LGPD pequenos negócios: que fazer com dados de pagamento e cadastro de clientes

Se você coleta nome, CPF, e-mail ou histórico de compras dos seus clientes, a LGPD já se aplica ao seu negócio. Na prática, isso significa: coletar só o que for necessário, informar para que os dados serão usados, armazená-los com segurança e descartá-los quando não forem mais necessários.

Este guia explica o que a lei exige de você na prática, o que fazer com dados de pagamento e cadastro de clientes, e como se organizar sem precisar contratar uma equipe jurídica.

O que a LGPD exige de quem vende e coleta dados de clientes?

Toda empresa que coleta, armazena ou usa dados de pessoas físicas está sujeita à LGPD, independentemente do porte. A lei exige que você tenha uma justificativa legal para coletar cada dado, informe ao cliente como esses dados serão usados, garanta que eles estejam protegidos e os elimine quando não forem mais necessários.

Quais dados de clientes são considerados pessoais pela lei?

A LGPD define como dado pessoal qualquer informação que permita identificar alguém, direta ou indiretamente. No contexto de um pequeno negócio, isso inclui:

• Nome completo, CPF e RG.
• Endereço residencial ou de entrega.
• Telefone e e-mail.
• Data de nascimento.
• Histórico de compras e preferências de consumo.
• Localização via GPS ou endereço IP.

Dados de saúde, origem racial, religião e biometria são considerados sensíveis e têm regras ainda mais restritivas. Entretanto, a maioria dos pequenos negócios não precisa lidar com esse tipo de informação no dia a dia.

Dados de pagamento entram na LGPD? Entenda o que muda

Sim, e é aqui que muita gente se perde. Dados de pagamento — como número de cartão, CPF vinculado a uma transação e histórico de compras — são dados pessoais e, portanto, protegidos pela lei.

A boa notícia é que, na maioria dos casos, quem armazena e processa esses dados é a plataforma de pagamento, e não você diretamente. Quando você usa uma solução como o Mercado Pago para cobrar, a responsabilidade pelo tratamento dos dados financeiros da transação recai sobre a plataforma, que já opera dentro dos requisitos de conformidade. O que ainda é sua responsabilidade é o cadastro do cliente que você mantém no seu próprio sistema, e é isso que a lei vai cobrar de você.

Como se adequar à LGPD sem contratar um time jurídico?

Adequar um pequeno negócio à LGPD não exige um departamento jurídico nem um investimento alto. O processo pode ser conduzido com a estrutura que você já tem, desde que você entenda o que precisa ser feito.

O ponto de partida é mapear quais dados você coleta e o que faz com eles. A partir daí, siga estes passos:

1. Identifique todos os pontos de coleta: formulários, WhatsApp, e-mail, planilhas, sistemas de PDV ou um sistema de gestão.
2. Para cada dado coletado, defina a finalidade: por que você precisa daquela informação?
3. Colete apenas o que for necessário para aquela finalidade — nome e e-mail para newsletter, CPF para emissão de nota fiscal, e assim por diante.
4. Informe ao cliente o que você faz com os dados no momento da coleta, mesmo que seja de forma breve.
5. Defina por quanto tempo você vai guardar cada tipo de dado e como vai descartá-lo depois.
6. Organize os dados em locais com acesso restrito, seja uma pasta protegida por senha, um sistema ou uma plataforma confiável.

Pequenos negócios têm regras diferenciadas na LGPD?

A Resolução CD/ANPD nº 02, de 2022, criou um regime simplificado para micro e pequenas empresas, MEIs e startups de pequeno porte. As principais flexibilizações são:

• Dispensa da obrigação de nomear um encarregado de dados (DPO) formalmente.
• Prazo dobrado para responder a solicitações dos titulares em relação a outras empresas.
• Relatório de impacto em formato simplificado.
• Flexibilização das exigências de eliminação de dados em determinados casos.

Isso não significa que você está dispensado de se adequar à LGPD. A resolução facilita o processo, mas as obrigações fundamentais — consentimento, transparência, segurança e respeito aos direitos do cliente — continuam valendo para todos. A multa por descumprimento pode chegar a 2% do faturamento anual, com teto de R$ 50 milhões, embora para microempresas com faturamento até R$ 100 mil o limite seja de R$ 2 mil por infração.

O que fazer com dados de pagamento no dia a dia do seu negócio?

No cotidiano de quem vende, a questão não é só coletar dados com consentimento — é também saber o que fazer com eles depois. Isso envolve armazenamento, compartilhamento e descarte.

Para um pequeno negócio, isso significa adotar práticas proporcionais ao risco:

• Guarde dados de clientes em sistemas ou ferramentas com senha, não em arquivos abertos ou e-mails sem proteção.
• Não compartilhe listas de clientes com terceiros sem uma justificativa legal e sem informar o titular.
• Se usar uma ferramenta de terceiros para processar pagamentos, confirme que ela tem política de privacidade e age como operadora de dados.
• Defina um prazo para guardar os dados — por exemplo, dados de cadastro de clientes inativos há mais de dois anos podem ser descartados, a menos que haja obrigação legal de mantê-los.
• Quando descartar, faça isso de forma que não permita recuperação: exclua arquivos definitivamente, destrua documentos físicos.

Política de privacidade: você precisa ter uma?

Se você tem um site, e-commerce ou qualquer canal digital onde coleta dados, a resposta é sim. A política de privacidade não precisa ser um documento jurídico complexo, apenas deve apenas informar, de forma clara e acessível, quais dados você coleta, para quê, como protege e como o cliente pode pedir para acessar ou excluir as informações dele.

Para quem vende só de forma presencial, um aviso simples no ponto de venda ou no momento do cadastro já atende ao princípio de transparência exigido pela lei. O importante é que o cliente saiba que os dados estão sendo coletados e entenda, minimamente, para qual finalidade.

Mercado Pago e a proteção de dados no seu negócio

Uma das formas mais concretas de reduzir a sua exposição ao risco de compliance é usar ferramentas que já nascem com proteção de dados incorporada. Ao processar pagamentos pelo Mercado Pago, os dados financeiros da transação — número do cartão, informações do comprador — são tratados dentro de uma estrutura de criptografia e antifraude que você não precisaria construir sozinho.

Isso significa que a responsabilidade pelo tratamento dos dados de pagamento online fica na plataforma, enquanto você se concentra em proteger o cadastro que mantém do seu lado.  Para quem vende pelo celular ou presencialmente, as maquininhas Point também operam com tokenização — o que significa que o número real do cartão nunca é armazenado durante a transação, reduzindo o risco de vazamento de dados de pagamento no seu negócio.

Comece hoje: seu negócio pode estar em conformidade antes do fim do mês

Adequar um pequeno negócio à LGPD é um processo que pode ser feito em semanas, não em anos. O passo mais importante é começar com o mapeamento do que você coleta e por quê — e, a partir daí, organizar o restante de forma progressiva.

Não espere uma fiscalização ou uma reclamação de cliente para agir. Negócios que tratam dados com cuidado constroem uma relação de confiança com seus clientes, e confiança, no varejo, é o que faz alguém voltar a comprar de você. Conheça as funcionalidades da sua Conta Negócio no Mercado Pago e comece a vender com a segurança de uma plataforma que já cuida dos dados de pagamento por você.