LGPD para pequenas empresas: o que é obrigatório em 2026

Sim, a LGPD vale para a sua empresa de três funcionários. Mas não no formato que as consultorias vendem por R$ 15 mil.

Reunimos aqui as 18 perguntas que pequenos empresários mais buscam no Google sobre a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) e organizamos as respostas na ordem em que o problema realmente aparece: primeiro o que você pode deixar de fazer, depois o que é obrigação inegociável.

Por que tanta gente perde dinheiro, ou se expõe a autuação, sem saber? Porque existem dois erros de sinal contrário circulando ao mesmo tempo. O primeiro é achar que a LGPD “é coisa de banco e big tech” e ignorar a lei por completo. O segundo é o oposto: acreditar que uma microempresa precisa de encarregado de dados contratado, relatório de impacto de 40 páginas e mapeamento completo de fluxos, pacote que custa mais que o faturamento mensal do negócio.

A verdade está no meio, e está escrita em um documento específico: a Resolução CD/ANPD nº 2/2022, que criou um regime simplificado para microempresas, empresas de pequeno porte, startups, associações sem fins lucrativos e pessoas naturais que tratam dados com finalidade econômica. Esse regime dá prazo em dobro para várias obrigações e dispensa a figura do encarregado, desde que o tratamento não seja de alto risco.

O que esse regime não faz é isentar você. E é exatamente nesse ponto que o custo da inação aparece: advertência com prazo de correção, bloqueio do banco de dados, suspensão da atividade de tratamento por até 6 meses e multa de até 2% do faturamento por infração. Veja o que se aplica ao seu caso.

Perguntas essenciais: quem está obrigado e o que pode ser dispensado

A LGPD não isenta nenhuma empresa por tamanho. O art. 55-J, XVIII da Lei nº 13.709/2018 autorizou a ANPD a criar regras simplificadas para pequenos agentes, e a Resolução CD/ANPD nº 2/2022 fez isso: prazos em dobro e dispensa de encarregado para quem não trata dados de alto risco. Obrigação dispensada é diferente de lei não aplicável.

Minha empresa é MEI. Preciso cumprir a LGPD mesmo assim?

Precisa. O MEI entra no regime simplificado da Resolução CD/ANPD nº 2/2022 junto com ME, EPP e startups, mas a Lei nº 13.709/2018 continua integralmente aplicável a ele. O que muda é o como, não o se.

Se você é manicure com agenda de clientes no celular, fotógrafo com banco de imagens de aniversário infantil ou dono de petshop com ficha de tutores, você trata dados pessoais. Nome e telefone já são dados pessoais. Foto de criança e dado de saúde do animal com CPF do tutor vinculado puxam para a faixa sensível.

Na prática, para um MEI o pacote mínimo é pequeno: saber quais dados você guarda, por que guarda, por quanto tempo, e ter um canal onde o cliente consiga pedir exclusão. Isso cabe em duas páginas, não em um projeto de consultoria.

Quem se enquadra como “agente de pequeno porte” para a ANPD?

A Resolução CD/ANPD nº 2/2022 importa os limites de faturamento da Lei Complementar 123/2006. Os cortes são estes:

• MEI: faturamento bruto anual até R$ 81.000
• Microempresa: até R$ 360.000
• Empresa de Pequeno Porte: até R$ 4.800.000
• Startup (critério da Lei Complementar 182/2021): até R$ 16.000.000 no ano anterior

O regime também alcança pessoas jurídicas de direito privado sem fins lucrativos (associações, igrejas, ONGs), pessoas naturais e entes despersonalizados que atuem como controladores ou operadores de dados. Condomínio com câmera e lista de moradores entra nessa conta.

O que faz a empresa perder o regime simplificado?

Tratamento de alto risco. A dispensa de encarregado e os prazos em dobro valem apenas para agentes de pequeno porte que não realizam tratamento de alto risco. Isso significa que uma microempresa pode estar fora do regime simplificado mesmo faturando R$ 200 mil por ano.

Tratamento de alto risco, de forma simplificada, combina dois fatores: escala grande ou uso de tecnologia emergente, somados a dado sensível, dado de criança e adolescente, decisão automatizada com efeito relevante, perfilamento ou monitoramento sistemático.

Preciso contratar um DPO (encarregado) de fora?

