Os necessários fazem o site funcionar. Os outros medem quais páginas ajudam e quais anúncios trazem quem precisa da DM11. Você escolhe, e pode rever pelo rodapé.
ISO/IEC 27701
Até 2019 esta norma era uma extensão, e ninguém certificava privacidade sem antes construir um sistema de gestão de segurança inteiro. A revisão de outubro de 2025 acabou com essa exigência. Para quem já trata dado pessoal com seriedade e precisa provar isso a um cliente ou a um regulador, o caminho encurtou de forma significativa.
A DM11 prepara a sua empresa e conduz a implementação. Quem audita e emite o certificado é um organismo de certificação acreditado, contratado por você. A norma trata de gestão de privacidade e não substitui assessoria jurídica sobre a LGPD: as duas coisas se complementam, e a DM11 tem especialistas em direito digital no time.
Quem conduz a implementação
Especialistas em proteção de dados certificados pela EXIN (DPO, PDPP e PDPF)
ISO/IEC 27001 Lead Auditor certificado pela BSI
Consultoria jurídica em privacidade e proteção de dados
17 anos de governança, riscos e conformidades
O QUE MUDOU, E POR QUE IMPORTA
A ISO/IEC 27701 define os requisitos de um sistema de gestão de privacidade da informação. Ela organiza como a empresa decide o que pode fazer com dado pessoal, quem responde por cada decisão e como isso é provado ao longo do tempo. Na revisão publicada em 14 de outubro de 2025 ela deixou de ser um apêndice da segurança e passou a existir por conta própria.
Essa é a mudança que reescreve o orçamento. Na versão de 2019, certificar privacidade obrigava a ter ou construir o sistema de gestão de segurança inteiro antes. Agora a norma é autônoma, e uma empresa pode certificar privacidade sem passar pela 27001. Se você recebeu proposta recente dizendo o contrário, ela foi escrita sobre a versão antiga.
A revisão adotou a estrutura harmonizada de cláusulas 4 a 10, a mesma da ISO 27001 e da ISO/IEC 42001, de governança de IA. Na prática, quem já opera uma dessas reaproveita contexto, liderança, planejamento e análise crítica em vez de manter três sistemas paralelos.
O Anexo A separa os controles por papel: um conjunto para quem é controlador, outro para quem é operador, e um bloco que vale para os dois. Definir o seu papel em cada tratamento é a primeira decisão do projeto, e é a que mais muda o tamanho do trabalho. Muita empresa é controladora num fluxo e operadora em outro.
A norma traz anexos que ligam os controles ao GDPR e a outras referências de privacidade, incluindo a versão de 2019 para quem precisa migrar. É o que torna a certificação útil como resposta a cliente europeu, e é também o que economiza trabalho de quem já organizou a casa para a LGPD.
QUEM COSTUMA PRECISAR
A LGPD já obriga, e não existe certificado dela. A ISO 27701 entra quando é preciso provar a terceiros que a obrigação está sendo cumprida com método.
Contrato com empresa da União Europeia costuma exigir garantias sobre tratamento de dado pessoal. Um certificado reconhecido internacionalmente responde isso melhor do que um dossiê montado às pressas, e responde uma vez para todos os clientes em vez de um por um.
Quem processa dado por conta de outra empresa recebe questionário de privacidade de cada cliente, em formato diferente. O certificado troca essa fila por um documento só, e o conjunto de controles de operador já foi desenhado para esse papel.
Fiscalização, incidente comunicado ou um setor que passou a ser prioridade. Um sistema de gestão de privacidade em funcionamento é a diferença entre demonstrar diligência com documento datado e tentar reconstruir a história depois que a pergunta chegou.
HISTÓRIAS
Trocamos os nomes dos clientes com o mesmo sigilo que vai proteger a sua empresa depois. Os nomes mudam, o padrão dos problemas se repete. Quando o cliente autoriza, mostramos referências com nome numa conversa.
Serviços de folha e benefícios
A empresa processava dado pessoal de milhares de funcionários dos clientes dela e tratava tudo como se fosse dado próprio. Os contratos não diziam quem respondia pelo quê, e um cliente grande abriu uma auditoria de privacidade que a empresa não tinha como responder.
Começamos separando os papéis fluxo a fluxo: onde ela era controladora e onde era operadora. Essa distinção mudou o desenho inteiro do programa e boa parte das cláusulas contratuais. Depois vieram o inventário de tratamentos, as bases legais e os controles do bloco de operador.
