LGPD na revenda de software: o revendedor de ERP é operador de dados?

A rotina de um revendedor de ERP envolve muito mais do que a comercialização do sistema. Durante a implantação, configuração ou prestação de suporte, é comum que o profissional tenha acesso ao ambiente do cliente, visualize cadastros, consulte informações financeiras e, em algumas situações, receba arquivos para identificar e solucionar problemas.

Esse contato com informações armazenadas no sistema coloca a proteção de dados dentro da rotina da revenda.

A Lei Geral de Proteção de Dados (LGPD) não se aplica apenas à empresa que desenvolveu o software ou ao cliente que utiliza a plataforma. Dependendo das atividades desempenhadas, outros participantes envolvidos no tratamento também podem estar sujeitos às obrigações previstas na legislação.

Isso não significa, entretanto, que todo revendedor de ERP seja automaticamente um operador de dados. O enquadramento depende da atividade efetivamente realizada e, principalmente, de quem decide como e para quais finalidades os dados pessoais serão tratados.

Compreender essa diferença é o primeiro passo para organizar contratos, acessos e procedimentos internos sem transformar a adequação à LGPD em uma estrutura incompatível com o tamanho da operação.

Por que a LGPD se aplica à operação do revendedor de ERP mesmo que ele não seja o fabricante?

A LGPD disciplina operações realizadas com dados pessoais, e não apenas determinados tipos de empresas.

Coletar, acessar, utilizar, armazenar, transmitir, modificar ou eliminar dados são exemplos de atividades abrangidas pelo conceito de tratamento previsto na Lei nº 13.709/2018.

Por isso, o simples fato de o revendedor não ter desenvolvido o ERP não o coloca fora da legislação.

Imagine uma situação comum: um cliente informa que determinado cadastro apresenta erro e concede acesso remoto ao revendedor para que ele identifique o problema. Durante o atendimento, são visualizados nomes, CPFs, telefones ou informações relacionadas aos funcionários e consumidores daquele estabelecimento.

Ainda que o objetivo do revendedor seja exclusivamente solucionar uma questão técnica, houve acesso a dados pessoais no exercício de sua atividade profissional.

A partir daí, é necessário compreender qual papel cada participante ocupa naquela operação.

De que modo o acesso ao sistema durante o suporte técnico coloca o revendedor dentro da cadeia de tratamento de dados?

O conceito de tratamento utilizado pela LGPD é amplo. Não é necessário copiar uma base de dados ou armazená-la definitivamente para que a legislação possa ser aplicável.

O acesso realizado durante um atendimento técnico já pode envolver operações com informações protegidas.

Isso acontece, por exemplo, quando o revendedor acessa remotamente o ERP para verificar um cadastro, recebe uma planilha com informações de clientes, analisa um banco de dados para realizar migração ou recebe uma captura de tela contendo dados pessoais.

O fato de o contato ser temporário também não elimina a necessidade de proteção.

Na prática, o revendedor deve partir de uma regra simples: se o atendimento exige acesso a informações de pessoas identificadas ou identificáveis, é necessário avaliar como esse acesso será autorizado, realizado, registrado e encerrado.

Essa organização ajuda a impedir que dados necessários apenas para resolver um chamado permaneçam armazenados indefinidamente em computadores pessoais, caixas de e-mail ou aplicativos de mensagem.

Qual é a diferença prática entre ser controlador, operador e suboperador de dados no contexto da revenda?

A LGPD define controlador como a pessoa natural ou jurídica responsável pelas decisões referentes ao tratamento de dados pessoais. O operador, por sua vez, realiza o tratamento em nome do controlador.

Essa distinção depende da realidade da operação.

Em uma situação na qual uma empresa utiliza o ERP para administrar seus próprios clientes e funcionários, é comum que ela determine as finalidades para as quais aquelas informações serão utilizadas. Quando um prestador acessa esses dados exclusivamente para executar um serviço solicitado e segundo as orientações recebidas, pode atuar como operador naquela atividade.

Mas o mesmo revendedor pode ser controlador em relação a outros dados.

Ao coletar informações de seus próprios clientes para emitir notas fiscais, administrar contratos, realizar cobranças ou organizar sua atividade comercial, por exemplo, ele pode estar decidindo diretamente as finalidades daquele tratamento.

Por isso, uma mesma empresa pode ocupar posições diferentes conforme a operação analisada.

