LGPD para app feito com IA: o mínimo antes de lançar
Antes de lançar um app que trata dados de pessoas no Brasil, você precisa de cinco coisas: saber quais dados coleta e por quê, ter uma base legal para cada uso, publicar uma política de privacidade fiel ao app, oferecer um canal para os titulares e ter um plano para incidentes. Vazamento com risco relevante se comunica à ANPD em três dias úteis.
Recomendação da Heartscale: antes de escrever a política, confira tabela por tabela o que o app coleta e onde cada dado fica guardado. Com dados sensíveis, de crianças ou usuários reais, peça uma revisão técnica antes de lançar e leve a parte jurídica a um advogado.
Este texto é orientação prática, não parecer jurídico. Ele segue a Lei 13.709/2018 (LGPD) e as normas da ANPD, conferidas em outubro de 2026. Para o seu caso concreto, consulte um advogado.
A LGPD vale para o seu app?
O art. 3 da LGPD diz que a lei vale para qualquer tratamento, em qualquer meio, quando acontece no Brasil, quando oferece bens ou serviços a pessoas no Brasil ou quando os dados foram coletados no país. Não importa onde fica a empresa nem o servidor.
Dado pessoal é “informação relacionada a pessoa natural identificada ou identificável” (art. 5, I). Nome, e-mail, telefone, CPF e foto de perfil são exemplos comuns em apps.
Também não importa se o app foi feito no Lovable, no Bolt, no Base44 ou no Replit. Quem decide o que fazer com os dados é você, o controlador (art. 5, VI). Os serviços que guardam e processam os dados em seu nome, como o banco e a hospedagem, costumam atuar como operadores (art. 5, VII).
Microempresas, startups e pessoas físicas têm regras simplificadas pela Resolução CD/ANPD nº 2/2022. A própria resolução diz que isso não dispensa o resto da lei.
Passo 1: liste os dados que o app coleta
Abra o app e anote tudo o que ele pede ou registra:
- campos de cadastro, formulários e perfil;
- as tabelas do banco (no Supabase, o Table Editor mostra todas);
- arquivos enviados pelos usuários;
- ferramentas de análise, pixels de anúncio e chat de atendimento;
- dados enviados a APIs de terceiros, inclusive APIs de IA que recebem texto digitado pelo usuário.
Para cada item, escreva para que ele serve, onde fica guardado e quem mais tem acesso. Essa lista é a base do registro das operações de tratamento que o art. 37 exige. Agentes de pequeno porte podem fazer esse registro de forma simplificada (Resolução nº 2/2022, art. 9).
Na nossa revisão, cruzamos essa lista com o banco e com o código. Procuramos colunas que nenhuma tela usa, arquivos em bucket público e chamadas que enviam dados a serviços externos.
Passo 2: colete só o necessário
O princípio da necessidade limita o tratamento ao mínimo para a finalidade (art. 6, III). O da finalidade exige propósitos “legítimos, específicos, explícitos e informados ao titular” (art. 6, I).
Na prática:
- não peça CPF, data de nascimento ou endereço se o app não usa;
- não guarde o documento inteiro quando basta saber que ele foi conferido;
- defina por quanto tempo cada dado fica guardado e apague quando a finalidade acabar (arts. 15 e 16), salvo obrigação legal de guardar.
Geradores de app costumam criar campos e tabelas a mais. Revise o que a IA criou antes de abrir o cadastro ao público.
Passo 3: escolha a base legal de cada uso
O art. 7 lista dez bases legais. As que mais aparecem em apps:
| Uso dos dados | Base legal comum | Artigo |
|---|---|---|
| Criar a conta e entregar o serviço contratado | Execução de contrato | art. 7, V |
| Guardar dados que a lei manda manter, como os fiscais | Obrigação legal ou regulatória | art. 7, II |
| Prevenir fraude e proteger a conta | Legítimo interesse | art. 7, IX |
| Newsletter, marketing e usos opcionais | Consentimento | art. 7, I |
O legítimo interesse não vale quando prevalecem os direitos fundamentais do titular, e o art. 37 pede atenção especial ao registro desses casos.
Dois grupos têm regra mais dura:
- Dados sensíveis, como saúde, origem racial, religião, biometria e vida sexual (art. 5, II). O art. 11 restringe as bases legais e exige consentimento específico e destacado na maioria dos casos.
- Crianças. O art. 14 exige consentimento específico de pelo menos um dos pais ou do responsável legal.
Se o seu app trata algum desses dados, procure orientação jurídica antes de lançar.
Passo 4: peça consentimento quando ele for a base
Pelo art. 8, o consentimento precisa:
- ser dado por escrito ou por outro meio que demonstre a vontade do titular;
- referir-se a finalidades determinadas, porque autorizações genéricas são nulas;
- poder ser revogado a qualquer momento.
O ônus de provar o consentimento é do controlador. No app, isso significa uma opção separada dos termos de uso, que a pessoa marca por conta própria, e um registro no banco com a data e a versão do texto aceito. Ofereça também um jeito simples de revogar, por exemplo nas configurações da conta.
Passo 5: publique uma política de privacidade fiel ao app
O art. 9 diz que as informações ao titular devem ser dadas “de forma clara, adequada e ostensiva”. A política precisa trazer, no mínimo:
- a finalidade de cada tratamento;
- a forma e a duração do tratamento;
- quem é o controlador e como falar com ele;
- com quem os dados são compartilhados e para quê;
- os direitos do titular e como exercê-los;
- o contato do encarregado ou do canal de atendimento.
