A LGPD (Lei 13.709/2018) vigora desde 2020, e as sanções da ANPD, de advertência a multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, valem desde 1º de agosto de 2021 (arts. 52 e 65). Imobiliária guarda CPF, renda e documentos de muita gente, então vale tratar o assunto como rotina, e não como papelada.
Por que a LGPD pesa na imobiliária
- Coleta muitos dados pessoais (CPF, RG, comprovantes de renda, declaração de IR). Não são 'dados sensíveis' no sentido da lei, que reserva o termo para saúde, origem racial, religião, biometria e afins (art. 5º, II), mas expõem a pessoa se vazarem
- Compartilha com terceiros (banco, cartório, fiadora, advogado): compartilhar também é tratamento, e todo tratamento precisa de uma base legal (art. 7º)
- Tipicamente armazena em ferramentas dispersas (e-mail, WhatsApp, Drive), fora de qualquer governança
- Retém dados por anos (contratos antigos, leads frios), sem critério claro de descarte
As 5 obrigações que a imobiliária precisa conhecer
1. Política de privacidade pública
O titular tem direito de saber, de forma clara, a finalidade do tratamento, a forma e a duração, quem é o controlador e como falar com ele, com quem os dados são compartilhados e quais são os direitos dele (art. 9º). Na prática, isso vira uma política de privacidade publicada no site, em português claro, que também diz a base legal de cada tratamento e como pedir acesso, correção ou exclusão.
2. Base legal em cada formulário
Consentimento é uma das bases legais, não a única (art. 7º). Quem preenche um formulário pedindo contato sobre um imóvel está pedindo um procedimento preliminar de contrato (inciso V), e o legítimo interesse (inciso IX) também pode servir, com limites. Se a base escolhida for o consentimento, ele tem de ser livre, informado, inequívoco e para uma finalidade determinada (art. 5º, XII), e um checkbox sem marcação prévia ajuda a provar isso. Qual base usar em cada formulário é decisão para tomar com um advogado.
3. Encarregado de Proteção de Dados (DPO)
A lei manda o controlador indicar um encarregado e divulgar a identidade e o contato dele, de preferência no site (art. 41). Pode ser sócio, gerente ou advogado externo, e ele é o ponto de contato com os titulares e com a ANPD. Agente de tratamento de pequeno porte (microempresa e empresa de pequeno porte, entre outros) não é obrigado a indicar o encarregado, mas precisa manter um canal de comunicação com o titular; a dispensa não vale para quem faz tratamento de alto risco ou passa do limite de receita da Lei Complementar 123/2006 (Resolução CD/ANPD nº 2/2022, arts. 3º e 11).
4. Resposta a solicitações em 15 dias
Cliente que pedir 'me mostre todos os dados que vocês têm de mim' tem direito a uma declaração clara e completa, com a origem dos dados e a finalidade do tratamento, em até 15 dias do pedido (art. 19, II); o agente de pequeno porte tem o prazo em dobro (Resolução CD/ANPD nº 2/2022, art. 14). O pedido de exclusão vale para os dados tratados com base no consentimento, e a lei permite guardar o que for preciso para cumprir obrigação legal, entre outras exceções (arts. 16 e 18, VI).
5. Comunicação de incidente em 3 dias úteis
Incidente de segurança (e-mail com documentos enviado para a pessoa errada, banco de dados invadido, senha de funcionário vazada) que possa trazer risco ou dano relevante aos titulares precisa ser comunicado à ANPD e aos titulares (art. 48). O prazo é de três dias úteis, contados de quando a imobiliária fica sabendo que o incidente afetou dados pessoais, e dobra para o agente de pequeno porte (Resolução CD/ANPD nº 15/2024, arts. 6º e 9º). Deixar de comunicar pode levar às sanções do art. 52.
Como CRM imobiliário ajuda no compliance
Compliance LGPD em planilha + WhatsApp + e-mail é muito difícil de controlar. Um CRM dá estrutura: acesso individual por usuário, registro de quem mudou o quê, exportação dos dados para responder a uma solicitação, exclusão controlada e registro de onde veio cada lead. A LGPD não obriga o servidor a ficar no país: ela admite a transferência internacional nas hipóteses do art. 33, e a imobiliária precisa saber onde o fornecedor guarda os dados para informar isso na política de privacidade.
No MIX: o banco de dados fica na Railway, nos Estados Unidos (região us-west2), e os arquivos no Cloudflare R2; há registro de auditoria de quem mudou o quê, com exportação em CSV; verificação em duas etapas, que o administrador pode exigir de todo o time; cargos que limitam o que cada corretor vê; e cópia de segurança diária guardada por 30 dias. A exportação de dados para LGPD é um arquivo JSON do workspace e ainda não cobre todas as tabelas, e não há descarte automático de leads antigos. Veja a política em /privacidade.
O lado positivo: compliance virou diferencial
Proprietário e comprador entregam CPF, renda e documentos para a imobiliária. Quem consegue explicar onde esses dados ficam, quem acessa e por quanto tempo passa mais confiança do que quem guarda tudo em planilha e no WhatsApp pessoal do corretor.
Frase prática pra usar com proprietário: 'Os seus dados e os dos interessados ficam num CRM com acesso individual por usuário, verificação em duas etapas e registro de quem mudou cada informação, e não em planilha ou no WhatsApp pessoal do corretor'. Concorrente que ainda usa planilha + WhatsApp não consegue dizer o mesmo.
Checklist final pra imobiliária pequena
- ✓ Política de privacidade pública no site
- ✓ Base legal definida para cada formulário (site, captação manual, portais)
- ✓ Encarregado indicado (mesmo que sócio) ou, se a imobiliária for dispensada como pequeno porte, um canal de contato com o titular
- ✓ Processo escrito pra responder solicitações em 15 dias
- ✓ Processo escrito pra comunicar incidente à ANPD e aos titulares em 3 dias úteis
- ✓ CRM com registro de auditoria e acesso individual (não Drive ou WhatsApp pessoal), sabendo em que país ele guarda os dados
- ✓ Treinamento anual do time sobre boas práticas
Para detalhes sobre como o MIX trata os dados, veja /privacidade. Para falar sobre privacidade, escreva para contato@usemix.app.