Guia de conformidade com o GDPR para startups

O Regulamento Geral de Proteção de Dados (GDPR) é um conjunto de regras para empresas que tratam dados pessoais de pessoas do Espaço Econômico Europeu (EEE). O EEE inclui todos os países da União Europeia (UE), além da Islândia, de Liechtenstein e da Noruega. O GDPR entrou em vigor em 25 de maio de 2018.

O GDPR é considerado a lei de proteção de dados mais rigorosa do mundo. Ele dá às pessoas mais controle sobre seus dados pessoais e estabelece regras mais rígidas que as empresas devem seguir ao coletar, usar e proteger esses dados.

Se uma empresa não cumprir essas regras, poderá receber multas ou outras penalidades. A multa máxima é de 20 milhões de euros ou 4% do faturamento anual global da empresa no ano anterior, o que for maior.

Obrigações previstas no GDPR

Uma empresa deve cumprir diversas obrigações e responsabilidades ao coletar e tratar dados pessoais de cidadãos do EEE:

1. Antes de lançar um novo produto ou serviço, reserve um tempo para avaliar como ele vai coletar, armazenar e usar dados pessoais de cidadãos do EEE. Se necessário, faça uma avaliação de impacto sobre a proteção de dados para identificar e reduzir possíveis riscos à proteção dos dados pessoais.
2. Implemente medidas técnicas e organizacionais adequadas para proteger os dados pessoais, como criptografia e armazenamento seguro. Mantenha seus sistemas e serviços em dia com as correções e atualizações de segurança mais recentes.
3. Ao coletar dados pessoais, peça apenas as informações estritamente necessárias para a finalidade específica de uso. Isso ajuda a minimizar a quantidade de dados coletados e a reduzir o risco de violações de dados.
4. Seja transparente com seus clientes sobre quais dados pessoais coleta, por que os coleta e como serão usados. Forneça informações claras sobre a proteção de dados e obtenha consentimento explícito antes de coletar dados pessoais, a menos que exista outra base jurídica para a coleta.
5. Respeite o direito dos clientes de se opor ao tratamento de seus dados pessoais e garanta que eles conheçam esse direito.
6. Designe um encarregado da proteção de dados se 20 ou mais pessoas tratarem dados pessoais regularmente, se a empresa realizar operações de tratamento que exijam uma avaliação de impacto sobre a proteção de dados ou se tratar dados pessoais para transmissão, transmissão anonimizada ou pesquisas de mercado e de opinião.
7. Se compartilhar dados pessoais com terceiros fora do EEE, adote salvaguardas adequadas, como as cláusulas contratuais padrão do EEE ou o Privacy Shield.
8. Use o processo de double opt-in, com confirmação da inscrição por e-mail, ao enviar e-mails para garantir que os destinatários tenham dado consentimento para recebê-los.
9. Mantenha todos os dados pessoais exatos e atualizados e estabeleça processos para atualizá-los quando houver mudanças.
10. Se ocorrer uma perda de dados ou uma violação de segurança, tome medidas imediatas para conter o incidente e evitar danos adicionais. Tenha um plano para lidar com esses incidentes e notificar os clientes e as autoridades competentes.
11. Em caso de violação de dados, notifique a autoridade supervisora e seus clientes o mais rápido possível.
12. Mantenha registros de todas as atividades de tratamento de dados para demonstrar a conformidade em caso de auditoria pela autoridade supervisora.

A lista reúne as principais obrigações e responsabilidades que uma empresa deve observar de acordo com o GDPR ao coletar e tratar dados pessoais de cidadãos do EEE.

No entanto, em alguns casos, pode haver requisitos adicionais a considerar. Por exemplo, empresas que atuam em determinados setores ou tratam tipos específicos de dados pessoais podem estar sujeitas a exigências específicas.

Por isso, é sempre recomendável buscar orientação de um especialista em proteção de dados ou entrar em contato com a autoridade supervisora para garantir o cumprimento de todos os regulamentos aplicáveis.

GDPR para empresas fora do EEE

Embora seja amplamente conhecido que empresas sediadas no EEE precisam cumprir o GDPR, nem todos sabem que países fora do EEE também precisam cumpri-lo em determinadas circunstâncias. A seguir, apresentamos as diferentes situações em que empresas de fora do EEE devem cumprir o regulamento.

Coleta de dados pessoais no Espaço Econômico Europeu

Se uma empresa sediada fora do EEE oferecer bens ou serviços a pessoas no EEE ou monitorar seu comportamento, deverá cumprir os requisitos do GDPR ao coletar, usar e proteger os dados pessoais dessas pessoas.

Se for constatado que uma empresa sediada fora do EEE viola o GDPR, as autoridades da UE dispõem de vários instrumentos para garantir o cumprimento do regulamento.

Por exemplo, se for constatado que uma empresa dos EUA viola o GDPR, as autoridades da UE poderão buscar a execução de uma decisão contra essa empresa em um tribunal dos EUA, dependendo da natureza da violação e das leis do estado em que a empresa está localizada.

Além disso, as autoridades da UE podem usar outros meios para pressionar uma empresa de fora do Espaço Econômico Europeu a cumprir o GDPR, como bloquear seu acesso ao mercado da UE ou expô-la publicamente.