Não necessariamente. Nenhum artigo da LGPD exige que o encarregado seja terceiro, certificado ou advogado. O art. 41 da Lei nº 13.709/2018 exige apenas que o controlador indique a pessoa e divulgue publicamente a identidade e o canal de contato dela. O cargo pode ser acumulado por sócio ou funcionário.

Para agente de pequeno porte sem alto risco, a Resolução CD/ANPD nº 2/2022 dispensa a indicação. Mas atenção ao detalhe que derruba muita gente: mesmo dispensado do encarregado, você continua obrigado a manter um canal de comunicação com o titular. São coisas diferentes. Dispensa de cargo não é dispensa de atendimento.

Na nossa rotina de análise de contratos e sites de pequenos negócios, a falha que mais aparece não é ausência de política de privacidade: é a política existir, ter sido copiada de outro site, e trazer um e-mail de contato que não pertence à empresa. O documento em si virou prova contra o cliente.

Lista de WhatsApp de clientes é tratamento de dados?

É. A LGPD define tratamento em sentido amplíssimo: coleta, armazenamento, uso, compartilhamento, eliminação. Guardar o número do cliente no celular do negócio e usar para disparar promoção é tratamento, e precisa de base legal. Não existe exceção para “mas é só o WhatsApp”.

Aqui mora um erro caríssimo e comum: usar lista de clientes antiga para marketing sem base legal clara, ou pior, comprar lista de terceiros. Comprar base de contatos é a conduta que mais facilmente configura tratamento sem base legal, porque não há consentimento, não há contrato e não há legítimo interesse defensável.

Já cliente que comprou de você e recebe aviso sobre produto similar costuma se sustentar em legítimo interesse, desde que exista opção fácil de sair da lista e você respeite o pedido. A frase “sair” ou “parar” no WhatsApp precisa produzir efeito real.

Valores e cálculos: quanto custa não se adequar

A multa simples da LGPD é de até 2% do faturamento da empresa no Brasil no último exercício, excluídos tributos, limitada a R$ 50 milhões por infração (art. 52, II). Para quem fatura R$ 360 mil, o teto matemático é R$ 7.200 por infração. O número de R$ 50 milhões que circula na internet é o limite absoluto para grandes corporações.

Qual o valor real da multa para uma microempresa?

Depende do seu faturamento, porque a base de cálculo é percentual. Veja o teto máximo por infração aplicando os 2% previstos no art. 52 da LGPD:

• MEI com R$ 81.000 de faturamento: teto de R$ 1.620 por infração
• ME com R$ 180.000: teto de R$ 3.600
• ME com R$ 360.000: teto de R$ 7.200
• EPP com R$ 1.000.000: teto de R$ 20.000
• EPP com R$ 4.800.000: teto de R$ 96.000
• Startup com R$ 16.000.000: teto de R$ 320.000

Esses são tetos, não valores aplicados automaticamente. A ANPD aplica dosimetria, e para pequenos agentes a sanção mais frequente até aqui tem sido a advertência com prazo para correção. O Regulamento de Dosimetria da ANPD prevê atenuantes relevantes, incluindo redução de até 75% quando a infração cessa antes da abertura do procedimento sancionador, e prazo em dobro de pagamento para o pequeno porte.

Além da multa, o que mais a ANPD pode aplicar?

O art. 52 da LGPD lista sanções que, para um negócio pequeno, machucam mais que o dinheiro: advertência, publicização da infração (nome da empresa divulgado), bloqueio dos dados envolvidos, eliminação dos dados, suspensão parcial do banco de dados por até 6 meses, suspensão da atividade de tratamento e proibição total de tratar dados.

Pense no que significa suspensão do banco de dados para um e-commerce ou uma clínica: a base de clientes fica inutilizável. Para a maioria dos pequenos negócios digitais, isso é suspensão da operação com outro nome. A multa você parcela, o bloqueio você não.

Quanto custa se adequar à LGPD? Preciso pagar consultoria caríssima?

O custo real varia conforme o risco do seu tratamento, e não conforme o tamanho da proposta que te mandaram. Uma empresa que só guarda nome, telefone e nota fiscal de clientes precisa de bem menos que uma clínica com prontuários. Desconfie de pacote padronizado vendido sem olhar o que você coleta.

Separe o que é obrigação legal do que é boa prática recomendada. Obrigação: base legal para cada tratamento, informação ao titular, canal de atendimento, segurança proporcional, comunicação de incidente relevante à ANPD. Boa prática: treinamento documentado, política de retenção escrita, revisão anual, cláusula contratual com fornecedores.

