Checklist LGPD para escolher CRM no Brasil (2026): itens essenciais

Checklist LGPD para escolher CRM no Brasil antes de assinar contrato

Resposta rápida: Para escolher um CRM com menos risco de dor de cabeça na LGPD, valide três coisas antes de olhar recursos: (1) papéis e contrato (controlador/operador e DPA), (2) segurança operacional (acesso, logs, backup, criptografia), e (3) ciclo de vida do dado (retenção, exportação e exclusão). Sem isso, “pipeline bonito” vira passivo jurídico e operacional.

· espaço publicitário ·

Em resumo

CRM quase sempre atua como OPERADOR; sua empresa segue como CONTROLADORA — isso precisa estar refletido no contrato.
Sem DPA/ANEXO DE TRATAMENTO e lista de suboperadores, você perde rastreabilidade de onde os dados passam.
Integrações (WhatsApp, e-mail, discador, automação) multiplicam risco: peça mapa de dados e eventos.
O mínimo prático: controle de acesso por função, 2FA, logs auditáveis, backup testado, política de retenção e exclusão.
Garanta portabilidade: exportação completa e legível (não só PDF), incluindo histórico de atividades quando aplicável.

1) Defina o que é dado pessoal no seu funil (antes do CRM)
Liste quais campos você realmente precisa (nome, e-mail, telefone, cargo, empresa, mensagens, gravações, documentos, notas). Menos coleta = menos risco. Se o time coloca “observações” com informações sensíveis, crie regra clara e treine: CRM não é prontuário nem bloco de anotações sem controle.
2) Confirme papéis (controlador x operador) e formalize em contrato
Na prática brasileira, o CRM costuma operar dados em seu nome (operador), e sua empresa decide finalidade/meios (controladora). Peça cláusulas objetivas sobre: finalidades do tratamento, instruções, confidencialidade, suporte ao atendimento de titulares, e o que acontece no término do contrato (devolução/eliminação).
3) Exija DPA (aditivo/anexo de tratamento) e a lista de suboperadores
O DPA deve cobrir medidas de segurança, prazos de retenção, locais de hospedagem (quando informado), uso de suboperadores e como você será notificado sobre mudanças. Suboperadores típicos: infraestrutura de nuvem, envio de e-mail, mensageria, analytics, suporte. Sem transparência, fica impossível mapear risco.
4) Faça a checagem de segurança que o time consegue sustentar
Pergunte o que você vai usar no dia a dia: 2FA, SSO (se tiver), política de senha, perfis/permissões, restrição por IP (se existir), logs de auditoria, trilha de alterações, e segregação por equipes. Segurança “premium” que ninguém liga ou configura não protege nada.
5) Valide backups, restauração e continuidade de negócio
Não basta “tem backup”. Peça como funciona a restauração (processo, janela, responsabilidades) e o que entra no backup (anexos? registros de atividades? configurações?). Se possível, simule um cenário simples: “apagamos um pipeline por engano; como recupera e em quanto tempo?”. Se não houver resposta clara, sinal amarelo.
6) Revise retenção, exportação e exclusão (portabilidade real)
Peça: (a) exportação completa em formato útil (CSV/JSON, por exemplo), (b) como exportar histórico de interações/atividades, (c) como excluir definitivamente um contato e suas evidências, e (d) prazos de retenção pós-cancelamento. Isso protege você em auditorias e facilita migração sem refém de fornecedor.
7) Mapeie integrações e “onde o dado escapa”
Cada integração abre um caminho: WhatsApp, e-mail (Gmail/Outlook), telefonia/VoIP, formulários, automação de marketing, chat. Para cada uma, registre: quais dados entram/saem, quem é controlador/operador, e se há consentimento/base legal aplicável. Em WhatsApp, confirme se é API oficial e quais metadados ficam registrados.
8) Combine governança: acesso, treinamento e incidentes
Crie regra de acesso mínimo (least privilege) e rotina de desligamento (revogar usuário no mesmo dia). Defina um responsável interno para incidentes e um canal para requisições de titulares. Pergunte ao fornecedor como notifica incidentes e quais informações fornece (impacto, dados envolvidos, medidas tomadas).

Perguntas frequentes

CRM é controlador ou operador na LGPD?

Na maioria dos casos, o CRM atua como operador (trata dados por instrução do cliente) e sua empresa é a controladora (define finalidade e meios). Mas isso pode mudar conforme o serviço (ex.: enriquecimento de dados, prospecção, bases de terceiros). O ponto é: o contrato precisa refletir a realidade do uso.

Posso guardar conversa de WhatsApp e gravação de ligação dentro do CRM?

Pode, desde que haja base legal adequada, transparência e controle de acesso. Conversas e gravações tendem a aumentar risco (conteúdo sensível e contexto). Defina política: quem acessa, por quanto tempo fica retido, como excluir, e como responder solicitações de titulares. Se possível, evite anexar documentos desnecessários.

Quais perguntas mínimas devo fazer ao fornecedor do CRM sobre LGPD?

Peça: (1) DPA e lista de suboperadores, (2) como funcionam logs/auditoria e perfis de acesso, (3) backup e restauração, (4) exportação e exclusão definitiva, (5) procedimento de notificação de incidentes, e (6) como o fornecedor apoia atendimento de titulares (acesso, correção, exclusão).

O CRM precisa ter servidor no Brasil para estar “adequado à LGPD”?

Não necessariamente. A LGPD permite transferência internacional desde que existam salvaguardas e transparência. O mais relevante é: cláusulas contratuais, medidas de segurança, rastreabilidade de suboperadores, e sua capacidade de governar retenção/exportação/exclusão. Se sua empresa tem requisito interno/regulatório, aí a localização pode virar critério decisivo.

Checklist LGPD para escolher CRM no Brasil (2026): o que validar antes de assinar

1) Defina o que é dado pessoal no seu funil (antes do CRM)

2) Confirme papéis (controlador x operador) e formalize em contrato

3) Exija DPA (aditivo/anexo de tratamento) e a lista de suboperadores

4) Faça a checagem de segurança que o time consegue sustentar

5) Valide backups, restauração e continuidade de negócio

6) Revise retenção, exportação e exclusão (portabilidade real)

7) Mapeie integrações e “onde o dado escapa”

8) Combine governança: acesso, treinamento e incidentes

Perguntas frequentes

Leia também

Como escolher um CRM em 2026: checklist honesto antes de assinar qualquer um

O que é integração CRM? Vantagens, tipos e exemplos práticos

CRM com WhatsApp API oficial em 2026: checklist honesto de escolha (custos, riscos e integrações)

Como migrar de CRM sem perder histórico (roteiro + checklist prático em 2026)