Quando o app começa a guardar nome, e-mail, telefone, CPF ou qualquer outra informação que identifique uma pessoa, ele entra no escopo da Lei Geral de Proteção de Dados (Lei 13.709/2018). Isso vale para app pequeno, para MVP e para “só um teste com alguns clientes”.
Este não é um texto jurídico, e não substitui orientação de advogado. É a lista do que, do ponto de vista técnico, costuma faltar nos apps feitos com IA que revisamos.
1. Saiba quais dados o app guarda, e por quê
Comece pelo inventário: quais dados pessoais entram, onde ficam, quem acessa e por quanto tempo. Apps feitos com IA costumam guardar mais do que precisam, porque a ferramenta cria campos “por garantia”.
A LGPD tem um princípio para isso, o da necessidade: tratar só o mínimo necessário para a finalidade. Campo que não tem uso é risco sem benefício. Apague.
2. Tenha uma base legal para cada uso
A lei lista as hipóteses em que é permitido tratar dados pessoais, as chamadas bases legais. As mais comuns em apps são a execução de contrato (você precisa do e-mail para entregar o serviço contratado), o consentimento (para enviar novidades, por exemplo) e o legítimo interesse, que exige uma avaliação mais cuidadosa.
Na prática: para cada dado e cada uso, você deve conseguir responder “com base em quê eu faço isso?”.
3. Escreva uma política de privacidade que diga a verdade
Política de privacidade copiada de outro site, ou gerada pela IA sem olhar o app, costuma prometer coisas que o app não faz e omitir as que ele faz. Ela precisa dizer, em linguagem clara: quais dados são coletados, para quê, com quem são compartilhados (inclusive fornecedores), por quanto tempo ficam guardados e como a pessoa exerce seus direitos.
4. Conheça seus fornecedores
Um app moderno passa dados por vários serviços: banco de dados, hospedagem, envio de e-mail, pagamento, análise de uso e, cada vez mais, modelos de IA. Cada um deles é um operador de dados. Vale saber:
- Onde os dados ficam (país), porque a transferência internacional tem regras próprias.
- Se o fornecedor usa os dados para treinar modelos. Muitos fornecedores de IA oferecem opções ou planos em que os dados enviados pela API não são usados para treino; verifique os termos do serviço que você usa.
- Se existe um contrato (os termos de uso e o adendo de proteção de dados) que cubra o tratamento.
5. Dados sensíveis pedem mais
Dados de saúde, biometria, origem racial, religião, opinião política, vida sexual, entre outros, são dados pessoais sensíveis na LGPD. As bases legais são mais restritas e o cuidado com segurança precisa ser maior. Se o seu app é de saúde, como agendamento, prontuário, acompanhamento ou telemedicina, trate isso como prioridade desde o primeiro dia. O mesmo vale para dados de crianças e adolescentes, que têm regras próprias.
6. Segurança é obrigação, não diferencial
A lei exige medidas de segurança técnicas e administrativas para proteger os dados. No mundo dos apps feitos com IA, isso se traduz nos pontos que mais encontramos abertos: chaves de API expostas, banco sem regras de acesso, falta de backup e ausência de registro de quem acessou o quê. Escrevemos artigos específicos sobre cada um.
7. Saiba o que fazer quando der errado
Incidente de segurança acontece. A LGPD obriga o controlador a comunicar à ANPD e aos titulares os incidentes que possam acarretar risco ou dano relevante, e a ANPD tem regulamento definindo prazo e conteúdo dessa comunicação. Ter um plano simples (quem decide, quem comunica, onde estão os registros) faz diferença enorme quando o problema aparece numa sexta-feira à noite.
8. Atenda os direitos do titular
A pessoa pode pedir para saber quais dados você tem sobre ela, corrigi-los, excluí-los ou levá-los para outro serviço. O app precisa ter um caminho para isso, mesmo que seja um e-mail e um processo interno. “A IA não criou essa função” não é resposta aceitável.
Um roteiro curto
- Inventário dos dados e corte do que não é necessário.
- Base legal definida para cada uso.
- Política de privacidade fiel ao app, revisada por advogado.
- Fornecedores mapeados, com termos lidos.
- Segurança básica corrigida: segredos, regras de acesso, backup e registros.
- Plano de incidente e canal para os titulares.
Escrito pela equipe da Grimpo com apoio de inteligência artificial e revisado por uma pessoa. Viu um erro ou quer sugerir um tema? Fale com a gente.
Perguntas frequentes
Meu app é pequeno. A LGPD vale para mim?
Vale para qualquer tratamento de dados pessoais com finalidade econômica, independentemente do tamanho. A ANPD tem um regulamento com regras simplificadas para agentes de pequeno porte, mas as obrigações principais continuam.
Mandar dados de clientes para uma IA é permitido?
Depende da finalidade, da base legal e do contrato com o fornecedor. É preciso saber onde o fornecedor processa os dados, se ele os usa para treinar modelos e informar isso na política de privacidade. Dados sensíveis pedem cuidado redobrado.
Este artigo substitui um advogado?
Não. Ele explica o que costuma faltar do ponto de vista técnico. Para a política de privacidade e os contratos, vale ter orientação jurídica.
Fontes
- Lei 13.709/2018 (LGPD)
- ANPD: Regulamento de Comunicação de Incidente de Segurança
- ANPD: agentes de tratamento de pequeno porte
Continue lendo
Criei um app com IA. Ele está pronto para ir ao ar?
Funcionar na sua tela não é o mesmo que aguentar cliente de verdade. Doze perguntas para responder antes de publicar um app…
Chave de API no código: o erro que mais custa caro em app feito com IA
Por que a IA coloca a chave dentro do código, como descobrir se a sua está exposta e o que fazer nos…
Supabase e Firebase sem regras de acesso: quando qualquer usuário lê o banco inteiro
O banco que a IA escolheu deixa o navegador falar direto com os dados. Sem as regras certas, um usuário vê os…