O que é a LGPD e o GDPR? Um guia em linguagem simples para criadores de apps

O GDPR (General Data Protection Regulation, ou Regulamento Geral de Proteção de Dados) é a principal lei de proteção de dados da União Europeia. Ele define regras sobre como as organizações coletam, usam, armazenam e compartilham dados pessoais — qualquer informação sobre uma pessoa viva identificável — e dá às pessoas direitos sobre os próprios dados, como vê-los ou pedir que sejam apagados. Está em vigor desde 25 de maio de 2018, e pode se aplicar a empresas fora da UE se atenderem pessoas que estão nela.

Não é aconselhamento jurídico. Este guia é uma explicação geral para ajudar você a entender o básico e a fazer perguntas melhores. Ele não substitui uma orientação sobre a sua situação. Para detalhes oficiais, veja as páginas de proteção de dados da Comissão Europeia e o guia do Conselho Europeu de Proteção de Dados para pequenas empresas.

Por que isso importa quando você cria com IA

Criadores de apps com IA facilitam muito a coleta de dados. Um único prompt gera um formulário de cadastro, um formulário de contato, analytics, uploads de arquivos e um painel administrativo listando todos os usuários. Cada um desses itens coleta dados pessoais, e o GDPR se preocupa com todos eles.

A boa notícia é que a maior parte do que o GDPR exige também é boa prática de produto:

• Coletar apenas o que você realmente precisa.
• Dizer às pessoas o que você faz com os dados.
• Mantê-los seguros.
• Apagá-los quando não forem mais necessários.
• Permitir que as pessoas vejam, corrijam ou removam os próprios dados.

Isso é muito mais fácil de planejar desde o início do que de acrescentar depois do lançamento. Fazer as perguntas certas ao seu criador de apps com IA logo no começo evita uma reconstrução dolorosa depois.

Uma analogia do dia a dia

Pense nos dados pessoais como pertences que as pessoas deixam com você — como um guarda-volumes, mas para informações. O GDPR são as regras da casa para esse guarda-volumes:

• Pegue apenas o que a pessoa concordou em deixar, por um motivo que ela entende.
• Não vasculhe os bolsos para outros usos.
• Mantenha o cômodo trancado.
• Devolva as coisas, ou descarte-as, quando pedido ou quando não forem mais necessárias.
• Se algo for roubado, avise as pessoas certas sem demora.

Você é responsável pelos casacos enquanto eles estão sob seus cuidados, mesmo que tenha contratado outra pessoa para administrar o cômodo.

As ideias centrais

O que conta como dado pessoal

A Comissão Europeia define dado pessoal como qualquer informação relacionada a uma pessoa viva identificada ou identificável. Isso é amplo. Inclui nomes, endereços de e-mail, endereços residenciais, endereços IP, IDs de cookies e fotos. Dados "pseudonimizados" — por exemplo, nomes substituídos por códigos — ainda podem ser dados pessoais se puderem ser associados de volta a alguém.

Algumas categorias recebem proteção extra, incluindo dados de saúde, dados biométricos, origem racial ou étnica e opiniões políticas.

A quem se aplica

Segundo a Comissão, o GDPR se aplica a organizações estabelecidas na UE e a organizações fora da UE que oferecem bens ou serviços a pessoas na UE (pagos ou gratuitos) ou monitoram o comportamento delas. Uma startup dos EUA ou dos Emirados Árabes com clientes europeus pode muito bem estar coberta. O Reino Unido tem uma versão própria, o UK GDPR, bastante baseada nele.

Os princípios

O GDPR se apoia em uma lista curta de princípios. Em termos simples:

Bases legais

Você precisa de um motivo legal — uma "base legal" — para cada forma de uso de dados pessoais. O GDPR lista seis: consentimento, execução de contrato, obrigação legal, interesses vitais, tarefa de interesse público e interesses legítimos. O consentimento é apenas uma delas. Processar um pedido para entregá-lo, por exemplo, normalmente se baseia no contrato, e não no consentimento. Qual base se aplica é uma avaliação a ser conferida com as orientações oficiais.

Os direitos das pessoas

A Comissão lista estes direitos para os indivíduos:

• Ser informado sobre como os seus dados são usados
• Acessar os seus dados
• Ter os dados corrigidos
• Ter os dados apagados
• Restringir o tratamento
• Portabilidade dos dados (obter em um formato utilizável)
• Se opor
• Direitos relacionados a decisões automatizadas e criação de perfis

Vazamentos de dados

Se dados pessoais vazarem e a violação for suscetível de colocar em risco os direitos e liberdades das pessoas, a organização geralmente precisa notificar a sua autoridade de proteção de dados sem demora injustificada e, quando possível, em até 72 horas depois de tomar conhecimento. Em alguns casos, as pessoas afetadas também devem ser avisadas.

