LGPD CRM: o que verificar antes de guardar dados de clientes

Um "LGPD CRM" não é um produto com selo. É um CRM mais os contratos, as configurações e os hábitos que permitem cumprir as suas próprias obrigações de proteção de dados, e essas obrigações recaem sobre você como controlador: uma base legal para cada uso de dados pessoais, um contrato com o fornecedor que os guarda (no GDPR, o contrato de tratamento de dados, ou DPA), respostas para quem pergunta o que você tem sobre essa pessoa e a exclusão dos dados quando você não precisa mais deles. O fornecedor de um CRM pode facilitar ou dificultar isso, mas nenhum CRM deixa você em conformidade por conta própria.

Este guia usa o GDPR, a lei europeia de proteção de dados, como referência detalhada, com os números dos artigos, porque é nele que se apoiam o fornecedor e os documentos legais citados aqui. A LGPD, a lei brasileira, segue uma lógica parecida, e uma seção compara as duas em linhas gerais; ela não substitui o texto da lei nem os regulamentos da ANPD, e as regras que dependem do seu caso devem ir ao seu advogado ou ao seu encarregado de proteção de dados. O guia lista as obrigações que importam para um CRM com os números dos artigos, mostra o que verificar no contrato e na lista de suboperadores de qualquer fornecedor, percorre um pedido de acesso e um de exclusão e diz onde o Customermates se posiciona, inclusive o que ele não afirma. O Customermates publica o guia e aparece em seções identificadas. São informações gerais, não aconselhamento jurídico: consulte um advogado ou o seu encarregado de proteção de dados (DPO) sobre o seu caso. As fontes da legislação da UE e as páginas legais do Customermates foram verificadas em 11 de novembro de 2026; as páginas legais mudam, então leia o contrato de tratamento de dados (DPA) e a lista de suboperadores atuais antes de confiar nesta página.

O que o GDPR exige de um CRM?

O GDPR (Regulamento (UE) 2016/679, texto no EUR-Lex) não certifica software. Ele regula a organização que decide por que e como os dados pessoais são usados, o controlador, e o provedor que trata os dados em nome dela, o operador. Um CRM cheio de nomes, endereços de e-mail e conversas guarda dados pessoais, então você é o controlador e o fornecedor que os guarda para você é um operador. A tabela relaciona aos artigos as obrigações que mais importam para um CRM.

A página da Comissão Europeia sobre os princípios do GDPR traz a versão em linguagem simples, e as Diretrizes 07/2020 do Comitê Europeu para a Proteção de Dados explicam em detalhe os papéis de controlador e operador. Um banco de dados de CRM pensado com essas obrigações começa com menos campos e responsáveis claros.

LGPD e GDPR: o que muda para quem usa um CRM no Brasil

A LGPD (Lei Geral de Proteção de Dados) vale para o tratamento de dados pessoais de pessoas naturais no Brasil, o que inclui os contatos das empresas que você guarda num CRM: nome, e-mail, telefone, cargo e conversas. A autoridade que fiscaliza é a ANPD (Autoridade Nacional de Proteção de Dados). A comparação abaixo é geral; confira o texto atual da lei e os regulamentos da ANPD antes de decidir.

Três consequências práticas para quem busca "CRM e LGPD":

• O checklist deste guia serve para os dois. Base legal, contrato com o fornecedor, lista de suboperadores, acesso restrito, exclusão e retenção são perguntas que você faz de qualquer jeito.
• A LGPD não exige que os dados fiquem no Brasil. Ela regula a transferência internacional (Arts. 33 a 36), então um servidor no exterior não é proibido, mas pede que você saiba para onde os dados vão e com qual garantia.
• O encarregado depende do seu porte. A lei prevê a indicação de um encarregado (Art. 41), e a ANPD tem regras próprias para agentes de tratamento de pequeno porte; confirme com o seu advogado se o seu caso se enquadra.

