empresas do que muita consultoria sugere.
O teste de balanceamento é o documento que demonstra a análise, e o Guia Orientativo da Autoridade Nacional de Proteção de Dados sobre legítimo interesse (fevereiro de 2024) o organiza em três etapas, respondidas por escrito e por fluxo: finalidade concreta e específica, necessidade (existe forma menos invasiva de atingir a mesma finalidade?) e balanceamento com salvaguardas, que é a pergunta da legítima expectativa: o titular esperaria razoavelmente esse uso, dado como o dado foi coletado?
Se o teste sair inconclusivo, você não trata. E a regra que interessa ao operador: do ponto de vista de fiscalização ou de diligência, legítimo interesse não documentado é indistinguível de ausência de base legal. Não é o raciocínio que protege. É o papel.
Arraste o desenho para o lado para ver inteiro
Retenção não é política. É cronômetro por registro.
- Minimização, retenção e eliminação
O princípio da necessidade (art. 6º, III) manda tratar apenas o mínimo de dados necessário à finalidade. O término do tratamento (arts. 15 e 16) manda eliminar ou anonimizar o dado quando a finalidade se exaure, salvo hipóteses legais de conservação.
Uma política de retenção que diz vinte e quatro meses e não tem um campo de data da última interação nem uma rotina que dispare a anonimização não é um controle, é um arquivo de texto. O gatilho é a data da última interação bidirecional; o relógio corre por registro, não por base. E ao vencer, anonimize em vez de apagar: remover identificadores diretos preserva o agregado que a empresa usa para análise de coorte, e apagar destrói as duas coisas de uma vez.
Arraste o desenho para o lado para ver inteiro
O número da barra precisa de uma ressalva, e ela é obrigatória sempre que você citar isso. A Órbita não mede data de última interação bidirecional. O que ela mede é o volume do ano: 3.050 leads qualificados, dos quais 612 nunca receberam uma tentativa, o que deixa 2.438 contatos com atividade comercial registrada em 2025. Sobre uma base de 84.000, isso é 2,9%. Esse número não mede a base morta. Ele mede o teto do que se pode afirmar estar vivo, e por duas razões, não uma. A primeira: um contato pode ter tido interação em 2023 e não em 2025. A segunda, e é a que um auditor encontra primeiro: o numerador e o denominador vêm de populações diferentes. Os leads qualificados são o funil de 2025, que entra por inbound e por marketing; os 84.000 são a base de enriquecimento e prospecção fria. Nada no inventário diz que um está contido no outro, e parte dos leads pode nunca ter passado pela base enriquecida. Por isso a razão só vale como teto, nunca como taxa. A conclusão honesta é mais estreita e ainda assim dura: para no máximo 2.438 dos 84.000 registros existe atividade comercial de 2025 documentada, o que significa que para pelo menos 97,1% da base, a Órbita não consegue apresentar nenhuma atividade comercial no ano, e portanto não consegue defender a necessidade do tratamento.
custo por contato ao ano = R$ 34 mil por ano ÷ 84.000 contatos = R$ 0,405 por contato por ano · economia = 81.562 contatos × R$ 0,405 por contato por ano = R$ 33 mil por ano
A conta que faz a política de retenção ser aprovada não é a da multa. É a do contrato de enriquecimento. Declare a premissa em voz alta: ela depende de a cobrança ser por registro, e essa cláusula precisa ser lida antes de o número ir ao slide.
A política de retenção é, ao mesmo tempo, conformidade legal e corte de custo, e é a segunda metade dessa frase que faz a diretora financeira assinar. Registre a regra no registro de operações de tratamento previsto no art. 37, com gatilho, prazo, ação e o ponto do sistema em que a rotina roda. Política sem ponto de execução declarado é intenção.
O pedido do titular chega como ticket, com relógio rodando
Esta é a única parte da lei que bate na sua operação com prazo legal. O art. 18 assegura ao titular confirmação de existência, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, portabilidade, informação sobre com quem os dados foram compartilhados, e oposição ao tratamento. O art. 19, § 1º, II dá quinze dias para a resposta completa a pedidos de confirmação e acesso.
E o pedido não chega ao jurídico. Chega ao vendedor, quase sempre como um me tira dessa lista respondido por e mail e nunca registrado. Se o contato saiu da ferramenta de disparo mas continua no CRM sendo ligado pelo pré vendedor, o direito não foi atendido, e agora existe um registro escrito do pedido contra a empresa.
