LGPD para SaaS: guia prático de conformidade para quem opera software em produção

Para quem opera um SaaS, a LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018) não é um documento jurídico distante: é um conjunto de requisitos que aterrissa direto no seu código, no seu banco de dados, nos seus logs e no seu processo de deploy. Todo produto que armazena e-mail de usuário, histórico de uso, dados de cobrança ou qualquer informação que identifique uma pessoa está tratando dados pessoais, e a lei tem opinião sobre como isso deve acontecer.

A boa notícia: conformidade com a LGPD não é burocracia estéril. Feita com engenharia, ela se traduz em decisões concretas: minimizar o que se coleta, controlar quem acessa, saber apagar quando pedido, reagir rápido a incidentes. Essas práticas melhoram o produto e reduzem risco real. Este guia é um roteiro prático para times técnicos e de produto que operam software em produção.

Aviso: este conteúdo é educativo e não substitui aconselhamento jurídico. Decisões sobre bases legais e contratos devem ser validadas com o time jurídico ou o DPO da sua empresa.

Os papéis: controlador, operador ou os dois

A LGPD atribui responsabilidades conforme o papel de cada empresa no tratamento dos dados. Entender onde você se encaixa muda tudo.

• Controlador: quem decide por que e como os dados pessoais são tratados. Se você define quais dados coleta dos seus usuários e para quê, você é controlador deles.
• Operador: quem trata dados em nome de um controlador, seguindo suas instruções. É o papel clássico de uma plataforma SaaS B2B em relação aos dados que seu cliente-empresa insere nela.
• Encarregado (DPO): a pessoa (ou área) que faz a ponte entre a empresa, os titulares e a ANPD (Autoridade Nacional de Proteção de Dados).

O ponto que confunde: um mesmo SaaS costuma ser as duas coisas ao mesmo tempo. Você é controlador dos dados dos seus próprios usuários (o admin que assina o contrato, o e-mail de billing, os logins da sua equipe interna) e operador dos dados que seus clientes carregam na plataforma (os clientes finais deles). Essa dupla condição define quais obrigações e quais cláusulas contratuais se aplicam a cada conjunto de dados.

Base legal: você precisa de uma para cada tratamento

Aqui está o erro mais comum: achar que consentimento é a única forma de tratar dados legalmente. A LGPD prevê dez bases legais, e escolher a certa evita fricção desnecessária e riscos.

Base legal	Quando usar em SaaS	Exemplo
Execução de contrato	Dados necessários para entregar o serviço contratado	Processar o login e os dados de uso para o app funcionar
Legítimo interesse	Finalidade legítima, sem sobrepor direitos do titular	Segurança da conta, prevenção a fraude, métricas de produto
Cumprimento de obrigação legal	Exigência de lei	Guardar notas fiscais, dados tributários
Consentimento	Quando nenhuma outra base cabe	Marketing por e-mail, cookies não essenciais

A regra prática: não use consentimento por reflexo. Para o funcionamento essencial do produto, a base costuma ser execução de contrato; para segurança e melhoria, legítimo interesse (com o devido teste de balanceamento). Reserve o consentimento para o que é genuinamente opcional. Quando usar, ele precisa ser livre, informado, específico e revogável com a mesma facilidade com que foi dado.

Direitos do titular: seu produto precisa saber respondê-los

A LGPD dá aos titulares direitos que se transformam, no seu SaaS, em funcionalidades, não em e-mails respondidos manualmente às pressas. Os principais:

• Acesso e confirmação: o titular pode pedir quais dados você tem sobre ele.
• Correção: dados incompletos ou desatualizados devem poder ser corrigidos.
• Eliminação: o direito de ser apagado (respeitadas as retenções legais).
• Portabilidade: exportar os dados em formato estruturado e interoperável.
• Informação sobre compartilhamento: com quem você compartilha e por quê.
• Revogação de consentimento: desfazer o "sim" quando a base for consentimento.

Na prática de engenharia, isso exige capacidades reais no produto:

• Um fluxo de exportação de dados (JSON/CSV) que reúna as informações do titular espalhadas pelas suas tabelas.
• Um processo de exclusão que apague de verdade (inclusive em réplicas, backups com política definida, caches e logs) e não apenas marque uma flag deleted = true.
• Prazos de resposta monitorados: a lei espera atendimento em prazo razoável (imediato para confirmação simples; até 15 dias em certos pedidos).

Se atender a um pedido de exclusão hoje exige um engenheiro rodando DELETE manual em produção, você tem um problema de conformidade e de arquitetura.