O DPA e as páginas legais do Customermates seguem o GDPR. Se você precisa de uma cláusula específica da LGPD no contrato com o fornecedor, peça por escrito e leia a resposta junto com a lista de suboperadores.

Existe um CRM compatível com a LGPD e com o GDPR?

Nenhum CRM é compatível por conta própria, e isso vale para o GDPR, que é a lei analisada aqui. A conformidade descreve como você usa uma ferramenta: o que você coleta, com qual base, por quanto tempo guarda e como responde aos pedidos. O que um fornecedor pode oferecer com honestidade é mais restrito e verificável:

• um contrato de operador que cubra o Art. 28(3);
• uma lista pública de suboperadores e um processo declarado para mudanças;
• informações claras sobre onde os dados são tratados e qual mecanismo cobre qualquer transferência para fora do EEE;
• medidas de segurança escritas no contrato;
• funções do produto para encontrar, corrigir, exportar e excluir os dados de uma pessoa; e
• um jeito de sair: devolução ou exclusão dos seus dados no fim.

Trate um selo como "compatível com o GDPR" ou "feito na Europa" como uma afirmação de marketing. O GDPR prevê a certificação aprovada (Art. 42), então pergunte qual certificação, de qual organismo, para qual serviço. O Customermates não tem nenhuma certificação de conformidade; hospedar em uma região da UE é um fato de hospedagem, não uma certificação.

Importa onde ficam o fornecedor do CRM e os servidores dele?

Três lugares costumam ser confundidos: onde o fornecedor está estabelecido, onde roda o banco de dados dele e onde cada outro provedor da cadeia trata os dados. O GDPR não exige hospedagem na UE. Ele restringe as transferências para fora do EEE (Arts. 44 a 46) e torna você responsável por toda a cadeia de operadores. Um fornecedor na Alemanha pode rodar o aplicativo em um provedor de hospedagem dos EUA, e um fornecedor dos EUA pode rodar um banco de dados em Frankfurt. Essa é a pergunta real por trás da busca por um CRM alemão ou da UE: leia os três lugares, não a manchete.

Para o Customermates, as páginas legais dizem o seguinte (como publicado em 11 de novembro de 2026):

A lista de suboperadores traz cada provedor com a finalidade, o local e a base da transferência, e a documentação de segurança explica o isolamento entre clientes e onde ficam as credenciais. O resumo: um operador na Alemanha, um banco de dados configurado em uma região da UE e provedores dos EUA na cadeia, e por isso a lista importa mais do que o nome de um país.

O que um contrato de tratamento de dados de CRM deve conter?

O Art. 28(3) lista o conteúdo mínimo de um contrato de operador. Compare o contrato de um fornecedor com as alíneas (a) a (h). A coluna da direita mostra o DPA do Customermates, cujos números de seção se referem ao DPA publicado.

Leia também os limites. O DPA diz o que não consegue prometer: para as contas conectadas, não há direito contratual de exclusão por conta diante da Unipile, só é possível pedir a remoção, e registros brutos de entrada que não podem ser atribuídos a um cliente são mantidos para análise de erros sem prazo fixo. Um DPA que declara os seus limites é mais fácil de avaliar do que um que não declara nenhum.

Verifique também como ele é concluído. Publicar um documento não o conclui: o DPA do Customermates passa a valer para um cliente quando um administrador autorizado o aceita, junto com os Termos, durante a integração, e uma cópia em forma de texto está disponível mediante solicitação. A versão em alemão é a que vale, e a em inglês é uma tradução de cortesia.

Como tratar um pedido de acesso ou de exclusão em um CRM?

Este é o teste de qualquer configuração de CRM: alguém escreve "o que vocês têm sobre mim?" ou "excluam os meus dados". Os passos abaixo usam o Customermates, e a ordem funciona em qualquer ferramenta.

1. Registre o pedido e confirme quem está pedindo

   Anote a data em que o recebeu: o prazo de um mês do Art. 12(3) começa ali. Confirme a identidade na medida dos dados, sem coletar mais do que o necessário para isso.

