Com a ANPD fortalecida, mapear o caminho dos dados entre site, CRM, sistema de gestão e parceiros virou tarefa da operação e da TI
Um cliente preenche o formulário do site para simular o financiamento de um SUV. Em poucos minutos, nome, CPF, telefone e renda entram no CRM, o sistema de gestão do relacionamento com o cliente. Depois, chegam ao vendedor e seguem para a financeira. Se a venda fecha, os mesmos dados passam pelo sistema de gestão, pelo registro do veículo e pelo pós-venda. Cada uma dessas passagens é um tratamento de dados pessoais sob a Lei Geral de Proteção de Dados (LGPD).
Em 2026, mudou o tamanho de quem fiscaliza. Desde fevereiro, a Agência Nacional de Proteção de Dados (ANPD) funciona como agência reguladora, com autonomia ampliada pela Lei 15.352/2026. Nesse ambiente, a concessionária precisa saber responder por onde passou cada dado do cliente e qual sistema estava com ele em cada etapa.
Uma venda, vários sistemas, o mesmo cliente
A operação de uma concessionária depende de sistemas que trocam informação o tempo todo. Uma única venda costuma envolver:
- Site e páginas de campanha, onde o cliente deixa os primeiros dados.
- CRM e canais de atendimento, como o WhatsApp, que registram a negociação.
- Sistema de gestão da concessionária, responsável por estoque, faturamento e fiscal.
- Financeiras e seguradoras, que recebem dados para análise de crédito e cotação.
- Oficina e pós-venda, que herdam o cadastro para revisões e recall.
O tipo de dado também pesa. Para aprovar um financiamento, a loja lida com CPF, comprovante de renda, endereço e cópia da CNH, informações visadas por golpistas e que exigem cuidado redobrado. Muitas vezes esses documentos chegam pelo WhatsApp e ficam guardados no celular do vendedor, fora de qualquer controle da empresa.
Assim, cada integração entre esses pontos move informação pessoal. Na maioria das vezes, isso acontece de forma automática, por APIs, interfaces que permitem a troca de dados entre sistemas sem intervenção humana.
O cliente está atento a esse fluxo. No Global Automotive Consumer Study 2026, da Deloitte, 60% dos brasileiros se disseram preocupados com o compartilhamento de dados ligados ao veículo, como localização e câmeras internas. Com o carro cada vez mais conectado, o volume de informação que chega à concessionária tende a crescer.
Controlador, operador e a responsabilidade em cada integração
Nesse fluxo, a LGPD define dois papéis principais. O controlador é quem decide por que e como os dados são tratados, papel que normalmente cabe à concessionária. O operador trata os dados em nome do controlador, como fornecedores de software, integradores e serviços de nuvem.
Terceirizar a tecnologia não transfere a responsabilidade. Pela lei, o operador deve seguir as instruções lícitas do controlador e responde solidariamente pelos danos quando descumpre a LGPD ou essas instruções. O controlador, por sua vez, continua respondendo pelas escolhas que fez. Por isso, contratos e integrações precisam deixar claro quem acessa o quê, para qual finalidade e por quanto tempo.
Na relação com fornecedores de tecnologia, alguns pontos costumam ficar fora do contrato e fazem falta depois. Vale definir em que prazo o operador avisa a concessionária sobre um incidente e se ele pode repassar dados a outras empresas. Também é preciso prever o que acontece com as informações quando o contrato termina. A LGPD prevê que os dados sejam eliminados ao fim do tratamento, salvo nas hipóteses em que a lei autoriza a guarda.
Na prática, os riscos aparecem nos detalhes técnicos das integrações:
- Dados além do necessário, como o envio do cadastro completo quando bastariam nome e telefone.
- Credenciais compartilhadas, usadas por várias integrações e sem prazo de validade.
- Ausência de registro de acesso, o que impede saber quem consultou um dado e quando.
