Mapeamento de Dados LGPD: Descubra o Que Sua Empresa Coleta

Por que sua empresa tem mais dados do que imagina

A maioria das pequenas empresas subestima o quanto coleta. Não por descuido, mas porque os dados pessoais entram por muitas portas ao longo dos anos e nunca foram reunidos em um lugar só. Cada ferramenta nova, cada campanha, cada contratação adiciona uma fonte que ninguém anotou.

Pense na Marina, que administra uma clínica odontológica com duas unidades. Quando um paciente pediu para saber tudo o que ela guardava sobre ele, a resposta deveria ser simples. Não foi. Os dados estavam no sistema de prontuários, na agenda do recepcionista, em uma planilha de orçamentos, no WhatsApp usado para confirmar consultas, no sistema da cobrança e na contabilidade terceirizada. Seis lugares, nenhum deles mapeado. A Marina achava que tinha "os dados dos pacientes". Na verdade, tinha dados espalhados por meio negócio, parte deles sensíveis, e nenhuma visão do conjunto.

Esse ponto cego é o verdadeiro risco. Você não consegue definir uma base legal, escrever uma Política de Privacidade verdadeira nem responder a um pedido de titular sobre dados que nem sabe que possui. Antes de qualquer documento, a LGPD exige que você enxergue o todo.

O que é mapeamento de dados na LGPD

Mapeamento de dados é o levantamento de todos os dados pessoais que a sua empresa trata, do momento em que entram até a hora em que devem ser descartados. Ele responde "quais dados eu tenho, onde estão e por que existem" e é a base sobre a qual toda a adequação à LGPD se apoia.

Aqui o foco é fazer esse levantamento de verdade, na sua empresa. Se você quer primeiro entender a teoria e o passo a passo conceitual, o nosso guia prático de mapeamento de dados cobre isso em detalhe. Esta página é sobre colocar o mapeamento em prática, sem planilha em branco e sem consultor.

Onde os dados pessoais se escondem na sua empresa

O mapeamento só funciona quando você olha além do óbvio. Os cadastros do sistema principal são a parte fácil. O risco mora nos lugares que ninguém lembra de incluir:

• Mensageiros e e-mail. Conversas de WhatsApp e caixas de e-mail acumulam nomes, telefones, documentos e até dados de saúde enviados por clientes.
• Planilhas e formulários antigos. A lista de um evento, o formulário de uma promoção encerrada, a planilha que um funcionário montou e esqueceu.
• Ferramentas de terceiros. Sistema de cobrança, plataforma de e-mail marketing, software de agendamento, cada um guarda uma fatia dos seus dados.
• Fornecedores e operadores. O contador, a agência, o serviço de entrega: terceiros que recebem dados seus e também respondem por eles.
• Backups e arquivos. Cópias antigas, currículos de processos seletivos, contratos digitalizados que ficaram em uma pasta.

Cada uma dessas fontes pode conter dados pessoais, e algumas guardam dados sensíveis, como informações de saúde, que pedem cuidado reforçado. O mapeamento existe justamente para trazer tudo isso à superfície antes que vire um problema.

Comece sua adequação pelo mapeamento →

O que o Simplifica Compliance revela no seu mapeamento

A diferença começa na largada. Em vez de encarar uma planilha em branco e tentar adivinhar o que procurar, você responde a um diagnóstico adaptativo por setor. A plataforma pergunta, em português claro, sobre as situações típicas do seu negócio, e são as suas respostas que revelam quais dados você trata. As perguntas conduzem o levantamento, você não precisa saber de antemão por onde começar.

À medida que você responde, o Simplifica Compliance organiza tudo em um inventário estruturado e marca automaticamente os dados pessoais sensíveis, então você enxerga de imediato onde estão os pontos que exigem mais atenção. O mapa de fluxo mostra por onde a informação entra, transita e fica armazenada, em vez de uma lista plana sem contexto.

E o diagnóstico se ajusta a cada segmento, porque uma clínica, uma escola e uma loja tratam dados muito diferentes:

• Saúde: prontuários e dados de saúde são sensíveis e elevam o nível de cuidado do mapeamento.
• Educação: escolas tratam dados de alunos, muitos deles menores de idade.
• Varejo e e-commerce: cadastros, histórico de compras e dados de pagamento aparecem em vários sistemas ao mesmo tempo.
• Serviços: escritórios e agências lidam com dados de clientes espalhados entre contratos, e-mails e ferramentas.

O resultado é um retrato feito para o seu negócio, não um modelo genérico que você teria que adaptar sozinho.

O que entra no seu inventário de dados pessoais

Um inventário útil vai muito além de uma lista de "que dados existem". Para cada tratamento, ele registra:

1. Qual dado é coletado. Nome, CPF, e-mail, telefone, dados de pagamento, dados de saúde, e assim por diante.
2. A finalidade. Por que a empresa coleta aquele dado. Sem finalidade clara, não há base legal possível.
3. A base legal. O fundamento da LGPD que autoriza o tratamento: consentimento, execução de contrato, obrigação legal, legítimo interesse, entre outros.
4. Onde fica e por quanto tempo. Em qual sistema ou ferramenta o dado está e qual o prazo de guarda antes do descarte.
5. Com quem é compartilhado. Fornecedores, operadores e parceiros que recebem aquele dado.
6. A sensibilidade. Se há dados sensíveis (saúde, biometria, dados de menores, entre outros), que exigem cuidado reforçado.