Um exemplo prático: um app de reservas para um estúdio de yoga

Suponha que você está construindo um app de reservas para um estúdio de yoga com clientes na Alemanha. Veja como o GDPR molda o projeto.

Colete menos. O formulário de cadastro pede nome, e-mail e um telefone opcional. O primeiro rascunho também pedia data de nascimento e endereço residencial — nada no app os usa, então foram removidos.

Dados de saúde exigem cuidado. O estúdio quer perguntar sobre lesões. Isso é dado de saúde, uma categoria especial com regras mais rígidas. O estúdio decide tratar disso pessoalmente, então o app não coleta esses dados.

Seja transparente. Uma política de privacidade explica o que é coletado, por quê, por quanto tempo é guardado, quem mais trata os dados (o provedor de hospedagem, o serviço de e-mail, o provedor de pagamento) e como entrar em contato com o estúdio.

Marketing é separado. Reservar uma aula não inscreve ninguém na newsletter. Há uma caixa de seleção separada, desmarcada, para isso.

Direitos no produto. Os clientes podem ver e editar o perfil, baixar o histórico de reservas e solicitar a exclusão pela página da conta.

Retenção. Contas inativas são sinalizadas após um período definido e removidas se o cliente não responder. O estúdio escolhe o período.

Cookies. O cookie de login é necessário. O analytics só é carregado depois que o visitante aceita. Veja o que são cookies.

Segurança. As senhas são armazenadas com hash, a área administrativa exige autenticação de dois fatores, e somente o proprietário pode exportar listas de clientes.

Termos comuns explicados

Erros comuns e equívocos

• "Não estamos na UE, então não se aplica." Pode se aplicar, dependendo de onde estão os seus usuários.
• "GDPR significa consentimento para tudo." O consentimento é uma das seis bases legais, e muitas vezes não é a correta.
• "Um banner de cookies nos torna conformes." Cookies são uma parte pequena. Coleta de dados, segurança, direitos e retenção importam mais.
• "Nossa hospedagem é compatível com o GDPR, então nós somos." Os provedores ajudam, mas você decide o que o seu app coleta e faz.
• Coletar "só por precaução". Cada campo extra é mais coisa para proteger, explicar e apagar.
• Copiar a política de privacidade de outro site. Ela precisa descrever o que o seu app realmente faz.
• Tornar a exclusão impossível. Se ninguém consegue apagar um usuário sem um desenvolvedor, os pedidos de direitos viram emergências.

O que pedir ao seu criador de apps com IA

• "Liste cada dado pessoal que este app coleta, onde é armazenado e por que é necessário."
• "Remova os campos de formulário que não usamos."
• "Adicione uma página de conta onde os usuários possam ver, editar e baixar os seus dados, e solicitar a exclusão."
• "Crie uma ação administrativa que apague totalmente um usuário e seus registros relacionados, ou anonimize os registros que precisamos manter."
• "Mantenha a inscrição em marketing como uma caixa de seleção separada e desmarcada."
• "Não carregue scripts de analytics ou de marketing antes do consentimento."
• "Liste cada serviço de terceiros que recebe dados dos usuários, para que eu possa incluí-los na política de privacidade."
• "Restrinja as exportações administrativas ao papel de proprietário e registre quem exportou o quê."

Depois, leia como escrever termos de serviço e uma política de privacidade e como adicionar consentimento de cookies.

GDPR e o Mythex

O Mythex oferece os blocos de construção, não um certificado de conformidade. Os dados do seu app ficam no banco de dados próprio do projeto e no armazenamento de arquivos quando você os ativa, você é dono do código e, no plano Pro, pode exportar o projeto caso precise movê-lo. O que o seu app coleta, por quanto tempo guarda e como as pessoas exercem os seus direitos são decisões suas — e que você pede ao agente para construir. A página da documentação sobre propriedade dos dados explica o que o Mythex hospeda, e segurança para os apps que você cria alerta contra declarar uma conformidade que você não tem. Se precisar de detalhes específicos, como onde os dados são hospedados ou um acordo de tratamento de dados, fale com o suporte do Mythex antes do lançamento.

Perguntas