- Integrações esquecidas, criadas para um projeto antigo e que seguem enviando dados.
O primeiro item contraria diretamente o princípio da necessidade, previsto na lei, que limita o tratamento ao mínimo exigido para cada finalidade.
O pedido do cliente testa a arquitetura
Um dos direitos garantidos pela LGPD é o de o titular saber quais dados a empresa tem sobre ele. Quando o pedido exige uma declaração completa, a lei dá até 15 dias para a resposta. Se o cadastro está espalhado em seis sistemas sem mapeamento, esse prazo vira uma busca manual, sujeita a erro.
Ao mesmo tempo, o tema está no radar da fiscalização. Direitos dos titulares é um dos quatro eixos do Mapa de Temas Prioritários da ANPD para 2026 e 2027. Correção e exclusão de dados seguem a mesma lógica, já que a alteração precisa chegar a todos os sistemas integrados.
Em regra, quem recebe esses pedidos é o encarregado pelo tratamento de dados. A LGPD prevê essa figura como canal entre a empresa, os titulares e a ANPD. Para responder com segurança, ele precisa saber onde cada informação está guardada, e essa visão depende da equipe de tecnologia.
Os incidentes de segurança exigem ainda mais velocidade. Pela Resolução CD/ANPD nº 15/2024, o controlador tem até três dias úteis para comunicar à agência e aos titulares os incidentes com risco ou dano relevante. Para cumprir esse prazo, a empresa precisa identificar rapidamente quais sistemas e quais clientes foram afetados. Sem registro de acessos e sem mapa de integrações, esse levantamento pode levar semanas, tempo que a norma não concede.
Em caso de infração, as sanções vão da advertência à multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além da possível publicização do caso. Para uma concessionária, o impacto na reputação local costuma pesar tanto quanto o valor da multa.
Boas práticas para integrar com segurança
Por isso, a proteção de dados em integrações começa no desenho técnico. Algumas práticas reduzem o risco de forma consistente:
- Mapa de dados atualizado, com o registro de quais sistemas recebem cada informação e com qual finalidade.
- Envio mínimo, com cada integração recebendo apenas os campos que usa.
- Credenciais individuais, com permissões restritas e troca periódica.
- Criptografia no tráfego e no armazenamento, inclusive em bases de teste.
- Registro de acessos, que permite reconstituir o caminho de um dado em caso de incidente.
- Plano de resposta a incidentes, com responsáveis definidos e simulações periódicas.
O registro das operações de tratamento, aliás, é uma exigência da própria LGPD para controladores e operadores. Na prática, ele funciona como o mapa que orienta todas as outras medidas.
Dois cuidados completam a lista. O primeiro envolve os ambientes de teste, que muitas vezes recebem cópias da base real de clientes sem a mesma proteção da produção. O ideal é usar dados fictícios ou anonimizados nessas etapas. O segundo é uma revisão periódica das integrações ativas, para desligar conexões que ninguém usa mais e que continuam abertas por esquecimento.
A LGPD pede que as medidas de segurança sejam observadas desde a fase de concepção de um produto ou serviço. Em integrações, isso coloca a privacidade na conversa antes da primeira linha de código.
Na rotina de um projeto, esse princípio se traduz em perguntas simples. Quais campos essa integração realmente precisa receber? Quem terá acesso a eles? Por quanto tempo ficarão guardados? Como serão apagados quando deixarem de ser necessários? Responder a essas questões no início custa pouco. Corrigir depois, com dados já espalhados por vários sistemas, custa bem mais.
Esse cuidado tem mais chance de acontecer quando quem desenvolve conhece o fluxo real da operação. Uma software house especializada no setor, como a BoxTech, trabalha as integrações entre site, CRM, sistema de gestão e parceiros com validação de segurança em cada entrega.
Numa operação em que o dado do cliente circula o dia inteiro, a confiança do comprador também passa pela arquitetura que conecta esses sistemas.