A auditoria do cliente foi respondida com documento em vez de reunião. E a empresa passou a usar o mesmo material comercialmente, porque o papel de operador ficou claro no contrato e parou de gerar discussão em cada renovação.
Tecnologia, atendimento à Europa
A empresa havia feito um projeto de adequação à LGPD dois anos antes, com bom resultado e nenhuma manutenção. Quando um cliente europeu pediu evidência de tratamento adequado, o que existia era um relatório desatualizado e a memória de quem participou.
Aproveitamos o que o projeto anterior tinha deixado, que era mais do que a diretoria imaginava, e o que faltava era justamente o sistema de gestão: quem revisa, quando, com qual registro. Estruturamos isso e mapeamos os controles contra o GDPR usando os anexos da própria norma.
A empresa saiu com um sistema que se mantém sozinho e com o mapeamento pronto para responder cliente europeu. O projeto anterior deixou de ser um custo perdido e virou a base do novo.
Saúde suplementar
A operação lidava com informação de saúde, que a LGPD trata como dado pessoal sensível, e aplicava a ela os mesmos controles do resto. Não havia intenção de errar: ninguém tinha feito a distinção no papel, então ela não existia na prática.
Classificamos os tratamentos por natureza do dado e reforçamos onde a lei pede mais: base legal específica, controle de acesso mais restrito, registro de quem consulta o quê e prazo de retenção definido por tipo de informação.
A diferença apareceu no controle de acesso: dezenas de pessoas tinham alcance a prontuário sem necessidade funcional, e ninguém sabia porque não havia registro. Depois do projeto, o acesso passou a ser justificado, registrado e revisado.
AUTODIAGNÓSTICO
Vinte perguntas: duas para entender o seu caso e dezoito sobre o que a norma cobra. O resultado aparece inteiro na tela, com a nota de cada domínio e uma leitura honesta do que falta. É autodeclarado, então vale como retrato do que você sabe hoje, e não como avaliação de conformidade.
A leitura de cada área, nas três faixas de resultado. É o mesmo texto que chega por e-mail a quem se identifica, publicado aqui para quem quer entender o que a nota mede antes de responder.
Abaixo de 50
Sem escopo escrito e sem encarregado com mandato, cada decisão de privacidade é tomada duas vezes: uma pela área que precisa dela e outra pelo jurídico, quando o assunto chega lá. O primeiro passo custa pouco: uma página dizendo quais operações, unidades e sistemas entram no sistema de gestão, aprovada em reunião e datada. Em seguida, formalize a nomeação do encarregado com data e publique o canal de contato, porque a LGPD já pede isso independentemente de qualquer certificação. Enquanto esse par não existir, escopo e responsável, todo controle implantado fica sem dono no dia seguinte.
De 50 a 79
A função existe e o mandato não. O sintoma se repete: o encarregado acumula a atribuição com outro cargo, resolve o que chega até ele e não tem espaço na agenda da direção. Reserve tempo formal na função e crie um ponto fixo de privacidade na reunião de direção, ainda que trimestral e curto, com registro do que foi decidido. É a diferença entre alguém encarregado de responder e alguém com autoridade para mudar o processo que gerou a pergunta.
80 ou mais
Escopo, nomeação e reporte estão de pé. O que costuma faltar nesta faixa é atualizar o escopo quando a empresa muda: produto novo, aquisição, país novo ou uma área que passou a tratar dado que antes não tratava. Escopo escrito uma vez e nunca revisto é o achado mais silencioso deste domínio, porque parece certo até alguém pedir a data da última revisão. Marque essa revisão junto da análise crítica, para as duas acontecerem no mesmo ciclo.
Abaixo de 50
Sem inventário, tudo o que vem depois é estimativa: não dá para dizer qual base legal se aplica, por quanto tempo guardar nem para onde o dado sai. Comece pelos processos que geram mais dado pessoal, que quase sempre são recursos humanos, comercial e atendimento, em vez de tentar cobrir a empresa inteira de uma vez. Para cada tratamento registre quatro coisas: qual dado, para quê, quem é o dono e para onde ele vai. Um inventário curto e verdadeiro rende mais que um completo e desatualizado.
