CRM e LGPD: como tratar dados de clientes dentro da lei

Publicado em 29/09/2026 · atualizado em 16/10/2026

Um CRM é, por definição, um banco de dados pessoais: nome, telefone, e-mail, empresa, histórico de conversas e, às vezes, informações financeiras ou de saúde. A LGPD (Lei 13.709/2018) se aplica a tudo isso. Cumprir a lei não é complicado, mas exige algumas decisões conscientes. Este guia resume o que uma empresa precisa fazer.

Base legal: por que você pode tratar aqueles dados

Toda operação com dado pessoal precisa de uma base legal. No CRM, as mais usadas são:

• Execução de contrato ou de procedimentos preliminares: dados de quem pediu proposta ou comprou. Cobre o essencial da venda.
• Legítimo interesse: prospecção de contatos B2B, manutenção de relacionamento com clientes. Exige que o uso seja esperado pelo titular e não invasivo.
• Consentimento: quando o titular autoriza expressamente, por exemplo ao marcar "quero receber ofertas" em um formulário. É a base mais frágil, porque pode ser revogada.

Registre no CRM a origem do contato e, quando houver, o consentimento: campo "origem" e campo "aceitou comunicações", com data. Isso é o que permite responder a um questionamento.

Dados sensíveis

Saúde, religião, orientação sexual, dados biométricos, filiação sindical e outros têm regras mais rígidas. Clínicas, escritórios de advocacia e empresas que anotam esse tipo de informação no CRM precisam de base legal específica (como tutela da saúde) e de controle de acesso mais forte. Regra prática: não anote no CRM o que não precisa para vender ou atender.

O que exigir do fornecedor do CRM

O fornecedor é o operador dos dados; a sua empresa é a controladora. O contrato deve prever:

• Onde os dados são armazenados e se há transferência internacional (comum em CRMs estrangeiros; é permitida com garantias).
• Medidas de segurança: criptografia, backup, controle de acesso.
• Registro de acessos e alterações (log).
• Compromisso de não usar os dados para fins próprios.
• Comunicação de incidentes de segurança.
• Exportação e exclusão dos dados ao fim do contrato.

Fornecedores sérios têm um "adendo de tratamento de dados" ou página de LGPD. Se não têm, pergunte antes de contratar.

Controle de acesso interno

• Cada usuário com login próprio; nada de senha compartilhada.
• Permissões por função: vendedor vê os seus negócios, gestor vê todos, financeiro vê o que precisa.
• Desative na hora o acesso de quem sai da empresa.
• Exportações em massa restritas a poucos usuários e registradas.

Mensagens e prospecção

• E-mail marketing e mensagens ativas por WhatsApp precisam de base legal e de opção de descadastro fácil.
• Compra de listas de contatos é prática de alto risco: não há base legal clara para tratar dados de quem nunca se relacionou com a empresa.
• Guarde o registro de quem pediu para não receber mais e respeite em todos os canais.

Direitos dos titulares

Qualquer pessoa pode pedir acesso aos dados que você tem sobre ela, correção, exclusão e informação sobre com quem foram compartilhados. O CRM precisa permitir localizar tudo sobre um contato e apagar quando for o caso. Defina quem responde a esses pedidos e o prazo, que a lei fixa em 15 dias para o acesso.

Exclusão tem exceções: dados necessários para cumprir obrigação legal (nota fiscal, contrato) podem ser mantidos pelo prazo exigido.

Retenção

Não guarde para sempre. Defina prazos: leads sem resposta apagados após X meses, clientes inativos após Y anos, respeitando obrigações fiscais e contratuais. Muitos CRMs permitem automatizar isso.

Incidentes

Se houver vazamento, a empresa deve avaliar o risco e, quando for relevante, comunicar a ANPD e os titulares. Ter o log do fornecedor e o inventário dos dados no CRM é o que permite fazer isso rápido.

Checklist

1. Campo de origem e de consentimento no cadastro.
2. Contrato com o fornecedor cobrindo LGPD.
3. Login individual e permissões por função.
4. Descadastro fácil em toda comunicação.
5. Processo para atender pedidos de titulares.
6. Política de retenção aplicada.
7. Dados sensíveis só quando indispensáveis.

Veja também como escolher um CRM e, para clínicas, CRM para clínicas e consultórios.