A LGPD gera indenização para o cliente? Quanto?

Sim, e esse é o risco que a maioria dos pequenos empresários esquece. A ANPD é só uma frente. A outra é o titular processando diretamente na Justiça comum, com base nos arts. 42 e 43 da LGPD, que preveem responsabilidade do controlador e do operador pelos danos causados.

Não há tabela de valores. Os tribunais ainda divergem sobre um ponto central: se o simples vazamento de dados cadastrais, sem prova de prejuízo concreto, gera dano moral indenizável. Há decisões exigindo demonstração de dano efetivo e há decisões reconhecendo dano presumido quando há dado sensível envolvido. Vazamento de CPF com dado de saúde tende a ser tratado com muito mais severidade que vazamento de e-mail.

Documentos e prazos: o que você precisa ter em mãos

O documento central para o pequeno porte é um registro simplificado das operações de tratamento, conforme a Resolução CD/ANPD nº 2/2022. Além dele: política de privacidade publicada, canal de atendimento ao titular funcionando e, se houver incidente de segurança relevante, comunicação à ANPD em prazo que para o pequeno porte é contado em dobro.

Quais documentos a LGPD realmente exige da minha empresa?

A LGPD não traz uma lista fechada de formulários. Ela impõe o que se chama de responsabilidade demonstrável: não basta tratar dados corretamente, é preciso comprovar com registros que cada operação tem base legal, finalidade definida e segurança proporcional ao risco. Na prática, o conjunto mínimo é este:

• Registro das operações de tratamento (em versão simplificada, aceita planilha)
• Política de privacidade no site e, se houver loja física, aviso visível
• Canal de atendimento ao titular (e-mail ou formulário), com responsável definido
• Termo ou cláusula de confidencialidade com funcionários e prestadores
• Contrato com fornecedores que acessam seus dados (sistema de gestão, contabilidade, agência de marketing)
• Procedimento escrito de resposta a incidente de segurança

Se o seu site coleta dados por formulário ou carrinho de compra, vale revisar como o aceite é colhido. A diferença entre checkbox marcado pelo usuário e aviso em letra miúda no rodapé pesa muito em juízo, e tratamos disso no artigo sobre click wrap e browse wrap no aceite online.

Qual o prazo para responder um pedido do cliente?

O art. 19 da LGPD prevê resposta imediata em formato simplificado, ou prazo de até 15 dias em formato completo, contados do pedido do titular. Agente de pequeno porte sem tratamento de alto risco tem esse prazo dobrado pela Resolução CD/ANPD nº 2/2022, mas precisa informar isso ao titular.

O pedido pode chegar por qualquer canal, e aí está uma das armadilhas: mensagem no Instagram pedindo exclusão de cadastro conta como requisição de titular. Se o social media não souber o que fazer, o prazo corre do mesmo jeito.

Tive um vazamento. Em quanto tempo preciso comunicar?

A LGPD exige comunicação à ANPD e ao titular em prazo razoável quando o incidente puder gerar risco ou dano relevante. A ANPD regulamentou o prazo em 3 dias úteis a partir do conhecimento do incidente, com prazo em dobro para agentes de pequeno porte. A comunicação é feita por formulário no portal da ANPD.

A tentação de não comunicar é enorme, porque parece confissão. É o cálculo errado. Comunicar dentro do prazo e corrigir rapidamente é atenuante na dosimetria. Esconder e ser descoberto por reclamação de cliente é agravante, e vem acompanhado da sanção de publicização da infração.

Você pode consultar os canais oficiais e as orientações diretamente no portal da Autoridade Nacional de Proteção de Dados, e o texto integral da lei no site do Planalto.

Situações especiais que geram mais dúvida

Três cenários concentram a maior parte das dúvidas de pequenos negócios: dados de funcionários, câmeras de segurança e uso de ferramentas estrangeiras (Google, Meta, sistemas em nuvem). Em todos eles o controlador brasileiro permanece responsável, inclusive pelo tratamento feito por fornecedores no exterior, conforme os arts. 33 e 42 da LGPD.

Dados de funcionário também entram na LGPD?

