LGPD para empresas SaaS: guia prático de conformidade

Resposta rápida: o que uma empresa SaaS precisa fazer para a LGPD?

Uma empresa SaaS deve começar determinando se a LGPD se aplica às operações relacionadas ao Brasil. Depois, precisa mapear os dados que entram na plataforma, separar atividades em que atua como controladora daquelas em que atua como operadora, documentar instruções e bases legais, revisar subprocessadores, contratos, direitos, retenção, segurança e transferências internacionais.

SaaS não é um único tratamento. Conta administrativa, billing, suporte, telemetria, conteúdo hospedado, prevenção a fraude e marketing podem ter papéis e bases diferentes.

Principais conclusões

• Uma empresa SaaS estrangeira pode entrar no Art. 3º sem ter filial brasileira.
• O fornecedor pode ser operador para conteúdo do cliente e controlador para faturamento, segurança ou administração própria.
• O DPA deve refletir a operação real e os subprocessadores.
• Logs e telemetria não são automaticamente “dados técnicos fora da LGPD”.
• Exclusão da conta não prova eliminação de todas as cópias.
• Nuvem e suporte internacional exigem mapa de transferências.

A LGPD se aplica a um SaaS estrangeiro?

Pode se aplicar quando a empresa trata dados de pessoas localizadas no Brasil, oferece ou fornece serviços relacionados a esse público, realiza tratamento no Brasil ou coleta dados quando o titular está no país.

Analise por fluxo: cadastro de usuário, customer data hospedado, suporte, analytics, cobrança, trial, marketing e integrações.

Mapeie a jornada de dados do SaaS

Um mapa mínimo deve cobrir:

1. landing page e cookies;
2. criação de conta e trial;
3. autenticação e identidade;
4. cobrança e faturamento;
5. dados inseridos pelo cliente na aplicação;
6. logs e telemetria;
7. suporte e tickets;
8. integrações/API;
9. ferramentas internas de analytics;
10. subprocessadores e nuvem;
11. backup, retenção e exclusão;
12. marketing e comunicação comercial.

Controlador ou operador?

A pergunta não é “o SaaS é um processor?”. A pergunta correta é “qual o papel nesta finalidade?”.

Conteúdo hospedado para o cliente

Se o cliente define a finalidade e os dados e o SaaS processa sob instruções para entregar o serviço, o fornecedor pode atuar como operador.

Billing e administração da conta

O SaaS normalmente determina finalidades próprias para cobrança, relacionamento comercial, prevenção a abuso, gestão de contrato e obrigações contábeis. Nessas atividades, uma análise de controlador pode ser apropriada.

Analytics próprio

Se a plataforma usa dados agregados ou pseudonimizados para métricas, ainda é necessário avaliar se os dados permanecem pessoais e qual finalidade/base sustenta o uso. Se combina dados de clientes para uma finalidade própria, isso pode caracterizar controle sobre o tratamento correspondente.

Treinamento de IA

Se um fornecedor de SaaS passa a usar conteúdo do cliente para treinamento de modelos por uma finalidade própria, essa decisão pode alterar o papel para esse tratamento. “Uso para melhorar o produto” não deve ser aceito como explicação genérica sem detalhamento.

DPA e instruções

A LGPD não possui disposição idêntica ao Art. 28 do GDPR exigindo um contrato universal com lista fechada de campos, mas a ANPD considera contrato escrito entre controlador e operador uma boa prática importante.

Um DPA SaaS deve normalmente abordar:

• objeto, duração, natureza e finalidade;
• categorias de titulares e dados;
• instruções permitidas;
• confidencialidade e acesso de pessoal;
• medidas de segurança;
• subprocessadores;
• direitos dos titulares;
• incidentes;
• retenção e exclusão;
• auditoria/evidência;
• países e transferências internacionais.

Subprocessadores

Cloud, e-mail transacional, observabilidade, suporte, analytics e autenticação podem participar da cadeia. A ANPD recomenda autorização formal, geral ou específica, para contratação de suboperador.

Mantenha uma lista operacional que indique entidade, serviço, papel, categorias de dados, país, finalidade, mecanismo de transferência e prazo de exclusão.

Direitos dos titulares em arquitetura SaaS

O fornecedor precisa saber como ajudar o controlador a localizar e atuar sobre dados. Teste:

• busca por e-mail, account ID ou outro identificador;
• exportação;
• correção;
• bloqueio ou restrição quando aplicável;
• exclusão;
• propagação para subprocessadores;
• impacto em backups;
• registro da execução.