De 50 a 79
O inventário existe e envelheceu, e o motivo costuma ser o mesmo: ele foi feito por um projeto e não por um dono, então quando o projeto acabou ninguém ficou responsável por atualizar. O conserto é nomear dono por área e amarrar a atualização a um gatilho que já acontece, como a entrada de um sistema novo ou a contratação de um fornecedor, em vez de depender de campanha anual. Confira também se o papel está registrado tratamento a tratamento, porque inventário que define o papel só no nível da empresa esconde justamente o fluxo em que ela é operadora.
80 ou mais
O inventário está vivo e tem dono. A atenção agora vai para a borda: planilha de área, ferramenta contratada no cartão de crédito e integração antiga que continua exportando dado costumam ficar fora do mapa oficial. Uma varredura pelos fornecedores pagos e pelas integrações ativas encontra, em quase toda empresa, ao menos um tratamento que ninguém tinha declarado. Enquanto o inventário for alimentado só por quem se lembra de declarar, ele mede boa vontade, e não realidade.
Abaixo de 50
Sem base legal registrada, a empresa não responde a pergunta mais simples que um titular ou um auditor faz: por que vocês têm esse dado. Registrar não é escolher a base mais confortável, é escrever a decisão e dizer quem a tomou. Comece pelos tratamentos de maior volume, siga pelos de maior sensibilidade e leve cada um ao jurídico antes de fixar. Enquanto isso não existir, a finalidade declarada nos avisos e a finalidade real da operação continuam sendo duas coisas diferentes.
De 50 a 79
O padrão desta faixa é apoiar quase tudo numa base só, normalmente consentimento ou legítimo interesse, porque foi a que o projeto anterior escolheu. Consentimento cria dever de coleta, de registro e de revogação que quase ninguém opera na prática; legítimo interesse sem o teste escrito não se sustenta quando é questionado. Revise primeiro recursos humanos e marketing, que são os tratamentos que mais mudam de base quando alguém olha com atenção. E confira se os avisos fora do site, contrato, aplicativo e processo seletivo, acompanharam a última revisão.
80 ou mais
As bases estão registradas e revisadas. O que sustenta a nota daqui para a frente é a ligação entre finalidade e uso real: finalidade declarada de forma ampla demais parece proteger e faz o contrário, porque abre espaço para uso que ninguém aprovou. Pegue dois ou três tratamentos, pergunte à área o que ela faz com o dado e compare com o que está escrito. Quando aparece diferença, o problema raramente é a base legal, é a finalidade que envelheceu.
Abaixo de 50
Sem canal e sem prazo definidos, o primeiro pedido difícil é resolvido no improviso, e improviso não se demonstra depois. Monte o mínimo que funciona: um endereço publicado, um responsável nomeado, um prazo interno menor que o legal e um registro com data de entrada e data de resposta. Esse mínimo já cobre boa parte do que a norma cobra neste domínio. Depois enfrente a parte difícil, que é conseguir localizar o dado da pessoa em todos os lugares onde ele foi parar.
De 50 a 79
Ou o canal existe e o registro é frágil, ou o registro é bom e o canal não é público. Nos dois casos o efeito é o mesmo: a empresa acredita que atende bem e não consegue provar quanto tempo levou nem o que respondeu. Padronize o registro com data de recebimento, data de resposta e cópia do que foi enviado, e faça isso valer também para o pedido que chegou pelo comercial ou pelo suporte, que é por onde a maioria realmente entra. Com volume baixo de pedidos, teste com um caso simulado em vez de esperar o real.
80 ou mais
O processo está montado e registrado. O que separa esta faixa das anteriores é o pedido de eliminação: localizar o titular nos sistemas principais é comum, encontrá-lo em backup, base de teste, planilha de área e ferramenta de terceiro é raro. Faça esse exercício uma vez, com um titular real ou com um caso construído, e documente onde o dado apareceu. O resultado costuma reabrir o inventário, e é para isso que ele serve.
Abaixo de 50
Risco à privacidade e risco de segurança respondem a perguntas diferentes, e onde só existe o segundo o dano ao titular nunca entra na conta. Comece pequeno: escolha os três tratamentos de maior impacto sobre pessoas e escreva o que aconteceria com elas se o dado vazasse, fosse usado para outra finalidade ou não pudesse ser corrigido. Registre a decisão sobre cada um, mesmo que a decisão seja aceitar. É esse registro, e não a sofisticação do método, que o auditor lê primeiro.
