Diagnóstico
Avaliamos lacunas técnicas e jurídicas: maturidade da gestão de privacidade, riscos em pessoas, processos e tecnologia, e a documentação que legitima o tratamento de dados.
DPO BACKOFFICE® | PRIVACIDADE E LGPD
Seu DPO interno, com a força de um time inteiro
A multa por descumprir a LGPD chega a 2% do faturamento anual. Com o DPO Backoffice®, o Encarregado, que é o DPO exigido pela lei, continua dentro de casa, conhecendo o negócio. Ao lado dele entram especialistas em direito digital, cibersegurança e em governança, riscos e conformidades (GRC). Ele nunca mais trabalha sozinho.
O QUE INCLUI
Cobertura completa do ciclo de privacidade
Da primeira avaliação de lacunas à auditoria contínua, com profissionais de Direito Digital, Empresarial, Regulatório, Cibersegurança e GRC.
Mapeamento
Inventariamos os dados pessoais: coleta, processamento, compartilhamentos e transferências. Validamos juridicamente as bases legais e os pontos sensíveis dos fluxos.
Implementação
Executamos o plano de adequação nas frentes técnica e jurídica: classificação da informação, plano de resposta a incidentes, contratos e políticas.
Capacitação
Realizamos workshops de conscientização para colaboradores, gestores e terceiros e treinamos o seu DPO para produzir com autonomia o relatório de impacto à proteção de dados (o RIPD, chamado DPIA fora do Brasil).
Gestão contínua
Cuidamos da rotina da privacidade: riscos de terceiros e operadores, consentimento, pedidos de titulares, vulnerabilidades, incidentes e continuidade.
Auditoria
Fazemos o double-check das implementações, auditamos a segurança dos fluxos de dados e das aplicações, simulamos ataques e revisamos normativas e controles em ciclos periódicos.
POR QUE É DIFERENTE
DPO as a Service vs. DPO Backoffice®
DPO as a Service (terceirizado)
- Dados internos compartilhados com organização externa
- Dificuldade em compreender as particularidades do negócio
- Cultura de privacidade não se enraíza no time
- Carga horária e agenda impostas pela terceirizada
- Investimento mensal contínuo, sem internalizar conhecimento
DPO Backoffice®
- DPO interno, integrado ao time e ao negócio
- Conhecimento internalizado e autonomia crescente
- Cultura de proteção de dados disseminada de dentro
- Flexibilidade de escopo e carga horária
- Custa menos que a contratação e manutenção de um especialista
O que sua empresa ganha
- Conformidade contínua com a LGPD, sem depender de um único profissional
- Intermediação especializada com a ANPD quando necessário
- Equipe multidisciplinar: jurídico + segurança + GRC
- Comitê de Privacidade estruturado e operante
- Especialistas sob demanda: direito digital, auditor líder e executivo de segurança (CISO)
- Proteção da reputação e redução do risco regulatório
AUTODIAGNÓSTICO
Sua LGPD funciona fora do papel?
Perguntas objetivas sobre a rotina de privacidade da sua empresa: o que o Encarregado comprova hoje e o que só existe em documento. O resultado mostra onde a operação se sustenta e onde ela depende da sorte.
Encarregado e governançaPergunta 1 de 16
O Encarregado foi nomeado formalmente, e a identidade e o canal de contato dele estão publicados no site da empresa?
É o primeiro item que a ANPD verifica, porque dá para verificar de fora. Se o e-mail publicado desemboca numa caixa que ninguém abre, a resposta honesta é não.
O que cada resultado significa
A leitura de cada área, nas três faixas de resultado. É o mesmo texto que chega por e-mail a quem se identifica, publicado aqui para quem quer entender o que a nota mede antes de responder.
Encarregado e governança
Abaixo de 50
Sem nomeação formal, canal publicado e tempo dedicado, a empresa tem um responsável de fato, mas não uma função operante, e é por aí que a autoridade e os titulares começam a olhar. Formalize a nomeação, publique o contato no site e reserve horas fixas na agenda. São três movimentos baratos que mudam a posição da empresa.
De 50 a 79
A função existe, mas disputa espaço com o resto da agenda, e a privacidade avança no ritmo das sobras. Um fórum periódico com a gestão, mesmo enxuto, dá tração: cria prazo, cobrança e registro das decisões.
80 ou mais
A governança de privacidade está entre os pontos fortes das suas respostas. O próximo ganho é dar profundidade técnica e jurídica ao Encarregado: pauta com riscos priorizados e decisões documentadas, para a diretoria decidir sobre risco, e não sobre generalidades.
