LGPD na prática: como avaliar ferramentas de gestão de projetos
Escolher uma ferramenta de gestão de projetos não é só comparar recursos e preço. Como essas plataformas guardam nomes, e-mails, registros de atividade e o conteúdo do trabalho da equipe, elas tratam dados pessoais — e isso coloca a decisão dentro do escopo da Lei Geral de Proteção de Dados. Este guia mostra, de forma prática, o que a LGPD exige e como avaliar um fornecedor com segurança antes de assinar.
Aviso importante
O que é a LGPD, em resumo
A LGPD — Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018 — é a norma brasileira que disciplina como organizações públicas e privadas coletam, usam, compartilham e protegem dados pessoais. Dado pessoal é qualquer informação relacionada a uma pessoa identificada ou identificável: nome, e-mail, foto, identificadores de dispositivo e até padrões de atividade dentro de um sistema.
A lei organiza esse tratamento em torno de dois papéis. O controlador é quem decide por que e como os dados serão tratados — normalmente a sua organização. O operador é quem trata os dados em nome do controlador — normalmente o fornecedor do software. Entender essa distinção é o primeiro passo para avaliar qualquer ferramenta: você não terceiriza a responsabilidade, você a compartilha.
Princípios da LGPD que pesam na escolha do software
A LGPD lista diversos princípios. Três deles têm impacto direto e imediato sobre qual ferramenta você escolhe e como a configura no dia a dia.
Finalidade
Os dados só podem ser tratados para propósitos legítimos, específicos e informados. A ferramenta deve usar os dados para operar o serviço — não para finalidades que você não conhece nem autorizou.
Minimização (necessidade)
Colete e armazene apenas o que é necessário. Prefira plataformas que não exijam dados pessoais excessivos e que permitam controlar quais informações entram nos quadros.
Segurança e prevenção
O fornecedor deve adotar medidas técnicas e organizacionais para proteger os dados contra acessos não autorizados, perdas e vazamentos. Criptografia, isolamento e controle de acesso são o mínimo esperado.
O checklist de avaliação LGPD do fornecedor
Antes de assinar, leve estas perguntas ao fornecedor e exija respostas documentadas — em contrato, política pública ou ficha técnica. Respostas apenas verbais não sustentam a sua prestação de contas perante a autoridade de proteção de dados.
- 1
Onde ficam os dados?
Confirme a residência de dados. Saber se os dados são hospedados e processados no Brasil ou no exterior define o tratamento jurídico de eventuais transferências internacionais. - 2
Há criptografia?
Verifique se a comunicação com a plataforma trafega criptografada (em trânsito) e como o fornecedor descreve a proteção dos dados armazenados. - 3
Como é o controle de acesso?
Pergunte sobre isolamento entre clientes, autorização por perfil e integração com login único (SSO/SAML) para centralizar a gestão de quem acessa o quê. - 4
Existem logs de auditoria?
Registros de ações permitem rastrear quem acessou e alterou o quê, sustentando investigações e a prestação de contas exigida pela lei. - 5
Quais são os sub-operadores?
Toda plataforma usa terceiros (hospedagem, banco de dados, e-mail, IA). Peça a lista de sub-operadores e as salvaguardas contratuais aplicadas a cada um. - 6
Qual a política de retenção e exclusão?
Saiba por quanto tempo os dados são mantidos e o que acontece ao encerrar a conta — se há exclusão ou anonimização, respeitadas as hipóteses de guarda obrigatória. - 7
Como são atendidos os direitos dos titulares?
O fornecedor deve oferecer caminhos para confirmação, acesso, correção, anonimização, portabilidade e eliminação dos dados, e cooperar com você nesses pedidos.
Residência de dados no Brasil: por que importa
A LGPD não proíbe transferir dados para fora do país, mas impõe condições e aumenta a sua carga de prestação de contas. Manter a residência de dados no Brasil simplifica a conformidade: reduz a complexidade jurídica de transferências internacionais, aproxima o tratamento da legislação local e facilita responder a auditorias e a pedidos de titulares.
Para órgãos públicos e empresas que lidam com informação sensível, esse ponto costuma ser decisivo. Se o tema é prioridade no seu contexto, vale aprofundar em como uma plataforma atende esses requisitos na página de Segurança e Conformidade e nas necessidades específicas do setor público.