Entram, e aqui o empregador erra com frequência porque confunde “tenho direito de exigir o documento” com “posso guardar e usar como quiser”. Admissão exige RG, CPF, carteira de trabalho, dados bancários. Isso tem base legal clara: cumprimento de obrigação legal e execução de contrato.

O problema aparece no excesso. Exame admissional detalhado arquivado na gaveta junto com a ficha, atestado com CID visível na pasta aberta, grupo de WhatsApp com dado de saúde do colega, cópia de documento de dependente guardada sem finalidade definida. Dado de saúde é sensível e exige cuidado reforçado.

Câmera de segurança na loja: preciso de aviso?

Imagem de pessoa identificável é dado pessoal. A base legal usual é legítimo interesse (segurança patrimonial), e ela exige três coisas: aviso visível informando a existência da gravação, prazo de retenção definido e acesso restrito às imagens.

Monitoramento com reconhecimento facial é categoria diferente: biometria é dado sensível e, somada a monitoramento sistemático, costuma caracterizar tratamento de alto risco. Isso tira a empresa do regime simplificado, mesmo que ela seja uma microempresa com uma única loja.

Uso Google Analytics, Meta Ads e sistema em nuvem. E agora?

Você segue responsável. A LGPD trata isso como transferência internacional de dados, que continua exigindo base legal e segurança adequada, e o controlador brasileiro não se exime porque o servidor é de outra empresa. Em 2026 houve avanço relevante nesse ponto: a decisão de reconhecimento recíproco de adequação com a União Europeia, anunciada no início do ano, simplificou o fundamento para transferências com destino europeu.

Para destinos sem decisão de adequação, o caminho prático é cláusula contratual padrão. Na maioria dos casos, isso já está no termo de uso da ferramenta que você aceitou. O trabalho é localizar, salvar em PDF e guardar como prova de diligência. Se precisar entender melhor o tema do ponto de vista das empresas estrangeiras que te prestam serviço, o nosso panorama da LGPD em 2026 cobre o cenário atualizado, e há material específico sobre compliance de LGPD para empresas estrangeiras.

Minha associação não tem fins lucrativos. Estou fora?

Não está. A Resolução CD/ANPD nº 2/2022 incluiu expressamente pessoas jurídicas de direito privado sem fins lucrativos no regime simplificado, o que significa o contrário de isenção: significa que estão dentro da lei, com obrigações reduzidas. Associação de bairro, igreja com cadastro de fiéis, ONG com banco de doadores, todas tratam dados pessoais.

Em entidades assistenciais o risco é maior do que parece, porque os cadastros costumam conter dado de saúde, religião e informação de crianças, tudo na categoria sensível, muitas vezes em caderno físico sem controle de acesso.

O melhor argumento contra tudo isso (e por que ele não resolve)

O contra-argumento é sólido e merece ser dito na versão forte: desde 2018 a ANPD aplicou pouquíssimas sanções a microempresas, concentrou fiscalização em grandes tratamentos de dados, e a probabilidade estatística de uma padaria ou um escritório de arquitetura com 3 pessoas ser autuado é baixíssima. Gastar com adequação, nessa leitura, é seguro contra um risco remoto.

Esse raciocínio está correto no diagnóstico e errado na conclusão, por dois motivos concretos.

Primeiro: a ANPD não é a principal fonte de exposição do pequeno negócio. É o titular. Qualquer ex-cliente irritado ou ex-funcionário demitido pode ajuizar ação individual pedindo dano moral por uso indevido de dados. Esse processo não depende de política de fiscalização nenhuma, e normalmente começa em juizado, onde você responde sozinho se não tiver documentação.

Segundo: a fiscalização da ANPD costuma ser reativa. Ela chega por petição de titular que não teve o pedido atendido. Ou seja, quem não tem canal de atendimento funcionando produz exatamente o gatilho que atrai a autoridade. O risco não é aleatório, é autoinfligido.

Há ainda um terceiro vetor que cresce rápido: exigência contratual. Grandes clientes, licitações e plataformas pedem evidência de conformidade antes de fechar contrato. Perder um contrato por não ter política de privacidade é um custo que nenhuma estatística de autuação captura.

Passo a passo: como adequar sua pequena empresa sem contratar projeto caro

Para a maioria dos agentes de pequeno porte sem tratamento de alto risco, a adequação essencial envolve 6 etapas e pode ser iniciada em 30 dias. A ordem importa: mapear antes de redigir política, porque política escrita sem mapeamento gera documento falso, e documento falso é prova contra você.

