Por que a LGPD impõe desafios específicos para CDPs

CDPs são projetados para centralizar dados pessoais de fontes diversas — CRM, e-commerce, aplicativos, interações offline — e construir um perfil unificado do cliente. Essa centralização, que é a principal proposta de valor da tecnologia, também amplia significativamente a superfície de risco regulatório sob a LGPD.

A lei exige que cada operação de tratamento de dados tenha uma base legal clara e uma finalidade definida. Em um CDP, onde dados de origens distintas são combinados para gerar insights e acionar automações, garantir que cada dado tenha base legal adequada para cada uso downstream é um desafio real de arquitetura, não apenas de compliance.

A distinção entre dados pessoais comuns e dados sensíveis também impacta o modelo de coleta. Dados de saúde, origem racial, convicções religiosas e biometria exigem consentimento específico e destacado, com controles mais rígidos. Um CDP que não distingue essas categorias no nível da plataforma obriga a equipe a gerenciar essas restrições manualmente, aumentando o risco de falha.

Um ponto frequentemente negligenciado é o papel jurídico do CDP na relação com os dados. Dependendo do contexto, a empresa que opera a plataforma pode ser controladora (define as finalidades), operadora (processa dados por conta de outra empresa) ou ambas simultaneamente. Essa definição afeta obrigações contratuais, responsabilidades em caso de incidente e a forma como os DPAs precisam ser redigidos.

Requisitos da LGPD que todo CDP deve suportar tecnicamente

Gestão de consentimento granular

O CDP precisa registrar não apenas se o titular consentiu, mas o que ele consentiu, quando, por qual canal e para qual finalidade específica. O histórico de consentimento deve ser auditável e recuperável por titular individual. Opt-ins genéricos do tipo “aceito receber comunicações” não são suficientes quando o dado é usado para segmentações avançadas ou compartilhado com parceiros de mídia.

Direitos dos titulares

A LGPD garante ao titular o direito de acessar seus dados, solicitar portabilidade e exigir exclusão. O CDP deve suportar a execução desses direitos de forma automatizável. Uma exclusão manual que depende de intervenção técnica em múltiplos sistemas é inviável na escala que a legislação exige e no prazo de 15 dias estabelecido para atendimento.

Minimização e ciclo de vida dos dados

O princípio da minimização determina que apenas os dados estritamente necessários para a finalidade declarada sejam coletados. O CDP deve permitir configurar quais campos são ingeridos por fonte, bloqueando coleta de atributos não justificados. A plataforma também deve suportar configuração de TTL (time-to-live) por categoria de dado, descartando automaticamente informações após o prazo de retenção definido na política interna.

Logs de auditoria e rastreabilidade

Toda operação de acesso, processamento ou exportação de perfis deve ser registrada com identificação do usuário ou sistema responsável, timestamp e finalidade. Esses logs são essenciais tanto para responder a solicitações de titulares quanto para demonstrar conformidade em caso de fiscalização pela ANPD.

Critérios técnicos para avaliar conformidade de um CDP com a LGPD

Módulo de gestão de consentimento

Avalie se o CDP possui um módulo nativo de Consent Management Platform (CMP) ou integração certificada com soluções especializadas. A integração precisa ser bidirecional: o consentimento capturado na CMP deve refletir em tempo real nos segmentos e ativações do CDP, sem depender de sincronizações manuais ou em batch com latência elevada.

Supressão em tempo real nos sistemas downstream

Quando um titular revoga consentimento ou solicita exclusão, o CDP deve propagar essa instrução imediatamente para todos os destinos conectados: ESP, CRM, plataformas de mídia paga, data warehouses. Plataformas que realizam essa supressão apenas no próprio ambiente, sem garantia de propagação downstream, criam um risco regulatório significativo.

Documentação de sub-operadores e transferência internacional

O fornecedor do CDP provavelmente utiliza sub-operadores para infraestrutura, processamento ou suporte. Toda essa cadeia precisa estar documentada em Data Processing Agreements (DPAs) acessíveis. Verifique também onde os dados são armazenados fisicamente: CDPs hospedados em nuvens globais com servidores fora do Brasil podem envolver transferência internacional de dados, o que exige cláusulas contratuais específicas alinhadas com as orientações da ANPD.

Certificações de segurança

ISO 27001 e SOC 2 Type II são indicadores de maturidade em segurança da informação, mas não garantem conformidade com a LGPD por si só. Trate-os como critério de filtro mínimo, não como prova de conformidade. Solicite também os relatórios de pentest recentes e a política de gestão de incidentes do fornecedor.

