A transformação digital ampliou a capacidade das empresas de vender, atender e analisar informações. Ao mesmo tempo, aumentou a responsabilidade sobre os dados pessoais armazenados em sistemas ERP, plataformas de vendas, ferramentas financeiras e integrações com delivery. Nesse cenário, a adequação à Lei Geral de Proteção de Dados Pessoais, a LGPD, deixou de ser apenas uma preocupação jurídica e passou a fazer parte da gestão operacional.
Um ERP concentra informações valiosas, como nome, CPF, telefone, endereço, e-mail, histórico de compras, dados de faturamento e registros de atendimento. Quando esses dados são acessados sem controle, mantidos por tempo indefinido ou compartilhados sem critérios, a empresa fica exposta a incidentes, reclamações e sanções administrativas.
O que a LGPD muda na rotina do ERP
A LGPD estabelece regras para o tratamento de dados pessoais realizado por empresas públicas e privadas. Tratamento é um conceito amplo: inclui coletar, registrar, armazenar, consultar, utilizar, compartilhar e eliminar informações. Portanto, a simples existência de cadastros de clientes dentro do ERP já exige governança e controles adequados.
A empresa precisa saber quais dados coleta, por que precisa deles, onde estão armazenados, quem pode acessá-los e com quais terceiros são compartilhados. Também deve demonstrar que utiliza uma base legal válida para cada finalidade. Entre as bases previstas estão o cumprimento de obrigação legal, a execução de contrato, o legítimo interesse e o consentimento, quando aplicável.
Na prática, a pergunta não é apenas se o ERP possui um campo para CPF ou telefone. É necessário avaliar se o dado é realmente necessário para a operação, se o cliente foi informado sobre seu uso e se existem mecanismos para corrigir, consultar ou excluir informações quando houver fundamento para isso.
Mapeie os dados antes de configurar controles
O primeiro passo de um projeto de adequação é realizar um inventário dos dados pessoais. O levantamento deve incluir o ERP e todos os sistemas que trocam informações com ele, como plataformas de e-commerce, aplicativos de delivery, gateways de pagamento, CRM, ferramentas de marketing, transportadoras e escritórios contábeis.
Para cada fluxo, registre pelo menos:
- quais dados pessoais são coletados e em qual etapa do processo;
- qual é a finalidade do tratamento e qual base legal se aplica;
- quem é o responsável pela decisão sobre o uso dos dados;
- quais usuários, setores e fornecedores acessam as informações;
- onde os dados ficam armazenados e por quanto tempo;
- quais riscos existem em caso de acesso indevido, perda ou vazamento.
Esse mapeamento ajuda a diferenciar dados necessários para emitir uma nota fiscal daqueles usados apenas para campanhas promocionais. Também revela cópias desnecessárias, planilhas paralelas e integrações antigas que continuam recebendo informações sem uma finalidade clara.
Controle de acesso: cada usuário deve ver apenas o necessário
Um dos riscos mais comuns em ambientes ERP é o excesso de permissões. Usuários que atuam no caixa, no estoque, no financeiro ou no suporte não precisam necessariamente visualizar todos os dados disponíveis no sistema. A política de acesso deve seguir o princípio do menor privilégio: cada pessoa acessa somente os recursos necessários para sua função.
Para aplicar esse princípio, crie perfis por área e revise as permissões periodicamente. Evite usuários compartilhados, exija senhas fortes e implemente autenticação multifator sempre que o ERP ou o provedor oferecer esse recurso. O desligamento de um colaborador também deve gerar o bloqueio imediato de suas credenciais, inclusive em integrações e serviços externos.
Outro controle importante é o registro de logs. O sistema deve permitir identificar quem consultou, alterou, exportou ou excluiu determinado dado. Logs bem configurados apoiam auditorias, investigações de incidentes e comprovação de que a empresa possui medidas de segurança compatíveis com seu porte e com os riscos envolvidos.
Segurança técnica dentro e fora do sistema
A proteção não depende apenas do ERP. Computadores sem atualização, contas de e-mail comprometidas, arquivos enviados sem criptografia e dispositivos móveis desprotegidos também podem expor dados. Por isso, a segurança precisa ser tratada como um conjunto de camadas.
- mantenha o ERP, o banco de dados e os sistemas operacionais atualizados;
- utilize criptografia em conexões e, quando possível, também nos dados armazenados;
- faça backups automatizados, testando regularmente a restauração;
- restrinja exportações para planilhas e arquivos locais;
- proteja APIs com autenticação, tokens seguros e limitação de acesso;
- monitore tentativas de login, alterações de perfil e movimentações incomuns;
- separe ambientes de produção, homologação e testes, evitando dados reais sem necessidade.
Em integrações com delivery, por exemplo, o ERP deve receber somente os dados necessários para processar o pedido, faturar, separar e entregar. Se o endereço completo do cliente não for necessário para determinada etapa, não faz sentido disponibilizá-lo a todos os usuários ou sistemas envolvidos.
Privacidade desde a configuração do processo
A LGPD recomenda uma abordagem preventiva. Isso significa incorporar privacidade e segurança desde a criação de um novo processo, produto ou integração, em vez de tentar corrigir falhas depois que o sistema já está em produção. Esse conceito é conhecido como privacidade desde a concepção, ou privacy by design.