1. Liste tudo onde há dado de pessoa. Planilha de clientes, caderno do caixa, conversas de WhatsApp, formulário do site, câmera, pasta de funcionários, sistema de emissão de nota, contador, agência de marketing.
2. Para cada item, escreva por que você guarda. Se não conseguir escrever a finalidade em uma frase, você provavelmente não deveria estar guardando.
3. Defina a base legal. Nas pequenas empresas, 90% dos casos caem em: execução de contrato, cumprimento de obrigação legal ou legítimo interesse. Consentimento é a base mais frágil, use só quando não houver outra.
4. Defina prazo de descarte e descarte de verdade. Cadastro de cliente de 2014 que nunca mais voltou é risco puro, sem benefício.
5. Publique política de privacidade real e abra o canal. Um e-mail que alguém de fato lê, com responsável nomeado internamente, mesmo que você esteja dispensado de encarregado formal.
6. Ajuste contratos e treine quem atende. Cláusula de proteção de dados com fornecedores e instrução escrita para quem responde Instagram, telefone e balcão.

Se a sua operação roda com contratos assinados digitalmente, aproveite a revisão para verificar a validade probatória desses arquivos: tratamos dos requisitos no artigo sobre contrato eletrônico como prova em juízo.

Para essa revisão, tenha em mãos três coisas: a lista do que você coleta, os contratos com fornecedores que acessam sua base (sistema de gestão, contabilidade, marketing) e o texto da política de privacidade que está hoje no seu site. O erro que mais derruba a defesa é a política divergir da prática real, por exemplo prometer exclusão em 15 dias quando ninguém monitora o e-mail de contato. Nossa equipe pode ler esses três documentos e apontar onde a sua empresa está exposta.

Tabela resumo: o que muda entre pequeno porte e regime integral

A tabela abaixo compara os dois caminhos possíveis para o seu negócio em 2026, conforme a Resolução CD/ANPD nº 2/2022. Qual deles se aplica depende do faturamento e, principalmente, de haver ou não tratamento de alto risco.

Obrigação	Pequeno porte sem alto risco	Regime integral
Encarregado (DPO)	Dispensada a indicação	Obrigatório indicar e divulgar
Canal de atendimento ao titular	Obrigatório	Obrigatório
Registro de operações	Formato simplificado	Registro completo
Resposta ao titular	Prazo em dobro	Até 15 dias (art. 19)
Comunicação de incidente	Prazo em dobro	3 dias úteis
Base legal para cada tratamento	Obrigatória	Obrigatória
Teto da multa simples	2% do faturamento por infração	2%, limitado a R$ 50 milhões
Prazo para pagar multa	Em dobro	Prazo padrão

Mitos e verdades sobre LGPD em pequenas empresas

Quatro crenças erradas respondem pela maior parte das exposições que vemos em pequenos negócios. Todas têm aparência de bom senso, e todas custam dinheiro. A primeira delas é a mais caríssima: acreditar que consentimento resolve tudo.

“Basta pedir consentimento do cliente para estar seguro”

Mito. O art. 7º da LGPD traz dez bases legais, e consentimento é apenas uma, além de ser a mais instável: pode ser revogado a qualquer momento. Se você baseia a emissão de nota fiscal em consentimento e o cliente revoga, você fica em situação impossível. Nota fiscal é obrigação legal, base muito mais sólida. Escolher a base errada é erro de estrutura, não de forma.

“Empresa pequena não é fiscalizada, então não corro risco”

Meio mito. A fiscalização ativa sobre micro e pequenas é realmente baixa. Mas a ANPD é apenas uma das três portas de risco. As outras duas, ação individual do titular por dano moral e exigência de conformidade por clientes e licitações, não dependem de fiscalização nenhuma e vêm crescendo.

“Ter uma política de privacidade no site resolve”

Mito, e perigoso. A LGPD exige responsabilidade demonstrável: registros, contratos, procedimentos. Uma política copiada de outro site que promete o que a empresa não faz funciona como confissão documentada de descumprimento. Política sem prática é pior do que nenhuma política.

“Só dados digitais contam; papel está fora”

Mito. A LGPD se aplica ao tratamento em meio físico ou digital. Caderno de caixa com nome e CPF, ficha de cliente em pasta aberta no balcão, atestado médico na gaveta destrancada: tudo é tratamento. Segurança física conta como medida de proteção e sua ausência é falha de segurança.

