A incorporadora que vende na planta coleta, em média, mais dado pessoal sensível por unidade vendida do que uma clínica médica. Ficha cadastral com CPF, RG ou CNH digitalizada, comprovante de renda, certidão de casamento, e às vezes até dado de saúde quando o comprador financia com seguro prestamista. Tudo isso passa pela mesa do corretor antes de chegar no jurídico. E na maioria das construtoras que analisamos em Blumenau e no Vale do Itajaí, esse fluxo inteiro roda sem nenhuma base legal documentada.
Nossa leitura: o setor imobiliário concentra risco de LGPD em três pontos que ninguém trata como prioridade: a ficha física ou digital de pré-venda, a integração com o CRM e o compartilhamento com bancos parceiros na hora do financiamento. Vamos direto neles.
A ficha de pré-venda vira arquivo morto em algum HD
O corretor pede documento pra "reservar a unidade" antes mesmo de existir proposta assinada. CNH, RG, comprovante de renda, tudo escaneado e mandado por WhatsApp ou e-mail pro plantão de vendas. Se a venda não sai, esse arquivo fica onde? Na prática, em pasta compartilhada sem controle de acesso, sem prazo de retenção e sem ninguém sabendo quem pode abrir.
O que fazer nas próximas duas semanas:
- Definir prazo de retenção pra ficha de reserva não convertida em venda: recomendamos 90 dias, depois anonimização ou exclusão.
- Migrar o recebimento de documento de WhatsApp pessoal pra um canal com controle de acesso (portal, e-mail corporativo com pasta restrita).
- Treinar o time de vendas pra não pedir documento sensível (comprovante de saúde, por exemplo) antes da fase de financiamento efetivo.
Lead do site: o formulário de "simule seu financiamento" é coleta de dado, não marketing
Todo site de incorporadora tem aquele formulário: nome, telefone, e-mail, renda aproximada. O lead cai direto no CRM e vai pro funil de vendas. Isso é tratamento de dado pessoal desde o clique em "enviar", e a base legal mais comum, consentimento (art. 7º, I), exige que o titular saiba pra que serve, por quanto tempo e com quem esse dado será compartilhado.
Falando sério: a maioria dos formulários de captação que vemos não tem checkbox de consentimento, nem link pra política de privacidade visível. Isso não é detalhe estético. É a diferença entre ter base legal documentada e não ter nenhuma se o titular reclamar na ANPD.
- Formulário precisa de finalidade explícita: "seus dados serão usados para contato comercial e simulação de financiamento".
- Checkbox de consentimento separado do botão de envio (não pode vir marcado por padrão).
- Link pra política de privacidade no rodapé do formulário, não escondido em menu de terceiro nível.
Integração com CRM imobiliário: quem é o operador nessa relação?
A construtora contrata um CRM (Sienge, Vista, JetSales, tanto faz o nome) e joga toda a base de leads e compradores pra dentro. Nesse momento, a construtora é controladora e o CRM é operador, nos termos do art. 5º da lei. E isso muda tudo: a construtora responde pelo tratamento, mas precisa ter contrato que obrigue o operador a seguir as mesmas regras.
Na prática, quase nenhuma construtora lê o contrato de adesão do CRM procurando cláusula de proteção de dados. E a maioria dos contratos de SaaS imobiliário no Brasil não tem cláusula específica de LGPD, só termo de uso genérico. Isso é lacuna que vira problema quando o CRM sofre incidente de segurança e a base de 3 mil leads é vazada.
- Peça ao fornecedor de CRM o Data Processing Agreement (DPA) ou cláusula equivalente no contrato.
- Verifique onde os servidores estão hospedados: dado de brasileiro em servidor fora do país exige cláusula de transferência internacional.
- Exija do fornecedor o plano de resposta a incidente: prazo de notificação em caso de vazamento não pode ficar em aberto.
Cessão de carteira de recebíveis: o comprador nem sabe que o dado dele mudou de mão
Incorporadora que financia direto (parcelamento direto com o cliente) e depois cede a carteira pra uma securitizadora ou fundo de recebíveis está transferindo dado pessoal completo do comprador: CPF, histórico de pagamento, endereço, telefone. Essa cessão é legítima do ponto de vista contratual, mas exige que o titular tenha sido informado dessa possibilidade desde a assinatura do contrato de compra.
Nossa leitura: a base legal aqui costuma ser execução de contrato (art. 7º, V), já que a cessão de crédito está prevista no próprio instrumento de compra e venda. Mas isso só funciona se a cláusula de cessão estiver clara no contrato original, não escondida em anexo que ninguém lê.
Banco parceiro no financiamento: compartilhamento com base legal frágil
Na venda financiada, a construtora manda a ficha completa do comprador pro banco parceiro (Caixa, banco privado, agente financeiro do programa habitacional). Isso é compartilhamento entre controladores distintos, e cada um responde separadamente pelo que fizer com aquele dado depois.
O erro mais comum que vemos: a construtora compartilha o dado do comprador com três ou quatro bancos simultaneamente pra "ver quem aprova mais rápido", sem que o comprador tenha autorizado esse envio múltiplo. Isso é tratamento além da finalidade original, e é exatamente o tipo de reclamação que vira processo administrativo na ANPD.
- Documente por escrito, no próprio contrato de reserva, quais instituições financeiras podem receber os dados do comprador.
- Se for enviar pra mais de um banco, informe o comprador e, de preferência, colete autorização específica pra isso.
- Delimite o volume de dado enviado ao mínimo necessário para análise de crédito: não precisa mandar a ficha completa se o banco só pediu CPF e renda.
Quem responde quando o CRM vaza ou o corretor perde o notebook
A ANPD já demonstrou, desde agosto de 2021, que não hesita em abrir processo administrativo contra empresas que tratam volume relevante de dado sensível sem controle mínimo. A multa vai até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, mas o dano maior costuma ser reputacional: comprador de imóvel de R$ 800 mil não perdoa vazamento de CPF e comprovante de renda.
Construtora e incorporadora, mesmo enquadradas como pequena empresa pelo regime simplificado da Resolução CD/ANPD 02/2022, ainda precisam nomear encarregado (art. 41) e manter registro mínimo de operações de tratamento. O regime simplificado reduz burocracia, não elimina obrigação.
O que fazer nas próximas duas semanas
Mapeie os quatro fluxos que citamos aqui: ficha de pré-venda, formulário do site, integração com CRM e compartilhamento com banco. Pra cada um, escreva em uma frase qual é a base legal e por quanto tempo o dado fica guardado. Depois, revise o contrato do CRM procurando cláusula de proteção de dados, e se não tiver, cobre do fornecedor. Por último, ajuste o formulário do site pra incluir consentimento explícito antes do próximo lead cair na caixa de entrada do plantão de vendas.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
