LGPD e MarTech: pontos críticos

Por que LGPD em MarTech é mais que checklist de consentimento

A leitura comum de LGPD em marketing reduz a lei a um item: o checkbox de opt-in. É um erro caro. A exposição real está na stack inteira: cada ferramenta que processa dado pessoal é um operador no jargão da lei, cada integração entre sistemas é um fluxo de dado que precisa ser mapeado, cada fornecedor com servidores fora do Brasil é uma transferência internacional que exige garantias contratuais.

Operações de marketing modernas trabalham com dez, vinte, trinta ferramentas — plataforma de email, automação de marketing, CRM, CDP (Customer Data Platform), formulários, pixels de redes sociais, ferramentas de analytics, BI, plataformas de mídia paga, ferramentas de personalização. Cada uma tem sua política de privacidade, sua localização de servidores, seus subprocessadores. A LGPD trata isso como uma cadeia em que o controlador (a empresa) é responsável pela conformidade de toda a cadeia de operadores.

O objetivo deste artigo é organizar a adequação em quatro frentes operáveis pelo time de marketing, com apoio do jurídico, sem virar manual jurídico nem terceirizar para o DPO o que é responsabilidade do marketing. Para análise de caso concreto, consulta a advocacia especializada continua sendo necessária.

Frente 1 — Consentimento e base legal por finalidade

A LGPD exige base legal para cada finalidade de tratamento. Em marketing, as bases relevantes são consentimento (art. 7º, I) e legítimo interesse (art. 7º, IX). A regra prática:

Consentimento deve ser opt-in inequívoco (checkbox ativo, nunca pré-marcado), granular (separar opt-in para newsletter, promoções, parceiros), revogável a qualquer momento sem fricção. Embutir o consentimento em "li e aceito os termos de uso" não vale — não é específico.

Legítimo interesse pode amparar tratamentos em contextos específicos (cliente ativo, contato profissional em B2B), desde que haja teste de legítimo interesse formalizado. Não é base legal para prospecção fria em massa nem para enriquecimento de bases adquiridas sem origem clara.

Em MarTech, isso significa que cada finalidade — envio de email transacional, envio de newsletter, retargeting via pixel, criação de audiência semelhante, perfilamento para personalização — precisa ter base legal documentada. A documentação típica é uma matriz: linhas com finalidades, colunas com base legal, ferramentas envolvidas, retenção, transferência internacional. Sem essa matriz, fica difícil responder à ANPD em fiscalização ou ao próprio titular que pergunta "qual o fundamento legal para vocês me tratarem?".

Frente 2 — Armazenamento e ciclo de vida dos dados

A LGPD trata armazenamento como tratamento. Guardar dado pessoal por tempo indeterminado, sem propósito definido, é violação. Em MarTech, isso aparece em três pontos típicos:

Política de retenção. Definir por finalidade quanto tempo cada dado fica ativo. Exemplos práticos: contato inativo há 24 meses no email marketing entra em fluxo de re-permissão ou é excluído; lead que não converteu em oito meses é arquivado; visitante que apenas baixou um material e nunca interagiu de novo é excluído após período definido.

Anonimização. Quando dado pessoal não é mais necessário para a finalidade original mas pode servir para análise agregada (relatórios, painéis, modelos), anonimizá-lo (remover qualquer informação que permita identificar o titular) tira o dado do escopo da LGPD. Pseudonimização (substituir nome por código) reduz risco mas não tira do escopo.

Direito ao esquecimento operacionalizado. Quando o titular pede exclusão, o pedido precisa propagar para todas as ferramentas. Excluir do CRM e esquecer da plataforma de email, do CDP, das audiências de mídia paga é falha. O fluxo formal lista cada ferramenta da stack e o responsável por executar a exclusão.

Atenção a ambientes não-produtivos: backups, sandboxes, dataset de teste. Dado pessoal copiado para ambiente de desenvolvimento sem mascaramento é vulnerabilidade comum.

Frente 3 — Transferência internacional

A maioria das ferramentas globais de MarTech (HubSpot, Salesforce, Mailchimp, Marketo, Iterable, Braze, Google, Meta) hospeda dados em servidores nos EUA ou na Europa. Quando dado pessoal de brasileiro é enviado a esses servidores, configura transferência internacional, e a LGPD exige garantias adequadas:

Cláusulas-padrão aprovadas pela ANPD no contrato com o fornecedor. A maior parte das ferramentas oferece um adendo de proteção de dados sob solicitação.

Países com decisão de adequação reconhecida pela ANPD — quando a Autoridade reconhece que o país de destino tem grau de proteção equivalente. A lista é evolutiva e precisa ser consultada na ANPD.

Avaliação caso a caso quando o fornecedor não tem cláusulas-padrão e o país não está em lista de adequação. Em prática, é caminho complexo que envolve análise jurídica detalhada e geralmente leva à troca de fornecedor.