Ao criar um cadastro no ERP, avalie se todos os campos são indispensáveis. Ao desenvolver um relatório, questione se é preciso exibir o CPF completo ou se os últimos dígitos já são suficientes. Em campanhas de marketing, separe a autorização para receber comunicações da execução da compra. A minimização reduz a exposição e torna a operação mais simples.
Também é importante definir uma política de retenção. Dados não devem permanecer indefinidamente apenas porque o sistema permite. A empresa deve estabelecer prazos conforme a finalidade, obrigações fiscais, regras contábeis, contratos e necessidades de defesa em processos. Ao final do período aplicável, os dados devem ser eliminados, anonimizados ou bloqueados, de acordo com a situação.
Direitos dos titulares e atendimento organizado
Os clientes podem solicitar informações sobre o tratamento de seus dados e, em determinadas situações, pedir correção, eliminação, portabilidade, revisão de informações ou revogação do consentimento. O atendimento precisa ser estruturado para verificar a identidade do solicitante, localizar os registros corretos e responder de forma documentada.
O ERP pode facilitar esse trabalho quando possui pesquisa centralizada, histórico de alterações e recursos de exportação controlada. Porém, nem toda solicitação deve ser atendida com exclusão imediata. Dados necessários para cumprir uma obrigação legal ou preservar direitos da empresa podem exigir retenção, bloqueio ou anonimização. A análise deve envolver as áreas responsáveis por privacidade, jurídico, fiscal e tecnologia.
Defina um canal oficial para solicitações, responsáveis internos e prazos de resposta. Evite que pedidos sejam tratados informalmente por mensagens pessoais ou que cada unidade da empresa adote um procedimento diferente.
Fornecedores e integrações também fazem parte do risco
Mesmo quando o ERP possui bons controles, um fornecedor pode criar uma vulnerabilidade. Contratos com empresas de nuvem, suporte, desenvolvimento, marketing, meios de pagamento e delivery devem indicar responsabilidades, finalidades, medidas de segurança, confidencialidade e procedimentos para incidentes.
Na relação entre as partes, é importante esclarecer quem atua como controlador e quem atua como operador. O controlador toma as decisões sobre o tratamento, enquanto o operador trata os dados conforme as instruções recebidas. Essa definição ajuda a organizar responsabilidades, mas não elimina a necessidade de acompanhar a atuação do parceiro.
Antes de contratar uma integração, avalie certificações, localização dos dados, subcontratados, política de retenção, suporte a logs, controles de acesso e processo de comunicação de incidentes. O menor preço não deve ser o único critério quando o serviço terá acesso a dados de clientes e transações.
Como agir diante de um incidente
Um incidente pode ocorrer por ataque, erro humano, envio equivocado, perda de dispositivo, credencial roubada ou falha de configuração. O pior cenário é descobrir o problema e não saber quem deve agir. Por isso, a empresa precisa de um plano de resposta testado e conhecido pelas equipes.
- identifique e contenha o incidente, preservando evidências;
- avalie quais sistemas e dados foram afetados;
- corrija a causa, revogue credenciais e aplique medidas emergenciais;
- registre data, impacto, decisões e responsáveis;
- avalie a necessidade de comunicação à Autoridade Nacional de Proteção de Dados e aos titulares, conforme a legislação e a regulamentação aplicáveis;
- realize uma análise posterior para evitar recorrência.
Segurança não é um projeto que termina com a implantação do ERP. É um processo contínuo de prevenção, monitoramento, resposta e melhoria.
Multas e reputação: o custo de não se adequar
A ANPD pode aplicar sanções administrativas previstas na LGPD, incluindo advertência, bloqueio ou eliminação de dados e multa simples de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, conforme os critérios legais. A penalidade financeira não é o único impacto possível.
Um vazamento pode interromper operações, gerar custos com investigação, suporte, comunicação e recuperação, além de provocar perda de confiança. Para pequenos negócios, a exposição pública de dados pode comprometer relacionamentos construídos durante anos. Investir em controles preventivos costuma ser mais econômico do que lidar com as consequências de um incidente.
Checklist de adequação do ERP
Para transformar a conformidade em rotina, utilize um checklist simples e atualizável:
- inventariar dados e integrações;
- definir finalidades e bases legais;
- revisar campos obrigatórios e reduzir coletas excessivas;
- configurar perfis de acesso e autenticação multifator;
- ativar logs, backups e alertas de segurança;
- estabelecer prazos de retenção e descarte;
- documentar fornecedores e contratos;
- criar canal para solicitações dos titulares;
- treinar colaboradores contra phishing, compartilhamento indevido e uso de senhas;
- testar o plano de resposta a incidentes pelo menos periodicamente.
Conclusão
O ERP pode ser um importante aliado da LGPD quando centraliza informações, registra operações e permite aplicar regras de acesso. Contudo, tecnologia sozinha não garante conformidade. É necessário combinar configuração adequada, processos claros, contratos, treinamento e acompanhamento contínuo.
Ao mapear os dados, limitar permissões, proteger integrações e preparar a resposta a incidentes, a empresa reduz riscos e ganha mais controle sobre sua operação. O resultado vai além de evitar multas: melhora a qualidade dos cadastros, fortalece a confiança dos clientes e cria uma base mais segura para crescer com eficiência.