Neste conteúdo (11 partes)
A LGPD vale para o CRM e para as conversas do WhatsApp?
Sim. A lei se aplica a qualquer tratamento de dado pessoal, e nome, telefone, e-mail, histórico de conversa e anotação sobre uma pessoa identificada são dados pessoais (art. 5º, I). Tratar inclui coletar, armazenar, consultar, compartilhar e eliminar (art. 5º, X). O CRM faz tudo isso todos os dias. As novidades do ano estão em o que mudou na LGPD para vendas em 2026.
Para o uso de IA no atendimento, que traz pontos extras, veja IA e LGPD no atendimento.
Que dados de leads e clientes costumam ficar no CRM?
Quase tudo que o CRM guarda sobre uma pessoa é dado pessoal. A tabela mostra os tipos mais comuns no comercial e o cuidado de cada um, do cadastro básico ao dado sensível, que tem regras mais restritas.
| Dado | Exemplo | Cuidado |
|---|---|---|
| Identificação | Nome, telefone, e-mail | Dado pessoal. Colete só o que a venda precisa. |
| Conversas e anotações | Histórico do WhatsApp, observações do vendedor | Dado pessoal. Escreva só o que você mostraria à pessoa. |
| Origem e campanha | Anúncio, formulário, indicação | Dado pessoal quando ligado ao contato. Registre para medir. |
| Documentos e financeiro | CPF, endereço, renda declarada | Peça só na etapa em que a venda exige e proteja o acesso. |
| Dado sensível | Informação de saúde, biometria, convicção religiosa | Hipóteses mais restritas (arts. 5º, II, e 11). Evite guardar no CRM sem necessidade clara. |
Qual base legal usar para guardar um lead?
As bases legais estão no art. 7º da LGPD. No comercial, as mais usadas são consentimento, execução de contrato ou procedimentos preliminares a pedido da pessoa, legítimo interesse e cumprimento de obrigação legal. A base certa depende de cada finalidade, e a empresa deve documentar a escolha. Para campanha, a dúvida mais comum é o legítimo interesse em marketing.
| Situação no CRM | Base do art. 7º que costuma ser avaliada | Ponto de atenção |
|---|---|---|
| Cliente pediu orçamento e a empresa guarda para responder | Procedimentos preliminares a pedido do titular (inciso V) | Vale para o que é necessário àquele pedido, não para qualquer uso futuro. |
| Enviar ofertas e campanhas | Consentimento (inciso I) ou legítimo interesse (inciso IX) | O legítimo interesse exige avaliação própria (art. 10). No WhatsApp, a política da Meta ainda pede opt-in. |
| Guardar nota fiscal e registros exigidos por lei | Cumprimento de obrigação legal ou regulatória (inciso II) | Os prazos vêm da legislação fiscal e contábil, não da LGPD. |
| Cobrança e proteção do crédito | Proteção do crédito (inciso X) | Registre a finalidade e quem acessa. |
O consentimento tem regras próprias: é manifestação livre, informada e inequívoca para finalidade determinada (art. 5º, XII), autorizações genéricas são nulas (art. 8º, §4º) e a prova é da empresa (art. 8º, §2º). Se você usa consentimento, trate o registro como parte do processo, como no modelo de opt-in do WhatsApp.
Por quanto tempo guardar os dados do CRM?
A LGPD não fixa um prazo único. Pelos arts. 15 e 16, o tratamento termina quando a finalidade foi alcançada ou o dado deixou de ser necessário, e os dados devem ser eliminados depois disso, com exceções como o cumprimento de obrigação legal. Cada empresa precisa definir uma regra de retenção por tipo de dado.
Lead que nunca respondeu: revisar após [prazo da empresa] e eliminar ou anonimizar se não houver finalidade. Lead que respondeu e não comprou: manter enquanto houver conversa ativa; revisar após [prazo]. Cliente com compra: manter o cadastro durante a relação e pelos prazos fiscais e contábeis; conferir com o contador. Quem pediu para parar de receber mensagens: manter só o registro do pedido. Quem revisa: [nome ou função] a cada [periodicidade].
Os colchetes são de propósito: o prazo é decisão da empresa. A Casa Brisa, loja fictícia, decidiu revisar leads sem resposta a cada semestre.
Quem deve ter acesso aos dados do CRM?
