LGPD para pequeno comércio: o que muda ao cadastrar clientes

Você anota o celular do cliente para avisar quando a encomenda fica pronta. Meses depois, usa o mesmo número para mandar a promoção do fim de semana. Parece a mesma coisa, mas, para a lei, são dois usos diferentes, e o segundo pede um aceite que talvez você nunca tenha pedido.

É isso que a LGPD muda no balcão. Ela não proíbe cadastrar clientes: exige um motivo para cada uso, transparência e cuidado com os dados. Este resumo explica o essencial para quem cadastra clientes, inclusive num programa de fidelidade, com modelos de aviso e um checklist.

O que é a LGPD, em poucas palavrasLink para esta seção

A LGPD é a Lei Geral de Proteção de Dados Pessoais, a Lei nº 13.709/2018. Ela define regras para quem coleta, guarda e usa dados de pessoas, e vale também para o pequeno comércio.

Na linguagem da lei, tudo o que você faz com um dado é tratamento: coletar, guardar, consultar, compartilhar, apagar, entre outras operações (art. 5º, X). Anotar o celular num caderno já é tratamento. Guardar numa planilha ou num sistema também.

Os pequenos não ficam de fora. Tanto que a Autoridade Nacional de Proteção de Dados (ANPD) criou regras específicas para eles, na Resolução CD/ANPD nº 2/2022, que você vê mais adiante. O que muda é o tamanho das obrigações, não a existência delas.

No dia a dia do balcão, quatro cuidados resumem a ideia: ter um motivo legítimo para cada uso, pedir só o que vai usar, avisar com clareza e atender os pedidos do cliente sobre os próprios dados.

Dado pessoal e dado sensível: qual a diferençaLink para esta seção

Dado pessoal é qualquer informação relacionada a uma pessoa identificada ou identificável, como nome e celular (art. 5º, I). Dado sensível é um tipo especial de dado pessoal, que pede ainda mais cuidado (art. 5º, II).

Pela lei, são sensíveis os dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual e dados genéticos ou biométricos, quando ligados a uma pessoa.

O mesmo tipo de anotação pode ser inofensivo numa padaria e delicado numa clínica. "Cliente diabético", escrito na ficha de uma estética, é dado de saúde. Se não for indispensável para o serviço, não anote.

Controlador, operador e encarregado: quem é quemLink para esta seção

O controlador é quem toma as decisões sobre o tratamento dos dados; o operador trata os dados em nome do controlador (art. 5º, VI e VII). Num programa de fidelidade, o controlador é o seu comércio, e a empresa do sistema costuma ser a operadora.

Isso tem consequência prática. A decisão de pedir data de nascimento, de mandar ofertas ou de apagar um cadastro é sua. O operador trata os dados em nome do comércio.

O encarregado é a pessoa indicada para ser o canal de comunicação entre o controlador, os clientes e a ANPD (art. 5º, VIII). A lei manda o controlador indicar um e divulgar publicamente a identidade e o contato dele (art. 41). Para os pequenos, porém, a regra é mais leve, como você vê a seguir.

Base legal: o motivo que autoriza cada usoLink para esta seção

Todo uso de dado pessoal precisa se apoiar numa das hipóteses do art. 7º da LGPD, as chamadas bases legais. Para o comércio, as mais comuns são a execução de contrato e o consentimento.

Execução de contrato (art. 7º, V): o dado é necessário para cumprir algo que o próprio cliente pediu ou aceitou. Quem entra num programa de fidelidade aceita um regulamento, e, para dar pontos, o comércio precisa identificar a pessoa.

Consentimento (art. 7º, I): a pessoa concorda com um uso específico, de forma livre, informada e inequívoca (art. 5º, XII). É a base mais usada para mandar ofertas e novidades.

Enquadramento comum, não regra fixa. Confirme com um advogado para o seu caso.

O ponto principal: o aceite de ofertas deve ser separado do cadastro. Se o cliente só consegue entrar no programa marcando "aceito receber promoções", o consentimento pode deixar de ser livre. Isso vale também para a mensagem de aniversário para cliente que traz oferta.

O que muda para pequenos negócios: a Resolução CD/ANPD nº 2/2022Link para esta seção

A Resolução CD/ANPD nº 2/2022 criou regras simplificadas para agentes de tratamento de pequeno porte, como microempresas e startups. Eles não precisam indicar encarregado, mas devem manter um canal de comunicação com o titular dos dados.

