LGPD: de onde veio cada contato da sua base

Terça de manhã chega uma mensagem no WhatsApp da empresa. A pessoa nem é cliente, nem fornecedor. Ela recebeu uma oferta e quer saber uma coisa só: de onde vocês tiraram o meu número?

Quem atende vai procurar. O contato está na planilha de 2023, que veio de outra planilha, que alguém montou juntando o formulário do site, os cartões de uma feira e a lista de um parceiro. Nenhuma coluna diz de onde veio cada linha. Meia hora depois, a resposta mais sincera que a empresa tem é "não sei". E essa é a pior resposta que ela pode dar.

A conversa sobre LGPD ficou na caixinha de aceite

Quando se fala de LGPD em empresa pequena, o assunto vai para o aviso de cookies e a caixinha de "li e concordo" do formulário. Os dois importam. Nenhum responde a pergunta da terça de manhã.

A lei é bem direta sobre o que a pessoa pode pedir. O artigo 18 da Lei 13.709 lista os direitos do titular, e os primeiros são saber se a empresa tem dados dele e ter acesso a eles. O artigo 19 diz como a resposta completa deve vir: uma declaração "que indique a origem dos dados", os critérios usados e a finalidade, em até quinze dias. A regra da ANPD para empresas de pequeno porte (Resolução CD/ANPD nº 2, de 2022) simplifica a forma de alguns registros e dobra alguns prazos, mas a obrigação de responder continua.

A palavra que importa é origem. A lei quer saber de onde aquele número entrou na sua base. Responder "a senhora aceitou a nossa política" não resolve. E essa informação tem um problema: ou você anota no dia em que o contato entra, ou ela se perde. Dois anos depois, ninguém sabe de qual lista veio a linha 3.412.

Consentimento é só uma das bases

Muita gente acha que a LGPD exige consentimento para qualquer contato comercial. A lei diz outra coisa. O artigo 7º lista dez hipóteses em que o tratamento de dados é permitido, e o consentimento é só a primeira. Há outras, como a execução de contrato a pedido do próprio titular e o legítimo interesse da empresa, cada uma com as suas condições.

Qual delas vale para cada parte da sua operação é assunto para o advogado da empresa. O que eu posso dizer é que, seja qual for a base escolhida, você precisa conseguir provar. No caso do consentimento a lei é explícita: o artigo 8º diz que quem tem que provar é a empresa. E o artigo 37 manda manter registro das operações de tratamento, principalmente quando a base é o legítimo interesse.

O que protege a empresa é conseguir mostrar, contato por contato, como ele chegou e por que está ali. A caixinha de aceite sozinha não faz isso.

O que anotar quando o contato entra

Cabe numa empresa pequena. São poucas informações, anotadas uma vez só:

• O canal: formulário do site, anúncio, indicação, feira, telefone, importação de outra ferramenta. "Instagram" é pouco. "Formulário da campanha de março" responde a pergunta.
• A data: o dia em que o contato entrou. Cuidado para não confundir com o dia em que alguém mexeu nele pela última vez.
• Quem trouxe: se foi uma pessoa da equipe digitando, qual. Se foi uma ferramenta, qual.
• A prova, quando houver: se a pessoa marcou um aceite, guarde quando foi e qual era o texto que ela aceitou naquele dia. O texto da política muda, e o aceite vale para a versão que estava na tela.

Quem viu o aceite acontecer

Tem um detalhe que vale para quem recebe contato por mais de um caminho.

No Pulsar o lead entra de dois jeitos. O primeiro é o formulário de cada funil: a pessoa abre o link, preenche e marca o aceite. O Pulsar guarda a data, a hora e o texto que ela aceitou naquele dia. Sem marcar o aceite, o formulário não envia.

O segundo é a integração com o seu site ou com outra ferramenta, quando o formulário mora em outro lugar. Aí quem viu o aceite foi essa ferramenta. O Pulsar só recebe o lead se ela informar que a pessoa aceitou, e guarda na ficha de onde ele veio.

Assim a resposta é verdadeira nos dois casos: ou o aceite foi no seu formulário do Pulsar, ou foi na ferramenta de origem, que responde por ele.