Só quem precisa para fazer o trabalho. Dois princípios da lei guiam isso: necessidade (usar o mínimo de dados para a finalidade) e segurança (medidas técnicas e administrativas para proteger os dados), previstos no art. 6º. Na prática, é um conjunto de hábitos simples, aplicável a qualquer CRM.
- Cada pessoa da equipe com o seu próprio acesso, sem login compartilhado.
- Quem sai da empresa perde o acesso no mesmo dia, inclusive às conversas do WhatsApp.
- Exportações para planilha só quando há motivo, e sem lista de clientes circulando por e-mail ou grupo de mensagens.
Como avaliar a segurança de dados de um CRM na nuvem?
Pergunte ao fornecedor como ele protege o acesso, o que fica registrado e como você tira ou apaga os dados. A LGPD pede medidas de segurança técnicas e administrativas contra acesso não autorizado (art. 46), e quem contrata o CRM continua responsável pelos dados dos clientes. Leve as perguntas da tabela para a demonstração.
| Pergunta ao fornecedor | Por que importa |
|---|---|
| Cada usuário tem login próprio e permissão por perfil? | Sem isso, não dá para limitar quem vê o quê nem tirar o acesso de quem sai |
| Fica registrado quem acessou, alterou ou exportou dados? | Ajuda a investigar um incidente e a mostrar o cuidado da empresa |
| Dá para exportar e apagar o cadastro de um cliente? | É o caminho para atender o pedido do titular (art. 18) |
| O contrato diz como o fornecedor trata os dados que você coloca no sistema? | O operador trata os dados segundo as instruções do controlador (art. 39) |
| Como o fornecedor avisa um incidente de segurança? | A empresa precisa comunicar à ANPD e ao titular o incidente que possa causar risco ou dano relevante (art. 48) |
| As integrações por webhook e API usam chave própria, que você pode trocar? | Uma chave vazada abre a base para quem a tiver |
Como responder quando o titular pede os dados ou a exclusão?
O art. 18 dá ao titular direitos como confirmar que há tratamento, acessar, corrigir e pedir eliminação de dados tratados com consentimento. O atendimento é gratuito, nos prazos e termos previstos em regulamento. Monte um caminho simples: quem recebe o pedido, como confirma a identidade e quem responde. O passo a passo com modelos está em como responder o pedido do titular.
- 1Receba por um canal claro
Indique na política de privacidade um e-mail ou formulário e ensine a equipe a encaminhar pedidos recebidos no WhatsApp.
- 2Confirme a identidade
Confira se quem pede é a dona ou o dono dos dados, sem pedir mais informação do que o necessário.
- 3Localize no CRM
Busque pelo telefone e pelo e-mail, incluindo conversas e tags.
- 4Decida o que atender
Dado com guarda obrigatória por lei fica. O resto é corrigido, entregue ou eliminado.
- 5Responda e registre
Responda por escrito e guarde a data e o que foi feito.
Olá, [nome]. Recebemos o seu pedido em [data] sobre os seus dados pessoais na [empresa]. Para sua segurança, confirmamos que o pedido veio de você: [forma de confirmação]. O que fizemos: [acesso / correção / eliminação / outra ação]. O que mantemos e por quê: [dados com guarda obrigatória, se houver]. Dúvidas: [canal da empresa].
Dado sensível no CRM exige mais cuidado?
Sim. A LGPD trata como sensível, entre outros, o dado de saúde, a origem racial ou étnica, a convicção religiosa e o dado biométrico (art. 5º, II), e o art. 11 traz hipóteses mais restritas, como o consentimento específico e destacado. No comercial, não registre nada sensível que a venda não exija.
Quando o dado sensível é indispensável, como em clínicas e corretoras de saúde, defina quem acessa, por quanto tempo guarda e como comprova a base legal antes de anotar em uma conversa.
Que checklist de LGPD usar no CRM comercial?
Use a lista abaixo como revisão trimestral do CRM. Cada item marcado é um ponto resolvido, e cada item vazio é uma tarefa com dono e data.