Inventário de tratamento
Abaixo de 50
Sem registro das operações de tratamento, toda discussão sobre base legal, contrato ou incidente começa do zero, porque ninguém sabe ao certo o que a empresa trata. Comece pelos processos que tocam mais titulares, como RH e comercial, e aceite uma primeira versão incompleta. Ela já muda as conversas.
De 50 a 79
O inventário existe, mas envelhece, e inventário desatualizado dá confiança falsa: as decisões apoiadas nele valem para a empresa de ontem. Defina um dono, uma cadência e um gatilho: processo novo só vai ao ar depois de entrar no registro.
80 ou mais
Inventário vivo nas suas respostas, e isso é raro. O refinamento seguinte é usá-lo como instrumento de decisão: cruzar cada fluxo com base legal, retenção e fornecedores envolvidos, para que qualquer pergunta sobre um dado tenha resposta em minutos.
Bases legais
Abaixo de 50
Tratar sem base legal definida é a fragilidade mais direta perante a lei: não há como demonstrar que a operação é lícita. Percorra os fluxos principais e registre a base de cada um. O exercício costuma revelar consentimentos desnecessários e obrigações legais que ninguém tinha nomeado.
De 50 a 79
As bases existem, mas parte foi escolhida por padrão, e o excesso de consentimento cobra juros: cada revogação vira dúvida operacional. Revisar as escolhas com olhar jurídico costuma migrar operações para bases mais estáveis, como obrigação legal e execução de contrato.
80 ou mais
Bases legais tratadas com critério nas suas respostas. O passo seguinte é a manutenção: revisar os testes de balanceamento quando o contexto muda e garantir que operação nova nasce com base definida, não herdada.
Direitos do titular
Abaixo de 50
Hoje, um pedido de titular provavelmente entraria pela porta errada e correria sem dono, com o prazo legal andando. Antes de qualquer ferramenta, defina o fluxo: por onde entra, quem responde, em quanto tempo. Depois simule um pedido de verdade e cronometre.
De 50 a 79
O canal existe, mas a resposta depende de esforço manual, e o direito mais difícil, a eliminação completa, provavelmente ainda falha nos sistemas periféricos. Mapear onde cada dado vive é o que transforma o atendimento de caça ao tesouro em procedimento.
80 ou mais
Direitos do titular com fluxo funcionando. O ganho seguinte é testar o próprio atendimento: um pedido simulado por trimestre, incluindo eliminação, revela o sistema esquecido antes que um titular real o faça.
Incidentes e ANPD
Abaixo de 50
Um incidente com dados pessoais encontraria a empresa decidindo tudo de improviso, com três dias úteis correndo. Comece pelo mínimo: quem avalia o risco para os titulares, quem decide comunicar, quem assina. Três nomes em um documento já tiram a decisão do pânico.
De 50 a 79
O plano existe, mas a camada de privacidade ainda é fina: avaliar o risco para o titular é julgamento treinável, e ninguém treina durante o incêndio. Um exercício de mesa por ano, com cenário de vazamento de dados e o jurídico presente, fecha essa lacuna com custo baixo.
80 ou mais
Resposta a incidentes com a privacidade integrada, e é isso que separa responder de improvisar. Mantenha o registro fundamentado até dos casos não comunicados e revise o fluxo quando a autoridade publicar orientação nova. É esse arquivo que sustenta a empresa em qualquer questionamento.
Terceiros e contratos
Abaixo de 50
Cada fornecedor que trata dados pessoais sem contrato adequado é risco que a empresa carrega sem contrapartida, porque perante o titular a responsabilidade continua sendo sua. Liste os fornecedores com acesso a dados pessoais e comece os aditivos pelos de maior volume. A lista costuma ser maior do que se imagina.
De 50 a 79
Os contratos principais estão cobertos, mas a avaliação de fornecedores novos ainda depende de alguém lembrar, e as transferências internacionais raramente estão todas mapeadas. Colocar a privacidade como etapa formal da contratação fecha a porta por onde os casos novos entram.
80 ou mais
Terceiros sob gestão nas suas respostas. O refinamento seguinte é sair do contrato para a verificação: pedir evidência periódica dos controles dos operadores críticos, porque cláusula transfere obrigação, não risco operacional.
Seu DPO não precisa carregar a LGPD sozinho
Quem conhece o negócio é o seu Encarregado. A profundidade técnica e jurídica vem do time que trabalha ao lado dele.