Como o Pulsar trata a LGPD
O Pulsar é uma plataforma brasileira da CIVITRIA, construída com a privacidade e a segurança na arquitetura — não como um recurso à parte. Os controles abaixo foram pensados justamente para o tipo de avaliação descrito neste guia.
Residência de dados no Brasil
Seus dados ficam hospedados e processados no Brasil, sob a legislação brasileira, sem transferência internacional silenciosa.
Criptografia em trânsito
Toda a comunicação com a plataforma trafega criptografada, protegendo os dados entre o seu time e o serviço.
Isolamento e autorização
Isolamento por workspace separa os dados entre organizações, e políticas de autorização no banco garantem que cada usuário só acesse o permitido.
Logs de auditoria
Registro de ações para rastreabilidade, investigação e prestação de contas, com login único via SSO/SAML para centralizar acessos.
Retenção e backup
Backup para continuidade e recuperação, com retenção alinhada à operação do serviço e às obrigações legais aplicáveis.
Direitos dos titulares
Confirmação, acesso, correção, anonimização, portabilidade e eliminação podem ser exercidos pelos canais de suporte, conforme a Política de Privacidade.
Os recursos de IA também operam com salvaguardas: o conteúdo enviado é usado apenas para responder à sua solicitação, sob salvaguardas contratuais com os provedores. Todos esses compromissos estão descritos na Política de Privacidade pública da plataforma, onde também constam as bases legais para cada finalidade de tratamento.
Colocando em prática
Avaliar a LGPD na escolha de uma ferramenta é, no fundo, um exercício de transparência: você precisa saber onde os dados estão, quem os acessa, por quanto tempo ficam e como os titulares exercem seus direitos. Um bom fornecedor torna essas respostas fáceis de encontrar e documenta tudo de forma pública.
Use o checklist deste guia como ponto de partida, registre as respostas recebidas e valide a decisão com a sua área jurídica. Com os controles certos e a documentação na mão, a escolha do software deixa de ser um risco e passa a ser parte da sua conformidade.
Perguntas frequentes
O que é a LGPD?▾
A LGPD é a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), que regula o tratamento de dados pessoais por organizações públicas e privadas no Brasil. Ela define princípios, bases legais e direitos dos titulares, além de responsabilidades para quem coleta e processa esses dados.
Quando uma ferramenta de gestão de projetos trata dados pessoais?▾
Praticamente sempre. Nomes, e-mails, fotos de perfil, registros de acesso e até o conteúdo de cards podem conter dados pessoais. Por isso a escolha da ferramenta entra no escopo da sua conformidade com a LGPD, e o fornecedor passa a atuar como operador dos dados que você controla.
O que é residência de dados e por que ela importa?▾
Residência de dados é o local físico onde seus dados ficam hospedados e são processados. Manter os dados no Brasil reduz a complexidade jurídica de transferências internacionais e facilita a prestação de contas exigida pela LGPD, especialmente para órgãos e empresas que lidam com informação sensível.
Quais perguntas devo fazer a um fornecedor sobre LGPD?▾
Pergunte onde os dados ficam hospedados, se há criptografia, como é o controle de acesso, se existem logs de auditoria, quais sub-operadores são usados, qual a política de retenção e exclusão e como a empresa atende aos direitos dos titulares. As respostas devem estar documentadas, não apenas verbais.
O Pulsar está em conformidade com a LGPD?▾
Sim. O Pulsar trata dados pessoais em conformidade com a LGPD, com residência de dados no Brasil, criptografia em trânsito, isolamento por workspace, autorização no banco de dados e logs de auditoria. Os detalhes estão descritos na Política de Privacidade pública da plataforma.
A conformidade do fornecedor me isenta de responsabilidade?▾
Não. Na maioria dos casos sua organização é a controladora dos dados e o fornecedor é o operador. Vocês compartilham obrigações, mas a responsabilidade de escolher um fornecedor adequado e de informar corretamente os titulares continua sendo sua.
Avalie o Pulsar com sua área jurídica
Plataforma brasileira da CIVITRIA, com residência de dados no Brasil e Política de Privacidade pública. Crie uma conta e leve para análise.