CRM com segurança de dados: como avaliar o sistema e proteger a sua base

O que torna um CRM seguro de verdade?

Um CRM é seguro quando três coisas funcionam juntas: a proteção que o fornecedor oferece, a configuração que a sua empresa faz e o comportamento do time. Sistema com toda proteção técnica, mas com todo vendedor como administrador e senha anotada no monitor, continua exposto.

Quando se fala em CRM de vendas (o sistema comercial, não o Conselho Regional de Medicina), a base guarda nome, telefone, conversas, valores de proposta e anotações sobre pessoas. Tudo isso é dado pessoal para a LGPD. Se a dúvida é sobre base legal, retenção e pedido do titular, o texto LGPD no CRM cobre essa parte. Aqui o foco é outro: como avaliar a proteção de um sistema antes de assinar e como manter a base protegida depois.

• Camada do fornecedor: login, registro de ações, cópia de segurança, exportação, contrato e onde os dados ficam.
• Camada da configuração: perfis de acesso, quem vê qual funil, quem exporta, quem apaga, quais integrações têm chave.
• Camada das pessoas: senha, celular, saída de vendedor, cuidado com print e com planilha baixada.

Quais itens conferir antes de contratar um CRM em nuvem?

Use os 12 itens abaixo com qualquer fornecedor. Os marcados como essenciais são os que, se faltarem, fazem a conversa parar. Os outros pesam conforme o tamanho do time e o tipo de dado que você guarda.

Dois itens confundem muita gente. Exportação controlada (item 6) protege contra o vendedor que leva a base no último dia. Exportação na saída (item 7) protege a sua empresa contra ficar presa a um fornecedor. São coisas diferentes, e as duas importam. Para o resto da escolha (funil, canais, preço), o roteiro de como escolher um CRM completa este checklist.

O que perguntar ao fornecedor sobre segurança?

Mande as perguntas por escrito antes da demonstração e peça a resposta por escrito. Resposta escrita vira documento para a sua empresa e mostra quem domina o assunto. Quem responde só no comercial, sem apontar documento, merece uma segunda pergunta.

Assunto: Perguntas de segurança antes da contratação do CRM

Olá, [nome],

Estamos avaliando o [nome do CRM] para o nosso time comercial ([número] usuários). Antes de decidir, precisamos destas respostas por escrito:

1. Quais perfis de acesso existem e o que cada um pode ver, editar, exportar e apagar?
2. Dá para restringir o vendedor aos leads dos quais ele é responsável?
3. O login aceita segundo fator de autenticação? É obrigatório ou opcional?
4. O sistema registra quem alterou, exportou ou apagou um registro? Por quanto tempo esse histórico fica disponível?
5. Como faço para exportar todos os meus dados (contatos, negócios, conversas) se cancelar?
6. Como funciona a cópia de segurança e em quanto tempo vocês restauram um dado apagado por engano?
7. Onde os dados ficam armazenados?
8. Onde está a política de privacidade e o documento que diz como vocês tratam os dados que colocamos no sistema?
9. Como e em quanto tempo vocês avisam o cliente em caso de incidente de segurança?
10. As chaves de API e webhook podem ser trocadas ou revogadas por nós?

Obrigado,
[seu nome] | [empresa] | [cargo]

Guarde as respostas na pasta do contrato. Se um dia a empresa precisar mostrar o que fez para proteger os dados, esse e-mail é a primeira prova de que a escolha do sistema levou segurança em conta.

Quem responde pela segurança: o fornecedor ou a sua empresa?

Os dois, cada um na sua parte. Pela LGPD, a sua empresa costuma ser a controladora (decide o que fazer com os dados) e o fornecedor do CRM, o operador (trata os dados em nome dela). O operador segue as instruções do controlador (art. 39) e ambos devem adotar medidas de segurança (art. 46).

A última linha tem prazo. A ANPD informa que o controlador deve comunicar à autoridade e aos titulares, em 3 dias úteis, o incidente que possa causar risco ou dano relevante, conforme a Resolução CD/ANPD nº 15/2024. Ter o contato do fornecedor e um responsável interno definido antes do problema encurta muito essa conta.

O que fazer no dia em que um vendedor sai da empresa?

