LGPD para e-commerce: o que lojas online que vendem para o Brasil precisam saber

Resposta rápida: o que uma loja online que vende para o Brasil precisa fazer?

Primeiro, determine se a LGPD se aplica às atividades da loja. Em seguida, mapeie toda a jornada do cliente: visita, cookies, conta, carrinho, checkout, pagamento, prevenção a fraude, entrega, suporte, marketing, devolução, retenção e exclusão. Classifique fornecedores e documente finalidades, bases legais, transparência, direitos, segurança e transferências.

Principais conclusões

• Uma loja estrangeira pode estar no escopo sem estabelecimento no Brasil.
• Checkout envolve várias finalidades e fornecedores; não existe uma única “base legal do e-commerce”.
• Pagamento, antifraude, transportadora e marketing podem ter papéis diferentes.
• Consentimento para cookies não significa consentimento para todo tratamento da compra.
• Dados de compra não podem ser mantidos indefinidamente apenas por serem “histórico do cliente”.
• Transferências internacionais precisam ser tratadas separadamente.

A LGPD pode se aplicar a uma loja online estrangeira?

Sim. O Art. 3º pode alcançar tratamento voltado a pessoas localizadas no Brasil ou dados coletados enquanto o titular está no país, entre outras hipóteses. Uma loja hospedada fora do Brasil não fica automaticamente excluída.

Sinais comerciais como entrega ao Brasil, campanhas locais, atendimento em português ou cobrança em real podem reforçar o contexto, mas a análise deve ser feita pelo texto legal e pelo tratamento efetivo.

Mapeie a jornada completa do cliente

Uma boa análise de e-commerce segue a sequência real:

1. visita ao site;
2. cookies e pixels;
3. busca e navegação;
4. criação de conta;
5. carrinho;
6. checkout;
7. endereço e entrega;
8. pagamento e antifraude;
9. emissão de documento fiscal onde aplicável;
10. logística e rastreamento;
11. atendimento;
12. devoluções e disputas;
13. marketing e remarketing;
14. retenção, exclusão e backups.

Quais dados aparecem em um e-commerce?

Além de nome e e-mail, podem existir telefone, CPF ou outro documento, endereço, histórico de pedidos, dados de pagamento tokenizados, IP, dispositivo, cookies, identificadores de publicidade, mensagens de suporte, dados de fraude, preferências e eventos comportamentais.

A loja deve distinguir o que realmente precisa coletar do que é apenas conveniente.

Bases legais no checkout

Não use a ideia de que “o cliente aceitou os Termos” como fundamento universal.

Execução de contrato

Pode sustentar tratamentos necessários para processar o pedido, cobrar, entregar e cumprir obrigações diretamente ligadas ao contrato solicitado pelo cliente.

Obrigação legal ou regulatória

Pode sustentar determinados registros exigidos por lei, quando houver obrigação concreta.

Exercício regular de direitos

Pode ser relevante para defesa em disputas e reivindicações, dentro de escopo proporcional.

Legítimo interesse

Pode caber em algumas finalidades não sensíveis quando houver finalidade legítima, necessidade, expectativas compatíveis e salvaguardas. Não é carta branca para publicidade comportamental.

Consentimento

Pode ser apropriado em determinados usos, especialmente quando a legislação e a natureza do tratamento exigem escolha real. Não deve ser forçado para executar um pedido que não depende daquela finalidade adicional.

Pagamentos e antifraude

Não assuma que todo gateway é simplesmente operador da loja. Prestadores de pagamento podem ter obrigações e finalidades próprias, inclusive antifraude, prevenção a ilícitos, contabilidade ou regras de rede.

Mapeie o papel por finalidade e deixe claro no aviso de privacidade quais categorias de prestadores recebem dados.

Logística

Transportadoras, operadores logísticos e pontos de retirada recebem dados para entrega. Dependendo dos fatos e obrigações próprias, a relação pode não ser um caso simples de controlador → operador.

Compartilhe o mínimo necessário: nome, contato, endereço e informações indispensáveis à entrega. Evite expor no pacote informações desnecessárias.

Cookies, analytics e pixels

Diferencie:

• cookies estritamente necessários para sessão, carrinho e segurança;
• medição limitada de audiência;
• analytics de terceiros;
• publicidade, remarketing e rastreamento cross-site.

O guia de cookies da ANPD enfatiza transparência, escolha real e granularidade. Cookies de publicidade e perfilamento tendem a exigir análise mais rigorosa; consentimento costuma ser a abordagem mais defensável para rastreamento comportamental de terceiros.

