GitHub

A LGPD assusta times pequenos pelo motivo errado. A imagem que se forma na cabeça de um fundador é a de uma montanha de documentos jurídicos, consultorias caras e processos que travam o desenvolvimento. Diante disso, muitos fazem a pior escolha possível: ignoram o assunto e torcem para não dar problema.

A verdade é mais simples e mais tranquilizadora. A lei não exige que uma equipe de cinco pessoas tenha a estrutura de uma multinacional. Ela exige responsabilidade proporcional ao que você faz com os dados das pessoas. E a maior parte do que importa, para um time pequeno, são poucas decisões bem tomadas, não um departamento jurídico.

Este texto é para quem tem um app pequeno, um time enxuto e tempo escasso, e quer cumprir a LGPD com seriedade sem transformar isso num projeto que consome o que sobrou da semana. Foco no mínimo que de fato reduz risco.

O princípio que economiza 80% do trabalho

Se você só puder internalizar uma ideia da LGPD, que seja esta: colete o mínimo de dados possível. Quase todo o esforço de conformidade nasce de dados que você acumula. Menos dados significa menos política para escrever, menos coisa para proteger, menos resposta para dar quando alguém pergunta.

Times pequenos costumam coletar dados por reflexo, não por necessidade. Pede-se data de nascimento "porque o formulário tinha", guarda-se o CPF "por garantia", armazena-se localização "que talvez seja útil". Cada um desses é um passivo que você criou sem precisar. A pergunta a fazer antes de cada campo de cadastro é honesta e libertadora: eu vou realmente usar isso? Se a resposta é não ou talvez, não colete.

A tese deste texto: para um time pequeno, a melhor estratégia de LGPD é coletar pouco, ser claro e saber onde as coisas estão. Isso não custa dinheiro, custa disciplina, e cabe na realidade de quem tem mais código para escrever do que tempo livre.

Saiba para que serve cada dado

A LGPD exige uma base legal para cada tratamento de dado pessoal. Soa técnico, mas o que está por trás é simples: você precisa de um motivo legítimo para coletar e usar cada informação. Não dá para coletar "porque sim".

Para um app comum, a maior parte das coletas se encaixa em motivos diretos. Você guarda o e-mail porque precisa autenticar o usuário e enviar comunicações essenciais do serviço. Você guarda o endereço porque precisa entregar o pedido. Esses usos têm justificativa natural. O problema aparece quando você usa um dado para um fim diferente do que coletou, por exemplo, pegar o e-mail dado para login e começar a mandar marketing sem permissão. Aí muda a base legal, e o consentimento precisa ser pedido de forma separada e clara.

Faça uma lista simples: que dados você coleta, e por que coleta cada um. Esse exercício de uma tarde já te coloca à frente da maioria. Se há um dado na lista para o qual você não consegue escrever um motivo claro, é candidato a ser eliminado.

Consentimento honesto, não enterrado em letras miúdas

Onde a LGPD exige consentimento, ele precisa ser real: livre, informado e específico. Time pequeno costuma errar de dois jeitos opostos. Ou ignora o consentimento, ou o transforma numa parede de texto jurídico que ninguém lê e que, justamente por isso, não vale muito.

O caminho honesto é o do meio. Diga em linguagem clara o que você vai fazer com o dado, no momento em que pede. Se você quer mandar novidades por e-mail, pergunte de forma separada, com uma opção que a pessoa marca de propósito, não uma caixa pré-marcada escondida. E facilite a saída: cancelar a permissão precisa ser tão simples quanto concedê-la.

Esse cuidado tem um efeito colateral bom. Pedir permissão de forma transparente constrói confiança, e confiança faz as pessoas continuarem usando o seu app. Privacidade bem feita não é só conformidade; é experiência.

Segurança básica que não é opcional

Cumprir a LGPD inclui proteger os dados que você guarda. Não se espera de um time pequeno uma fortaleza, mas há um mínimo abaixo do qual você está em risco real, e que não exige orçamento de grande empresa.

Senhas de usuários nunca devem ser guardadas como texto legível; existem formas padrão e gratuitas de armazená-las protegidas. A comunicação do app deve ser criptografada em trânsito, o que hoje é praticamente automático com certificados gratuitos. O acesso à base de produção deve ser restrito a quem realmente precisa, e não compartilhado num bilhete ou numa planilha. Backups precisam existir e ser protegidos com o mesmo cuidado dos dados originais.

Nada disso é caro ou complexo. É higiene. E a maioria dos vazamentos que atingem empresas pequenas vem justamente da ausência dessas práticas básicas, não de ataques sofisticados.

Saiba onde os dados moram

A obrigação que mais pega time pequeno de surpresa é a de atender pedidos dos usuários: alguém pode pedir para ver seus dados, corrigi-los ou apagá-los, e você precisa conseguir fazer isso. Parece trivial até você tentar e descobrir que os dados de uma pessoa estão espalhados pelo banco principal, por uma planilha, por uma ferramenta de e-mail e por um serviço de análise.

A solução não é complicada quando o app é pequeno: mantenha o mapa do que você tem. Saiba quais dados de usuário existem e onde cada um está guardado. Quando esse mapa existe, apagar ou exportar os dados de alguém é uma tarefa de minutos. Quando não existe, vira uma caçada que você faz com medo de ter esquecido algum lugar.

Esse mapa também é a sua defesa num cenário ruim. Se acontecer um vazamento, a LGPD exige comunicação às pessoas afetadas e à autoridade. Saber rápido o que foi exposto é a diferença entre responder com responsabilidade e admitir que você não sabe o que perdeu.

A armadilha de terceirizar a consciência

Há um erro de mentalidade comum em times pequenos: achar que comprar uma política de privacidade pronta ou contratar uma ferramenta resolve a LGPD. Documento e ferramenta ajudam, mas não substituem entender o que você faz com os dados.

Uma política de privacidade que descreve práticas que você não cumpre é pior do que não ter política, ela documenta a sua falha. O valor real não está no papel, está nas decisões diárias de coletar pouco, usar com propósito e proteger o básico. Essas decisões são suas, do time que constrói o produto, e não há consultoria que as tome no seu lugar.

Conforme você cresce, a estrutura vai precisar acompanhar, mais processo, talvez um responsável formal pelos dados, contratos mais cuidadosos com fornecedores. Mas isso é problema do amanhã. O dever de casa do time pequeno é fazer o mínimo sério bem feito, e fazê-lo virar hábito antes de a escala chegar.

Fechamento

LGPD para time pequeno não é sobre montar um departamento jurídico. É sobre tomar poucas decisões com responsabilidade: coletar só o que precisa, deixar claro para que serve, proteger o básico e saber onde tudo está. Quem faz esse mínimo com seriedade está mais protegido do que muita empresa grande com pilhas de documentos e nenhuma prática.

O melhor de tudo é o momento. Construir privacidade como hábito agora, enquanto o app é pequeno e os dados são poucos, é incomparavelmente mais barato do que tentar consertar depois, com usuários reais e dados espalhados por todo canto. A escolha mais inteligente é começar certo, não começar grande.

Se você tem um app pequeno e ainda não sentou para mapear o que faz com os dados das pessoas, essa é a tarefa de maior retorno que você pode reservar para esta semana. Há outros artigos aqui no blog sobre LGPD, segurança e privacidade por design que ajudam a dar os próximos passos quando a hora chegar.

LGPD em aplicativos para times pequenos: o mínimo sério que cabe na sua realidade