Parte do que um contratante ou seguradora solicita, você pode preparar por conta própria: um levantamento de quais dados pessoais você processa, quais ferramentas utiliza para isso e quais acordos firmou com fornecedores. O que é mais difícil fazer sozinho é manter esse levantamento completo e atualizado, e comprovar que as medidas adotadas são realmente adequadas ao que você processa. O último ponto exige uma estrutura que evolua com o tempo, não apenas um retrato momentâneo.
Se fazer sozinho é suficiente depende muito do que exatamente está sendo solicitado. Uma seguradora que envia um questionário sobre medidas básicas de segurança é algo diferente de um órgão licitador que quer ver um registro completo de processamento, contratos com processadores e uma DPIA (avaliação de impacto à proteção de dados). Quanto mais abrangente a solicitação, mais trabalho custa para você organizar e manter isso sozinho.
O que um contratante ou seguradora realmente está pedindo
A pergunta "comprove que você está em conformidade com a LGPD" raramente surge na prática exatamente assim. Na maioria das vezes, pede-se por documentos concretos: um registro de processamento, comprovação de contratos com processadores junto a fornecedores, uma descrição das medidas técnicas e organizacionais, e às vezes uma declaração sobre como são tratadas as violações de dados. A LGPD em si obriga as organizações a poderem prestar contas pelas operações de processamento que realizam; o que um contratante ou seguradora individual solicita além disso é uma exigência adicional própria que pode variar de uma parte para outra.
Por isso é importante primeiro deixar claro o que exatamente está sendo solicitado, antes de você determinar quanto trabalho custa fazer isso sozinho. Uma lista curta de perguntas pode ser respondida com meio dia de pesquisa; uma auditoria completa exige documentação mantida de forma estruturada.
O que você pode preparar por conta própria
Um primeiro levantamento pode ser feito pela maioria dos empresários por conta própria: quais ferramentas SaaS você usa, quais delas processam dados pessoais e você tem um contrato com processador de cada fornecedor. Uma descrição geral das medidas de segurança — política de senhas, quem tem acesso a quais sistemas, se há backups — também pode ser feita com bom senso, sem ajuda externa. a base de conhecimento com explicações por tópico fornece por situação uma resposta breve e a referência no texto oficial, para que você saiba de onde vem uma exigência antes de começar a trabalhar nela.
Quem tiver dúvida se uma violação de dados reportada no passado deveria ter sido reportada, pode verificar por conta própria: vê em algumas perguntas onde você se situa aproximadamente fornece uma primeira indicação, independentemente da questão de se aquele caso específico deveria ou não ter sido reportado naquela época.
Onde fazer sozinho fica mais difícil
A complexidade geralmente não reside em um único documento, mas na coerência e na atualidade deles. Um registro de processamento preparado um ano atrás e não atualizado desde então já fica ultrapassado com uma nova ferramenta SaaS ou um fornecedor alterado. Contratos com processadores que você assinou no passado precisam estar alinhados com o que você realmente faz com aquele fornecedor agora. E uma seguradora ou órgão licitador frequentemente não apenas pede pela existência de documentos, mas por um relato consistente: registro, contratos e medidas que se relacionem logicamente.
Justamente esse acompanhamento é o que custa tempo a muitas pequenas e médias empresas para manter por conta própria — tempo que não dispõem. Um sistema que preenche o registro a partir de uma biblioteca de ferramentas conhecidas e monitora se os contratos com processadores ainda estão corretos tira esse acompanhamento de suas mãos, sem que você tenha de se tornar um jurista.
O que permanece, mesmo que você mesmo assuma isso
Nenhuma ferramenta remove a sua responsabilidade final de avaliação: você decide por si próprio o que apresenta a um cliente ou seguradora e se isso atende ao requisito solicitado. Estrutura e orientação podem aliviar significativamente o trabalho. Em a página de onde a informação provém está explicado como gdpria.eu baseia o conteúdo na própria RGPD e nas diretrizes do EDPB e da Autoridade Nacional de Proteção de Dados, incluindo a fonte, para que você não precise confiar apenas nas nossas palavras, mas possa ler a fonte em si.
O limite na prática
Como regra geral: uma pergunta única e limitada muitas vezes pode ser respondida por você mesmo com um dia de pesquisa. Quando se trata de um registro contínuo, múltiplos fornecedores com diferentes acordos de tratamento de dados, ou perguntas recorrentes de múltiplos clientes, a manutenção passa a ser o gargalo, não a primeira elaboração. Nesse ponto, terceirizar para um sistema ou consultor muitas vezes é menos um luxo e mais uma forma de recuperar tempo.
Tem curiosidade sobre o que isso faria diferença em sua situação? Faça a varredura rápida gratuita ou navegue pelas perguntas frequentes sobre este assunto para ver qual etapa é mais apropriada para você.