# LGPD no CRM: checklist para guardar leads e clientes com segurança > Aplicar a LGPD no CRM significa guardar e usar dados de leads e clientes dentro da Lei 13.709/2018, com segurança: ter uma base legal para cada finalidade, coletar só o necessário, limitar quem acessa, definir por quanto tempo guardar e saber responder ao titular. Esta página explica cada ponto com a fonte oficial. Não é aconselhamento jurídico. Página original: https://www.adprotecnologia.com.br/crm/blog/lgpd-no-crm Autor: AD PRO Tecnologia. Publicado em 2026-10-21. Atualizado em 2026-11-07. > **Explicação com fonte, não aconselhamento jurídico:** A **AD PRO Tecnologia**, parceira Premier e implementadora do DataCrazy, explica aqui o que a lei e a ANPD dizem, com links no fim da página. Escolher base legal, prazo de guarda e política de privacidade é decisão da sua empresa, com apoio de um advogado ou de um especialista em proteção de dados. ## A LGPD vale para o CRM e para as conversas do WhatsApp? Sim. A lei se aplica a qualquer tratamento de dado pessoal, e nome, telefone, e-mail, histórico de conversa e anotação sobre uma pessoa identificada são dados pessoais (art. 5º, I). Tratar inclui coletar, armazenar, consultar, compartilhar e eliminar (art. 5º, X). O CRM faz tudo isso todos os dias. As novidades do ano estão em [o que mudou na LGPD para vendas em 2026](https://www.adprotecnologia.com.br/crm/blog/lgpd-em-vendas-o-que-mudou-em-2026). Para o uso de IA no atendimento, que traz pontos extras, veja [IA e LGPD no atendimento](https://www.adprotecnologia.com.br/crm/blog/ia-e-lgpd-no-atendimento). ## Que dados de leads e clientes costumam ficar no CRM? Quase tudo que o CRM guarda sobre uma pessoa é dado pessoal. A tabela mostra os tipos mais comuns no comercial e o cuidado de cada um, do cadastro básico ao dado sensível, que tem regras mais restritas. **Dados comuns de um CRM comercial e o cuidado de cada um** | Dado | Exemplo | Cuidado | | --- | --- | --- | | Identificação | Nome, telefone, e-mail | Dado pessoal. Colete só o que a venda precisa. | | Conversas e anotações | Histórico do WhatsApp, observações do vendedor | Dado pessoal. Escreva só o que você mostraria à pessoa. | | Origem e campanha | Anúncio, formulário, indicação | Dado pessoal quando ligado ao contato. Registre para medir. | | Documentos e financeiro | CPF, endereço, renda declarada | Peça só na etapa em que a venda exige e proteja o acesso. | | Dado sensível | Informação de saúde, biometria, convicção religiosa | Hipóteses mais restritas (arts. 5º, II, e 11). Evite guardar no CRM sem necessidade clara. | ## Qual base legal usar para guardar um lead? As bases legais estão no art. 7º da LGPD. No comercial, as mais usadas são consentimento, execução de contrato ou procedimentos preliminares a pedido da pessoa, legítimo interesse e cumprimento de obrigação legal. A base certa depende de cada finalidade, e a empresa deve documentar a escolha. Para campanha, a dúvida mais comum é o [legítimo interesse em marketing](https://www.adprotecnologia.com.br/crm/blog/legitimo-interesse-lgpd-marketing). **Exemplos para entender o mapa das bases legais (a classificação do seu caso é da empresa)** | Situação no CRM | Base do art. 7º que costuma ser avaliada | Ponto de atenção | | --- | --- | --- | | Cliente pediu orçamento e a empresa guarda para responder | Procedimentos preliminares a pedido do titular (inciso V) | Vale para o que é necessário àquele pedido, não para qualquer uso futuro. | | Enviar ofertas e campanhas | Consentimento (inciso I) ou legítimo interesse (inciso IX) | O legítimo interesse exige avaliação própria (art. 10). No WhatsApp, a política da Meta ainda pede [opt-in](https://www.adprotecnologia.com.br/crm/blog/opt-in-whatsapp). | | Guardar nota fiscal e registros exigidos por lei | Cumprimento de obrigação legal ou regulatória (inciso II) | Os prazos vêm da legislação fiscal e contábil, não da LGPD. | | Cobrança e proteção do crédito | Proteção do crédito (inciso X) | Registre a finalidade e quem acessa. | O consentimento tem regras próprias: é manifestação livre, informada e inequívoca para finalidade determinada (art. 5º, XII), autorizações genéricas são nulas (art. 8º, §4º) e a prova é da empresa (art. 8º, §2º). Se você usa consentimento, trate o registro como parte do processo, como no modelo de [opt-in do WhatsApp](https://www.adprotecnologia.com.br/crm/blog/opt-in-whatsapp). ## Por quanto tempo guardar os dados do CRM? A LGPD não fixa um prazo único. Pelos arts. 15 e 16, o tratamento termina quando a finalidade foi alcançada ou o dado deixou de ser necessário, e os dados devem ser eliminados depois disso, com exceções como o cumprimento de obrigação legal. Cada empresa precisa definir uma regra de retenção por tipo de dado. **Modelo de regra de retenção (preencha com os prazos da sua empresa)** ```text Lead que nunca respondeu: revisar após [prazo da empresa] e eliminar ou anonimizar se não houver finalidade. Lead que respondeu e não comprou: manter enquanto houver conversa ativa; revisar após [prazo]. Cliente com compra: manter o cadastro durante a relação e pelos prazos fiscais e contábeis; conferir com o contador. Quem pediu para parar de receber mensagens: manter só o registro do pedido. Quem revisa: [nome ou função] a cada [periodicidade]. ``` Os colchetes são de propósito: o prazo é decisão da empresa. A Casa Brisa, loja fictícia, decidiu revisar leads sem resposta a cada semestre. ## Quem deve ter acesso aos dados do CRM? Só quem precisa para fazer o trabalho. Dois princípios da lei guiam isso: necessidade (usar o mínimo de dados para a finalidade) e segurança (medidas técnicas e administrativas para proteger os dados), previstos no art. 6º. Na prática, é um conjunto de hábitos simples, aplicável a qualquer CRM. - Cada pessoa da equipe com o seu próprio acesso, sem login compartilhado. - Quem sai da empresa perde o acesso no mesmo dia, inclusive às conversas do WhatsApp. - Exportações para planilha só quando há motivo, e sem lista de clientes circulando por e-mail ou grupo de mensagens. ## Como avaliar a segurança de dados de um CRM na nuvem? Pergunte ao fornecedor como ele protege o acesso, o que fica registrado e como você tira ou apaga os dados. A LGPD pede medidas de segurança técnicas e administrativas contra acesso não autorizado (art. 46), e quem contrata o CRM continua responsável pelos dados dos clientes. Leve as perguntas da tabela para a demonstração. **Segurança de dados no CRM: o que perguntar antes de contratar** | Pergunta ao fornecedor | Por que importa | | --- | --- | | Cada usuário tem login próprio e permissão por perfil? | Sem isso, não dá para limitar quem vê o quê nem tirar o acesso de quem sai | | Fica registrado quem acessou, alterou ou exportou dados? | Ajuda a investigar um incidente e a mostrar o cuidado da empresa | | Dá para exportar e apagar o cadastro de um cliente? | É o caminho para atender o pedido do titular (art. 18) | | O contrato diz como o fornecedor trata os dados que você coloca no sistema? | O operador trata os dados segundo as instruções do controlador (art. 39) | | Como o fornecedor avisa um incidente de segurança? | A empresa precisa comunicar à ANPD e ao titular o incidente que possa causar risco ou dano relevante (art. 48) | | As integrações por webhook e API usam chave própria, que você pode trocar? | Uma chave vazada abre a base para quem a tiver | ## Como responder quando o titular pede os dados ou a exclusão? O art. 18 dá ao titular direitos como confirmar que há tratamento, acessar, corrigir e pedir eliminação de dados tratados com consentimento. O atendimento é gratuito, nos prazos e termos previstos em regulamento. Monte um caminho simples: quem recebe o pedido, como confirma a identidade e quem responde. O passo a passo com modelos está em [como responder o pedido do titular](https://www.adprotecnologia.com.br/crm/blog/pedido-do-titular-no-atendimento). 