É o momento de maior risco para a base, e quase sempre falta roteiro. Faça tudo no mesmo dia, de preferência antes da conversa de desligamento terminar. O que não for feito nas primeiras horas costuma ficar esquecido por semanas.

1. 1
   Desative o usuário no CRM

   Desativar, não apagar: o histórico de conversas e de negócios dele continua na empresa.

2. 2
   Transfira os leads abertos

   Filtre por responsável e passe cada negócio para outro vendedor, com uma nota de contexto.

3. 3
   Revise o WhatsApp

   Se ele atendia por número próprio, combine a passagem dos clientes. Atender só por número da empresa evita o problema, como explica número da empresa ou do vendedor no WhatsApp.

4. 4
   Troque chaves e senhas compartilhadas

   Webhook, API, formulário do site e qualquer conta que ele administrava.

5. 5
   Confira o registro de ações

   Veja se houve exportação ou exclusão fora do normal nas últimas semanas.

6. 6
   Avise os clientes ativos

   Uma mensagem do novo responsável apresentando-se evita que o cliente siga o vendedor antigo.

A parte comercial dessa troca (o que dizer ao cliente, como dividir a carteira) está em o que fazer quando o vendedor sai da empresa.

CRM em nuvem é seguro, ou a planilha no computador é mais segura?

Para a maioria das pequenas e médias empresas, a planilha e o celular do vendedor são o ponto mais fraco, não o CRM em nuvem. A planilha circula por e-mail, fica em pen drive, não registra quem abriu e sai inteira da empresa com um anexo.

O CRM em nuvem só ganha essa comparação se for configurado. Instalado com todos como administradores, ele vira uma planilha com login. É por isso que a conversa sobre segurança acontece na implementação, não depois.

Como conferir a segurança no DataCrazy?

Faça com o DataCrazy o que este checklist pede para qualquer sistema: leia a política de privacidade e os termos no site oficial do DataCrazy e pergunte por escrito o que não estiver publicado, como certificações e prazo de aviso de incidente. Aqui só entra o que o site oficial informa.

O que o site oficial informa ajuda em alguns itens. O multiatendimento de WhatsApp, Instagram e Facebook tem fila, distribuição e SLA, o que mantém cada conversa com um responsável dentro do sistema, e não no celular de alguém (detalhes em multiatendimento do DataCrazy). Cada plano tem número de membros, então cada pessoa pode ter o próprio usuário: 4 no Starter, 15 no Essential, 40 no Pro e ilimitados no Business. As integrações usam webhook, e a API REST entra a partir do Essential. Para conectar o WhatsApp, o DataCrazy usa a API oficial da Meta, e API oficial ou não oficial explica por que isso pesa na segurança do número.

Quanto custa: Starter R$ 297/mês, Essential R$ 460/mês, Pro R$ 997/mês e Business R$ 2.997/mês, valores do site oficial, conferidos em 12/11/2026, em datacrazy.io/planos. O semestral sai 17% mais barato e o anual, 28%. Pelo link da AD PRO vale o cupom ADPROTECNOLOGIA: R$ 100 de desconto no plano mensal.

Como deixar o CRM seguro já na implementação?

Defina as regras antes de convidar o time. Depois que 15 pessoas usam o sistema como administradoras, tirar acesso vira briga. Esta é a configuração mínima que a AD PRO combina com o cliente na implementação do DataCrazy. O que o sistema permite travar fica travado no sistema; o resto vira regra escrita e assinada pelo time:

1. Um administrador principal e um substituto. Ninguém mais com acesso total.
2. Vendedor vê os próprios leads; gestor vê a equipe; diretoria vê tudo.
3. Exportar e apagar em massa só para o administrador.
4. Campo de anotação sem dado sensível: nada de diagnóstico de saúde, documento ou senha no card.
5. Lista de integrações ativas com quem criou cada chave e para quê.
6. Revisão de usuários uma vez por mês: quem saiu, quem mudou de função.

O item 4 merece atenção. Dado sobre saúde, religião ou biometria é dado pessoal sensível na LGPD (art. 5º, II) e tem regras mais duras. Se o seu comercial não precisa dele para vender, não guarde. Para operações já em uso, uma auditoria de CRM mostra quem tem acesso a quê hoje.