De 50 a 79
A avaliação existe e acontece tarde. Privacidade que entra depois que o sistema está no ar vira remendo caro, e é o padrão em empresa que já tem alguma maturidade de segurança. O que fecha essa lacuna não é um método novo, é um gatilho: uma pergunta obrigatória no fluxo de projeto que identifique dado pessoal antes de o desenvolvimento começar. Inclua aí o dado pessoal que vai para ferramenta de inteligência artificial, hoje o caminho mais comum de tratamento que ninguém declarou.
80 ou mais
A avaliação de risco ao titular e o relatório de impacto acontecem no momento certo. O que costuma faltar é o fechamento: risco identificado gera decisão, e decisão precisa ter dono, prazo e verificação depois. Confira também a reavaliação, porque risco avaliado uma vez descreve o projeto no dia em que nasceu, e não o serviço que ele virou. Quando muda fornecedor, volume ou finalidade, o risco muda junto.
Abaixo de 50
Guardar tudo por precaução é a decisão mais comum e a mais difícil de justificar, porque cada dado sem prazo aumenta o que pode vazar e o que precisa ser encontrado num pedido de eliminação. Comece pela tabela de retenção dos tipos que você tem em maior volume, com o prazo escrito e a razão dele ao lado. Depois trate o acesso, separando quem consulta dado pessoal por necessidade da função de quem consulta por herança de um cargo antigo. Os dois itens juntos reduzem risco sem exigir projeto grande.
De 50 a 79
A tabela existe no papel e o descarte não acontece. É a lacuna mais comum deste domínio, e a causa raramente é técnica: falta alguém autorizado a apagar e um registro de que apagou. Defina quem executa, com que frequência, e guarde o comprovante do descarte, que é a única evidência que sobra depois. No acesso, o que falta quase sempre é a revisão periódica com registro do que foi removido, e não o critério de concessão inicial.
80 ou mais
Retenção e acesso estão sob controle. A atenção vai para os lugares onde o dado se reproduz sem passar pela regra: ambiente de teste populado com base de produção, exportação para planilha e backup com prazo maior que a retenção declarada. Nenhum dos três é irregular por si, e os três precisam estar escritos e justificados, senão a tabela diz uma coisa e o ambiente diz outra. É a inconsistência que aparece quando o auditor pede para ver, e não para ler.
Abaixo de 50
Sem saber quem trata dado pessoal para a empresa não há como instruir ninguém nem responder por nada. A lista vem antes do contrato: folha, nuvem, marketing, cobrança, atendimento e o subcontratado que o seu fornecedor usa sem avisar. Com a lista na mão, classifique por criticidade e comece a revisão contratual pelos que tratam mais dado ou dado mais sensível. Revisar tudo com o mesmo rigor não é sustentável, e a norma também não pede isso.
De 50 a 79
Os contratos novos saem com cláusula e a carteira antiga ficou como estava. Como contrato antigo costuma ser o do fornecedor mais enraizado, é ali que está o maior volume de dado. Aproveite a renovação para revisar e, onde não há renovação próxima, use um termo aditivo com as instruções documentadas. Falta também, quase sempre, a instrução em si: a cláusula diz que o fornecedor deve proteger, a instrução diz o que ele pode e o que não pode fazer com o dado, e é a segunda que a norma cobra de quem contrata.
80 ou mais
A cadeia está mapeada e contratada. O que diferencia daqui para a frente é o acompanhamento depois da assinatura: reavaliação periódica dos críticos, verificação de que o subcontratado novo foi comunicado e um procedimento de saída que devolva ou elimine o dado no fim do contrato. O encerramento é o ponto cego mais frequente deste domínio, porque ninguém comemora o fim de um contrato conferindo o que sobrou do outro lado.
Abaixo de 50
Este é o domínio que menos aceita ser comprimido no fim, porque auditoria interna, análise crítica e tratamento de desvio só existem depois de terem acontecido, com data. Se há prazo de cliente na mesa, é por aqui que se começa, mesmo com o resto ainda em construção. Do lado do incidente, a lacuna específica de privacidade é quem decide se houve risco ao titular e quem comunica a ANPD, decisão que não dá para tomar no dia. Escreva esse critério antes de precisar dele.
De 50 a 79
Ou existe plano de incidente de segurança sem o recorte de dado pessoal, ou existem reuniões de acompanhamento sem auditoria. São lacunas diferentes com a mesma causa: privacidade tratada como assunto de rotina, e não como sistema que se verifica. No incidente, acrescente ao plano que já existe o critério de risco ao titular e o prazo de comunicação, em vez de criar um plano paralelo que ninguém vai abrir. Na auditoria, o requisito que costuma travar é a independência: quem implantou não pode auditar o que implantou.
