Registros de atividades de tratamento: guia prático para equipes SaaS

Registros de atividades de tratamento, ou ROPA, são o inventário operacional de como uma empresa SaaS trata dados pessoais. Devem mostrar quais tratamentos existem, por que acontecem, quem participa, quais dados são usados, para onde vão, por quanto tempo são mantidos e quais medidas de segurança os protegem.

O objetivo não é criar uma planilha que só o jurídico entende. É manter um registro que produto, segurança, jurídico, operações e liderança possam usar quando um cliente pergunta, um auditor pede evidência, uma autoridade solicita o registro ou uma equipe quer lançar um novo fluxo.

Pelo artigo 30 do GDPR, controladores e operadores têm obrigações de registro. Registros de controladores são mais detalhados porque controladores definem finalidades e meios. Registros de operadores focam nas categorias de tratamento realizadas para cada controlador. O registro deve estar por escrito, inclusive em formato eletrônico, e disponível à autoridade quando solicitado.

Por que importa

O problema geralmente não é conhecer o artigo 30. O problema é que os tratamentos ficam espalhados por specs de produto, CRM, suporte, contratos de fornecedores, dashboards, diagramas de infraestrutura, tickets de segurança e conhecimento informal.

Um bom ROPA responde: quais sistemas tratam dados de administradores, quais fornecedores recebem IDs de usuários, quais fluxos transferem dados para fora do EEE, quais bases legais são usadas, qual retenção vale para logs, tickets, billing, telemetria e backups, e quais controles protegem cada atividade.

ROPA também sustenta avisos de privacidade, minimização de dados, privacy by design, DPIAs, revisão de fornecedores e controles de segurança. Ele torna fatos operacionais verificáveis.

O que incluir

Crie uma entrada por atividade de tratamento significativa, não por tabela de banco. Exemplos: criação de conta, autenticação, faturamento, suporte, security logging, analytics de produto, marketing, resposta a incidentes, customer success ou hosting.

Cada entrada deve incluir nome e owner, papel de controlador ou operador, finalidade, base legal ou instrução do cliente, categorias de titulares, categorias de dados, sistemas, fornecedores, destinatários, transferências, retenção, segurança, evidências vinculadas e data de revisão.

Assim, o registro vira índice de trabalho. Produto vê se um lançamento muda uma atividade. Segurança confirma controles. Jurídico atualiza avisos. Compliance responde auditorias e questionários sem reconstruir os fatos.

Como construir

Comece por autenticação, contas, billing, suporte, analytics de produto, monitoramento de segurança, vendas e marketing, gestão de fornecedores e customer success. Use sessões leves de data mapping: gatilho, dados, sistemas, acessos, fornecedores, finalidade, retenção, riscos e evidências.

Depois compare as respostas com sistemas reais: grupos do provedor de identidade, tabelas de data warehouse, campos CRM, filas de suporte, subprocessadores, configurações de retenção, controles de segurança e configuração do produto. O registro é melhor quando reflete a realidade.

Responsáveis, revisão e evidência

Defina um owner central e owners por atividade. O owner central mantém formato, calendário e qualidade. Owners de atividade confirmam que os fluxos continuam corretos.

Use gatilhos além da revisão anual: novas funcionalidades, mudanças de fornecedor, novas categorias de dados, retenção, novos mercados, subprocessadores, DPIAs ou atualizações de aviso. Analytics, IA, monitoramento de segurança e integrações costumam exigir revisão mais próxima.

Evidências tornam o registro confiável: specs de produto, data maps, DPAs, listas de subprocessadores, revisões de acesso, configurações de retenção, controles de segurança, DPIAs, avisos ou tickets de mitigação. A meta é responder a clientes, auditorias e autoridades com os mesmos fatos aprovados.

Erros comuns

Erros frequentes: registro centrado demais em sistemas, esquecer o papel de operador, destinatários e transferências vagos, registros desatualizados e falta de vínculo com evidências.

FAQ

O que equipes devem entender?

ROPA é um inventário operacional do tratamento de dados pessoais, não só uma planilha jurídica. Ele conecta atividades a owners, finalidades, dados, destinatários, retenção, segurança e evidências.

Por que importa?

Oferece um mapa confiável para avisos de privacidade, revisões de fornecedores, auditorias, questionários, controles de segurança, minimização e readiness de lançamento.

Qual é o maior erro?

Tratar o registro como artefato único de compliance em vez de fluxo vivo.