Segurança técnica: o Art. 46 mora no seu backend

A LGPD exige, no seu Art. 46, "medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais". A lei não lista uma receita fechada, mas o mercado e a ANPD convergem para um conjunto de controles esperados:

• Criptografia em trânsito (TLS) e em repouso para dados sensíveis.
• Controle de acesso com princípio do menor privilégio: quem não precisa dos dados não os acessa; acessos administrativos com MFA.
• Pseudonimização e minimização: colete só o necessário e desacople identidade dos dados sempre que der.
• Logs e trilhas de auditoria: quem acessou o quê e quando, essencial tanto para investigação quanto para provar diligência.
• Gestão de vulnerabilidades: pentest periódico, correção de dependências, hardening de infraestrutura.
• Segregação por tenant: em SaaS multi-inquilino, isolamento rigoroso para que os dados de um cliente jamais vazem para outro.

Repare que essa lista se sobrepõe quase inteiramente às boas práticas de AppSec (OWASP, ISO 27001). Não é coincidência: segurança sólida é o alicerce da conformidade. Quem faz segurança direito já cumpriu a maior parte do Art. 46.

DPA e subprocessadores: a cadeia de responsabilidade

Todo SaaS depende de terceiros: provedor de nuvem, gateway de pagamento, serviço de e-mail, ferramenta de analytics. Cada um que toca dados pessoais em seu nome é um suboperador, e a lei exige governança sobre essa cadeia:

• DPA (Data Processing Agreement): o contrato de tratamento de dados que formaliza obrigações, finalidades e responsabilidades entre controlador e operador. Seus clientes B2B vão exigir um seu; você precisa ter um com cada subprocessador.
• Inventário de subprocessadores: mantenha uma lista viva de quem processa dados, para quê e onde. É documento de auditoria e requisito contratual comum.
• Transferência internacional: se dados vão para servidores fora do Brasil (o caso de quase toda nuvem global), há regras específicas de transferência internacional a observar.

Retenção: guardar dados para sempre é passivo, não ativo

Muitos SaaS tratam dados como troféu: quanto mais, melhor. A LGPD inverte a lógica com o princípio da necessidade: dado que não tem mais finalidade deve ser eliminado ou anonimizado. Guardar tudo indefinidamente aumenta a superfície de risco, o custo de um vazamento e a sua exposição legal.

Implemente políticas de retenção por tipo de dado: logs de acesso por X meses, dados de conta encerrada por Y (respeitando obrigações fiscais), e rotinas automáticas que executem essa política sem depender de ninguém lembrar. Anonimização (irreversível) é sua aliada: dado anonimizado sai do escopo da LGPD e ainda serve para métricas agregadas.

Incidentes e notificação à ANPD

Quando ocorre um incidente de segurança que pode gerar risco relevante aos titulares, a LGPD exige comunicação à ANPD e aos titulares afetados em prazo razoável. Isso não se improvisa no dia do incidente; depende de um plano de resposta pronto: detecção, contenção, avaliação de risco, comunicação e registro. Empresas que já operam um processo de resposta a incidentes (idealmente apoiado por um SOC) cumprem esse requisito com muito menos pânico.

Um roteiro prático de conformidade

Para sair da teoria, uma sequência acionável:

1. Mapeie os dados (data mapping): que dados pessoais você coleta, onde vivem, por que existem e quem acessa.
2. Defina a base legal de cada tratamento e documente-a.
3. Nomeie um encarregado (DPO) e publique o canal de contato.
4. Construa os fluxos de direitos do titular (acesso, exportação, exclusão) como funcionalidade.
5. Revise a segurança técnica contra o Art. 46; faça pentest e feche as lacunas.
6. Formalize DPAs com clientes e subprocessadores; mantenha o inventário.
7. Defina retenção e anonimização com rotinas automáticas.
8. Tenha um plano de resposta a incidentes com o fluxo de notificação à ANPD pronto.
9. Atualize a política de privacidade para refletir a realidade, não um texto genérico copiado.

Conformidade que nasce da engenharia dura mais

A LGPD assusta quando é tratada como camada jurídica colada por cima de um produto que não foi pensado para ela. Vira leve quando privacidade e segurança fazem parte do design: quando minimizar dados, controlar acesso, saber apagar e reagir a incidentes já são propriedades do sistema. Conformidade deixa de ser um custo de auditoria e passa a ser uma consequência de fazer engenharia bem feita.

Na ConstructorTI, ajudamos empresas SaaS a fechar essa ponte entre a lei e o código: data mapping técnico, revisão de segurança contra o Art. 46, pentest e hardening de infraestrutura, desenho de fluxos de direitos do titular e isolamento multi-tenant. Se você opera software em produção e quer conformidade que se sustenta na engenharia, e não em um PDF, converse com o nosso time e transforme a LGPD de risco em vantagem.