Adequação à LGPD

O que é uma consultoria de adequação à LGPD

Na prática, quase sempre começa pelo mesmo lugar: um cliente grande mandou um questionário de segurança e privacidade, com prazo curto, e a pergunta é direta — quem é o responsável por proteger os dados que confiamos a vocês, e como vocês comprovam isso?

Adequar-se à LGPD é conseguir responder essa pergunta com registro, não com declaração. O trabalho cobre três camadas:

• Saber o que você trata — mapa de dados e ROPA, o registro das operações de tratamento que a ANPD recomenda como ponto de partida do programa de governança.
• Ter as regras escritas e aprovadas — política de privacidade, segurança da informação, guarda e descarte, controle de acesso, fornecedores, uso de IA e resposta a incidentes; cláusulas contratuais e termos de consentimento.
• Ter alguém respondendo — Encarregado nomeado e publicado, com alçada definida, canal de titulares funcionando e evidência mensal registrada.

Quando faz sentido chamar a VESATEC

• Os questionários de clientes começaram a chegar e consomem o tempo dos sócios e dos consultores seniores, cada resposta construída do zero.
• Você não tem Encarregado nomeado nem estrutura de governança por trás — e avaliações de fornecedor mal pontuadas fazem o cliente simplesmente não seguir adiante, sem dizer o motivo.
• O programa está travado no ponto de partida porque não existe ROPA.
• Você quer que alguém de fora diga, com método, se a empresa está ou não em conformidade.
• Há camada regulatória setorial empilhada sobre a LGPD — BACEN, ANS, ANTT — e não está claro como conciliar.
• Há transferência internacional de dados sem cláusulas padrão e sem rastreabilidade.

Como conduzimos

O modelo completo roda em quatro fases, com o startup de preço fechado e a operação contínua a partir do quinto mês:

1. Assessment — entrevistas com sócios e responsáveis das frentes; levantamento de como os dados entram, circulam e são descartados; checklist de aderência com coleta de evidências; análise jurídica das bases legais e dos contratos mais relevantes; avaliação dos controles de segurança. Fecha com apresentação à Diretoria.
2. Programa e políticas — mapa de dados, relatórios de impacto dos tratamentos de maior risco, revisão da política de privacidade e do banner de cookies, elaboração das demais políticas, modelos de cláusula e de confidencialidade, Dossiê de Conformidade e banco de respostas a questionários.
3. Ativação do Encarregado — formalização com atribuições e alçadas, publicação da Central de Privacidade, comunicação interna e aos clientes, calendário anual de auditorias e sessão de conscientização.
4. Operação contínua — auditoria interna mensal, rotinas de cibersegurança, atualização dos planos de melhoria, report executivo à Diretoria e atividade presencial semestral na sua sede.

Quando o objetivo é só o retrato, há a trilha de diagnóstico independente; quando já existe escritório de privacidade, há a trilha de revisão e reativação.

O que você recebe

• Relatório de diagnóstico com matriz de riscos priorizada, apresentado à Diretoria
• Inventário de dados e ROPA completo: processos, tipos de dado, finalidades, enquadramento legal, duração, medidas de proteção e agentes que compartilham
• RIPD dos tratamentos de maior risco
• Políticas de privacidade, segurança da informação, classificação, guarda e descarte, fornecedores, uso de IA, controle de acesso, uso aceitável e resposta a incidentes
• Termos de consentimento, minutas contratuais padrão e revisão dos contratos críticos
• Termo de nomeação do Encarregado e Central de Privacidade publicada
• Dossiê de Conformidade e banco de respostas, alinhado aos modelos que os grandes contratantes usam
• Plano de ação priorizado, com prazo e responsável por ponto de melhoria

Por que a VESATEC

O foco é a prontidão comercial, não o papel. O Dossiê e o banco de respostas existem para que o próximo questionário de cliente seja respondido em dias, por quem opera — e não vire mais uma noite dos sócios.

Assumimos o papel de Encarregado. Com atribuições, alçadas e cadência de reporte formalizadas, e com acesso à alta administração nos termos da Resolução CD/ANPD nº 18/2024.

Somos claros sobre o limite. Não fazemos representação jurídica, não emitimos parecer formal e não prometemos aceitação por autoridade. A nomeação como Encarregado também não transfere a sua responsabilidade legal como controlador. Preferimos dizer isso antes.

Perguntas frequentes

Isso substitui o nosso jurídico?

Não. Representação junto ao Judiciário, Ministério Público ou órgãos de defesa do consumidor, e matérias trabalhistas, ficam com o seu departamento jurídico ou escritório. Atuamos na governança de privacidade e na sustentação das evidências.

Vocês implantam a ferramenta de privacidade?

Não. Onde já existe ferramenta de privacidade ou DLP, orientamos o uso e alimentamos o mapeamento; a implantação técnica é do fornecedor da solução. Também não atuamos na infraestrutura, em backup ou em testes de continuidade.

Vocês garantem que a ANPD vai aceitar o relatório?

Não, e desconfie de quem garantir. Os diagnósticos e auditorias são pautados pela experiência dos profissionais envolvidos; não constituem parecer jurídico formal nem têm aceitação pré-estabelecida em auditoria oficial.

Quanto tempo leva?

O startup do programa completo é dimensionado em 120 dias, com a operação contínua começando no quinto mês. A trilha de diagnóstico isolada é bem mais curta — costuma caber em alguns encontros de meio período mais a apresentação.

Quanto custa?

Sob consulta. O investimento é dimensionado pelo porte e pelo escopo: número de colaboradores, quantidade de atividades de tratamento, quantas coordenações entram no mapeamento e se a operação de Encarregado faz parte.