Compartilhou a lista de leads com o parceiro? Você virou corresponsável

Toda semana cai por aqui uma ligação parecida: a empresa fechou parceria comercial e já mandou a planilha de clientes, ou a lista de leads, pro parceiro. Sem contrato nenhum sobre isso. Só depois vem a pergunta: "precisava de alguma autorização?". Precisava, sim. E na maioria dos casos, ninguém pediu.

Compartilhar dado pessoal entre empresas parceiras é rotina no Vale do Itajaí: indústria têxtil que passa a carteira de clientes pro representante comercial, loja que repassa o CPF do cliente pra financeira do cartão, fornecedor que troca cadastro com o distribuidor. O problema nunca foi compartilhar. É fazer isso sem saber que agora são dois CNPJs debaixo do mesmo guarda-chuva de responsabilidade.

Mandar a planilha pro parceiro já é tratamento de dado, mesmo sem cobrar nada por isso

Compartilhamento entre empresas é tratamento de dado pessoal, nos termos do art. 5º, X, da LGPD. Não importa se é um Excel mandado por e-mail, um CSV num drive compartilhado ou acesso direto ao CRM do parceiro. Se tem nome, CPF, telefone ou e-mail de pessoa física ali dentro, a lei incide.

Toda operação de tratamento precisa de uma base legal do art. 7º, e isso vale tanto pra coletar quanto pra compartilhar. Na prática, a gente vê empresa tratando isso como detalhe operacional, tipo mandar folha de pagamento pro contador. Só que contador tratando folha é uma coisa. Parceiro recebendo sua base de clientes pra fazer prospecção própria é outra, e normalmente sem base legal nenhuma por trás.

Lista de leads: legítimo interesse resolve, mas não resolve tudo

Legítimo interesse (art. 7º, IX) costuma justificar o compartilhamento de leads dentro do mesmo grupo econômico ou em parcerias já formalizadas. Funciona quando a finalidade é compatível com a expectativa razoável que o titular tinha no momento em que o dado foi coletado.

Aqui mora o erro mais comum: o lead preencheu formulário pedindo orçamento e, três semanas depois, recebe ligação de uma financeira parceira oferecendo crédito. Ele nunca imaginou isso. Legítimo interesse não cobre. Precisa de consentimento específico, coletado no próprio formulário, com opção clara de recusa.

• Lead repassado pro parceiro fechar a mesma venda que ele buscou: legítimo interesse pode cobrir, se a finalidade já estava clara desde a coleta.
• Lead repassado pra oferta de produto diferente: precisa de consentimento novo e específico.
• Base de clientes inteira exportada pra campanha própria do parceiro: quase sempre exige consentimento, salvo cláusula contratual prevendo isso desde o início.

Base de clientes em parceria comercial: o contrato que falta em quase toda empresa

Parceria sem contrato de compartilhamento de dados é aposta. Já vimos duas empresas do Vale do Itajaí trocando cadastro de cliente há anos só na base da confiança, sem nenhum papel assinado sobre o que cada lado podia fazer com aquele dado. Deu problema quando uma delas usou a base pra finalidade que nunca tinha sido combinada.

O contrato, ou a cláusula específica dentro do contrato comercial, precisa prever:

• Finalidade exata do compartilhamento, sem margem pra interpretação.
• Prazo de retenção do dado pelo parceiro e obrigação de descarte ao fim do uso.
• Proibição expressa de repasse a um terceiro sem autorização prévia.
• Medidas de segurança técnica e administrativa exigidas do parceiro, conforme art. 46.
• Prazo pra notificação em caso de incidente de segurança. Não há prazo fixo em lei, mas o mercado tem tratado isso como algo entre 24 e 72 horas.
• Cláusula de indenização cruzada, prevendo quem paga o quê se der problema.

Sem isso por escrito, cada empresa vira refém da política interna da outra.

Due diligence no parceiro: seis perguntas antes de mandar o arquivo

Não precisa ser auditoria de seis meses. Precisa ser objetiva.

• O parceiro tem encarregado (DPO) designado, conforme art. 41?
• Tem política de privacidade pública e atualizada?
• Já sofreu incidente de segurança nos últimos 24 meses? Como tratou?
• Com quantos outros parceiros ele compartilha a mesma base?
• Como armazena o dado: planilha solta, CRM com controle de acesso, banco criptografado?
• Se for microempresa ou EPP, ele conhece o regime simplificado da Resolução CD/ANPD 02/2022, ou trata LGPD como coisa de empresa grande?

Nossa leitura: se o parceiro não responde essas seis perguntas em cinco minutos, o risco não é só dele. É seu também.

Se o parceiro vazar o dado, quem paga a conta?

Aqui está o ponto que mais pega o empresário de surpresa. O art. 42 da LGPD prevê responsabilidade solidária entre controladores quando o dano ao titular decorre de tratamento compartilhado. Ou seja: se o parceiro vazar a base que você mandou, o titular pode processar os dois, e a ANPD pode multar os dois separadamente, cada um até 2% do faturamento no Brasil, limitado a R$ 50 milhões por infração.

Falando sério: contrato bem escrito não impede o vazamento, mas decide quem paga depois. A cláusula de indenização cruzada é o que permite a empresa que não causou o incidente cobrar de volta da que causou, depois de indenizar o titular. Sem essa cláusula, a discussão de culpa vira briga judicial de anos, enquanto o titular já foi indenizado por qualquer uma das duas.

Dado de fornecedor também é dado pessoal

Cadastro de fornecedor pessoa jurídica parece fora do radar, porque CNPJ não é dado pessoal. Só que todo cadastro carrega dado de pessoa física dentro: nome e CPF do representante legal, telefone de contato direto, às vezes até dados bancários de sócio de empresa individual.

Compartilhar essa base com um distribuidor, um parceiro logístico ou com a contabilidade terceirizada de outro CNPJ do grupo segue as mesmas regras. A LGPD não distingue dado de cliente de dado de fornecedor: o que importa é identificar pessoa natural, ponto final.

O que fazer nas próximas duas semanas

Não precisa resolver tudo de uma vez. Precisa começar pelo que já está rodando hoje sem controle nenhum.

• Liste todos os compartilhamentos de dado pessoal ativos com parceiros, fornecedores e representantes comerciais.
• Pra cada um, escreva em uma frase qual base legal do art. 7º sustenta aquele compartilhamento.
• Onde não houver contrato ou cláusula específica, redija uma cláusula mínima com finalidade, prazo e segurança antes de mandar o próximo arquivo.
• Rode a due diligence enxuta nos três maiores parceiros que recebem dado seu.
• Se usar legítimo interesse pra justificar algum compartilhamento, documente por escrito o teste de proporcionalidade. A ANPD pode cobrar isso depois, e "sempre fizemos assim" não é resposta.

Compartilhamento B2B não é proibido. É rotina de qualquer empresa que vende, revende ou terceiriza parte da operação. O problema nunca foi compartilhar. Foi fazer isso sem contrato, sem base legal e sem saber que, se der errado, a conta pode chegar em dobro.