Não descubra durante um pedido real que o produto não consegue localizar ou excluir dados por usuário.

Logs e telemetria

IP, IDs de dispositivo, eventos de uso, user IDs e identificadores de sessão podem ser dados pessoais quando relacionados a pessoa identificada ou identificável.

Documente finalidade, necessidade, duração, acesso e uso para suporte, segurança, analytics ou desenvolvimento. Não mantenha logs indefinidamente por conveniência.

Retenção e exclusão

Separe:

• dados ativos do cliente;
• dados administrativos e de billing;
• logs de segurança;
• registros necessários para exercício de direitos;
• backups;
• tickets de suporte;
• dados após encerramento.

O término do contrato não significa que todo dado deve ser apagado no mesmo segundo, nem permite retenção indefinida. Use finalidade, necessidade e hipóteses de conservação aplicáveis.

Segurança em SaaS

Art. 46 exige medidas técnicas e administrativas adequadas ao risco. Revise:

• identidade e acesso;
• autenticação forte e MFA para áreas críticas;
• segregação entre tenants;
• criptografia onde apropriada;
• gestão de vulnerabilidades e patches;
• logging e monitoramento;
• backups e recuperação;
• segurança de desenvolvimento;
• segredos e chaves;
• gestão de fornecedores;
• resposta a incidentes.

Certificações como ISO 27001 ou SOC 2 podem ser evidências úteis, mas não constituem por si só conformidade com a LGPD.

Incidentes

O controlador é responsável pela comunicação externa quando a Resolução 15/2024 for aplicável. Operadores devem informar o controlador sem demora injustificada. Por isso, um contrato SaaS não deveria dar ao fornecedor um prazo tão longo que inviabilize os três dias úteis do controlador.

Transferências internacionais

Um SaaS pode envolver:

• entidade contratada nos EUA;
• cloud na Europa;
• suporte na Ásia;
• suboperador em outro país;
• backups globais.

Mapeie o fluxo efetivo. Em 2026, a União Europeia possui decisão de adequação da ANPD; os Estados Unidos não. Para destinos não adequados, avalie outro mecanismo do Art. 33, como as cláusulas-padrão brasileiras quando apropriadas.

18 pontos para revisar em um SaaS

1. Escopo territorial.
2. Mapa de dados.
3. Papéis por finalidade.
4. Finalidade e base legal.
5. ROPA.
6. Aviso de privacidade.
7. Cookies e analytics.
8. DPA.
9. Subprocessadores.
10. Transferências internacionais.
11. Direitos.
12. Retenção.
13. Exclusão e backups.
14. Segurança.
15. Incident response.
16. Treinamento de IA e usos próprios.
17. Encarregado/canal.
18. Revisão periódica quando produto ou stack mudar.

Erros comuns

“Somos sempre operadores.”

Provavelmente simplista. Billing, segurança, administração própria e usos independentes podem gerar papel de controlador.

“Dados de log não são pessoais.”

Não se pode assumir isso. Analise a possibilidade de ligação a pessoa identificável.

“Nosso cloud provider é compatível; estamos cobertos.”

Conformidade do fornecedor não substitui a responsabilidade da organização nem resolve todos os fluxos.

“Cancelar a conta apaga tudo.”

É necessário verificar dados administrativos, logs, tickets, subprocessadores e backups.

Perguntas frequentes

Um SaaS americano precisa cumprir LGPD?

Pode precisar, dependendo do Art. 3º e das atividades relacionadas a pessoas localizadas no Brasil.

O SaaS é sempre operador do cliente?

Não. O papel é definido por atividade e finalidade.

É obrigatório ter DPA?

A LGPD não replica o Art. 28 GDPR, mas a ANPD recomenda contrato escrito como boa prática para delimitar instruções e responsabilidades.

Dados armazenados na UE ainda precisam de SCC brasileira?

Para transferência coberta pela Resolução 32/2026, adequação pode ser o mecanismo do Art. 33. Transferências posteriores para outros países devem ser analisadas separadamente.

Fontes oficiais

• LGPD — texto compilado
• ANPD — Guia dos Agentes de Tratamento e do Encarregado
• ANPD — Transferência Internacional de Dados