• Encarregado dispensado, canal obrigatório. No lugar do encarregado, um contato que o cliente consiga usar para falar sobre os próprios dados.
• Prazo em dobro. Os pequenos têm o dobro do prazo para atender pedidos dos titulares.
• Procedimentos simplificados. Algumas obrigações podem ser cumpridas de forma mais simples.

Quem fica de fora dessas regras mais leves: quem faz tratamento de alto risco e quem tem receita acima dos limites da Lei Complementar nº 123/2006. A própria resolução define o que é alto risco. Se o seu negócio lida com dados de saúde, como clínicas e consultórios, confira o enquadramento com um advogado.

O que pedir no cadastro e como guardarLink para esta seção

Peça só o que o programa usa: celular para identificar, nome para chamar o cliente e, se quiser, data de nascimento para o aniversário. CPF, endereço e e-mail ficam de fora se você não precisa deles.

• Celular como identificação; CPF só se houver motivo claro.
• Data de nascimento opcional, dizendo para que serve.
• Aceite de ofertas separado, desmarcado e em linguagem simples.
• Programa para maiores de 18 anos, escrito no regulamento.
• Aviso de privacidade à vista antes do cadastro.
• Lista de clientes fora de grupos de WhatsApp da equipe e de fotos no celular.
• Acesso ao cadastro só para quem precisa, com senha individual.
• Nada de vender, emprestar ou trocar a lista de clientes.
• Quem pediu para sair, sai: pare de enviar mensagens e apague o que não precisa guardar.

Se você usa um sistema, pergunte onde ficam os dados, quem acessa, se dá para exportar a base e como apagar um cliente. Outras perguntas estão no checklist para escolher um sistema de fidelidade. E, se ainda está desenhando o programa de fidelidade, decida os dados junto com as regras de pontos.

Modelo de aviso de privacidade e de aceite de ofertasLink para esta seção

O aviso de privacidade conta, em linguagem simples, quais dados você pede, para quê, com quem compartilha e como o cliente pede acesso, correção ou exclusão. O aceite de ofertas é uma frase à parte, que o cliente pode deixar de marcar.

Quem não marcar a caixa continua no programa normalmente, juntando pontos e trocando recompensas. Só não recebe ofertas. Para separar no celular do comércio quem aceitou, recursos do WhatsApp Business, como etiquetas, ajudam; os passos exatos estão na Central de Ajuda do WhatsApp.

Como atender um pedido de acesso, correção ou exclusãoLink para esta seção

O art. 18 da LGPD lista o que o cliente pode pedir ao controlador sobre os próprios dados. Tenha um jeito simples de receber o pedido, confirme que é a própria pessoa e responda sem burocracia.

Entre os direitos do titular estão:

• confirmação de que você trata dados dele;
• acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• portabilidade dos dados;
• eliminação dos dados tratados com consentimento, com as exceções previstas na lei;
• informação sobre com quem os dados foram compartilhados;
• informação sobre a possibilidade de não dar o consentimento e o que acontece se não der;
• revogação do consentimento.

1. Receba pelo canal combinado. WhatsApp ou e-mail do comércio, como diz o aviso.
2. Confirme a identidade. Por exemplo, o pedido vem do próprio celular cadastrado.
3. Avise as consequências. Se a exclusão apaga o saldo de pontos, diga isso antes.
4. Faça o que foi pedido. Corrija, exporte ou exclua, e pare os envios de ofertas.
5. Responda por escrito e registre. Data do pedido, o que foi feito e quando.

Os pequenos têm prazo em dobro para atender, mas não espere o prazo acabar. Responder rápido evita que um pedido simples vire reclamação.

Onde o Fidelizow entraLink para esta seção

No Fidelizow, o comércio é o controlador dos dados do programa, e o Fidelizow é o operador. O cliente é identificado pelo celular, e o CPF não é pedido.

O painel separa quem aceitou receber ofertas: os textos prontos para abrir no WhatsApp do próprio comércio aparecem só para esses clientes, e a pessoa da equipe revisa e envia. A base de clientes pode ser exportada em CSV.

O que nenhum sistema faz sozinho: decidir quais dados o seu comércio pede, escrever o aviso de privacidade, atender os pedidos dos clientes e orientar a equipe. Essas responsabilidades continuam com o comércio, de preferência com a orientação de um advogado.

Próximo passo: veja como o Fidelizow funciona no balcão ou compare os planos e preços.