No entanto, é improvável que a UE imponha sanções imediatas a qualquer pequena empresa que viole o GDPR. Ainda assim, cumprir o GDPR pode ser vantajoso mesmo para pequenas empresas fora do EEE. Isso porque a conformidade com o GDPR pode oferecer melhores oportunidades de negócio às startups, permitindo que trabalhem com outras empresas que também cumprem o regulamento.

Além do risco de multas e outras penalidades, as startups podem sofrer danos à reputação se for constatado que violam o GDPR. Isso pode dificultar seus negócios no EEE e também afetar sua atuação internacional.

Empresas que cumprem o GDPR podem ser mais atraentes para clientes e parceiros, pois demonstram compromisso com a proteção de dados pessoais e o respeito à privacidade das pessoas.

De modo geral, o GDPR representa uma mudança importante para startups que tratam dados pessoais de pessoas no EEE e terá um impacto significativo na forma como elas coletam, usam e protegem esses dados.

As startups fora do EEE precisarão estar especialmente atentas às obrigações previstas no GDPR e tomar medidas para garantir a conformidade, evitando o risco de multas e outras penalidades, além de danos à reputação.

E se a sua empresa não coletar dados no EEE?

Vale lembrar que, mesmo que uma startup fora do EEE não ofereça atualmente bens ou serviços a pessoas no EEE nem monitore seu comportamento, ainda pode ser recomendável implementar o GDPR.

Isso porque o GDPR é um padrão global de proteção de dados, e implementar o GDPR pode ajudar uma startup a se estabelecer como uma empresa respeitada e confiável, que valoriza a privacidade de seus clientes e parceiros.

O GDPR no Reino Unido (UK)

Depois que o Reino Unido saiu da UE em 1º de janeiro de 2021, o GDPR deixou de ser aplicável no país. No entanto, suas regras foram incorporadas diretamente à legislação britânica como UK-GDPR. Por isso, tudo o que foi discutido acima sobre o GDPR também se aplica ao Reino Unido.

Como criar um formulário de inscrição em conformidade com o GDPR no Maildroppa

O Maildroppa é um aplicativo de email marketing que permite criar formulários de inscrição personalizados, pelos quais potenciais clientes podem se inscrever para receber informações ou newsletters suas regularmente.

Você pode definir livremente quais informações são necessárias para a inscrição. Por exemplo, é possível solicitar nome e sobrenome, data de nascimento e nacionalidade do potencial cliente. Essas informações, naturalmente, são dados pessoais.

Se não adotar medidas técnicas para impedir que europeus visitem seu site e preencham seu formulário de inscrição, sua empresa estará sujeita ao GDPR, mesmo que esteja localizada fora do Espaço Econômico Europeu.

O Maildroppa, porém, facilita muito o cumprimento do GDPR. Você pode definir se as pessoas que desejam se inscrever na lista devem sempre ou nunca visualizar e assinar o acordo de tratamento de dados. Também pode configurar para que apenas pessoas da UE, do Reino Unido e da Suíça precisem dar consentimento no formulário de consentimento do GDPR.

Como empresa, você precisa informar aos clientes quais tipos de dados coleta, por que os coleta e como eles são armazenados e tratados. Como cada empresa é diferente, os dados coletados e a forma de usá-los podem variar. Como responsável pelo negócio, é importante ser transparente com os clientes sobre suas práticas de tratamento de dados e cumprir as regras do GDPR.

O Maildroppa, como prestador de serviços, entende essa responsabilidade. Por isso, oferecemos um recurso para personalizar o formulário de consentimento do GDPR de acordo com suas necessidades específicas. Nosso aplicativo também salva o texto do formulário de consentimento do GDPR aceito pelo assinante, permitindo comprovar esse consentimento mesmo anos depois.

Outro requisito do GDPR é que os assinantes confirmem por e-mail a inscrição na newsletter, pelo processo de double opt-in. Isso garante que apenas quem deu consentimento explícito para receber suas informações, de acordo com sua declaração sobre o GDPR, receba esses conteúdos. Como o double opt-in é o padrão do Maildroppa, não é necessário tomar medidas adicionais.

Resumo

Em resumo, o GDPR é um conjunto de regras aplicáveis a empresas que tratam dados pessoais de pessoas no EEE. Ele dá às pessoas mais controle sobre seus dados pessoais e impõe regras mais rígidas sobre como as empresas podem coletar, usar e proteger esses dados.

As startups no EEE precisarão tomar medidas para garantir o cumprimento do GDPR e evitar o risco de multas e outras penalidades, além de danos à reputação.

As startups fora da UE também precisarão garantir o cumprimento do GDPR se oferecerem bens ou serviços a pessoas na UE ou monitorarem seu comportamento. Embora seja improvável que a UE imponha sanções imediatas a todas as pequenas empresas que violem o GDPR, suas autoridades dispõem de vários instrumentos para garantir a conformidade.

Se uma startup quiser se estabelecer como uma empresa respeitada e confiável, que valoriza a privacidade de seus clientes e parceiros, implementar o GDPR pode ser vantajoso, mesmo que ela não esteja sediada na UE nem interaja com pessoas na UE. Por fim, é importante lembrar que, embora o Reino Unido tenha saído da UE, o GDPR continua a ser aplicado no país na forma do UK-GDPR.