🎯 1. Objetivo e Abrangência
Este documento define o processo interno do SimulaAudit (CX Cellerate Ltda) para atender solicitações de exercício de direitos feitas por titulares de dados pessoais, em conformidade com a Lei Geral de Proteção de Dados — LGPD (Lei nº 13.709/2018), especialmente os Arts. 18, 19 e 20.
São considerados titulares para fins deste processo: (a) usuários cadastrados na plataforma SimulaAudit; (b) leads e contatos capturados via formulários, landing pages ou campanhas; (c) usuários das ferramentas gratuitas; (d) qualquer pessoa física cujos dados sejam tratados pela empresa, direta ou indiretamente.
Prazo legal: O Art. 19 da LGPD estabelece que as solicitações devem ser respondidas em até 15 dias corridos a partir da data de recebimento. O descumprimento desse prazo pode gerar advertência e sanções administrativas pela ANPD, além de responsabilidade civil perante o titular.
📋 2. Tipos de Solicitação Válidos
O Art. 18 da LGPD enumera os direitos dos titulares. Toda solicitação enquadrada em uma das categorias abaixo deve ser atendida dentro do prazo de 15 dias corridos.
📬 3. Canais de Recebimento
O SimulaAudit disponibiliza dois canais oficiais para recebimento de solicitações de titulares. Ambos são monitorados pelo DPO e devem ser respondidos dentro do prazo legal.
Solicitações por outros canais: Caso uma solicitação chegue por WhatsApp, Instagram, LinkedIn ou qualquer outro canal não oficial, o DPO deve: (1) confirmar a identidade do solicitante; (2) orientar o envio por e-mail ou formulário; (3) registrar a solicitação e incluir no controle interno mesmo assim. O canal de recebimento não invalida a obrigação de resposta.
🔢 4. Fluxo do Processo — 5 Etapas
Toda solicitação de titular deve percorrer este fluxo sequencialmente. O prazo total é de 15 dias corridos a partir do recebimento (dia 0).
Ao receber a solicitação pelo e-mail ou formulário, o DPO deve realizar as seguintes ações imediatamente — idealmente no mesmo dia, e no máximo em 24 horas:
- Registrar a solicitação no controle interno (planilha ou sistema de tickets): número, data, canal, tipo de direito, nome/e-mail do titular
- Verificar se a identidade do solicitante pode ser confirmada (usuário autenticado, e-mail cadastrado, dados consistentes)
- Enviar confirmação de recebimento ao titular com o número de protocolo e prazo de resposta (ver template abaixo)
- Caso a identidade não possa ser confirmada, solicitar documentação comprobatória (CPF + e-mail ou outro meio) antes de prosseguir
Com a identidade confirmada, o DPO classifica a solicitação para determinar o encaminhamento correto:
- Tipo de direito: enquadrar em uma das 8 categorias do Art. 18 (ver Seção 2)
- Complexidade: simples (consulta direta ao banco de dados ou painel) ou complexa (requer análise jurídica, impacto em terceiros, ou dados de cliente B2B)
- Base legal do tratamento afetado: consentimento, contrato, legítimo interesse, obrigação legal — determina se há causa legal para manutenção dos dados mesmo após pedido de exclusão
- Impacto em cliente B2B: se os dados foram processados a serviço de um cliente empresarial, verificar se o SimulaAudit age como operador (e deve encaminhar ao controlador) ou controlador
- Prazo restante: calcular data limite de resposta (dia 0 + 15 dias corridos) e registrar no controle
Regra de ouro: Em caso de dúvida sobre se a solicitação é válida ou se há causa legal para manter os dados, o padrão é atender o titular. A negativa precisa ter justificativa legal expressa e documentada.
Com a triagem concluída, executar a ação técnica correspondente ao tipo de solicitação:
- Acesso: exportar os dados do titular do Supabase (tabelas de usuário, leads, resultados de simulação, logs) em formato legível (JSON ou PDF); redigir relatório descritivo
- Correção: localizar o dado incorreto no banco de dados; aplicar a correção com registro de auditoria (quem alterou, quando, o quê); confirmar com o titular após correção
- Exclusão: verificar se não há obrigação legal de retenção (ex: dados fiscais, contrato ativo); executar exclusão ou anonimização no banco de dados e em todos os suboperadores (Mautic, Resend, etc.); documentar
- Portabilidade: exportar dados em formato estruturado e interoperável (CSV ou JSON); enviar por meio seguro ao titular
- Revogação de consentimento: atualizar flag de consentimento no banco; remover de listas de marketing (Mautic); confirmar desativação
- Anonimização / Bloqueio: aplicar máscara ou pseudonimização nos dados identificados; registrar alteração
- Oposição: analisar se há base legal legítima que supera o interesse do titular; se não houver, cessar o tratamento
Com a ação técnica concluída, enviar a resposta formal ao titular. A resposta deve ser enviada até o dia 15 corrido a partir do recebimento da solicitação.