1. **Receba por um canal claro.** Indique na política de privacidade um e-mail ou formulário e ensine a equipe a encaminhar pedidos recebidos no WhatsApp. 2. **Confirme a identidade.** Confira se quem pede é a dona ou o dono dos dados, sem pedir mais informação do que o necessário. 3. **Localize no CRM.** Busque pelo telefone e pelo e-mail, incluindo conversas e tags. 4. **Decida o que atender.** Dado com guarda obrigatória por lei fica. O resto é corrigido, entregue ou eliminado. 5. **Responda e registre.** Responda por escrito e guarde a data e o que foi feito. **Modelo de resposta ao titular (adapte com o seu jurídico)** ```text Olá, [nome]. Recebemos o seu pedido em [data] sobre os seus dados pessoais na [empresa]. Para sua segurança, confirmamos que o pedido veio de você: [forma de confirmação]. O que fizemos: [acesso / correção / eliminação / outra ação]. O que mantemos e por quê: [dados com guarda obrigatória, se houver]. Dúvidas: [canal da empresa]. ``` ## Dado sensível no CRM exige mais cuidado? Sim. A LGPD trata como sensível, entre outros, o dado de saúde, a origem racial ou étnica, a convicção religiosa e o dado biométrico (art. 5º, II), e o art. 11 traz hipóteses mais restritas, como o consentimento específico e destacado. No comercial, não registre nada sensível que a venda não exija. Quando o dado sensível é indispensável, como em clínicas e corretoras de saúde, defina quem acessa, por quanto tempo guarda e como comprova a base legal antes de anotar em uma conversa. ## Que checklist de LGPD usar no CRM comercial? Use a lista abaixo como revisão trimestral do CRM. Cada item marcado é um ponto resolvido, e cada item vazio é uma tarefa com dono e data. **Checklist de LGPD para o CRM comercial** ```text FINALIDADE E BASE LEGAL [ ] Cada dado do CRM tem finalidade e base legal (art. 7º) anotadas. [ ] Onde uso consentimento, tenho a prova (data, canal, texto). COLETA E ACESSO [ ] Os formulários pedem só o necessário e não têm caixa pré-marcada. [ ] A política de privacidade está acessível no formulário e na conversa. [ ] Cada pessoa tem acesso próprio, e quem sai perde o acesso no mesmo dia. RETENÇÃO E DIREITOS DO TITULAR [ ] Existe regra de quanto tempo guardar cada tipo de dado e rotina para eliminar o resto. [ ] Existe um canal para pedidos do titular, com modelo de resposta e registro. GOVERNANÇA [ ] A empresa indicou o encarregado (art. 41) ou, se é agente de pequeno porte dispensado pela Resolução CD/ANPD nº 2/2022, mantém um canal de contato com o titular. [ ] A equipe sabe o que fazer em caso de incidente de segurança (art. 48); a ANPD fixou prazo de três dias úteis para a comunicação (Resolução CD/ANPD nº 15/2024). [ ] O marketing no WhatsApp respeita opt-in e opt-out. ``` A ANPD publica guias e regulamentos, inclusive para agentes de tratamento de pequeno porte. Confira o que se aplica ao porte da sua empresa na [página oficial da ANPD](https://www.gov.br/anpd/pt-br) e veja também [boas práticas de IA nas empresas](https://www.adprotecnologia.com.br/crm/blog/boas-praticas-de-ia-nas-empresas). ## O que a AD PRO configura e o que fica com a empresa? A divisão é simples: a AD PRO configura o CRM, e as decisões jurídicas ficam com a empresa e o seu advogado. > **Divisão de responsabilidades:** A AD PRO configura o que é do CRM: funil, tags de origem e de opt-in, formulário conectado por webhook ou API, distribuição de leads e um acesso próprio para cada membro da equipe. As decisões jurídicas, como