Isso serve para a sua planilha também: separe o que você viu do que alguém te contou. "Preencheu o nosso formulário em 12/03" e "veio na lista do parceiro X, que diz ter o aceite" são anotações diferentes, e as duas são verdadeiras. Só não deixe a lista do parceiro virar, com o tempo, "cliente nosso".

O pedido de exclusão tem uma armadilha

Do outro lado está a pessoa que pede para ser apagada. A empresa apaga, e aparece um problema que quase ninguém prevê: como provar, meses depois, que o pedido foi atendido?

A primeira ideia é guardar uma planilha de "pessoas que pediram exclusão", com nome, telefone e e-mail. Olha o que isso faz: para provar que apagou o dado, a empresa guarda o dado. É a mesma informação, em outro arquivo.

No Pulsar, quando você apaga um lead fica guardado só quem apagou e quando. Sem nome, sem telefone, sem e-mail. Dá para mostrar que houve um pedido e que ele foi cumprido, sem guardar o que a pessoa pediu para apagar.

Sem sistema, faça igual: anote a data do pedido, a data em que atendeu e o canal. Sem cópia do contato.

O que esse registro não cobre

Duas coisas ficam de fora:

• Contato digitado à mão ou importado de planilha não tem prova de aceite. Tem o que a pessoa que cadastrou anotar. A importação do Pulsar aceita uma coluna de origem, e vale usar. Ela é uma anotação sua, e não prova que a pessoa aceitou.
• Dado sensível é outra conversa. Saúde, por exemplo, tem regras próprias na lei. Por isso o CRM para clínicas trabalha só com campos comerciais: procedimento de interesse sim, queixa e histórico não. O prontuário fica no sistema clínico.

Os dois caminhos de entrada, o que fica guardado em cada um e o que o Pulsar não faz (comprar lista, buscar contato em perfil de rede social, importar seguidor em lote) estão na página de captação de leads com registro de consentimento.

A conta que dá para fazer hoje

Sem trocar de ferramenta:

1. Sorteie vinte contatos da sua base e tente dizer, para cada um, de onde ele veio e em que data. Conte quantos você respondeu com certeza.
2. Crie as quatro colunas agora, na ferramenta que você usa: canal, data de entrada, quem trouxe e prova. Elas não consertam o passado, mas o problema para de crescer hoje.
3. Escreva, em três linhas, o que a empresa responde quando alguém perguntar de onde veio o número dele. Quem atende o WhatsApp precisa ter essa resposta antes da próxima terça de manhã.

Dos vinte contatos sorteados, quantos você conseguiria explicar para o próprio dono do número, sem ficar sem graça? Esse número mede o risco da sua base muito melhor que o texto da política no rodapé.

Perguntas frequentes

A LGPD exige consentimento para todo contato comercial?

A LGPD não exige consentimento para todo contato comercial. O artigo 7º da Lei 13.709 lista dez hipóteses em que o tratamento de dados é permitido, e o consentimento é só a primeira. Há outras, como a execução de contrato a pedido do titular e o legítimo interesse da empresa. Qual base vale para cada operação é assunto para o advogado, mas em qualquer uma a empresa precisa conseguir provar.

Qual o prazo para responder um pedido do titular pela LGPD?

Pelo artigo 19 da LGPD, a declaração completa ao titular, indicando a origem dos dados, os critérios usados e a finalidade, deve sair em até quinze dias. A Resolução CD/ANPD nº 2, de 2022, que trata das empresas de pequeno porte, simplifica a forma de alguns registros e dobra alguns prazos, mas a empresa continua obrigada a responder.

O que registrar quando um lead entra na base?

Quando um lead entra na base, registre quatro informações uma única vez: o canal, com detalhe suficiente para responder, como o formulário da campanha de março; a data de entrada; quem trouxe o contato, pessoa ou ferramenta; e a prova do aceite, quando houver, com a data e o texto que a pessoa aceitou naquele dia.

Como provar que um pedido de exclusão da LGPD foi atendido?

Para provar que um pedido de exclusão foi atendido, anote a data do pedido, a data em que atendeu e o canal, sem guardar cópia do contato. Manter uma planilha com nome, telefone e e-mail de quem pediu exclusão é guardar o próprio dado que a pessoa pediu para apagar. O registro precisa mostrar que o pedido existiu e foi cumprido, sem o dado pessoal.