- Usar o template de resposta padrão (ver Seção 5) — adaptar ao tipo de solicitação e ao caso concreto
- Linguagem clara, objetiva e acessível — sem jargão jurídico excessivo
- Informar o que foi feito (ou por que não foi feito, com fundamento legal específico)
- Em caso de negativa parcial ou total, citar expressamente o artigo e fundamento legal
- Informar ao titular que ele pode contatar a ANPD caso discorde da decisão: gov.br/anpd
- Enviar por e-mail com solicitação de confirmação de leitura; guardar comprovante
Negativa motivada: Se não for possível atender total ou parcialmente (ex: dados necessários para obrigação legal, contrato ativo, ou solicitação indevida), a resposta deve conter: (1) fundamento legal específico; (2) prazo estimado de retenção; (3) informação do direito de reclamação à ANPD. A negativa sem fundamento é infração à LGPD.
Após o envio da resposta, finalizar o registro da solicitação no controle interno. O arquivamento é obrigatório e serve como evidência de conformidade perante a ANPD.
- Marcar a solicitação como "Concluída" no controle interno com a data de envio da resposta
- Arquivar: cópia da solicitação original, confirmação de identidade, ações tomadas, cópia da resposta enviada e comprovante de entrega
- Registrar no ROPA qualquer alteração de dados resultante da solicitação (exclusões, correções)
- Armazenar os registros no Google Drive corporativo em /Compliance/LGPD/Solicitações-Titulares/[ANO]/
- Retenção mínima: 5 anos após a data de resposta — mesmo em caso de exclusão dos dados do titular, o registro do processo de atendimento deve ser mantido
- Revisar o controle mensalmente para identificar padrões, reincidências ou pontos de melhoria no processo
📝 5. Templates de Resposta Padrão
Use os templates abaixo como ponto de partida. Adapte conforme o tipo de solicitação e o caso concreto. Nunca envie sem personalizar os campos em destaque.
Template 1 — Confirmação de Recebimento (enviar em até 24h)
Olá, [NOME DO TITULAR],
Confirmamos o recebimento da sua solicitação de exercício de direitos com base na LGPD, recebida em [DATA E HORA] pelo canal [e-mail / formulário do painel].
Protocolo: [NÚMERO-PROTOCOLO]
Tipo de solicitação: [Acesso / Exclusão / Correção / outro]
Prazo de resposta: até [DATA = recebimento + 15 dias corridos]
Nossa equipe de privacidade irá analisar sua solicitação e retornará com a resposta completa dentro do prazo legal de 15 dias corridos.
Em caso de dúvidas, responda este e-mail ou entre em contato pelo WhatsApp (11) 94204-1993.
Atenciosamente,
Thaís Kurünzi — DPO SimulaAudit
lgpd@simulaaudit.com.br
Template 2 — Resposta Final (enviar até o 15º dia)
Olá, [NOME DO TITULAR],
Referente à sua solicitação de [tipo de direito] registrada em [data] (protocolo [NÚMERO]), informamos:
Ação realizada:
[Descrever o que foi feito: dados acessados e enviados em anexo / dado corrigido de X para Y / dados excluídos em [data] / etc.]
Sistemas afetados: [Supabase (banco de dados), Mautic (e-mail marketing), Resend — conforme aplicável]
Caso sua solicitação não tenha sido atendida total ou parcialmente, o motivo é:
[Fundamento legal específico, ex: "Art. 16, II da LGPD — dados necessários para cumprimento de obrigação legal ou regulatória"]
Se discordar desta decisão, você pode peticionar à ANPD em: gov.br/anpd
Atenciosamente,
Thaís Kurünzi — DPO SimulaAudit
lgpd@simulaaudit.com.br | (11) 94204-1993
⏱️ 6. Prazos Legais e Referências
| Ação | Prazo | Base Legal | Observação |
|---|---|---|---|
| Confirmação de recebimento | 24 horas | Boa prática — não prevista expressamente na lei | Gera confiança e comprova que a solicitação foi recebida |
| Resposta completa ao titular | 15 dias corridos | LGPD Art. 19, caput | Prazo começa a contar na data de recebimento (dia 0). Não é dia útil — é corrido. |
| Resposta parcial + prazo complementar | 15 dias + justificativa | LGPD Art. 19, § 1º | Se não for possível responder completamente em 15 dias, informar imediatamente o titular com justificativa e prazo complementar |
| Retenção dos registros de atendimento | 5 anos mínimo | Boa prática regulatória ANPD | Mesmo após exclusão dos dados do titular, manter o registro do processo de atendimento |
| Revogação de consentimento (efeito) | Imediato | LGPD Art. 8, § 5º | A revogação é gratuita e deve cessar o tratamento baseado em consentimento sem demora |
| Resposta a demanda da ANPD sobre titular | Conforme intimação | LGPD Art. 55-J, XIV | Ter os registros organizados é essencial para responder a autoridade dentro do prazo fixado |
🚧 7. Casos Especiais e Situações de Dúvida
Algumas situações requerem cuidado adicional. Sempre que em dúvida, registrar o caso e consultar:
Solicitação de exclusão com contrato ativo: O titular com plano pago ativo pode solicitar exclusão, mas a empresa pode reter dados mínimos necessários para execução do contrato (Art. 7, V) e para obrigações legais e fiscais (Art. 16). Informar claramente o que pode e o que não pode ser excluído e o prazo de retenção residual. Ao término do contrato, excluir imediatamente os dados retidos.