Também pode existir uma cadeia com mais de um prestador. A figura usualmente denominada suboperador aparece quando um operador contrata outro agente para auxiliá-lo no tratamento realizado por conta do controlador. Embora a expressão não seja definida expressamente pela LGPD, ela é utilizada na interpretação e na prática de proteção de dados para identificar essas relações.

O importante não é simplesmente escolher um nome para colocar no contrato. É identificar quem efetivamente decide sobre o tratamento e quem atua segundo instruções de outro agente.

Quais são as obrigações concretas do revendedor como operador de dados segundo a LGPD?

Quando atua como operador, o revendedor deve tratar os dados de acordo com as instruções do controlador e observar as normas aplicáveis à atividade.

Isso significa que o acesso concedido para solucionar um problema técnico não deve ser utilizado para outras finalidades.

Também é necessário adotar medidas de segurança adequadas à proteção das informações.

A LGPD determina que os agentes de tratamento adotem medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e contra situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

Na rotina de uma pequena revenda, isso não exige necessariamente uma infraestrutura complexa. Exige, antes de tudo, procedimentos compatíveis com os riscos existentes.

De que forma o revendedor deve registrar e limitar o acesso aos dados dos clientes durante o atendimento?

O acesso deve estar relacionado à necessidade concreta do chamado.

Se o problema pode ser resolvido sem consultar determinada base de dados, não existe razão operacional para acessá-la. Da mesma forma, uma autorização para solucionar uma falha específica não deve ser interpretada como permissão permanente para navegar pelo ambiente do cliente.

Sempre que possível, é recomendável trabalhar com usuários individualizados, credenciais temporárias e mecanismos que permitam identificar quem acessou o sistema.

Senhas compartilhadas entre toda a equipe dificultam o controle e a responsabilização em caso de incidente.

Também é importante definir quando o acesso será encerrado. Credenciais criadas para uma implantação ou suporte pontual não devem permanecer ativas indefinidamente apenas por conveniência.

O registro dos atendimentos complementa essa proteção. Chamados, protocolos ou sistemas equivalentes ajudam a demonstrar por que determinado acesso foi realizado e qual atividade estava sendo executada naquele momento.

Que cláusulas de proteção de dados são obrigatórias no contrato entre revendedor e cliente final?

A LGPD não apresenta um modelo único de cláusula que todos os contratos devam reproduzir literalmente. O mais importante é que o instrumento reflita corretamente a relação existente entre as partes.

Quando o revendedor terá acesso a dados pessoais durante a execução dos serviços, o contrato deve deixar claro o objeto desse tratamento e as responsabilidades envolvidas.

É recomendável estabelecer, entre outros aspectos, quais atividades poderão exigir acesso aos dados, para quais finalidades esse acesso ocorrerá, quais medidas de segurança serão observadas e como serão tratados eventuais incidentes.

O instrumento também pode disciplinar o uso de terceiros, a devolução ou eliminação das informações ao final do serviço e os procedimentos para atendimento de solicitações relacionadas aos titulares.

Essas previsões não substituem as obrigações legais, mas reduzem dúvidas sobre a atuação de cada participante.

O cuidado principal é evitar cláusulas genéricas que simplesmente afirmem que “as partes cumprem a LGPD”, sem explicar como as responsabilidades se distribuem na operação concreta.

O revendedor de ERP é obrigado a nomear um encarregado de proteção de dados (DPO)?

Não é adequado afirmar que todo pequeno revendedor de ERP precisa obrigatoriamente manter uma pessoa exclusivamente dedicada à função de encarregado.

A LGPD prevê a figura do encarregado pelo tratamento de dados pessoais, mas a regulamentação da Autoridade Nacional de Proteção de Dados estabeleceu tratamento diferenciado para agentes de pequeno porte.

A Resolução CD/ANPD nº 2/2022 dispensa os agentes de tratamento de pequeno porte da obrigação de indicar encarregado, desde que estejam abrangidos pelas condições da norma e não incidam nas hipóteses que afastam esse tratamento diferenciado.

A dispensa, entretanto, não significa ausência de responsabilidade.

O agente continua sujeito às demais obrigações aplicáveis e deve disponibilizar um canal de comunicação com o titular. A própria regulamentação considera a indicação de encarregado uma prática de boa governança, mesmo quando não for obrigatória.

Portanto, o primeiro passo é verificar se a operação efetivamente se enquadra nas regras destinadas aos agentes de pequeno porte.

O que muda no dia a dia operacional da revenda com a LGPD em vigor?

A adequação não se resume ao contrato.

