GDPR: o que a plataforma cobre

O GDPR é o regulamento europeu de proteção de dados pessoais. Como a LGPD, ele não é opcional: aplica-se pelo fato de a empresa tratar dados de pessoas na Europa, independentemente de onde a empresa esteja.

Para quem serve

Para empresas brasileiras que tratam dados de pessoas na União Europeia. Os casos típicos:

• A empresa vende para clientes europeus, ou tem usuários europeus no produto.
• A empresa presta serviço a um cliente europeu e trata dados em nome dele.
• A empresa tem operação, escritório ou time na Europa.
• Um contrato exige demonstrar conformidade com o GDPR.

Se nenhum desses casos se aplica, provavelmente o seu trabalho de privacidade é o da LGPD, e habilitar este framework só adiciona pendências sem retorno.

A relação com a LGPD

As duas leis são próximas na estrutura e diferentes nos detalhes. A LGPD foi construída com o GDPR como referência, o que traz uma vantagem prática grande: quem fez o trabalho de LGPD já tem a maior parte do caminho andado.

O catálogo mostra isso antes de você habilitar, informando o percentual já coberto pelos seus frameworks existentes.

Onde elas se distanciam:

Os prazos e os limiares exatos devem ser confirmados com assessoria jurídica. Esta página não substitui essa consulta.

🖼️ Imagem: GDPR na plataforma, com a cobertura vinda dos frameworks existentes.

Como o trabalho acontece na plataforma

O framework organiza as exigências em controles, como qualquer outro. E, como na LGPD, a maior parte do trabalho substantivo acontece no módulo Privacidade:

• O registro de atividades de tratamento serve aos dois regimes. A estrutura é a mesma: quais dados, para quê, por quanto tempo, com quem são compartilhados.
• Os relatórios de impacto cobrem a avaliação prévia de tratamentos de maior risco.
• Os pedidos de titular registram como cada solicitação foi recebida e atendida.

⚠️ Uma diferença que você vai notar. O módulo Privacidade foi construído com o vocabulário da LGPD. A lista de bases legais que ele oferece é a da lei brasileira, e o mesmo vale para os mecanismos de transferência.

Na prática as bases correspondem em boa parte entre os dois regimes, e o registro continua servindo. Mas ao trabalhar GDPR vale registrar na descrição da atividade o enquadramento europeu correspondente, para que o registro fique inequívoco para um auditor ou autoridade da Europa.

O que é comprovado automaticamente e o que não é

A parte de segurança se resolve em boa medida por integração, porque é a mesma que outras normas pedem. A parte de governança de privacidade é documental.

Por onde começar

1. Confirme que o GDPR se aplica, e a qual parte da operação. Escopo mal definido aqui gera trabalho inútil.
2. Aproveite o registro de tratamento que você já tem da LGPD, complementando o enquadramento europeu.
3. Revise os contratos com fornecedores que tratam dados em nome da empresa.
4. Confirme as transferências de dados para fora da Europa e o mecanismo de cada uma.
5. Ajuste o processo de incidentes para os prazos do regime europeu, que são mais curtos que o habitual.
6. Publique o aviso de privacidade na linguagem que o regulamento espera.

O que costuma dar problema

• Assumir que LGPD resolve GDPR. A base é comum, os detalhes não são.
• Processo de incidente lento. É a diferença que mais pega empresa despreparada, porque exige decisão rápida com informação incompleta.
• Transferências não mapeadas. Ferramentas hospedadas fora da Europa, sem mecanismo registrado.
• Aviso de privacidade genérico, que não descreve o tratamento real.

⚠️ Esta página descreve o propósito e a estrutura geral das obrigações em linguagem própria, para orientar o uso da plataforma. Ela não é orientação jurídica, e não reproduz o texto do regulamento. Prazos, limiares de aplicabilidade e enquadramento devem ser definidos com assessoria jurídica.