FINALIDADE E BASE LEGAL [ ] Cada dado do CRM tem finalidade e base legal (art. 7º) anotadas. [ ] Onde uso consentimento, tenho a prova (data, canal, texto). COLETA E ACESSO [ ] Os formulários pedem só o necessário e não têm caixa pré-marcada. [ ] A política de privacidade está acessível no formulário e na conversa. [ ] Cada pessoa tem acesso próprio, e quem sai perde o acesso no mesmo dia. RETENÇÃO E DIREITOS DO TITULAR [ ] Existe regra de quanto tempo guardar cada tipo de dado e rotina para eliminar o resto. [ ] Existe um canal para pedidos do titular, com modelo de resposta e registro. GOVERNANÇA [ ] A empresa indicou o encarregado (art. 41) ou, se é agente de pequeno porte dispensado pela Resolução CD/ANPD nº 2/2022, mantém um canal de contato com o titular. [ ] A equipe sabe o que fazer em caso de incidente de segurança (art. 48); a ANPD fixou prazo de três dias úteis para a comunicação (Resolução CD/ANPD nº 15/2024). [ ] O marketing no WhatsApp respeita opt-in e opt-out.
A ANPD publica guias e regulamentos, inclusive para agentes de tratamento de pequeno porte. Confira o que se aplica ao porte da sua empresa na página oficial da ANPD e veja também boas práticas de IA nas empresas.
O que a AD PRO configura e o que fica com a empresa?
A divisão é simples: a AD PRO configura o CRM, e as decisões jurídicas ficam com a empresa e o seu advogado.
Para organizar a base, leia gestão de leads e CRM online.
Perguntas frequentes
A LGPD vale para pequenas empresas?
Sim, a lei vale para quem trata dados pessoais, independentemente do tamanho. A Resolução CD/ANPD nº 2/2022 traz regras mais leves para agentes de tratamento de pequeno porte, como a dispensa de indicar encarregado desde que haja um canal de contato com o titular, com exceções. Confira o texto na página da ANPD.
Preciso de consentimento para guardar o lead no CRM?
Nem sempre. A LGPD tem outras bases legais no art. 7º, como procedimentos preliminares a pedido da pessoa e legítimo interesse. A base depende da finalidade, e a decisão deve ser documentada pela empresa. Para mandar mensagens de marketing no WhatsApp, a política da Meta pede opt-in.
Por quanto tempo posso guardar dados de clientes?
A LGPD não dá um prazo único. O dado deve ser eliminado quando a finalidade acaba ou ele deixa de ser necessário (arts. 15 e 16), com exceções como obrigação legal. Prazos fiscais e contábeis vêm de outras leis, então confirme com o contador.
Como atender um pedido de exclusão de dados no CRM?
Confirme a identidade, localize o cadastro e as conversas, elimine o que não tiver guarda obrigatória e responda por escrito, registrando a data. O art. 18 prevê esse direito, e o atendimento é gratuito.
O CRM e o WhatsApp entram na LGPD ao mesmo tempo?
Sim. A conversa gravada no CRM é dado pessoal, e mensagens de marketing pelo WhatsApp ainda dependem do opt-in exigido pela política de mensagens. Veja o opt-in no WhatsApp.
Quem ajuda a configurar o CRM com cuidado com dados?
No DataCrazy, o chat atende das 9h às 22h (sábado das 14h às 21h), com SLA de 5 minutos, segundo o site oficial. Há também Meet de segunda a sexta, das 10h às 18h, e comunidade de clientes no WhatsApp: é o suporte próximo e a cultura community first que destacamos. A AD PRO, parceira Premier e implementadora do DataCrazy, acompanha a configuração.
Como avaliar a segurança de um CRM na nuvem?
Confira se cada usuário tem login e permissão próprios, se o sistema registra acessos e exportações, se dá para exportar e apagar o cadastro de um cliente e como o fornecedor avisa um incidente. A LGPD pede medidas de segurança técnicas e administrativas (art. 46), e a decisão final cabe à sua empresa e ao jurídico.
- Planalto, Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais) (consultado em 21/10/2026)
- ANPD, Autoridade Nacional de Proteção de Dados (guias e regulamentos) (consultado em 21/10/2026)
- ANPD, Resolução CD/ANPD nº 2/2022 (agentes de tratamento de pequeno porte) (consultado em 21/10/2026)
- WhatsApp Business, política de mensagens (consultado em 21/10/2026)
- DataCrazy, site oficial (suporte, multiatendimento, automação por etapa, BI) (consultado em 21/10/2026)