80 ou mais
O ciclo já fechou ao menos uma vez, e é isso que mais protege o programa ao longo do tempo. O ponto de atenção é a verificação de eficácia: registrar a ação corretiva é comum, voltar meses depois para confirmar que ela funcionou é raro, e é justamente o que o auditor procura quando quer medir maturidade. Vale também simular um incidente com dado pessoal de ponta a ponta, incluindo a decisão de comunicar e o texto que iria ao titular, porque o ensaio revela a demora que o processo escrito esconde.
COMO CONDUZIMOS
A metodologia é a mesma que usamos na ISO 27001, adaptada ao que a privacidade tem de próprio: o papel em cada tratamento, a base legal e o direito do titular. Conduzida por especialista externo, com um ponto focal do seu time, e avaliação binária de cada requisito, sem nota subjetiva que ninguém defende na auditoria.
Definimos o escopo e os limites do sistema de gestão (cláusula 4), engajamos a direção e constituímos a governança de privacidade (cláusula 5). Em paralelo, mapeamos os tratamentos de dado pessoal e definimos, tratamento a tratamento, se a empresa é controladora ou operadora.
Escopo e limites do sistema de gestão homologados
Inventário de tratamentos de dado pessoal
Papel definido por tratamento: controlador ou operador
Governança de privacidade constituída, com o encarregado formalizado
Marco de entregaInventário de tratamentos aprovado e papel definido em 100% dos fluxos mapeados.
Executamos a análise de lacunas frente às cláusulas 6 e 7, registramos a base legal de cada tratamento e avaliamos os riscos à privacidade dos titulares, que não são os mesmos riscos da segurança da informação. Onde a lei pede, produzimos o relatório de impacto.
Base legal registrada para cada tratamento
Avaliação de riscos à privacidade dos titulares
Relatório de impacto à proteção de dados, onde aplicável
Plano de tratamento e declaração de aplicabilidade dos controles
Marco de entregaBases legais aprovadas pelo jurídico e plano de tratamento homologado pela direção.
Implantamos os controles do Anexo A que correspondem ao papel da empresa, com o bloco compartilhado servindo aos dois. É a fase em que o atendimento ao titular deixa de ser improviso: prazo, canal, registro e resposta padronizada, além de retenção e descarte definidos por tipo de dado.
Controles de controlador, de operador ou ambos, conforme o papel
Processo de atendimento ao titular, com prazo e registro
Política de retenção e descarte por tipo de dado
Cláusulas de privacidade revisadas nos contratos com terceiros
Marco de entregaPrimeiro ciclo de pedidos de titular atendido dentro do prazo e com registro completo.
Executamos a auditoria interna (cláusula 9) com consultor independente de quem implantou, conduzimos a análise crítica pela direção e tratamos os desvios (cláusula 10). Consolidamos as evidências e acompanhamos as duas fases da auditoria externa.
Auditoria interna conduzida por consultor independente
Análise crítica pela direção, com desvios tratados
Repositório de evidências de privacidade consolidado
Acompanhamento nas fases 1 e 2 da auditoria externa
Marco de entregaAuditoria de certificação concluída e certificado emitido pelo organismo acreditado.
QUANTO TEMPO LEVA
Não publicamos prazo padrão, porque prazo publicado vira promessa. Nesta norma a variação é ainda maior que na ISO 27001, e por um motivo específico: empresa que já fez adequação à LGPD com método chega com metade do caminho andado, e empresa que fez um projeto de papel chega praticamente do zero. A primeira conversa já separa os dois casos.
Inventário de tratamentos atualizado e bases legais registradas encurtam meses. Relatório de dois anos atrás que ninguém manteve costuma valer menos do que parece, e é honesto dizer isso antes de começar.
Ser só controladora é o caminho mais curto. Acumular os dois papéis em fluxos diferentes multiplica os controles aplicáveis e as cláusulas contratuais a revisar.
Com ISO 27001 ou ISO 42001 em operação, as cláusulas 4 a 10 são as mesmas e boa parte do trabalho de governança já está feita. Sem nenhum, essa base precisa ser construída, e agora ela pode ser construída direto na 27701.
OS PAPÉIS SÃO SEPARADOS
Como em toda norma certificável, quem emite o certificado é um organismo acreditado contratado por você, nunca a DM11, e a auditoria interna da cláusula 9 é conduzida por quem não implantou. Há uma segunda separação aqui: a norma trata de gestão, e não substitui assessoria jurídica sobre a LGPD. Os dois lados precisam conversar, e o projeto é conduzido com especialista em direito digital ao lado do especialista em gestão.
