Política de privacidade não é aquele texto que ninguém lê no rodapé. É a peça que prova que você sabe o que faz com os dados das pessoas. E o jeito mais rápido de a ANPD desconfiar de você é apresentar uma política copiada de outro site, falando de coletas que o seu produto nem faz.
Ela é obrigatória mesmo?
A LGPD não cita “política de privacidade” com essas palavras. O que ela exige é transparência (art. 6º, VI) e acesso facilitado do titular às informações sobre o tratamento dos dados dele (art. 9º). Na prática, o único jeito de cumprir isso num site ou app é publicando uma política. Então sim: pra qualquer produto que coleta dado pessoal — e-mail no cadastro já conta — você precisa de uma.
O que o documento precisa conter
Esquece template genérico por um minuto. Uma política que cumpre a LGPD responde, de forma honesta, a estas perguntas:
1. Quais dados você coleta
Liste o que entra de verdade: e-mail, nome, dados de pagamento, IP, comportamento de navegação, o que vier de integrações. Se você usa analytics, isso é coleta. Se o login é via Google, isso é coleta. O exercício de listar já costuma revelar dado que você nem lembrava que guardava.
2. Pra que serve cada coleta (finalidade)
Cada dado precisa de um porquê específico. “Melhorar a experiência” não é finalidade — é enrolação. “Enviar o e-mail de confirmação da compra” é finalidade. A LGPD exige finalidade legítima, específica e informada (art. 6º, I).
3. Com qual base legal
Esse é o item que mais separa política boa de política copiada. Nem toda coleta depende de consentimento — a LGPD tem dez bases legais (art. 7º). Mandar o e-mail de recuperação de senha se apoia em execução de contrato, não em consentimento. Cumprir uma obrigação fiscal se apoia em obrigação legal. Usar a base errada é tão problemático quanto não ter base nenhuma.
4. Com quem você compartilha
Seus sub-processadores entram aqui: Vercel, Supabase, Stripe, o provedor de e-mail, a ferramenta de analytics. Quem hospeda ou processa dado dos seus usuários precisa estar nomeado. Esconder isso quebra a transparência — e é fácil de auditar, porque está nas suas requisições de rede.
5. Os direitos do titular e como exercê-los
O art. 18 dá ao usuário o direito de confirmar o tratamento, acessar, corrigir, pedir anonimização ou exclusão, portar os dados e revogar o consentimento. A política tem que listar isso e dizer como a pessoa faz — um e-mail ou uma página dedicada. Sem canal, o direito vira ficção.
6. Retenção
Por quanto tempo você guarda cada dado, e por quê. A regra é manter só pelo tempo necessário à finalidade, mais os prazos legais (fiscais, por exemplo). Guardar “pra sempre, por garantia” é infração.
7. Contato, versão e data
Um canal de privacidade (idealmente algo como privacidade@seudominio.com.br), a versão do documento e a data da última atualização. Política sem data parece — e muitas vezes é — abandonada.
Onde colocar e como escrever
Acesso facilitado é requisito legal, não detalhe de UX. Link visível no rodapé de todas as páginas, sem exigir login pra ler. E linguagem clara: a LGPD pede que a informação seja de fácil compreensão. Juridiquês denso, ironicamente, joga contra a conformidade.
O resumo honesto
Uma boa política de privacidade é só o reflexo escrito de um produto que trata dados com cuidado. Se o seu mapeamento de dados está certo, a política sai quase sozinha. Se está bagunçado, nenhum template salva. Comece pelo mapeamento — depois o documento.
Conteúdo informativo, não é parecer jurídico. Para casos específicos, consulte um(a) advogado(a).