Início › Blog › LGPD para SaaS

LGPD para SaaS: o checklist prático de conformidade antes de lançar

12 de outubro de 2026 · ~9 min de leitura

Se o seu SaaS tem usuários no Brasil, a LGPD (Lei 13.709/2018) se aplica — independentemente de onde a sua empresa está. Para um SaaS pequeno, conformidade não é um calhamaço jurídico: é um punhado de decisões e alguns recursos no código. Este é o checklist prático, do ponto de vista de quem desenvolve.

1. Ter uma base legal para cada dado

A LGPD (art. 7º) exige uma base legal para cada tratamento. Para um SaaS, quase tudo cai em três: execução de contrato (os dados necessários para o serviço funcionar), consentimento (marketing, trackers não essenciais) e legítimo interesse (ex.: prevenção a fraude, com cuidado). A regra prática: não guarde um dado sem saber em qual base ele se apoia.

2. Coletar o mínimo

Princípio da necessidade: só colete o que o serviço realmente usa. Cada campo "pode ser útil um dia" é risco sem contrapartida. Menos dado guardado = menos exposição num vazamento e menos a explicar depois.

3. Política de Privacidade transparente

O titular tem direito de saber o quê você coleta, por quê, por quanto tempo e com quem compartilha. Uma política clara (não um texto genérico copiado) cobre isso. Liste os subprocessadores (próximo item) e o canal de contato do encarregado.

4. Direitos do titular — e o botão de exclusão

O art. 18 dá ao usuário direito de acesso, correção, portabilidade e eliminação dos dados, além de revogar o consentimento. Na prática, o seu código precisa conseguir exportar e apagar os dados de uma pessoa sob demanda — de verdade, não só "desativar".

// ✅ exclusão real: remove o titular e dados vinculados
await db.tx(async t => {
  await t.sessions.deleteMany({ userId });
  await t.orders.anonymize({ userId });   // manter o que a lei fiscal exige, anonimizado
  await t.users.delete({ id: userId });
});

Atenção ao item 6: apagar da tabela principal mas deixar cópia em cache, logs, backups eternos ou num bucket aberto não é exclusão.

5. Consentimento de cookies e trackers

Cookies não essenciais (analytics, pixel de anúncio) precisam de consentimento prévio — opt-in, não opt-out. Um banner que só avisa não basta: o tracker só dispara depois do aceite, e recusar tem que ser tão fácil quanto aceitar. O essencial para o serviço funcionar (sessão, segurança) dispensa consentimento.

6. Retenção e descarte

Dado não é para guardar "para sempre". Defina um prazo de retenção por tipo de dado e apague/anonimize ao fim — inclusive em backups e logs. Automatizar a expiração evita o acúmulo silencioso que vira passivo.

7. Segurança é obrigação legal (art. 46 e 48)

Este é o item que amarra a LGPD ao resto do seu código. O art. 46 exige medidas de segurança adequadas; o art. 48 obriga a comunicar incidentes à ANPD e aos titulares quando houver risco. Traduzindo: um vazamento por falha de isolamento multi-cliente, por regra do Firebase aberta ou RLS do Supabase desligada não é só um bug — é um incidente de dados reportável, com prazo e exposição. Segurança frágil é não-conformidade.

8. Subprocessadores e transferência internacional

Stripe, Firebase/Supabase, Vercel, provedor de e-mail — cada um é um operador que trata dados por você, e vários ficam fora do Brasil (art. 33, transferência internacional). Você precisa listá-los na política e garantir que o contrato deles oferece as salvaguardas. Não é bloqueio; é transparência.

9. Encarregado (DPO) e canal de contato

A LGPD (art. 41) pede um encarregado — a pessoa/canal que recebe as solicitações dos titulares e fala com a ANPD. Para um SaaS pequeno, pode ser você, com um e-mail de contato publicado na política.