Software LGPD: como escolher uma plataforma de gestão de privacidade

Quem começa a comparar softwares LGPD costuma montar uma tabela de funcionalidades: mapeamento de dados, RIPD, direitos dos titulares, incidentes, cookies. Depois de três ou quatro demonstrações, quase todos os fornecedores marcam as mesmas caixas, e a decisão acaba sendo tomada pelo preço ou pela apresentação mais convincente.

A diferença entre um sistema de gestão LGPD que ajuda e um que vira mais uma tarefa aparece em detalhes que a tabela não mostra: como as informações se relacionam, o que fica registrado quando alguém muda um dado, quem consegue ver o quê, quanto trabalho dá manter tudo atualizado e o que acontece com os seus registros se o contrato acabar.

Este guia reúne os critérios que costumam pesar nessa escolha, as perguntas que vale fazer ao fornecedor, um roteiro para a demonstração e um checklist final. Ele serve para avaliar qualquer plataforma, inclusive a LGPD Cloud, que aparece no fim do texto. Se a sua dúvida ainda é se vale a pena sair da planilha, o artigo sobre o fim das planilhas na LGPD trata desse momento. Aqui a premissa é que a decisão de avaliar uma ferramenta já foi tomada.

O erro mais comum é começar pelas funcionalidades do fornecedor, e não pela própria operação. Uma empresa com 30 atividades de tratamento, poucos pedidos de titulares por ano e um encarregado externo tem necessidades bem diferentes de um e-commerce que recebe pedidos toda semana ou de uma consultoria que atende dezenas de clientes.

Antes de agendar a primeira demonstração, responda internamente a algumas perguntas. Quantas áreas vão alimentar o mapeamento? Quem vai usar o sistema no dia a dia: só o encarregado ou também gestores de RH, TI e atendimento? Há dados sensíveis ou de crianças e adolescentes? Quantos fornecedores tratam dados em nome da empresa? E, principalmente, onde a rotina trava hoje: no mapeamento desatualizado, nos pedidos de titulares que se perdem no e-mail, na avaliação de fornecedores ou na falta de histórico das decisões?

Com essas respostas, separe o que é indispensável do que seria bom ter. Essa lista curta vira o critério de corte. Um fornecedor que não resolve bem os três ou quatro pontos que mais pesam na sua rotina não deveria avançar só porque oferece mais módulos.

Alguns módulos respondem a obrigações que quase toda empresa tem. Outros dependem do tipo de operação. Vale separar os dois grupos para não pagar por recursos que ninguém vai usar.

Outros recursos fazem sentido conforme o caso. Uma plataforma de gestão de consentimento de cookies (CMP) só é relevante se a empresa tem site ou aplicativo com ferramentas de terceiros, como analytics e pixels de publicidade. Um módulo de consentimentos pesa quando o consentimento é a base legal de tratamentos importantes, como comunicações de marketing. Controle de eliminação de dados, gestão de riscos e simulação de phishing ajudam programas mais maduros, mas raramente são o ponto de partida.

Dois produtos podem ter um item chamado RIPD. Em um deles, é um formulário de texto livre que gera um PDF. No outro, o relatório fica ligado à atividade de tratamento e tem matriz de riscos, medidas de controle, risco residual, versões e registro de aprovação. Os dois marcam a mesma caixa na tabela comparativa, mas só o segundo ajuda na revisão do ano seguinte.

O mesmo vale para as relações entre registros. Na demonstração, peça para ver o caminho inverso: a partir de um fornecedor, quais atividades de tratamento dependem dele; a partir de uma atividade, quais avaliações, incidentes e pedidos de titulares estão ligados a ela. Se a resposta exige exportar dados e cruzar tudo em uma planilha, o software não está fazendo a parte que mais economiza tempo.

A LGPD inclui entre seus princípios a responsabilização e a prestação de contas: a empresa precisa conseguir demonstrar as medidas que adotou e a eficácia delas (art. 6º, X). Na aplicação de sanções, a lei também considera a adoção reiterada e demonstrada de procedimentos internos e de política de boas práticas e governança (art. 52, § 1º, VIII e IX). Na prática, o valor de um software LGPD está menos no que ele permite preencher e mais no que ele permite mostrar depois.

Durante a avaliação, confira se o sistema registra quem criou ou alterou cada informação e quando, e se políticas e relatórios têm versões numeradas com a descrição do que mudou. Veja também se as aprovações guardam data e responsável, se é possível anexar documentos que comprovem uma ação (um contrato assinado, um relatório de exclusão, um print) e se os registros antigos continuam acessíveis depois que um processo é encerrado. Pergunte também como o histórico é protegido: uma trilha de alterações que qualquer administrador pode editar vale pouco como prova. O guia sobre como organizar evidências de conformidade com a LGPD detalha que tipo de registro costuma servir para isso.

