LGPD para quem vende produto digital: o que você realmente precisa fazer

Toda venda de produto digital movimenta dados pessoais: nome, e-mail, CPF, endereço IP. Se a sua loja vende, a sua loja trata dados — e a LGPD (Lei 13.709/2018) se aplica a você, tenha a loja o tamanho que tiver. A boa notícia: para o vendedor de digital típico, a conformidade é mais organização do que advogado.

Você não precisa de consentimento para entregar o produto

O mito mais comum: "preciso pedir consentimento para tudo". Não. A LGPD tem dez bases legais (art. 7º), e a que sustenta a entrega do seu produto é a execução de contrato (art. 7º, inciso V): o cliente comprou, você precisa do e-mail dele para entregar. Usar o e-mail para entregar a compra não pede caixinha de aceite.

O que muda de figura é usar esse mesmo e-mail para marketing. Aí a base é outra (consentimento ou legítimo interesse, com direito de oposição) — e a régua prática é simples: newsletter e oferta pedem opt-out fácil e honesto; e-mail transacional de entrega, não.

O princípio que resolve 80%: necessidade

O art. 6º, III define o princípio da necessidade: colete o mínimo que a finalidade exige. Aplicado à loja de digital:

Cada campo a mais no checkout é conversão a menos e passivo de LGPD a mais. Corte o que não usa.

Seus fornecedores tratam dados por você — e isso tem nome

Plataforma de e-commerce, gateway de pagamento, ferramenta de e-mail, sistema de entrega automática: na linguagem da lei, são operadores tratando dados sob suas instruções (art. 39) — e você, loja, é o controlador. Na prática:

• Prefira fornecedores que declaram como tratam os dados (política de privacidade clara, dados no mínimo necessário);
• O dado que o fornecedor não expõe é o dado que não vaza: no DigiEntrega, por exemplo, a referência do pedido é mascarada na página de download e o CPF do comprador aparece mascarado por padrão nas telas e na marca d'água;
• Se o cliente pede exclusão, o fluxo precisa alcançar os fornecedores — as integrações com plataformas (caso da Nuvemshop) já incluem os fluxos de exclusão e exportação de dados exigidos.

Direitos do titular: o que o cliente pode pedir

O art. 18 lista os direitos — os que chegam de verdade na caixa de entrada de uma loja:

1. Confirmação e acesso: "quais dados vocês têm sobre mim?" — você precisa responder;
2. Correção: e-mail digitado errado é o pedido mais comum (e corrigir é do seu interesse: a entrega vai para o lugar certo);
3. Exclusão: apagar os dados quando não houver outra obrigação legal que exija guardá-los — nota fiscal emitida, por exemplo, tem prazo fiscal próprio de retenção;
4. Portabilidade: exportar os dados em formato legível.

Monte um canal claro (um e-mail de privacidade basta) e responda. A maioria dos pedidos se resolve em minutos.

Retenção: guarde com prazo, não para sempre

Dados de compra têm razão para existir enquanto houver obrigação contratual ou fiscal. O anti-padrão é a planilha eterna de compradores "para quando eu precisar". Defina prazos simples: dados da entrega enquanto o link/suporte durar; dados fiscais pelo prazo legal; lista de marketing enquanto houver opt-in.

E se der errado?

A ANPD pode aplicar de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração (art. 52). Para loja pequena, porém, o custo mais provável de uma bagunça de dados não é a multa — é o chargeback sem defesa, o vazamento que vira crise de confiança e o cliente que não volta.

A entrega automática do DigiEntrega já nasce com esse desenho — dados mínimos, CPF mascarado, exclusão integrada. Teste grátis por 7 dias.