Arraste o desenho para o lado para ver inteiro
Ética de dados: o modelo aprende o que o time fez, não o que é verdade
- Viés por proxy e decisão automatizada
Viés por proxy ocorre quando uma variável aparentemente neutra do modelo funciona como substituta de um atributo que não deveria influenciar a decisão. Estado da sede como substituto de renda, setor como substituto de perfil de quem decide, histórico de atendimento de um segmento como substituto de mérito.
O art. 20 assegura ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. Um modelo de pontuação de leads é decisão automatizada: ele aloca atenção humana, que é o recurso mais escasso da operação.
Remover a variável sensível não resolve, porque o modelo reconstrói o atributo a partir de correlatos. E o erro mais caro na prática comercial é outro: o modelo aprende que lead que fecha é lead que o time trabalhou. Vira profecia que se cumpre sozinha, e o segmento que recebeu pouca atenção passa a receber pontuação baixa porque recebeu pouca atenção.
Arraste o desenho para o lado para ver inteiro
Traga isso para a Órbita com nome de campo. O perfil de cliente ideal que a empresa usa tem seis critérios, e três deles são candidatos a substituto: receita anual da empresa, setor de atuação e número de centros de distribuição. O modelo de dados canônico ainda guarda estado da sede no cadastro de conta. Nenhum desses campos é proibido, e nenhum é neutro. E há um agravante medido: o campo de segmento é preenchido à mão pelo vendedor e está errado em 22% dos clientes, o que significa que um modelo treinado sobre ele aprende, em parte, o hábito de digitação do time.
E existe um segundo agravante, que é o mais difícil de ver porque ele parece evidência a favor do modelo. O inventário de processo mede o que acontece com quem entra fora do perfil: 41% dos novos logos do ano vieram de fora do perfil e eles respondem por 68% do churn, enquanto quem entra dentro do perfil responde por 27% dos logos e 6% do churn. O número é forte e a leitura óbvia é treinar o modelo para recusar o que está fora do perfil. Segure. O perfil de hoje foi escrito pelo mesmo time que trabalhou uns leads e ignorou outros, e a taxa de churn de quem entrou fora dele também mede o atendimento que essas contas receberam depois da venda. O dado é bom o bastante para priorizar atenção humana e não é bom o bastante para fechar a porta sozinho, e essa distinção é o que a fatia de controle existe para resolver.
Três salvaguardas mínimas, e as três são operacionais, não declarações de intenção. Auditoria de disparidade: compare taxa de contato e taxa de conversão de pontuação alta contra baixa, por segmento, e verifique se a diferença é de mérito ou de exposição. Canal de exceção humana: o vendedor pode escalar um lead contra a pontuação, e essa escalada é registrada como dado de treino, o que atende ao art. 20 e melhora o modelo ao mesmo tempo. Fatia de controle: de 5% a 10% dos leads roteados ao acaso, sem o modelo, para medir o efeito real.
Na práticaÓrbita Software · o memorando que aprova o orçamento
A tentação. A primeira versão do memorando começava com o teto de sanção do art. 52, II: multa de até 2% do faturamento no Brasil no último exercício, excluídos tributos, limitada a R$ 50 milhões por infração. Parece um argumento forte. Ele se desmonta em dez segundos diante de uma diretora financeira informada, e vale a pena ver por quê.
Passo 1, o teto que de fato se aplica. A receita líquida da Órbita em 2025 foi R$ 23,4 milhões. Dois por cento disso dá R$ 468 mil. O limite de R$ 50 milhões nem entra na conta: para a Órbita, o teto que morde é o percentual.
Passo 2, a resposta que a diretora financeira vai dar. Ela vai perguntar quantas multas a autoridade nacional de fato aplicou, e quanto elas somaram. A fiscalização brasileira até aqui é majoritariamente educativa e corretiva: a maior parte das sanções publicadas é de advertência, as multas são poucas e os valores são de ordens de grandeza abaixo do teto. Esse livro não imprime a contagem exata, e a omissão é deliberada. Os números que circulam chegam por levantamento de terceiro sem veículo nomeado, sem data de corte e sem critério declarado do que foi contado, e um número sem essas três coisas não entra em memorando, muito menos num memorando cuja tese é que fonte não verificada invalida a peça. Diga a afirmação qualitativa, diga que ela não está verificada, e ofereça conferir na página de sanções da própria autoridade antes da reunião. O teto é o teto. O valor esperado é outra coisa, e quem confunde os dois perde a sala.