Marketing depois da compra

Comprar um produto não significa automaticamente concordar com qualquer uso de marketing futuro.

Documente separadamente e-mail promocional, WhatsApp, remarketing, públicos personalizados e enriquecimento. Quando legítimo interesse for considerado, faça teste de balanceamento, avalie expectativa do cliente e ofereça mecanismo claro de saída.

Mantenha registro mínimo de supressão quando necessário para respeitar opt-out, com finalidade e retenção documentadas.

Conta do cliente e guest checkout

Pergunte se a criação obrigatória de conta é realmente necessária. Se um pedido puder ser concluído como visitante, forçar conta pode aumentar coleta e retenção desnecessárias.

Para contas inativas, não existe um prazo universal da LGPD. Defina gatilho, período e política de exclusão ou anonimização com base em finalidade e necessidade.

Direitos dos titulares

A loja precisa conseguir localizar dados por e-mail, telefone, CPF, order ID ou outros identificadores relevantes. Teste:

• confirmação e acesso;
• correção;
• exclusão quando aplicável;
• informação sobre compartilhamento;
• revogação de consentimento;
• propagação para sistemas e fornecedores quando necessária.

Retenção

Diferencie dados necessários para:

• pedido ativo;
• entrega;
• devolução;
• garantia;
• obrigação fiscal/contábil;
• prevenção e defesa em disputas;
• conta do cliente;
• marketing;
• analytics;
• backups.

Não use um único prazo para tudo.

Segurança em e-commerce

Revise controles administrativos e técnicos do Art. 46, inclusive acesso administrativo, autenticação, patches, plugins, fraude, APIs, segregação de funções, logs, backups, segurança de fornecedores e resposta a incidentes.

Uma loja depende de muitos terceiros; a superfície de risco é tão forte quanto o componente mais fraco do stack.

Transferências internacionais

Uma operação pode enviar dados a CRM, plataforma de e-mail, gateway, analytics, helpdesk e cloud fora do Brasil. Mapeie cada fluxo e determine o mecanismo do Art. 33 quando houver transferência internacional.

Em 2026, a União Europeia possui decisão de adequação da ANPD. Os Estados Unidos não constam como destino adequado, de modo que fluxos para os EUA exigem outro mecanismo aplicável.

Checklist de 18 pontos para e-commerce

1. Escopo do Art. 3º.
2. Data map da jornada.
3. Minimização no checkout.
4. Papéis de pagamento e logística.
5. Base legal por finalidade.
6. Aviso de privacidade.
7. Cookies e pixels.
8. Marketing e opt-out.
9. Conta e guest checkout.
10. Fornecedores e subprocessadores.
11. Transferências internacionais.
12. Direitos.
13. Retenção.
14. Exclusão e backups.
15. Segurança do admin e integrações.
16. Incidentes.
17. Treinamento de suporte/marketing.
18. Revisão quando apps e fornecedores mudarem.

Erros comuns

“O cliente comprou; podemos fazer qualquer marketing.”

Não. A finalidade adicional precisa de análise própria.

“Nosso gateway é sempre operador.”

Não necessariamente. Analise os fatos e finalidades independentes.

“O banner de cookies resolve a LGPD do site.”

Não. É apenas uma camada de um programa muito maior.

“Hospedamos fora do Brasil; a LGPD não se aplica.”

A localização do servidor não encerra o Art. 3º.

“Excluir a conta apaga todos os pedidos.”

Pode haver conservação legítima de determinados registros por finalidades específicas. A exclusão deve respeitar o ciclo de vida real.

Perguntas frequentes

Uma loja dos EUA que envia produtos ao Brasil pode estar sujeita à LGPD?

Sim, dependendo do tratamento e dos gatilhos do Art. 3º.

Todo cookie precisa de consentimento?

Não necessariamente. Cookies estritamente necessários têm natureza diferente de publicidade e perfilamento. A classificação deve ser documentada.

A loja pode usar WhatsApp do pedido para marketing?

Não automaticamente. O uso para entrega/suporte e o uso promocional são finalidades diferentes e precisam de análise própria.

É obrigatório apagar histórico de pedidos quando o cliente solicita exclusão?

Não de forma automática. Devem ser consideradas as hipóteses legais de conservação aplicáveis ao registro e à finalidade.

Fontes oficiais

• LGPD — texto compilado
• ANPD — Guia Orientativo Cookies e Proteção de Dados Pessoais
• ANPD — Transferência Internacional de Dados