LGPD no marketing digital: guia para pequena empresa

Numa mesma tarde, você pede o print do pedido pra resolver uma reclamação, salva o WhatsApp da cliente numa planilha e posta a foto dela sorrindo com o produto. Em nenhum momento você pensou em "proteção de dados". Mas é assim que a LGPD no marketing digital aparece: no dia a dia, não num contrato.

Este texto é um guia prático e não é parecer jurídico: pra decidir o caso da sua empresa, converse com um advogado. Ele organiza o que a lei diz em cinco situações comuns: resposta pública, foto de cliente, lista de contatos, IA e política de privacidade.

LGPD para pequenas empresas: vale mesmo pra mim?

Vale. A Lei Geral de Proteção de Dados vale pra qualquer pessoa ou empresa que trate dado pessoal com fim econômico, inclusive MEI. O que existe é um regime mais leve: a ANPD, autoridade que fiscaliza a lei, publicou regras que flexibilizam algumas obrigações para agentes de tratamento de pequeno porte, como o registro simplificado das operações. Os princípios e os direitos do cliente continuam valendo.

Pra dimensionar o que está em jogo: a Lei 13.709/2018 prevê sanções que vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração (art. 52).

Quais dados de clientes nas redes sociais a lei protege?

Qualquer informação ligada a uma pessoa identificada ou identificável é dado pessoal (art. 5º, I). No marketing, isso inclui nome, telefone, e-mail, endereço, foto, o comentário de alguém com o perfil dele e a avaliação no Google com nome e foto.

Dado sensível é o de saúde, religião, opinião política, origem racial, vida sexual, entre outros (art. 5º, II), e tem regras mais rígidas (art. 11). Por isso o cuidado com assunto sensível em comentário é maior.

Posso citar dados do cliente numa resposta pública?

Não. Mesmo que ele mesmo tenha escrito o número do pedido ou o valor, a resposta fica à vista de todo mundo. Responda curto e leve o detalhe pro privado: "Prefiro tratar isso com você diretamente, pode me chamar no [canal]?". É o mesmo cuidado de responder mensagens e comentários sem perder cliente, agora com proteção de dado junto.

Posso postar foto ou depoimento de cliente?

Peça antes e guarde a resposta. O consentimento precisa ter finalidade determinada, e quem tem que provar que pediu é a empresa (art. 8º, §§ 2º e 4º). Na prática:

• Peça por mensagem. "Posso usar essa foto no Instagram da loja?" e um "pode" já são o registro. Guarde a conversa.
• Diga onde vai usar. Perfil orgânico é diferente de anúncio pago. Mudou a finalidade, pergunte de novo.
• Aceite o pedido de retirada. O consentimento pode ser revogado a qualquer momento (art. 8º, §5º).
• Cubra o que não precisa aparecer em print de conversa: telefone, número de pedido.
• Criança é caso à parte: a lei pede consentimento específico de pelo menos um dos pais ou do responsável (art. 14, §1º).

Como fica o consentimento para e-mail marketing e anúncios?

A lei lista dez bases legais para tratar dado (art. 7º); consentimento é uma delas e o legítimo interesse, outra. Qual cabe na sua campanha é pergunta pro advogado. Pra lista de contatos usada em disparo ou em anúncio, o caminho mais simples de explicar e comprovar é consentimento claro, e um jeito fácil de sair da lista, porque a pessoa pode revogar a qualquer momento, de forma gratuita e facilitada.

Como usar IA no marketing sem expor dado do cliente?

O texto de um comentário ou mensagem que passa por uma IA é dado pessoal indo pra um provedor externo. Não é proibido, mas precisa de finalidade e de base legal. Três cuidados:

• A política de privacidade avisa que dado de interação pode ser processado por provedor de IA.
• Prefira provedor com política clara, de preferência sem treinar modelo com o seu conteúdo por padrão.
• Mande o mínimo. Se a ferramenta só precisa do comentário, não anexe o histórico de compras inteiro.

O que a política de privacidade precisa dizer?

A lei (art. 9º) manda informar de forma clara e ostensiva: a finalidade, como e por quanto tempo os dados são tratados, quem é o responsável e como contatá-lo, com quem os dados são compartilhados e quais são os direitos do titular. Entre eles, confirmar que há tratamento, acessar, corrigir e pedir eliminação (art. 18). A ANPD resume esses direitos na página de direitos dos titulares. Texto genérico copiado de outro site não cumpre isso: ele precisa descrever o que a sua empresa faz.

Se vários colegas mexem nas redes e no atendimento, vale também o básico de segurança que a ANPD sugere aos pequenos: cada pessoa com o próprio acesso, sem senha compartilhada.

Lista rápida pro dia a dia

• Nada de dado de cliente em resposta pública.
• Autorização por escrito (mensagem serve) antes de foto ou depoimento.
• Assunto sensível: pausa e canal privado.
• Saber quais ferramentas de IA e de e-mail a empresa usa e o que fazem com o texto do cliente.
• Política de privacidade publicada e verdadeira.
• Um caminho pra cliente pedir que o dado dele seja apagado.

Onde o Movaio entra

No Movaio, a IA sugere e uma pessoa da sua empresa aprova (por que nada sai sozinho). Esse momento de leitura é quando dá pra perceber um dado que não deveria sair. A única exceção é a resposta automática a avaliação de 5 estrelas, opcional: ela usa um texto fixo que a sua empresa escreveu antes, sem processar o que o cliente escreveu.

Proteger dado de cliente é, no fim, tratar a conversa dele como sua: com cuidado antes de falar em voz alta.

Fontes e para saber mais

• Lei 13.709/2018 (LGPD), texto oficial — definições, bases legais, consentimento, direitos do titular e sanções.
• Resolução CD/ANPD nº 2/2022 — a norma que flexibiliza a aplicação da LGPD para agentes de tratamento de pequeno porte.
• Direito dos titulares (ANPD) — os direitos que o seu cliente tem e como pedi-los.
• Guia de segurança da informação para agentes de pequeno porte (ANPD) — medidas básicas, como controle de acesso e não compartilhar senhas.