Grande parte dos riscos aparece justamente nos procedimentos mais simples da rotina: envio de arquivos por e-mail, compartilhamento de senhas, armazenamento de planilhas, acesso remoto e conversas realizadas por aplicativos de mensagem.

Uma operação pequena pode ter controles simples, desde que eles sejam claros e efetivamente utilizados.

O objetivo é reduzir acessos desnecessários e impedir que informações recebidas para um atendimento específico sejam utilizadas ou mantidas sem necessidade.

De que maneira atendimentos remotos por acesso ao sistema precisam ser documentados e limitados?

O acesso remoto deve ter uma finalidade definida.

Antes de iniciar o atendimento, é importante que exista uma solicitação ou autorização identificável. Isso pode ocorrer por chamado, e-mail, plataforma de suporte ou outro canal formal adotado pela empresa.

Durante o acesso, o profissional deve se limitar às áreas necessárias para executar o serviço.

Quando possível, o cliente pode criar usuário específico para suporte ou utilizar ferramentas que permitam controlar o início e o encerramento da sessão.

Outro cuidado envolve arquivos copiados durante a análise. Se uma base de dados precisar ser extraída temporariamente para diagnosticar um problema, deve existir um procedimento para determinar onde ela será armazenada, quem poderá acessá-la e quando será eliminada.

A finalidade do atendimento não justifica conservar indefinidamente uma cópia dos dados.

Que cuidados específicos evitam exposição de dados de clientes em planilhas, e-mails e aplicativos de mensagem?

O primeiro cuidado é reduzir a circulação desnecessária das informações.

Nem todo problema exige que o cliente encaminhe uma planilha completa com sua base de consumidores. Muitas vezes, uma amostra limitada ou uma captura de tela sem determinados dados é suficiente para identificar a falha.

Também é recomendável evitar o uso de contas pessoais de e-mail e dispositivos compartilhados para armazenar arquivos de clientes.

Nos aplicativos de mensagem, o risco aumenta quando documentos permanecem disponíveis por longos períodos, são encaminhados para grupos ou acabam armazenados automaticamente nos aparelhos dos participantes.

Sempre que possível, deve-se orientar o cliente a utilizar os canais definidos para suporte e encaminhar apenas as informações necessárias.

A lógica da LGPD não é impedir o trabalho. É fazer com que o tratamento seja proporcional à finalidade que justificou o acesso.

Como o revendedor solo se adequa à LGPD sem estrutura jurídica própria?

Uma pequena operação não precisa reproduzir a estrutura de compliance de uma grande empresa.

Isso não significa, porém, que possa ignorar a legislação.

A própria regulamentação da ANPD reconhece a necessidade de tratamento diferenciado para agentes de pequeno porte. A simplificação de determinadas obrigações busca justamente tornar a adequação compatível com a realidade dessas organizações.

Para o revendedor individual ou para uma microequipe, o melhor caminho costuma ser começar pelos riscos concretos da própria rotina.

É mais eficiente organizar adequadamente acessos, senhas, contratos e arquivos do que produzir uma grande quantidade de documentos que não correspondem à forma como a empresa realmente trabalha.

Quais são as ações mínimas e de baixo custo que garantem conformidade básica para o revendedor pequeno?

Não existe uma lista capaz de garantir, isoladamente, conformidade integral com a LGPD. Algumas providências, entretanto, reduzem riscos relevantes e ajudam a estruturar a operação.

O primeiro passo é identificar quais dados pessoais são efetivamente acessados durante a atividade e por quais motivos.

Em seguida, é importante limitar permissões, utilizar senhas individuais, revisar periodicamente usuários com acesso aos sistemas e definir canais adequados para recebimento de arquivos.

Os contratos também devem refletir a realidade do serviço prestado.

Outro ponto importante é estabelecer um procedimento para incidentes. Mesmo uma equipe pequena precisa saber o que fazer se um computador for perdido, uma credencial for comprometida ou uma planilha for enviada ao destinatário errado.

Por fim, pessoas que prestam suporte precisam compreender que o acesso técnico não representa autorização para utilizar livremente os dados encontrados no ambiente do cliente.

De que forma o contrato com o fabricante do ERP pode delegar responsabilidades de compliance ao revendedor?

O contrato de parceria pode estabelecer obrigações específicas relacionadas à proteção de dados.

O fabricante pode exigir, por exemplo, que seus parceiros adotem determinadas medidas de segurança, controlem acessos ou observem procedimentos para atendimento de incidentes.

O revendedor precisa conhecer essas obrigações antes de assumir compromissos com o cliente final.