Passo 3, os três riscos que são materiais. O primeiro é o questionário de segurança e privacidade do cliente corporativo, que reprova fornecedor sem encarregado nomeado, sem registro de operações e sem cláusula de transferência internacional. A Órbita tem 28 clientes corporativos, que respondem por R$ 6,8 milhões de ARR, ou 27,4% do total. Essa fatia é 14,5 vezes o teto de multa que o memorando ia usar como susto. O segundo é a diligência de investidor: a Série C da Órbita tem condição escrita de ARR ≥ R$ 45 milhões, NRR ≥ 110%, EBITDA ≥ 0, e o inventário de sistemas já registra a ausência de base legal como passivo que entra nessa diligência. O terceiro é trabalhista, e é sobre gravação e painel de atividade.
Passo 4, a conta que paga o trabalho. O contrato de enriquecimento custa R$ 34 mil por ano sobre 84.000 contatos, o que dá R$ 0,405 por contato por ano. Aplicar a política de retenção aos 81.562 contatos sem atividade comercial registrada em 2025 economiza R$ 33 mil por ano. Premissa declarada: isso só vale se a cobrança do contrato for por registro. Leia a cláusula antes de o número ir ao slide, e diga em voz alta que leu.
A leitura. O pacote de governança não se paga com a multa. Se paga com R$ 33 mil de ferramenta, com a fatia do ARR que depende de passar num questionário e com a linha que sai da lista de ressalvas da próxima rodada.
O veredito. Conformidade aqui não é medo de multa. É habilitador comercial e higiene de captação. Quem apresenta como medo perde a discussão para quem sabe que a sanção provável não é a sanção máxima.
Exercício 13.660 minutos, planilha e contrato em mãos
- Liste todos os sistemas da sua operação que tocam dado pessoal de contato. Para cada um, escreva em que país o dado reside. Marque com interrogação os que você não souber responder, e conte as interrogações.
- Escreva o teste de balanceamento do seu fluxo de prospecção fria nas três etapas, com no mínimo três salvaguardas concretas. Nenhuma frase pode conter a palavra cultura.
- Calcule o custo por registro por ano da sua ferramenta de enriquecimento ou de base, multiplique pelos registros sem interação registrada no último ano e escreva a economia. Depois escreva a premissa que precisa ser verdadeira para esse número valer.
- Pegue duas variáveis do seu modelo de pontuação de leads, ou do critério informal que os vendedores usam. Explique como cada uma pode estar funcionando como substituto de outra coisa, e qual das três salvaguardas ataca cada risco.
- Metacognitivo: sem reler, escreva a diferença entre o que você achava que esta seção ia dizer e o que ela disse. Se a diferença for pequena, você provavelmente leu confirmando o que já pensava.
Conferir respostasEsconder respostas
- O erro mais comum é listar só o CRM e a ferramenta de disparo. A lista real costuma ter entre oito e quinze sistemas, porque entram gravação de reunião, assinatura eletrônica, suporte, enriquecimento, agenda, automação e planilha em nuvem. Se você chegou a menos de seis, provavelmente esqueceu as ferramentas que alguém contratou com cartão corporativo.
- Finalidade: contatar profissionais responsáveis por operação de transporte em empresas com perfil declarado, para oferecer um sistema de gestão de transporte. Necessidade: o tratamento é necessário porque não existe forma menos invasiva de identificar quem decide dentro da empresa alvo, e a alternativa, comprar lista genérica, é mais invasiva e menos precisa. Balanceamento: a expectativa é razoável porque o dado é profissional, o contato é sobre a atividade da pessoa e a mensagem se identifica. Salvaguardas aceitáveis: saída funcional em todo contato, informação de origem do dado quando pedida, limite de frequência e exclusão imediata a pedido. Se você escreveu salvaguardas como treinaremos o time ou reforçaremos a cultura, não são salvaguardas: são intenções.
- Órbita: R$ 0,405 por contato por ano, 81.562 contatos sem atividade, R$ 33 mil por ano. A premissa que precisa aparecer escrita é a forma de cobrança do contrato. Sem ela, o número é uma estimativa apresentada como fato, e um diretor financeiro atento derruba em uma pergunta.