Um modelo gerado por IA ajuda a começar, mas confira cada linha com a lista do passo 1. Política que descreve outro app não informa ninguém.
Passo 6: saiba onde os dados ficam e proteja o acesso
Anote em qual região ficam o banco, os arquivos e os backups. Se ficam fora do Brasil, o art. 33 e a Resolução CD/ANPD nº 19/2024 tratam da transferência internacional. Confira com o provedor quais garantias contratuais ele oferece e diga isso na política.
O art. 46 pede medidas técnicas e administrativas para proteger os dados contra acesso indevido. Em apps com Supabase, isso começa por:
- RLS ligado em todas as tabelas, com política por operação. Veja RLS no Supabase: como configurar e testar o seu app;
- chave secreta fora do navegador e do repositório. Veja Chave do Supabase exposta: qual pode ir para o navegador?;
- acesso ao painel com poucas pessoas e com login protegido.
Passo 7: prepare o atendimento aos direitos do titular
O art. 18 garante ao titular, entre outros direitos: confirmar que há tratamento, acessar os dados, corrigir, pedir anonimização, bloqueio ou eliminação do que é desnecessário, pedir portabilidade, saber com quem os dados foram compartilhados e revogar o consentimento.
Pelo art. 19, a confirmação e o acesso são dados de imediato em formato simplificado, ou em até 15 dias numa declaração completa. Agentes de pequeno porte têm prazo em dobro para atender às requisições, nos termos da regulamentação (Resolução nº 2/2022, art. 14).
Deixe pronto antes de lançar: uma forma de exportar os dados de um usuário e um fluxo para excluir a conta e os dados ligados a ela.
Passo 8: indique o encarregado ou abra um canal
O art. 41 manda o controlador indicar um encarregado e publicar a identidade e o contato dele, de preferência no site. O encarregado recebe reclamações dos titulares e comunicações da ANPD.
Agentes de pequeno porte estão dispensados de indicar encarregado (Resolução nº 2/2022, art. 11), mas precisam manter um canal de comunicação com o titular. A dispensa não vale para quem faz tratamento de alto risco, nem para quem passa dos limites de faturamento da norma (art. 3). Um e-mail dedicado, publicado na política, é a forma mais simples de oferecer esse canal.
Passo 9: tenha um plano para incidente de segurança
A Resolução CD/ANPD nº 15/2024 regula a comunicação prevista no art. 48 da LGPD. Os pontos principais:
- O que comunicar: incidente confirmado, com dados pessoais, que possa causar risco ou dano relevante. Pesam, entre outros, dados sensíveis, de crianças, adolescentes ou idosos, financeiros, de autenticação e em larga escala (art. 5).
- Prazo: três dias úteis para a ANPD e para os titulares, contados de quando o controlador sabe que o incidente afetou dados pessoais (arts. 6 e 9).
- Como: pelo peticionamento eletrônico no SEI!ANPD, com o formulário de comunicação. Informações faltantes podem ser complementadas em até 20 dias úteis.
- Aos titulares: linguagem simples, de forma direta e individual sempre que possível, por e-mail, SMS ou outro canal que o app já usa.
- Registro: todo incidente, inclusive o não comunicado, fica registrado por no mínimo cinco anos (art. 10).
A Resolução nº 2/2022 também prevê prazo em dobro para agentes de pequeno porte nessa comunicação, com exceções. Confira o texto em vigor quando precisar usar.
Escreva o plano antes de lançar: quem decide, quem tem acesso aos logs, como trocar chaves e senhas e qual texto vai para os usuários. Três dias úteis passam rápido.
O que acontece se você não fizer
O art. 52 prevê, entre outras sanções, advertência, bloqueio ou eliminação dos dados e multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração. O art. 42 obriga a reparar danos causados aos titulares.
Para uma revisão técnica de segurança, veja a página de segurança de app feito com IA.
Fazer sozinho ou contratar?
Um app pequeno, com poucos dados, consegue cumprir boa parte deste roteiro sem ajuda. A tabela separa a parte técnica da jurídica.
| Situação | Caminho |
|---|---|
| Cadastro simples (nome e e-mail), sem dados sensíveis, e você conhece as tabelas do banco | Siga os passos 1 a 9 e publique uma política fiel ao app |
| O app foi gerado por IA e você não sabe quais tabelas, campos e serviços externos recebem dados | Peça uma revisão técnica do que o app coleta e onde guarda |
| Há dados sensíveis, de crianças ou transferência para fora do Brasil | Consulte um advogado antes de lançar; a revisão técnica entra como complemento |
| O app já tem usuários reais e não tem exportação nem exclusão de conta | Peça o diagnóstico da Heartscale para levantar dados, acessos e fluxos |
Peça o diagnóstico da Heartscale
Nossa equipe levanta os dados que o seu app coleta, onde eles ficam e quem tem acesso, e confere RLS, chaves e fluxos de exportação e exclusão de conta. Você recebe a lista do que ajustar no app e na política antes de lançar. Não emitimos parecer jurídico; a revisão técnica reduz o risco, mas não o zera.
O diagnóstico de lançamento custa R$ 99 (de R$ 398) e é abatido se você fechar a correção. Só trabalhamos em app de quem prova ser dono.