Você tem um CRM cheio de lead que nunca comprou, cliente que cancelou há três anos e uma automação de e-mail que ainda dispara pra quem pediu descadastro duas vezes. A gente vê isso quase toda semana em empresa do Vale do Itajaí: o CRM virou depósito de dado pessoal sem dono e sem prazo de validade. Isso não é detalhe técnico. É risco de multa.
Falando sério: HubSpot, RD Station, Pipedrive, ActiveCampaign, todas são ferramentas boas. O problema nunca é a ferramenta. É a empresa que configura o CRM pensando só em conversão e esquece que ali dentro tem CPF, telefone, histórico de compra e, em alguns nichos (clínica, plano de saúde, seguradora), até dado sensível. Cada campo é dado pessoal sob a Lei 13.709/2018. E cada dado tem prazo de vida.
O CRM não é seu, é operador de dado pessoal (e isso muda o contrato)
Na relação com o HubSpot ou o RD Station, sua empresa é controladora e a plataforma é operadora (art. 39 da LGPD). Isso significa que o CRM só pode tratar o dado seguindo suas instruções, dentro da finalidade que você definiu. Na prática, quase ninguém ativa o DPA (Data Processing Addendum) que essas plataformas disponibilizam nas configurações de conta. Fica só o termo comercial padrão, que não fala nada sobre proteção de dados.
Nossa leitura: se você não tem esse aditivo assinado, sua empresa está exposta caso a plataforma tenha um incidente. O contrato de operador precisa prever, no mínimo:
- finalidade e limites do tratamento feito pela plataforma
- obrigação de notificar incidente em até 48h (mesmo prazo que você tem que reportar pra ANPD)
- local de armazenamento do servidor (muitos CRMs guardam dado fora do Brasil)
- procedimento de exclusão de dado ao encerrar o contrato com a plataforma
Cliente cancelou em 2023: por que o CRM ainda guarda o CPF dele?
Esse é o erro mais comum que a gente encontra em auditoria. A empresa perde o cliente, o negócio vira "perdido" no funil, e o registro fica lá parado pra sempre, com todos os dados originais. A LGPD trata isso como retenção sem base legal: encerrada a finalidade do tratamento, o dado deveria ser eliminado (art. 15 e 16), a não ser que exista motivo concreto pra manter.
Motivo concreto existe, sim, em alguns casos: obrigação fiscal (documento de venda precisa ficar 5 anos), defesa em processo judicial, cumprimento de contrato ainda vigente. Fora isso, negócio perdido há mais de 12 ou 24 meses deveria ser anonimizado ou excluído. Na prática, isso vira uma rotina simples: revisão trimestral do funil, com regra de retenção por etapa (lead frio há 6 meses sem interação: exclui; cliente ativo: mantém; cliente ex, sem obrigação legal pendente: anonimiza).
Quem exportou a planilha do seu CRM semana passada?
Pergunta simples que quase nenhum gestor sabe responder. A maioria dos CRMs permite exportação em CSV pra qualquer usuário com acesso, sem log, sem aprovação. Um vendedor que sai da empresa levando a base inteira no pen drive é o cenário mais comum de vazamento que a gente vê em disputa trabalhista, exatamente porque ninguém restringiu essa função.
O que fazer: restrinja exportação a poucos perfis (gestor, marketing, encarregado), ative o log de exportação se a plataforma oferecer, e trate qualquer terceiro que receba a planilha (agência de marketing, freelancer, integrador) como operador também, com cláusula própria de confidencialidade e prazo de descarte do arquivo.
Lead scoring automático: você consegue explicar a nota do lead pro cliente?
Se seu CRM atribui pontuação automática pra priorizar atendimento (lead quente, lead frio, score de crédito informal), isso é decisão automatizada que afeta o titular. O art. 20 da LGPD garante o direito de o titular pedir revisão dessa decisão e de receber informação clara sobre os critérios usados. Se seu time de marketing não sabe explicar por que um lead recebeu nota 80 e outro nota 20, você não tem como responder esse pedido.
Na prática: documente as regras do scoring (quais campos pontuam, quanto pontuam) num arquivo simples, mesmo que seja uma planilha interna. Não precisa ser complexo. Precisa existir e estar acessível quando o titular pedir explicação, dentro do prazo de 15 dias que a lei dá pra resposta (art. 19).
RD Station manda pro Mailchimp, que manda pro Zapier, que manda pro WhatsApp: cada elo é risco
Integração é onde a bagunça cresce sem ninguém perceber. O CRM manda o contato pra ferramenta de e-mail marketing, que manda pro Zapier, que manda pro grupo de WhatsApp da equipe comercial. Cada uma dessas pontas é um novo operador tratando o mesmo dado, muitas vezes sem contrato nenhum entre as partes e sem ninguém saber quantas cópias do dado do cliente existem espalhadas.
Mapeie isso uma vez, com calma: liste toda automação ativa, toda integração conectada, todo lugar pra onde o dado do CRM é replicado. Depois decida o que realmente precisa dessa cópia. A maioria das empresas descobre que tem três ou quatro integrações mortas, criadas há anos e nunca desativadas, ainda puxando dado pessoal sem propósito nenhum.
Encarregado, PME e o regime simplificado que pouca empresa usa
Toda empresa que trata dado pessoal como controladora precisa nomear um encarregado, o DPO (art. 41). Isso vale mesmo pra empresa pequena. A diferença é que, se você se enquadra como microempresa, EPP ou startup, a Resolução CD/ANPD nº 02/2022 permite regime simplificado: menos formalidade documental, prazo de resposta ao titular um pouco mais flexível, e dispensa de algumas obrigações que só fazem sentido pra empresa grande.
Muita empresa pequena do Vale do Itajaí simplesmente ignora essa exigência achando que "LGPD é coisa de empresa grande". Não é. A multa por infração vai até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, e o cálculo é sobre o faturamento da sua empresa, não da concorrente grande do setor.
O que fazer nas próximas duas semanas
Comece pelo que dá pra medir rápido:
- Confira se existe DPA assinado com a plataforma de CRM (HubSpot, RD Station, Pipedrive têm essa opção nas configurações de conta ou no painel de compliance)
- Liste quantos negócios "perdidos" existem há mais de 12 meses e defina regra de exclusão ou anonimização
- Restrinja quem pode exportar a base completa em CSV
- Escreva em uma página as regras do lead scoring, se você usa
- Mapeie as integrações ativas do CRM (e-mail marketing, Zapier, WhatsApp) e desative o que está morto
- Confirme se sua empresa já nomeou formalmente um encarregado
Nenhum desses seis pontos exige sistema novo ou investimento pesado. Exige uma tarde de revisão e a decisão de tratar o CRM como o que ele é: um banco de dados pessoais com regra própria, não uma planilha infinita.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