Solicitação de titular de cliente B2B: Se um usuário final de um cliente empresarial (que usa o SimulaAudit para auditar sua própria equipe) solicitar acesso ou exclusão, verificar se o SimulaAudit é controlador ou operador desses dados. Se operador, encaminhar ao cliente B2B (controlador) e informar o titular. O prazo de 15 dias ainda se aplica para a comunicação e encaminhamento.
Solicitação indevida ou fraudulenta: Se houver suspeita de que a solicitação não é do próprio titular (ex: terceiro tentando acessar dados de outra pessoa), solicitar documentação comprobatória de identidade antes de prosseguir. Em caso de fraude confirmada, registrar a tentativa e não fornecer os dados. O prazo de 15 dias é interrompido enquanto aguarda comprovação de identidade — mas comunicar o titular sobre esse pedido de verificação.
Solicitação de menor de idade: Dados de menores de 16 anos têm proteção especial (LGPD Art. 14). As solicitações devem ser feitas pelo responsável legal. Verificar a relação de responsabilidade antes de responder.
Quando chamar um advogado: Nas seguintes situações, consultar advogado LGPD antes de responder: (a) solicitação com ameaça de processo judicial; (b) solicitação de exclusão de dados envolvidos em disputa contratual; (c) solicitação da ANPD; (d) solicitação que possa impactar outro titular (ex: acesso a conversa que envolve terceiros); (e) qualquer caso em que a negativa for a opção escolhida.
📊 8. Controle Interno — Registro de Solicitações
Manter uma planilha ou sistema de controle com os seguintes campos para cada solicitação recebida:
| Campo | Descrição | Exemplo |
|---|---|---|
| Número de protocolo | Identificador único sequencial | LGPD-2026-001 |
| Data de recebimento | Dia 0 do prazo de 15 dias | 26/05/2026 |
| Canal de recebimento | E-mail, formulário ou outro | lgpd@simulaaudit.com.br |
| Nome e e-mail do titular | Conforme solicitação | João Silva · joao@empresa.com |
| Tipo de solicitação | Direito exercido (Art. 18) | Exclusão de dados |
| Status | Em andamento / Concluída / Negada | Concluída |
| Data limite de resposta | Dia 0 + 15 dias corridos | 10/06/2026 |
| Data da resposta enviada | Data efetiva do envio | 05/06/2026 |
| Ação executada | Resumo do que foi feito | Dados excluídos do Supabase e Mautic |
| Observações | Dados retidos e fundamento, se houver | NF retida por 5 anos (obrigação fiscal) |
Armazenar o controle em: Google Drive / Compliance / LGPD / Solicitações-Titulares / Controle-[ANO].xlsx
⚖️ 9. Base Legal
- LGPD Art. 18: Enumera os direitos dos titulares: confirmação, acesso, correção, anonimização/bloqueio/eliminação, portabilidade, informação sobre compartilhamento, revogação de consentimento, oposição e revisão de decisão automatizada
- LGPD Art. 19: O controlador é obrigado a confirmar a existência de tratamento e fornecer acesso aos dados em até 15 dias corridos a contar da data do requerimento do titular
- LGPD Art. 19, § 1º: Os dados pessoais serão armazenados em formato que favoreça o exercício do direito de acesso, inclusive em formato simplificado
- LGPD Art. 20: O titular dos dados tem direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses
- LGPD Art. 8, § 5º: O consentimento pode ser revogado a qualquer momento mediante manifestação expressa do titular, por procedimento gratuito e facilitado
- LGPD Art. 16: Os dados pessoais serão eliminados após o término de seu tratamento — com exceções para obrigação legal, transferência a terceiros, uso exclusivo do controlador em forma anonimizada, e outros casos previstos
- Resolução CD/ANPD nº 2/2022: Regulamenta os direitos dos titulares e os procedimentos para exercício; reforça o prazo de 15 dias e os requisitos de resposta
🔄 10. Revisão e Atualização
Este documento deve ser revisado:
- Anualmente, preferencialmente em janeiro de cada ano
- Após qualquer solicitação de titular que revele lacuna no processo
- Ao publicar nova resolução ou orientação da ANPD sobre direitos de titulares
- Ao contratar equipe de suporte — incluir treinamento específico sobre este processo (ver E2)
Próxima revisão prevista: Maio/2027
DPO responsável: Thaís Kurünzi · lgpd@simulaaudit.com.br · WhatsApp (11) 94204-1993