Texto da norma
Mapeamento dos fluxos de entrada, processamento, armazenamento, compartilhamento e descarte dos dados pessoais, identificando sistemas, responsáveis e geografias. LGPD, cláusula 5.2 · texto integral oficial em ANPD — Autoridade Nacional de Proteção de Dados.
Guia do Benjamin · IA do facilita.ia
O que isso quer dizer na prática?
A LGPD exige que a empresa saiba exatamente por onde passam os dados de clientes, funcionários ou parceiros — desde o momento que entram (ex.: formulário no site) até quando são apagados. É como um "rastreador de encomenda", mas para informações pessoais: quem toca nelas, onde ficam guardadas (planilha, sistema, nuvem) e se saem da empresa (ex.: envio para um contador ou fornecedor).
Como atender (passo a passo)
- Listar todos os lugares que dados pessoais aparecem
- Ex.: Planilha de RH com CPFs, CRM com emails de clientes, notas fiscais com endereços, gravações de ligações do SAC.
- Dica: Comece pelos setores que mais lidam com pessoas (Comercial, RH, Financeiro).
- Desenhar o caminho dos dados (fluxo)
- Para cada tipo de dado (ex.: "CPF de candidato"), responder:
- Onde entra? (Ex.: Formulário do site "Trabalhe Conosco").
- Quem acessa? (Ex.: Analista de RH, sistema de folha de pagamento).
- Onde é guardado? (Ex.: Pastas no Google Drive, banco de dados do ERP).
- Para onde vai? (Ex.: Enviado para a contabilidade externa? Usado em relatórios?)
- Quando e como é apagado? (Ex.: Após 2 anos, com exclusão permanente da nuvem).
- Identificar responsáveis por cada etapa
- Ex.: O gerente de TI cuida do backup, a analista de RH apaga currículos antigos, o comercial exporta listas para o Mailchimp.
- Registrar tudo em um documento simples
- Pode ser uma tabela, diagrama ou até um mapa mental. O importante é que fique claro para qualquer pessoa da empresa entender.
- Atualizar sempre que algo mudar
- Novo sistema? Contratou um fornecedor que acessa dados? Atualize o mapa.
O que auditor procura como evidência
- Documento do mapa de fluxo (mesmo que seja um rascunho em Excel ou Miro).
- Registros de quem acessa dados (ex.: logs de sistemas, listas de permissões no Google Drive).
- Política interna que explique como os dados são tratados (mesmo que seja 1 página).
- Comprovantes de exclusão (ex.: e-mails ou prints mostrando dados apagados após o prazo).
Erros comuns
- Achar que "só o TI precisa saber": O mapa envolve todos os setores (até o estagiário que digita notas fiscais).
- Esquecer de dados "informais": Grupos de WhatsApp com clientes, planilhas locais no PC do vendedor, anotações em papel.
- Fazer o mapa e jogar na gaveta: Se a empresa mudar de sistema ou processo, o documento fica obsoleto (e a LGPD não aceita "desatualizado").
Artefatos sugeridos para evidência auditável
Tipos de documento, processo, registro ou indicador que tipicamente sustentam essa cláusula em auditoria. Cada um é gerado e rastreado dentro do facilita.ia.
| Tipo | Artefato | Por quê |
|---|---|---|
| Document | Procedimento de Mapeamento de Dados Pessoais | Define o passo a passo para identificar fluxos de dados conforme exigido pela cláusula. |
| Business Process | Fluxograma de Tratamento de Dados Pessoais | Visualiza os processos de entrada, processamento e descarte de dados pessoais. |
| Risk Register | Registro de Riscos de Proteção de Dados | Identifica e gerencia riscos associados ao fluxo de dados pessoais. |
| Kpi | Indicador de Conformidade de Mapeamento de Dados | Monitora a eficácia do mapeamento dos fluxos de dados pessoais. |
Como o facilita.ia aplica essa cláusula ao contexto da sua empresa
O Benjamin contextualiza esta orientação para a sua operação, cruza a evidência com outras normas via Cross Intelligence e mantém o rastreamento auditável.
Diagnóstico gratuito Ver comparativos