A DM11 prepara, implanta e acompanha. Não emite certificado
Você contrata o organismo de certificação, e a escolha é sua
A auditoria interna da cláusula 9 é feita por quem não implantou
A norma organiza a gestão; a interpretação da lei fica com o jurídico
PERGUNTAS FREQUENTES
As dúvidas que aparecem em quase toda primeira reunião, respondidas sem rodeio.
Não, e essa é a novidade que muda o cálculo. Até a versão de 2019 a 27701 era uma extensão e não se certificava sem a 27001 implantada. A revisão publicada em 14 de outubro de 2025 tornou a norma autônoma: ela não depende mais da implementação da 27001 nem da 27002. Se você recebeu proposta afirmando o contrário, ela foi escrita sobre a versão anterior. Ter a 27001 continua ajudando bastante, porque as cláusulas 4 a 10 são as mesmas, mas deixou de ser pré-requisito.
Não, e nenhuma norma faz isso. A LGPD é lei e vale independentemente de certificado; a ISO 27701 é um sistema de gestão que organiza o cumprimento e permite prová-lo a terceiros. Na prática elas se apoiam: quem fez a adequação com método chega com boa parte do inventário e das bases legais prontos, e quem certifica primeiro ganha a disciplina de manutenção que costuma faltar depois que o projeto de LGPD termina.
Provavelmente os dois, em fluxos diferentes, e é a primeira coisa que definimos. Controlador é quem decide sobre o tratamento; operador é quem trata por conta de outra empresa. Uma empresa costuma ser controladora dos dados dos próprios funcionários e operadora dos dados que processa para clientes. A norma separa os controles por papel, então essa definição é o que mais muda o tamanho do projeto.
Bem menos do que começar do zero. As cláusulas 4 a 10 são as mesmas, então contexto, liderança, planejamento, auditoria interna e análise crítica se estendem em vez de se duplicarem. O trabalho novo se concentra no que é próprio da privacidade: inventário de tratamentos, base legal, direitos do titular, retenção e os controles do Anexo A conforme o seu papel.
Responde bem, e a norma foi desenhada para isso: ela traz anexos que mapeiam os controles para o GDPR. Um certificado reconhecido internacionalmente costuma encerrar a conversa que um dossiê próprio não encerra, porque veio de um terceiro acreditado. Não substitui as cláusulas contratuais nem a análise de transferência internacional, que continuam sendo tema jurídico.
Vai precisar, como aconteceu na transição da ISO 27001 de 2013 para 2022. A norma traz um anexo que mapeia a versão nova contra a de 2019, justamente para apoiar essa migração. O prazo formal de transição é definido pelo fórum internacional de acreditação, e na última vez que conferimos ele ainda não tinha sido publicado. Por isso não colocamos data aqui: quando sair, ela é fato e entra na página.
Não, e ninguém que implanta pode emitir. O certificado vem de um organismo de certificação acreditado que você contrata. A DM11 prepara a empresa, implanta o sistema de gestão junto do seu time e acompanha as duas fases da auditoria externa. É a mesma separação que vale para a ISO 27001, e é ela que dá valor ao certificado.
A LGPD já pede que o controlador indique um encarregado, então na maioria dos casos a figura já deveria existir antes de qualquer certificação. O que a norma cobra é que a responsabilidade esteja formalizada e funcionando, com autonomia e canal de contato de verdade. Se o seu encarregado é interno e está sozinho, o DPO Backoffice® da DM11 existe exatamente para isso.
Na primeira conversa olhamos o que existe de inventário, base legal e processo de atendimento ao titular, e dizemos com honestidade se o caminho é curto ou longo.
ISO/IEC · ISO/IEC 27701:2025, edição 2, publicada em outubro de 2025 · consultado em
ISO/IEC · ISO/IEC 27001:2022, edição 3, com a emenda 1:2024 · consultado em
Presidência da República, texto consolidado · consultado em
Esta página é informativa e descreve como a DM11 lê e aplica as fontes acima. Ela não reproduz o texto das normas, não substitui a leitura do documento oficial e não substitui auditoria, certificação, avaliação independente ou aconselhamento jurídico. Onde a norma exige avaliação formal, quem conduz é um organismo, auditoria ou avaliador credenciado, sempre separado de quem preparou.