LGPD para loja virtual: o essencial que o lojista precisa saber

Toda loja virtual trata dados pessoais: nome, e-mail, telefone, CPF, endereço de entrega, histórico de compras. A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), a LGPD, define as regras para esse tratamento. Este artigo resume os pontos essenciais para o lojista. Ele não substitui a orientação de um advogado, que deve revisar os textos e processos da sua empresa.

Quais dados a loja trata

• Cadastro e pedidos: nome, CPF ou CNPJ, e-mail, telefone, endereço.
• Pagamento: processado pelo provedor; a loja não deve guardar dados completos de cartão.
• Navegação: cookies e dados de análise de visitas.
• Marketing: listas de e-mail, carrinhos abandonados, campanhas.

As bases legais

O artigo 7º da LGPD lista as hipóteses em que o tratamento é permitido. Para uma loja virtual, as mais comuns são:

• Execução de contrato: usar os dados necessários para vender e entregar o pedido que o cliente fez.
• Cumprimento de obrigação legal: por exemplo, emitir nota fiscal e guardar registros exigidos por lei.
• Consentimento: para finalidades que dependem da vontade do cliente, como receber newsletter.
• Legítimo interesse: em situações específicas, avaliadas com cuidado e equilíbrio com os direitos do cliente.

Cada finalidade precisa de uma base legal. Um mesmo dado pode ser tratado com bases diferentes conforme o uso.

Aviso de privacidade

O cliente tem o direito de saber quais dados a loja coleta, para quê, com quem compartilha (transportadoras, provedores de pagamento, ERP) e por quanto tempo guarda. Essas informações ficam na política de privacidade, que deve ser clara, acessível e coerente com o que a loja realmente faz.

Direitos do titular

A lei garante ao titular, entre outros, o direito de confirmar se a loja trata seus dados, acessá-los, corrigir dados incompletos ou desatualizados, pedir a eliminação de dados tratados com consentimento e revogar o consentimento. Defina um canal para esses pedidos e um responsável por responder.

Encarregado

O artigo 41 determina que o controlador indique um encarregado pelo tratamento de dados pessoais, o canal de comunicação com os titulares e com a autoridade nacional. A Autoridade Nacional de Proteção de Dados pode estabelecer regras diferenciadas para agentes de pequeno porte; verifique com o seu advogado o que se aplica à sua empresa.

Cuidados práticos

• Colete só o necessário: cada campo do formulário deve ter um motivo.
• Separe marketing de pedido: comprar não significa aceitar newsletter.
• Controle de acesso: cada pessoa da equipe vê apenas o que precisa.
• Fornecedores: verifique como plataforma, ERP e ferramentas de marketing tratam os dados.
• Exportações: evite planilhas de clientes circulando por e-mail.
• Incidentes: tenha um plano para agir se houver vazamento.

Cookies e análise

Ferramentas de análise e pixels de anúncios coletam dados de navegação. Informe o uso na política de privacidade e avalie com o seu advogado a necessidade de consentimento para cookies que não são essenciais ao funcionamento da loja.

Perguntas frequentes

Posso usar os e-mails dos clientes para enviar promoções?

Comunicações de marketing precisam de uma base legal adequada, em geral o consentimento do cliente, com uma forma simples de cancelar. Comprar na loja não significa aceitar receber promoções.

Por quanto tempo posso guardar os dados dos pedidos?

Pelo tempo necessário às finalidades do tratamento e aos prazos legais, como os fiscais. Dados usados apenas para marketing devem ser eliminados quando o cliente revoga o consentimento. Defina esses prazos com o seu advogado e o seu contador.

A plataforma é responsável pelos dados da minha loja?

Em geral, a loja é a controladora dos dados dos seus clientes e a plataforma atua como operadora, tratando os dados em nome da loja. Verifique no contrato como a plataforma protege os dados e o que ela faz em caso de incidente.

Na Trixshop

Na Trixshop, os dados de clientes ficam isolados por loja, inclusive entre lojas da mesma empresa, a equipe tem acesso por papéis e permissões, o cartão é tokenizado no navegador pelo provedor de pagamento e a newsletter tem exportação controlada. Veja os recursos e a política de trocas, outra obrigação da loja virtual.