2. Encontre todos os registros

   Pressione Cmd ou Ctrl e K. A busca global pesquisa todas as listas que você pode ler e encontra um contato por qualquer endereço de e-mail ou telefone em Dados de contato; pesquise também o nome e abra as organizações e os negócios vinculados. As conversas não fazem parte dessa busca: a Caixa de entrada, disponível a partir do Pro com uma conta conectada, tem busca própria.

3. Reúna os dados

   Filtre cada lista pela pessoa e escolha Exportar como Excel (.xlsx) ou Exportar como JSON em Mais ações. A exportação contém o que a lista mostra com os seus filtros, até 5.000 registros, e apenas os campos que a sua função pode ler. O Customermates não tem exportação da conta inteira, então repita isso em cada lista que guarda a pessoa e acrescente o que está no seu e-mail, em planilhas e em outras ferramentas.

4. Corrija o que está errado

   Edite o valor no próprio lugar. Isso atende a um pedido de retificação do Art. 16; o Registro de atividades guarda a mudança com o valor anterior, quem a fez e quando.

5. Exclua e depois confira as cópias

   Excluir move o registro para a Lixeira e o tira das listas, da busca, dos widgets e das exportações. Abra a Lixeira e escolha Excluir permanentemente para apagá-lo agora, o que também remove do histórico os valores de campo do registro; caso contrário, ele sai sozinho depois de 30 dias. As mensagens em uma caixa de entrada conectada são cópias de mensagens da sua conta de e-mail ou de mensagens, então o original precisa da mesma decisão. Pergunte como o seu fornecedor trata os backups: o DPA do Customermates indica no máximo 90 dias para as exclusões que cobre (Seção 11).

6. Responda e registre o que você fez

   Responda dentro do mês e guarde uma nota do pedido, da decisão e da data, para poder mostrá-la depois (Art. 5(2)). Para uma oposição ao marketing (Art. 21(3)), adicione um campo Sim ou não, como Opôs-se ao marketing, e deixe esses registros fora de toda lista de envio.

A documentação da Lixeira cobre a restauração e a exclusão permanente, e a documentação de registros cobre filtros, exportação e importação.

Como configurar um CRM para o GDPR?

Uma lista de verificação para a primeira semana, antes de entrarem dados reais de clientes:

1. Decida o que cada lista guarda

   Menos campos significam menos a proteger, responder e excluir (Art. 5(1)(c)). Escreva a finalidade e a base legal de cada lista na descrição dela e deixe de fora categorias especiais de dados, como dados de saúde (Art. 9), a menos que você tenha um fundamento específico.

2. Dê às pessoas só o acesso de que precisam

   As funções concedem acesso de Criar, Editar, Excluir e leitura (Todos, Atribuídos ou Nenhum) por lista. Não há permissões por campo, então guarde informações sensíveis em uma lista separada com acesso mais restrito.

3. Planeje como as pessoas saem

   Definir um membro como Inativo bloqueia de uma vez o acesso, as chaves de API e as conexões MCP dele no espaço de trabalho.

4. Conclua o DPA e leia a lista de suboperadores

   Guarde a sua cópia da versão aceita e consulte a lista de novo quando chegar um aviso de mudança.

5. Conecte só os canais que você usa

   Cada conta conectada acrescenta um provedor à cadeia e uma cópia guardada das mensagens dela. Desconectar uma conta exclui as conversas, mensagens, participantes e dados de agenda guardados dessa conta, como o DPA descreve.

6. Defina uma regra de retenção por lista e cumpra-a

   Salve uma visualização dos registros que não são atualizados há o período que você escolheu, revise-a em um calendário fixo e exclua o que não precisa mais. O GDPR deixa o período a seu critério (Art. 5(1)(e)); onde a lei tributária ou comercial obriga você a guardar um documento, esse dever vale além disso.