Isso porque não é recomendável existir uma cadeia contratual incompatível: o parceiro não deve prometer ao cliente uma conduta que contrarie as regras estabelecidas pelo fabricante, assim como não deve assumir perante o fabricante uma obrigação que sua estrutura não consegue cumprir.

Também é necessário lembrar que o contrato não pode simplesmente eliminar responsabilidades previstas em lei.

A distribuição contratual é importante para definir procedimentos e obrigações entre as partes, mas a análise da responsabilidade perante titulares e autoridades dependerá da atuação concreta de cada agente e das regras estabelecidas pela LGPD.

LGPD como ferramenta de profissionalização e diferenciação da revenda de ERP

Proteção de dados costuma ser associada a grandes empresas, departamentos jurídicos e projetos complexos de compliance. Na revenda de ERP, entretanto, boa parte da adequação está relacionada a decisões operacionais bastante objetivas.

Quem pode acessar o ambiente do cliente? Por quanto tempo? Onde ficam os arquivos recebidos? Como as senhas são protegidas? O que acontece quando um atendimento termina?

Responder adequadamente a essas perguntas melhora não apenas a conformidade jurídica, mas a própria organização da operação.

Para o cliente, saber que o parceiro possui procedimentos claros para acessar informações sensíveis também transmite segurança.

Isso ganha importância porque o ERP costuma concentrar dados relevantes da empresa: informações de clientes, funcionários, fornecedores, vendas e operações financeiras.

Nesse contexto, a proteção de dados deixa de ser apenas uma obrigação jurídica e passa a integrar a qualidade do serviço prestado.

Perguntas frequentes

O revendedor pode ser multado pela ANPD diretamente, sem envolvimento do fabricante do ERP?

Sim, desde que sua própria atuação caracterize infração à LGPD e esteja sujeita à competência fiscalizatória e sancionatória da ANPD. O fato de o revendedor utilizar software desenvolvido por outra empresa não elimina suas próprias obrigações. A análise dependerá da conduta praticada, do papel ocupado naquela operação e das circunstâncias concretas do tratamento.

O fabricante do ERP responde solidariamente com o revendedor em caso de vazamento de dados?

Não é possível afirmar que haverá responsabilidade solidária em qualquer incidente. A LGPD estabelece regras próprias de responsabilidade dos agentes de tratamento. Entre outras hipóteses, o operador pode responder solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações previstas na legislação ou deixar de seguir instruções lícitas do controlador. A responsabilidade precisa ser analisada de acordo com a participação de cada agente no evento. Saber onde ocorreu a falha, quem controlava a operação e quais medidas deveriam ter sido adotadas é essencial para essa avaliação.

Contratos de revenda assinados antes de 2020 precisam ser revisados para incluir cláusulas de LGPD?

A data do contrato, isoladamente, não determina a necessidade de substituí-lo. O ponto principal é verificar se as obrigações existentes correspondem à realidade atual da operação e à legislação aplicável. Contratos antigos que envolvem acesso a dados pessoais merecem revisão principalmente quando não definem responsabilidades, medidas de segurança, procedimentos para incidentes ou regras sobre compartilhamento de informações.

O revendedor precisa de política de privacidade própria ou a do fabricante do ERP cobre sua operação?

Isso depende das atividades realizadas por cada empresa. A política do fabricante normalmente descreve tratamentos realizados sob responsabilidade do próprio fabricante. Se o revendedor coleta e utiliza dados pessoais para suas próprias finalidades — como cadastro comercial, contato com clientes, cobrança ou gestão de contratos — essas operações não são automaticamente abrangidas pelo documento de outra empresa. O revendedor deve avaliar quais informações de transparência precisa fornecer aos titulares de acordo com os tratamentos que efetivamente realiza.

Como o revendedor trata dados de clientes antigos que não renovaram e não solicitaram exclusão?

O encerramento do contrato não significa que todos os dados devam necessariamente ser eliminados no mesmo instante, mas também não autoriza sua conservação por tempo indeterminado sem justificativa. A LGPD prevê hipóteses em que os dados podem ser conservados após o término do tratamento, inclusive para cumprimento de obrigação legal ou regulatória e em outras situações previstas na legislação. Por isso, o revendedor deve identificar quais informações precisam ser mantidas, por qual fundamento e durante quanto tempo. Dados recebidos exclusivamente para execução de suporte e que não possuem mais finalidade de conservação devem receber tratamento compatível com o encerramento daquela atividade.