base legal, política de privacidade, prazos e encarregado, ficam com a empresa e seu advogado. Durante a configuração, o suporte do DataCrazy atende por chat das 9h às 22h, com SLA de 5 minutos, e a comunidade de clientes no WhatsApp ajuda a tirar dúvidas. Para organizar a base, leia [gestão de leads](https://www.adprotecnologia.com.br/crm/blog/gestao-de-leads) e [CRM online](https://www.adprotecnologia.com.br/crm/blog/crm-online). ## Perguntas frequentes ### A LGPD vale para pequenas empresas? Sim, a lei vale para quem trata dados pessoais, independentemente do tamanho. A Resolução CD/ANPD nº 2/2022 traz regras mais leves para agentes de tratamento de pequeno porte, como a dispensa de indicar encarregado desde que haja um canal de contato com o titular, com exceções. Confira o texto na [página da ANPD](https://www.gov.br/anpd/pt-br). ### Preciso de consentimento para guardar o lead no CRM? Nem sempre. A LGPD tem outras bases legais no art. 7º, como procedimentos preliminares a pedido da pessoa e legítimo interesse. A base depende da finalidade, e a decisão deve ser documentada pela empresa. Para mandar mensagens de marketing no WhatsApp, a política da Meta pede opt-in. ### Por quanto tempo posso guardar dados de clientes? A LGPD não dá um prazo único. O dado deve ser eliminado quando a finalidade acaba ou ele deixa de ser necessário (arts. 15 e 16), com exceções como obrigação legal. Prazos fiscais e contábeis vêm de outras leis, então confirme com o contador. ### Como atender um pedido de exclusão de dados no CRM? Confirme a identidade, localize o cadastro e as conversas, elimine o que não tiver guarda obrigatória e responda por escrito, registrando a data. O art. 18 prevê esse direito, e o atendimento é gratuito. ### O CRM e o WhatsApp entram na LGPD ao mesmo tempo? Sim. A conversa gravada no CRM é dado pessoal, e mensagens de marketing pelo WhatsApp ainda dependem do opt-in exigido pela política de mensagens. Veja o [opt-in no WhatsApp](https://www.adprotecnologia.com.br/crm/blog/opt-in-whatsapp). ### Quem ajuda a configurar o CRM com cuidado com dados? No DataCrazy, o chat atende das 9h às 22h (sábado das 14h às 21h), com SLA de 5 minutos, segundo o site oficial. Há também Meet de segunda a sexta, das 10h às 18h, e comunidade de clientes no WhatsApp: é o suporte próximo e a cultura community first que destacamos. A AD PRO, parceira Premier e implementadora do DataCrazy, acompanha a configuração. ### Como avaliar a segurança de um CRM na nuvem? Confira se cada usuário tem login e permissão próprios, se o sistema registra acessos e exportações, se dá para exportar e apagar o cadastro de um cliente e como o fornecedor avisa um incidente. A LGPD pede medidas de segurança técnicas e administrativas (art. 46), e a decisão final cabe à sua empresa e ao jurídico. ## Fontes - [Planalto, Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm), conferido em 2026-10-21 - [ANPD, Autoridade Nacional de Proteção de Dados (guias e regulamentos)](https://www.gov.br/anpd/pt-br), conferido em 2026-10-21 - [ANPD, Resolução CD/ANPD nº 2/2022 (agentes de tratamento de pequeno porte)](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd/resolucao-cd-anpd-no-2-de-27-de-janeiro-de-2022), conferido em 2026-10-21 - [WhatsApp Business, política de mensagens](https://business.whatsapp.com/policy), conferido em 2026-10-21 - [DataCrazy, site oficial (suporte, multiatendimento, automação por etapa, BI)](/ir/datacrazy?de=lgpd-no-crm&pos=texto), conferido em 2026-10-21 --- AD PRO Tecnologia LTDA, CNPJ 68.425.611/0001-15, São Paulo/SP. Atendimento on-line para todo o Brasil. Diagnóstico comercial gratuito de 30 minutos: https://www.adprotecnologia.com.br/#agendar. WhatsApp +55 11 98604-5939. Fatos e preços publicados: https://www.adprotecnologia.com.br/fatos