- Os dois candidatos óbvios são o setor de atuação e o histórico de atendimento do segmento. O setor funciona como substituto do tipo de comprador e do tamanho do time de tecnologia do cliente. O histórico de atendimento é pior, porque é circular: ele mede onde o time olhou. Na Órbita, a evidência dura é que 612 leads qualificados nunca receberam tentativa, e um modelo treinado no resultado trata esses registros como recusa do mercado. A salvaguarda que quebra o círculo é a fatia de controle roteada ao acaso, não a remoção da variável.
- Metacognitivo: a resposta honesta quase sempre é que você aprendeu a conclusão e não o mecanismo. Se você escreveu não podemos fazer prospecção fria, releu errado. Se escreveu precisamos de um documento por fluxo, com finalidade, necessidade e balanceamento, e um campo de data de última interação, leu certo.
Armadilha: invocar legítimo interesse sem nunca ter escrito o teste de balanceamento
A cena é numa sala de reunião com o time jurídico presente e todo mundo tranquilo. O advogado da casa confirma que a prospecção entre empresas se apoia em legítimo interesse. O time de marketing anota. Ninguém pergunta onde está o documento, porque a frase soou como resposta.
Dezoito meses depois, um cliente corporativo manda o questionário de fornecedor antes da renovação e pede o registro das operações de tratamento e a base legal de cada finalidade. A Órbita tem 28 clientes desse tipo, R$ 6,8 milhões de ARR, 27,4% do total. A resposta possível é uma frase de reunião. Do ponto de vista de quem avalia, legítimo interesse sem teste de balanceamento escrito é indistinguível de ausência de base legal.
O erro simétrico também acontece e custa caro do outro lado: o time que conclui que é arriscado e para de prospectar. As duas versões nascem do mesmo buraco, que é não ter o documento. O documento é curto, cabe em uma página por fluxo e leva uma tarde para a primeira versão.
A sanção não vem da autoridade. Vem do comitê de compras do seu maior cliente, e ela chega como uma renovação que não fecha.
Recuperação
Responda antes de abrir. Tentar e errar consolida mais que reler.
1Enuncie as três etapas do teste de balanceamento e diga o que se faz quando o resultado é inconclusivo.
Finalidade concreta e específica, necessidade (não existe forma menos invasiva de atingir a mesma finalidade) e balanceamento com salvaguardas, que é a pergunta da legítima expectativa do titular. Se o resultado for inconclusivo, não se trata o dado. A dúvida não autoriza, ela impede.2Uma empresa tem 12.000 contatos na base e paga R$ 9.600 por ano de enriquecimento cobrado por registro. Sete mil contatos estão sem interação bidirecional há mais de 24 meses. Qual a economia anual da política de retenção, e por que anonimizar é melhor que apagar?
R$ 9.600 dividido por 12.000 dá R$ 0,80 por contato por ano. Multiplicado por 7.000 dá R$ 5.600 por ano. Anonimizar é melhor porque remove os identificadores diretos, que é o que a lei exige, e preserva o agregado histórico que a empresa usa para análise de coorte. Apagar cumpre a obrigação e destrói a série histórica junto.3O módulo de arquitetura mostrou que a Órbita não tem chave única de cliente: o CRM usa identificador de conta, o sistema fiscal usa CNPJ, o suporte usa domínio de e mail e o produto usa identificador de locatário. Por que esse defeito, que parecia técnico, vira um problema com prazo legal aqui?Módulo 5
Porque o art. 18 exige encontrar e tratar todos os registros da mesma pessoa, e o art. 18, § 6º ainda manda comunicar os agentes com quem o dado foi compartilhado. Sem chave comum, não existe consulta que percorra os sistemas: a busca vira manual, sistema por sistema, e o prazo de quinze dias passa a depender de alguém lembrar de um sistema. O defeito de modelagem virou risco com relógio.4De memória: escreva as três salvaguardas mínimas de um modelo de pontuação de leads e diga qual delas ataca a profecia que se cumpre sozinha.
Auditoria de disparidade, canal de exceção humana registrado como dado de treino, e fatia de controle de 5% a 10% roteada ao acaso. A terceira é a que ataca a profecia, porque é a única que produz observação de um segmento independentemente do que o modelo recomendou. As outras duas melhoram a decisão; só ela melhora o dado.