Uma plataforma de gestão de privacidade guarda informações delicadas. Nela ficam nomes e contatos de titulares que fizeram pedidos, detalhes de incidentes, avaliações de fornecedores, contratos e, muitas vezes, a descrição das fragilidades da própria empresa. A LGPD exige que os sistemas usados no tratamento de dados pessoais atendam a requisitos de segurança e de boas práticas (art. 49). A ferramenta escolhida não pode virar um novo ponto de exposição.

Na contratação típica de um software em nuvem, o fornecedor trata esses dados em nome da empresa e tende a ser enquadrado como operador, que deve seguir as instruções do controlador (art. 39). A classificação depende do contrato e do uso que o fornecedor faz das informações, mas, em qualquer caso, o fornecedor deve passar pela mesma avaliação aplicada aos outros terceiros. O guia de due diligence LGPD traz o método completo. Para um software de privacidade, estas perguntas fazem diferença:

O aviso de incidentes merece atenção especial. Quando um incidente pode causar risco ou dano relevante aos titulares, a Resolução CD/ANPD nº 15/2024 dá ao controlador três dias úteis para comunicar o incidente à ANPD e aos titulares. Se o fornecedor demora a avisar, a empresa perde tempo para avaliar o caso e agir. Por isso, o contrato deve prever um aviso rápido. Se os dados saírem do Brasil, a transferência precisa se apoiar em uma das hipóteses do art. 33 da LGPD, como as cláusulas-padrão contratuais da Resolução CD/ANPD nº 19/2024 ou a adequação reconhecida para a União Europeia pela Resolução CD/ANPD nº 32/2026.

Certificações e normas técnicas ajudam, mas precisam ser lidas com cuidado. Se o fornecedor informa uma certificação ISO/IEC 27001, confira se o escopo cobre o serviço que você vai contratar. Se ele diz que o produto foi desenvolvido com base em normas como ISO/IEC 27001 e ISO/IEC 27701, o que é diferente de ser certificado, pergunte como isso aparece nos controles do dia a dia. Nos dois casos, a resposta útil é específica: quais controles existem, onde se aplicam e como são verificados.

Para consultorias e profissionais que atuam como encarregado de várias empresas, a avaliação ganha outra camada. A rotina de quem administra uma carteira de clientes está no artigo sobre LGPD para consultores. Na hora de comprar, os pontos que mais pesam são poucos e objetivos. Cada cliente precisa ter um ambiente próprio, sem risco de um documento ou pedido de titular aparecer no lugar errado. O consultor deve alternar entre clientes sem trocar de conta. Os usuários do cliente devem enxergar apenas o próprio ambiente. E deve existir uma visão consolidada da carteira que não exponha o conteúdo de um cliente a outro.

Há também questões comerciais que só aparecem nesse cenário. Como o preço escala quando entra um cliente novo? O ambiente de um cliente pode ser exportado ou encerrado sem afetar os outros? Se o cliente decidir, no futuro, contratar a plataforma diretamente, os registros podem ser transferidos? Relatórios como o RoPA e o RIPD saem prontos por cliente ou precisam ser montados à mão?

Um software que ninguém alimenta envelhece tão rápido quanto uma planilha esquecida. Por isso, pergunte como os dados iniciais entram no sistema. Existe importação a partir do mapeamento atual? Há modelos de questionários e documentos para não começar do zero? Quem faz a carga inicial: a sua equipe, o fornecedor ou um consultor?

Observe a experiência de quem não é especialista. Em muitas empresas, quem responde sobre os dados do RH é o gestor de RH, não o encarregado. Se a tela exige vocabulário jurídico ou dez campos obrigatórios para registrar uma mudança simples, a área vai adiar a atualização. Pense também no titular: o formulário de pedidos precisa ser claro, em português e fácil de usar no celular.

Avalie o suporte com perguntas objetivas: por quais canais ele funciona, em que horário, com qual prazo de resposta e se há treinamento incluído. Pergunte o que já existe no produto e trate com cautela o que aparece apenas no roteiro de desenvolvimento. Promessa de funcionalidade futura não resolve a rotina de hoje.

A mensalidade é a parte mais visível do custo, mas nem sempre a maior. Para comparar fornecedores de forma justa, projete o gasto de pelo menos dois ou três anos e inclua tudo o que for necessário para o sistema funcionar na sua realidade.