Armadilhas comuns ao implementar um CDP em conformidade com a LGPD

Delegar conformidade ao fornecedor

É o erro mais frequente. O fornecedor do CDP é operador: ele processa dados conforme as instruções do contratante, que é o controlador. A responsabilidade pela definição de finalidades, bases legais e políticas de retenção é da empresa contratante. O DPA estabelece obrigações do operador, mas não transfere a responsabilidade do controlador.

Fontes de ingestão sem mapeamento prévio

Implementações que começam conectando fontes de dados antes de mapear quais dados entram, com qual base legal e para qual finalidade, criam passivos regulatórios desde o dia zero. O mapeamento de fontes e a definição de base legal para cada atributo ingerido devem acontecer antes da configuração técnica, não depois.

Sincronização com mídia paga sem verificação de finalidade

Exportar segmentos do CDP para plataformas de mídia paga é uma das ativações mais comuns e uma das mais arriscadas do ponto de vista da LGPD. O consentimento coletado para envio de e-mails transacionais não cobre, por padrão, o uso dos dados para segmentação em plataformas de anúncios de terceiros. Cada finalidade adicional exige base legal própria.

Dados legados sem consentimento adequado

Migrações de bases históricas para o CDP frequentemente incluem registros coletados antes da vigência da LGPD ou sob termos que não atendem aos requisitos atuais. Esses dados precisam ser identificados, avaliados e, quando não houver base legal válida para manutenção, descartados antes da migração.

Ausência de processo para atender titulares no prazo

A LGPD exige resposta a solicitações de titulares em até 15 dias. Sem um processo documentado que envolva o DPO, o time de dados e eventualmente suporte do fornecedor, esse prazo é facilmente descumprido, especialmente quando a solicitação envolve dados distribuídos em múltiplos sistemas integrados ao CDP.

Como estruturar a governança de dados pessoais no CDP

O DPO (Encarregado de Proteção de Dados) precisa ter visibilidade sobre as operações de tratamento realizadas pelo CDP, mas não pode ser o único responsável pela execução. O time de dados é responsável pela configuração técnica dos controles, e o marketing precisa entender quais ativações são permitidas para cada segmento de perfis.

Um inventário de dados (data inventory) vinculado ao registro de operações de tratamento, exigido pelo artigo 37 da LGPD, deve documentar cada tipo de dado presente no CDP: origem, finalidade, base legal, prazo de retenção e destinos de compartilhamento. Esse inventário precisa ser mantido atualizado a cada nova integração ou mudança de fluxo.

A classificação de dados dentro da plataforma permite aplicar controles diferenciados por categoria: dados sensíveis com restrições de acesso mais rígidas, dados de menores com tratamento especial, dados de alto risco com retenção mais curta. CDPs que suportam taxonomias customizadas de classificação facilitam esse controle no nível técnico.

As finalidades e bases legais cadastradas para cada fluxo ativo devem ser revisadas periodicamente, no mínimo anualmente ou sempre que houver mudança significativa no uso dos dados. Fluxos que perderam a finalidade original precisam ser desativados, não apenas esquecidos.

Como avaliar um CDP sob a ótica da LGPD antes de contratar

Use este checklist durante o processo de avaliação técnica e jurídica de qualquer CDP:

• DPA compatível com a legislação brasileira: o fornecedor assina um Data Processing Agreement que referencia a LGPD explicitamente, com obrigações claras de sub-operadores, notificação de incidentes e suporte a direitos dos titulares?
• Histórico de consentimento exportável por titular: é possível extrair, individualmente, todo o histórico de consentimentos de um titular específico em formato estruturado e auditável?
• Exclusão em cascata nos destinos integrados: a plataforma propaga exclusão de perfil automaticamente para CRM, ESP, plataformas de mídia e outros destinos conectados, com confirmação de execução?
• Documentação de armazenamento e retenção: existe documentação técnica clara sobre onde os dados são armazenados, em quais regiões geográficas, e por quanto tempo cada categoria é retida por padrão?
• SLA de incidentes de segurança: o contrato prevê notificação ao controlador dentro de um prazo compatível com as exigências da ANPD, que orienta comunicação em até 2 dias úteis após a ciência do incidente?
• Suporte a minimização na ingestão: é possível configurar quais campos são coletados por fonte, bloqueando atributos não necessários antes que entrem na plataforma?
• Rastreabilidade de acesso a perfis: os logs de auditoria registram quem acessou ou exportou perfis individuais, com granularidade suficiente para responder a questionamentos regulatórios?

Nenhum fornecedor entrega conformidade pronta. O CDP é uma infraestrutura, e a conformidade depende de como ela é configurada, governada e operada pela organização que a contrata. Avaliar bem o fornecedor é necessário, mas não substitui a construção de processos internos sólidos.