Perguntas frequentes

Preciso registrar minha empresa na ANPD?

Não existe cadastro obrigatório prévio de empresas na ANPD. Não há taxa, licença nem certificado oficial de conformidade LGPD. Se alguém oferece “registro na ANPD” mediante pagamento, desconfie. O contato com a autoridade acontece em situações específicas: comunicação de incidente de segurança, resposta a petição de titular ou procedimento de fiscalização. Também não existe “selo oficial de LGPD” emitido pelo governo. Certificações privadas podem ter valor comercial, mas não substituem a adequação real nem garantem imunidade a sanção.

Meu contador tem acesso aos dados dos meus funcionários. Quem responde se vazar?

Em regra, os dois. Você é controlador (decide o tratamento) e o contador atua como operador (trata em seu nome). Os arts. 42 e 43 da LGPD preveem responsabilidade solidária em diversas hipóteses, e a sua defesa depende de ter contrato escrito com cláusula de proteção de dados e de ter exigido medidas de segurança. Sem contrato, você fica sozinho com o problema. Peça ao escritório contábil um termo com cláusula de confidencialidade e de responsabilidade por incidentes.

Posso recusar o pedido de exclusão de dados de um cliente?

Pode, em hipóteses previstas. A eliminação não é absoluta: você deve manter dados necessários ao cumprimento de obrigação legal ou regulatória (nota fiscal, obrigação fiscal, registros trabalhistas) e pode conservar o necessário ao exercício regular de direitos, inclusive em processo. O que não se admite é recusar sem explicação. Responda formalmente, diga qual dado será eliminado, qual será conservado e com que fundamento. A resposta documentada é sua proteção se o titular reclamar depois na ANPD ou em juízo.

Fechei a empresa. O que faço com os dados que guardei?

Encerramento de atividade não autoriza abandono de base de dados. A LGPD prevê a eliminação dos dados após o término do tratamento, ressalvada a conservação exigida por lei. Na prática: descarte com segurança o que não há obrigação de manter (destruição física de papel, exclusão definitiva de arquivos e backups), e mantenha sob guarda controlada o que a legislação fiscal e trabalhista obriga a preservar por prazo determinado. Entregar a base de clientes a terceiro sem base legal, ou vendê-la, é tratamento ilícito.

Cliente ameaçou me processar por causa de dados. O que faço primeiro?

Antes de responder qualquer coisa, preserve a prova. Salve as mensagens, os prints, a data exata do pedido original dele e o histórico do que você fez. Depois, verifique se há pedido de titular pendente e cumpra o que for devido, porque cessar a irregularidade antes de procedimento sancionador é atenuante expressa no Regulamento de Dosimetria da ANPD. Não apague registros para “limpar” a situação: destruição de evidência agrava muito a posição da empresa. Só então estruture a resposta jurídica.

Se eu só uso dados de pessoa jurídica, a LGPD se aplica?

Dados de CNPJ, como razão social e endereço fiscal, não são dados pessoais. Mas quase nenhuma operação B2B é só isso. No momento em que você guarda nome, e-mail e celular do comprador, do sócio ou do funcionário da empresa cliente, você está tratando dado pessoal e a LGPD incide. Empresas que vendem apenas para outras empresas costumam se surpreender com isso, porque mantêm bases de contatos comerciais extensas, muitas vezes adquiridas de terceiros, situação sem base legal defensável.

Como adequar sua empresa à LGPD a partir de agora

O próximo passo é físico e cabe em uma tarde. Abra uma planilha e liste, linha por linha, cada lugar onde sua empresa guarda dado de pessoa: planilhas, sistema de gestão, WhatsApp, formulário do site, câmera, pasta de funcionários, contador. Na coluna ao lado, escreva por que guarda. Na terceira, por quanto tempo.

Depois junte três documentos: essa planilha, os contratos com quem acessa sua base e o texto da política de privacidade que está publicada hoje. Se você já recebeu pedido de titular, notificação da ANPD ou reclamação por escrito, esse papel é a peça mais importante do conjunto, porque é dele que sai o prazo que está correndo.

Quando você manda mensagem, a gente lê esses documentos e diz, de forma objetiva, quais obrigações se aplicam à sua empresa pelo seu porte e tipo de tratamento, onde está a exposição maior e qual é o caminho, antes de qualquer contratação.