7. Mantenha os seus próprios papéis em dia

   O registro das atividades de tratamento (Art. 30) e o seu aviso de privacidade (Arts. 13 e 14) ficam na sua pasta de conformidade, não nos documentos do fornecedor do CRM.

O que os recursos de IA mudam no GDPR?

Um assistente de IA acrescenta provedores à cadeia e envia a eles texto dos seus registros. Para cada recurso de IA, pergunte qual provedor recebe quais dados, se ele está na lista de suboperadores, onde ele trata, se treina com os seus dados e se você pode deixar o recurso desligado.

No Customermates Cloud, a lista de suboperadores descreve o Mate: uma solicitação passa pelo Vercel AI Gateway até os provedores citados na tabela acima e leva só o que é necessário para a resposta. A lista informa uma configuração de retenção zero de dados nesse caminho do gateway, que é um controle restrito e não uma promessa de retenção para o próprio CRM. Os modelos Claude são fixados em uma zona de inferência da UE, enquanto a busca na web e o modelo de embeddings rodam nos EUA. Você decide quais dados uma solicitação contém e continua responsável pela necessidade e pela base legal. Se você conectar o seu próprio cliente de IA por MCP, esse provedor trata os dados conforme o seu contrato com ele. Instalações com hospedagem própria não têm o Mate. O guia de CRM com IA compara as abordagens.

O Customermates e o GDPR: o que ele oferece e o que não oferece

Oferecido, segundo a documentação do produto e as páginas legais:

• o DPA e a lista de suboperadores para a nuvem gerenciada, com o processo de mudança descrito acima;
• funções por lista, um interruptor de desativação para membros e separação entre clientes por conta da empresa;
• busca global por endereço de e-mail ou telefone, correção no próprio lugar, exportação em Excel e JSON por lista e a Lixeira com exclusão permanente;
• um Registro de atividades para mudanças nos registros do CRM e na configuração do espaço de trabalho, legível pelas funções que têm acesso; e
• um núcleo de código aberto sob a AGPL que você pode hospedar por conta própria.

Não oferecido, então peça em outro lugar se precisar:

• o Customermates não tem certificação de conformidade nem garantia contratual de que todos os dados fiquem em uma única região;
• ele não tem permissões por campo nem exportação de uma conta inteira em um só passo;
• o Registro de atividades dele não cobre logins, chaves de API nem o conteúdo da caixa de entrada, e não tem botão de exportação.

A hospedagem própria muda quem é responsável. O núcleo AGPL roda com Docker e PostgreSQL na sua infraestrutura, e o DPA cobre só o serviço gerenciado: você escolhe a hospedagem e os provedores e mantém os seus próprios contratos do Art. 28 e as garantias de transferência. TLS e criptografia em repouso ficam por sua conta. A hospedagem própria usa o conjunto de recursos do Starter, sem a caixa de entrada e sem o Mate, e não é isolada da internet: o primeiro cadastro de endereço de um país baixa o arquivo público de códigos postais desse país do GeoNames, a menos que você defina POSTAL_CODE_DATA_URL como off ou como um espelho. O guia de hospedagem própria traz os detalhes, e a página de CRM de código aberto explica o limite da licença.

Para conferir os pontos acima com o seu próprio caso, leia primeiro o DPA e a lista de suboperadores e depois comece seu teste de 14 dias: Pro, sem cartão de crédito. Importe alguns registros de teste antes dos dados reais de clientes e percorra uma vez os passos do pedido de acesso.

Perguntas comuns sobre a LGPD, o GDPR e um CRM

Legislação e fontes de terceiros verificadas em 11 de novembro de 2026: Regulamento (UE) 2016/679 no EUR-Lex, a Diretiva ePrivacy, os princípios do GDPR da Comissão Europeia e as Diretrizes 07/2020 do EDPB. As afirmações sobre o Customermates vêm do DPA, da lista de suboperadores e da documentação de segurança como publicados nessa data.