É esse conjunto que dá ao inventário valor real: ele deixa de ser uma lista solta e passa a ser o documento que sustenta o registro das operações de tratamento e orienta as próximas decisões da empresa.

Do mapeamento ao registro de tratamento

Mapear é o meio, não o fim. O valor aparece quando o inventário começa a alimentar o resto da adequação, sem retrabalho.

O registro das operações de tratamento, o ROPA previsto no Artigo 37 da LGPD, sai diretamente do seu mapeamento. Empresas de pequeno porte podem mantê-lo de forma simplificada, conforme a Resolução nº 2/2022 da ANPD, e os campos do Simplifica Compliance já seguem esse formato. A partir do mesmo inventário, a plataforma também gera os demais documentos exigidos pela LGPD: a Política de Privacidade reflete os tratamentos que você de fato realiza, e o RIPD, quando necessário em situações de alto risco, parte dos dados sensíveis que o mapeamento já identificou.

É a diferença entre ter dados espalhados por seis lugares e ter uma base única que coloca a sua empresa em movimento.

Garanta sua conformidade com a LGPD →

Um mapeamento que não envelhece

Adequação não é um retrato tirado uma vez. Seu negócio muda, você adota um sistema novo, passa a coletar um dado diferente, e o mapeamento precisa acompanhar, senão o ponto cego volta.

Quando algo muda e um documento gerado a partir do mapeamento fica desatualizado, a plataforma avisa e permite regenerar o que ficou para trás, em vez de você descobrir o problema só na hora de uma fiscalização. Cada alteração fica registrada no versionamento, então você sempre sabe qual era a situação dos seus dados em cada data, o que é essencial para comprovar governança.

E o inventário não fica isolado: ele alimenta o seu checklist de conformidade LGPD e a análise de risco, que usa os dados mapeados para apontar onde estão as maiores vulnerabilidades. Um único levantamento bem feito destrava várias etapas da adequação de uma vez.

Comece em 3 passos

O mapeamento é o primeiro passo da adequação à LGPD, e no Simplifica Compliance ele cabe em três:

1. Escolha seu plano. Selecione o plano que cabe no orçamento da sua empresa e crie seu acesso.
2. Faça o diagnóstico guiado. Responda às perguntas por setor e deixe a plataforma descobrir e organizar quais dados você trata.
3. Use seu inventário. Com o mapeamento pronto, gere o registro de tratamento e os documentos, acompanhe o checklist e veja sua análise de risco, tudo a partir da mesma base.

Perguntas frequentes

O que é mapeamento de dados na LGPD?

É o levantamento de todos os dados pessoais que a empresa trata: quais são, onde estão armazenados, com qual finalidade, sob qual base legal, por quanto tempo e com quem são compartilhados. É a base de toda a adequação, porque sem esse retrato não dá para definir bases legais nem escrever documentos verdadeiros.

Como fazer o mapeamento de dados da minha empresa?

Em vez de partir de uma planilha em branco, o caminho mais simples é responder a um diagnóstico guiado que pergunta sobre as situações do seu setor e revela quais dados você trata. No Simplifica Compliance, esse diagnóstico organiza tudo em um inventário com finalidade, base legal, prazo de guarda e compartilhamento de cada tratamento, e sinaliza os dados sensíveis automaticamente.

Mapeamento de dados e ROPA são a mesma coisa?

Não, mas estão ligados. O mapeamento é o levantamento dos dados. O registro das operações de tratamento, o ROPA previsto no Artigo 37 da LGPD, é a documentação formal que nasce desse levantamento. No Simplifica Compliance, você faz o mapeamento e a plataforma usa esse inventário para gerar o registro.

Pequena empresa precisa manter registro das operações de tratamento?

Na maioria dos casos, sim, mas de forma simplificada. A Resolução nº 2/2022 da ANPD, a Autoridade Nacional de Proteção de Dados, permite que agentes de tratamento de pequeno porte mantenham um registro simplificado. Os campos do Simplifica Compliance já seguem esse formato, então você documenta o essencial sem complicar.

Dá para fazer o mapeamento só com planilha?

Dá para começar, mas a planilha não centraliza, não avisa quando os dados mudam e não conversa com os seus documentos. Ela tende a desatualizar em silêncio e a deixar fontes de fora. O Simplifica Compliance mantém o inventário organizado e conectado ao resto da adequação.

Depois do mapeamento, qual é o próximo passo da adequação?

Com o inventário pronto, você gera o registro de tratamento e os documentos da LGPD, avança no checklist de conformidade e revisa a análise de risco. Como tudo parte do mesmo mapeamento, cada etapa aproveita o trabalho que você já fez.

Descubra tudo o que sua empresa guarda

Saber quais dados pessoais a sua empresa coleta, onde estão, por que existem e com quem são compartilhados, em um inventário que enxerga até os pontos cegos e alimenta toda a sua adequação à LGPD. É o primeiro passo que destrava todos os outros, sem planilha solta e sem consultoria cara.

Assine o Simplifica Compliance e mapeie seus dados →

Por uma fração do custo de uma consultoria de LGPD (que cobra de R$20 mil a R$50 mil) ou das semanas de levantamento manual. O seu inventário serve como evidência de governança em uma fiscalização da ANPD.