O ponto crítico é mapear quais ferramentas têm servidores fora do Brasil, exigir DPA com cláusulas LGPD, manter cópia do contrato e revisar quando a política do fornecedor muda. Para empresas com operação na Europa, somam-se as exigências do GDPR; com operação nos EUA da Califórnia, somam-se as do CCPA/CPRA.

Frente 4 — Contratos com operadores (DPA)

Cada fornecedor de MarTech que trata dado pessoal em nome da empresa é operador. A LGPD exige contrato específico, geralmente chamado de DPA (Data Processing Agreement), com cláusulas mínimas:

Finalidades para as quais o operador pode tratar o dado — não pode usar para finalidade própria sem autorização específica.

Subprocessadores que o operador usa (por exemplo, fornecedor de infraestrutura de nuvem, serviço de envio, ferramenta de analytics embutida). A empresa precisa saber e, idealmente, aprovar essa lista.

SLA de incidente — prazo para o operador notificar a empresa em caso de incidente de segurança. A LGPD exige que o controlador comunique a ANPD e o titular em prazo razoável; isso só é viável se o operador notifica rápido.

Direito de auditoria — possibilidade de a empresa verificar a conformidade do operador, seja por questionário, por relatório (SOC 2, ISO 27001), seja por auditoria direta em casos sensíveis.

Procedimento de exclusão ao fim do contrato — o operador precisa retornar ou excluir os dados, com confirmação documentada.

Em prática, fornecedores maduros oferecem o DPA pronto sob solicitação. Fornecedores menores às vezes precisam de negociação. Em todo caso, contratar SaaS de marketing sem DPA é exposição direta.

Pontos sensíveis típicos em MarTech

Alguns elementos da stack moderna merecem atenção especial porque concentram risco:

Pixels de redes sociais (Meta, Google, LinkedIn, TikTok). Capturam comportamento de visitantes em tempo real, alimentam audiências e modelos de otimização. Disparar pixel antes de obter consentimento é prática problemática — o CMP precisa bloquear o pixel até a aceitação.

Audiências semelhantes (lookalike). Enviar hash de emails à plataforma de mídia para que ela encontre perfis parecidos é tratamento que envolve compartilhamento com terceiro. Precisa de base legal e estar previsto na política de privacidade.

Enriquecimento de base. Cruzar a base com fornecedor externo para adicionar dados (cargo, segmento, faturamento) cria fluxo que exige base legal e DPA com o fornecedor de enriquecimento.

Cookies de terceiros e cookies próprios. Cookies próprios essenciais (sessão, carrinho) dispensam consentimento; cookies de terceiros para marketing exigem opt-in via CMP.

Decisão automatizada (art. 20 LGPD). Quando decisões que afetam o titular são tomadas automaticamente (score de crédito, segmentação que define oferta personalizada com impacto), o titular tem direito a revisão por pessoa natural. Vale revisar com jurídico quais usos da MarTech caem nessa categoria.

Importação de listas. Importar lista comprada, enriquecida ou herdada de aquisição sem due diligence de consentimento cria exposição que se propaga por toda a stack subsequente.

Atendimento ao titular e incidente de segurança

O fluxo de atendimento aos direitos do titular (acesso, correção, exclusão, oposição, portabilidade) precisa estar definido e envolver toda a stack. Não basta excluir do CRM principal — o pedido de exclusão precisa propagar para plataforma de email, CDP, ferramentas de BI, audiências de mídia paga. Em pequena empresa, esse fluxo é manual com checklist; em grande, é automatizado via portal de privacidade integrado.

Em incidente de segurança (vazamento, acesso indevido, falha de configuração que expõe dado), a LGPD exige comunicação à ANPD e aos titulares afetados em prazo razoável quando há risco relevante. O time de MarTech precisa fazer parte do protocolo: identificar rapidamente o escopo do incidente (quais ferramentas, quais dados, quantos titulares), apoiar a comunicação e implementar correções. O DPA com cada fornecedor deve garantir notificação rápida em caso de incidente do lado do operador.

Erros comuns que invalidam o programa

Pré-marcar checkbox de opt-in. Repetido em formulários antigos. Resolver com auditoria de todos os formulários ativos.

Importar base comprada ou enriquecida sem due diligence. Sem base legal documentada para os contatos importados, o envio cria risco direto. Resolver: parar a importação ou rodar campanha de re-permissão.

Não excluir quem pediu opt-out. Operacionalmente, opt-out às vezes para no fluxo da plataforma de email e não propaga para CDP ou para audiências de mídia. Resolver com fluxo formal que cobre toda a stack.

Manter pixel sem CMP. Pixel dispara antes do usuário aceitar. Resolver com CMP que bloqueia tags até consentimento.

Contratar SaaS sem DPA. Erro comum em fornecedores menores. Resolver exigindo DPA antes da assinatura.

Ignorar subprocessadores. Saber só o fornecedor direto e desconhecer quem opera infra. Resolver consultando a lista de subprocessadores no DPA.

"B2B não tem LGPD". Mito. Email profissional de pessoa física é dado pessoal. Resolver tratando B2B com mesmo rigor que B2C, ajustando bases legais conforme o caso.