Entram nessa conta a forma de cobrança (por empresa, por usuário, por módulo ou por CNPJ), a taxa de implantação, a migração dos registros atuais, o treinamento, os módulos adicionais que você provavelmente vai precisar no segundo ano e o índice de reajuste. Some também as horas da equipe interna. Um sistema mais barato que exige o dobro de tempo para ser mantido atualizado pode sair mais caro no fim do período.

Existe ainda o custo de saída, que quase ninguém calcula na compra. Se um dia a empresa trocar de fornecedor, precisa levar consigo o mapeamento, o histórico de pedidos de titulares, os registros de incidentes e as evidências. Confirme no contrato que haverá exportação completa, em formato que possa ser aberto fora da ferramenta, e em que prazo. Lembre que o registro de incidentes deve ser mantido por no mínimo cinco anos, mesmo que a ferramenta mude nesse período. Para a visão do investimento como um todo, veja o artigo sobre quanto custa adequar uma empresa à LGPD.

Demonstrações genéricas mostram o melhor caminho do produto. Para comparar de verdade, envie o mesmo roteiro a todos os fornecedores com alguns dias de antecedência e peça que cada cenário seja feito ao vivo, com dados fictícios parecidos com os seus:

Se possível, peça um período de teste com um recorte real: uma área, cinco ou seis atividades e um pedido de titular simulado. Duas semanas de uso mostram mais sobre a ferramenta do que qualquer apresentação comercial.

Depois das demonstrações, use as perguntas abaixo para comparar os finalistas lado a lado. Cada resposta deve vir de algo que você viu funcionando no produto ou leu no contrato, e não apenas da apresentação comercial.

A LGPD Cloud é uma plataforma de gestão de privacidade desenvolvida com base nas normas ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 29100 e ISO 31000, o que não é o mesmo que ser certificada. Ela reúne Mapeamento de Dados (RoPA), RIPD, LIA, Gestão de Incidentes, Direito dos Titulares, Eliminação de Dados, Gestão de Consentimentos, Cookie Consent, Políticas e Normas, Due Diligence, Gestão de Contratos, Gestão de Riscos e Simulação de Phishing. Como qualquer fornecedor, ela deve passar pelo roteiro deste guia. Alguns exemplos do que você vai encontrar ao aplicá-lo:

O RIPD e a LIA ficam vinculados à atividade de tratamento do mapeamento. O RIPD tem versão, status, matriz de riscos, medidas de controle, risco residual e aprovação com data, responsável e cargo. Cada risco registrado indica a origem, como um incidente, uma due diligence, o inventário de dados ou um RIPD, e as tarefas ficam ligadas ao registro que as gerou, com responsável, prazo e prioridade.

No atendimento aos titulares, a pessoa abre o pedido por um canal próprio e confirma o e-mail, e a equipe acompanha protocolo, prazo com pausa e retomada e o histórico completo de mensagens e anexos. As políticas têm versões numeradas com a descrição das mudanças, aprovação e data da próxima revisão. Na due diligence, o questionário vai ao fornecedor por link, as evidências enviadas são validadas e a decisão fica registrada com plano de ação e reavaliação agendada. Os contratos guardam versões em PDF, fluxo de aprovação e verificação de integridade do arquivo.

Para consultores, a plataforma permite alternar entre os ambientes de vários clientes, cada um isolado por CNPJ, atribuir tarefas e documentos a responsáveis do cliente, acompanhar a evolução da carteira em uma visão executiva e gerar relatórios do RoPA, do RIPD e do inventário de dados. As opções de contratação estão na página de planos.

Escolher um software LGPD é, no fundo, escolher onde a empresa vai registrar as decisões de privacidade nos próximos anos. A lista de módulos importa, mas pesa menos do que três perguntas: a ferramenta resolve o que trava a sua rotina hoje, deixa rastros que podem ser mostrados depois e protege bem os dados que vai guardar?

Defina o problema antes de ver fornecedores, use o mesmo roteiro em todas as demonstrações, leia o contrato com a mesma atenção que dedica às telas e calcule o custo de alguns anos, incluindo o tempo da equipe. Com isso, a comparação deixa de depender da melhor apresentação e passa a refletir o uso real.

Consulte o texto compilado da LGPD, especialmente os artigos 6º, 19, 33, 37, 39, 49 e 52, a Resolução CD/ANPD nº 15/2024, sobre comunicação e registro de incidentes, a Resolução CD/ANPD nº 18/2024, sobre a atuação do encarregado, e a página da ANPD sobre transferência internacional de dados.