finalidade,categoria_dados,categoria_titular,base_legal_lgpd,fonte_dados,destinatarios_internos,destinatarios_externos,pais_processamento,garantia_transferencia_internacional,prazo_retencao,fundamento_retencao,medidas_seguranca,risco_identificado,observacoes
Criar e manter conta do usuário,"Nome, e-mail, senha (hash)",Usuários do app,Art. 7º V (execução de contrato),Cadastro direto pelo titular,"Equipe técnica autorizada (menor privilégio)","AWS RDS (banco), Vercel (frontend)",Brasil (RDS sa-east-1) e Global (Vercel Edge),"SCC ANPD para Vercel; RDS no Brasil dispensa",Enquanto durar a conta + 6 meses pós-exclusão,"LGPD art. 15 + necessidade operacional","Hash argon2id; TLS 1.3; criptografia em repouso; 2FA admin","Baixo","Senha nunca armazenada em texto claro"
Emissão de nota fiscal,"CPF, endereço, valor da transação",Clientes pagantes,Art. 7º II (obrigação legal),Cadastro + integração Stripe,"Equipe fiscal/contábil","Stripe (gateway), Receita Federal","EUA (Stripe), Brasil (Receita)","SCC ANPD para Stripe",5 anos após o exercício,"Decreto 7.212/2010 art. 447; CTN art. 173","TLS; tokenização do cartão via Stripe","Baixo","Cartão NÃO é armazenado por nós"
Envio de newsletter quinzenal,E-mail,Usuários que consentiram,Art. 7º I (consentimento),Opt-in explícito no rodapé,Marketing,Mailgun,EUA,SCC ANPD,Até revogação ou 2 anos sem abertura,Necessidade + minimização,TLS; opt-out 1 clique em todo e-mail,Baixo,"Consent log armazenado; revogação tão fácil quanto opt-in"
Segurança da plataforma (anti-fraude),"IP, user-agent, padrão de uso, geo aproximado por IP","Todos os visitantes, autenticados ou não",Art. 7º IX (legítimo interesse),Coleta automática,Equipe de segurança,Cloudflare (WAF/CDN),Global (Cloudflare),SCC ANPD,6 meses (mínimo legal); até 12 meses para segurança,Marco Civil Lei 12.965/2014 art. 15 + LGPD art. 10 (RIPD),WAF; rate limiting; logs centralizados; alerta automatizado,Médio,"RIPD elaborado com teste de balanceamento"
Analytics agregados de uso,"_ga e similares (ID anônimo, sessão)",Visitantes que consentiram,Art. 7º I (consentimento),Cookie GA4 após consentimento,Equipe de produto,Google (GA4),EUA,SCC ANPD,14 meses (default GA4),Configuração de retenção do GA4,Anonimização de IP ativa; sem PII enviado,Baixo,Cookies desativados antes do consentimento
Suporte ao cliente,"Nome, e-mail, conteúdo do ticket",Usuários que abriram chamado,Art. 7º V (execução de contrato),Formulário/chat,Equipe de suporte,"Helpdesk (ex: Crisp, Intercom)",EUA,SCC ANPD,2 anos após fechamento do ticket,Necessidade + prescrição CDC,TLS; controle de acesso por nível de suporte,Baixo,"PII redigida antes de enviar a terceiros de IA"
Cumprimento de obrigações trabalhistas (se houver equipe),"Nome, CPF, RG, dados trabalhistas",Colaboradores,Art. 7º II (obrigação legal),Cadastro RH,RH/Contabilidade,Contabilidade terceirizada,Brasil,Não aplicável,30 anos (FGTS); 5 anos demais,"Lei 8.036/1990 (FGTS); CLT","Acesso restrito a RH; criptografia em repouso",Médio,"Termo de confidencialidade com colaboradores"