A LGPD também vale para o negócio pequeno
Muita gente acha que proteção de dados é assunto de banco ou de grande varejo. Não é. A lei se aplica a quem coleta e usa informações que identificam uma pessoa, e isso inclui a planilha de clientes da loja, a agenda da clínica, os contatos do WhatsApp comercial e o cadastro feito numa landing page.
No mundo dos anúncios, esses dados aparecem em vários momentos: quando a lista de clientes vira público na Meta, quando o pixel registra quem visitou o site, quando uma conversa do WhatsApp entra num CRM. Em todos eles a empresa é responsável pelo que coletou, mesmo que a ferramenta seja de terceiros. A fiscalização cabe à ANPD, a Autoridade Nacional de Proteção de Dados.
O que conta como dado pessoal no dia a dia
Dado pessoal é qualquer informação que permita saber quem é a pessoa, direta ou indiretamente. Para quem anuncia, os mais comuns são simples, e por isso mesmo passam despercebidos.
Existe ainda uma categoria que pede atenção redobrada: os dados sensíveis, como os de saúde, religião ou origem racial. Clínicas, consultórios e farmácias lidam com eles o tempo todo e devem ser ainda mais cuidadosos antes de qualquer uso em campanha.
- Nome completo e CPF
- Telefone e número de WhatsApp
- E-mail e endereço
- Data de nascimento
- Histórico de compras ligado a uma pessoa
- Dados de navegação coletados por pixel e cookies
Base legal e finalidade: por que você tem aquele dado
A lei pede que todo uso de dado pessoal se apoie numa base legal, ou seja, num dos motivos que ela própria lista como válidos. O consentimento é o mais conhecido, mas não é o único: há também a execução de um contrato, o cumprimento de obrigação legal e o legítimo interesse, entre outros. Qual deles se encaixa no seu caso é uma análise que convém fazer com apoio jurídico.
Junto com a base legal vem a finalidade. O dado coletado para emitir a nota fiscal ou entregar um pedido não vira, automaticamente, matéria-prima para campanha. Se a ideia é usar o contato também para anúncios e comunicação, o cliente precisa saber disso no momento em que deixa os dados, de forma clara.
Consentimento que vale: claro, específico e registrado
Quando o caminho escolhido é o consentimento, ele precisa ser livre e informado. Caixinha já marcada, aviso escondido no rodapé ou frase genérica do tipo 'aceito os termos' dificilmente cumprem esse papel. O melhor é uma frase curta, ao lado do botão do formulário ou na conversa de atendimento, explicando que o contato pode receber ofertas e ser usado em anúncios.
Tão importante quanto pedir é conseguir provar. Guarde a data, a origem do cadastro e o texto que a pessoa viu. E deixe tão fácil sair quanto foi entrar: quem pede para não receber mais mensagens precisa ser retirado da base e das próximas listas enviadas às plataformas.
Lista de clientes como público personalizado
Subir a lista de clientes na Meta ou no Google é um dos usos mais valiosos e mais delicados. A plataforma cruza telefones e e-mails com as contas que conhece, sem devolver quem foi encontrado, e informa que os dados passam por criptografia no envio. Isso reduz o risco, mas não muda o fato de que a empresa decidiu compartilhar aqueles contatos.
Antes de subir, confira se aquelas pessoas foram avisadas de que o contato poderia ser usado em publicidade. Tire da planilha quem pediu exclusão, quem não é cliente e colunas que não fazem falta. Depois do envio, apague as cópias soltas do arquivo no computador e no e-mail.
- Envie só as colunas necessárias, nada de CPF ou observações
- Remova quem pediu para sair da base
- Atualize a lista com frequência em vez de reaproveitar arquivo velho
- Use a conta de anúncios da própria empresa, não a de terceiros
Segurança e acesso: quem mexe na sua base
Vazamento raramente vem de ataque sofisticado. Costuma vir de planilha enviada por WhatsApp para a pessoa errada, de senha compartilhada entre funcionários ou de ex-colaborador que continua com acesso. Organizar quem pode ver e baixar os dados é uma das medidas mais baratas e mais eficazes.
Vale o mesmo para fornecedores. Agência, desenvolvedor do site e sistema de atendimento devem ter acesso só ao que precisam, de preferência por usuário próprio, que pode ser removido quando a parceria terminar. Seja em Bauru ou em qualquer outra cidade, o princípio é o mesmo: as contas e as listas pertencem à empresa, e o parceiro entra como convidado.
Por onde começar sem complicar
Não é preciso parar os anúncios para se organizar. Um passo de cada vez já reduz bastante o risco: escrever uma política de privacidade que diga o que é coletado e para quê, ajustar o texto dos formulários, limpar a base e definir quem tem acesso. Para os pontos que dependem de interpretação da lei, a recomendação é procurar um advogado ou consultor com experiência em proteção de dados.
- Mapeie onde os dados de clientes estão hoje
- Publique uma política de privacidade clara no site
- Revise o texto de formulários e do atendimento
- Tenha um canal simples para pedidos de exclusão
- Busque orientação jurídica para validar o que foi feito
Perguntas frequentes
Posso subir os contatos do meu WhatsApp como público na Meta?
Tecnicamente, a plataforma aceita. A questão é se você tem base legal para isso e se as pessoas sabiam que o contato poderia ser usado em anúncios. Sem esse cuidado, o risco fica com a empresa. Antes de usar a base, vale revisar com um profissional da área jurídica.
O aviso de cookies no site é obrigatório?
Quando o site usa pixel, tags de análise ou outros recursos que coletam dados de navegação, o visitante precisa ser informado de forma clara. O formato exato do aviso e a necessidade de pedir consentimento dependem do caso, e a orientação jurídica é o caminho mais seguro.
Se a Meta criptografa a lista, eu ainda sou responsável?
Sim. A criptografia protege o envio, mas a decisão de usar aqueles dados é da empresa. A lei olha para quem coletou e decidiu como usar, e é dela a responsabilidade de ter um motivo válido e de respeitar os pedidos dos clientes.
A agência pode guardar a lista dos meus clientes?
O mais seguro é que a lista fique sob controle da sua empresa, nas suas contas, com a agência acessando apenas o necessário para operar as campanhas. Se houver troca de arquivos, combine onde eles ficam e quando serão apagados.