Um programa de fidelidade não precisa começar pedindo nome completo, CPF, data de nascimento, endereço, telefone e e-mail. O desenho mais seguro começa pela pergunta inversa: qual dado é necessário para fazer esta função específica funcionar? A LGPD exige finalidade definida, adequação, necessidade, transparência, segurança e prestação de contas. Para o negócio, isso significa transformar o cadastro em uma decisão de produto e governança, não em um formulário que coleta tudo "para usar depois".
A regra prática é separar o que mantém a conta e os benefícios funcionando do que existe para comunicação comercial, segmentação ou análise. Essa separação melhora a experiência do cliente, reduz o volume de dados expostos em um eventual incidente e facilita explicar por que cada informação está sendo tratada.
Este texto é informativo e não substitui análise jurídica do caso concreto. Como a escolha de bases legais, o tratamento de dados sensíveis, a definição dos papéis entre empresas e a redação de avisos de privacidade dependem da operação real, a versão destinada à publicação deve passar por revisão jurídica humana.
A LGPD não proíbe fidelidade; ela muda o desenho do programa
Programas de fidelidade podem ser legítimos. O problema aparece quando o benefício é usado como justificativa genérica para coletar dados em excesso, misturar finalidades ou tornar opaco o compartilhamento com terceiros.
Em fevereiro de 2025, a Agência Nacional de Proteção de Dados concluiu uma etapa de fiscalização envolvendo redes de farmácias e operadores de programas de fidelização e benefícios. A atuação tratou de temas como bases legais, transparência, tempo de armazenamento, biometria, formação de perfis e compartilhamento. O processo de um dos programas analisados foi arquivado, enquanto outros agentes receberam medidas preventivas ou seguiram para apuração sancionadora. O ponto útil para outros setores é que a existência de um programa de fidelidade, por si só, não determina a conformidade: importam as finalidades, os dados usados, os papéis dos agentes e as salvaguardas adotadas.
A Nota Técnica nº 6/2025 da ANPD também chamou atenção para um risco específico do varejo farmacêutico: um histórico de compras pode revelar ou permitir inferências sobre saúde e, portanto, elevar a sensibilidade do tratamento. Mesmo fora de farmácias, a lição é aplicável: o valor de um dado não está apenas no campo isolado, mas também no que pode ser inferido pela combinação de transações, frequência, localização e comportamento.
Primeiro separe operação de marketing
A mesma pessoa pode participar do programa e, ao mesmo tempo, não querer receber campanhas. Tratar essas duas coisas como se fossem uma única finalidade aumenta o risco de consentimentos genéricos, avisos confusos e uso posterior incompatível com o que o cliente esperava.
Dados para operar a fidelidade
A operação costuma envolver criar ou localizar uma conta, atribuir pontos ou carimbos, registrar resgates, exibir saldo, corrigir erros e prevenir abuso. O conjunto de dados necessário depende de como o programa foi desenhado.
Se a identificação é feita por telefone, esse número pode ser necessário para localizar a conta e recuperar o acesso. Se a identificação ocorre por um QR Code vinculado a um identificador interno, talvez não haja motivo para exigir ao mesmo tempo telefone, e-mail e CPF. Se o benefício é apenas um cartão digital de frequência, o histórico detalhado de todos os itens comprados pode ser desnecessário para calcular a recompensa.
A minimização não significa coletar o menor número possível de campos em qualquer cenário. Significa limitar o tratamento aos dados pertinentes, proporcionais e não excessivos para a finalidade informada.
Dados para marketing e relacionamento comercial
Enviar promoções, criar segmentos, medir campanhas, identificar preferências ou personalizar ofertas são finalidades diferentes da simples contabilização de pontos. Elas precisam ser descritas como tais, com avaliação própria de base legal, necessidade, expectativa do titular e salvaguardas.
Consentimento não é a única base legal prevista na LGPD e tampouco deve ser usado automaticamente para tudo. Dependendo do tratamento concreto, outras hipóteses legais podem ser pertinentes, como a execução de contrato ou o legítimo interesse. O legítimo interesse, porém, não funciona como autorização genérica: a ANPD orienta que sua utilização em dados não sensíveis seja precedida de análise de finalidade, necessidade, legítima expectativa, balanceamento e salvaguardas.
Quando o tratamento depende de consentimento, ele deve ser livre, informado, inequívoco e ligado a finalidades determinadas. Colocar várias finalidades em um único aceite "tudo ou nada" pode comprometer a validade da manifestação. A fiscalização da ANPD no setor farmacêutico analisou exatamente esse tipo de problema.
O que questionar em cada campo do cadastro
Nome e canal de contato
O nome pode ajudar no atendimento, na identificação do cliente e na experiência de uso, mas nem sempre o nome completo é necessário. O canal de contato deve corresponder a uma função real: autenticação, recuperação de conta, aviso operacional ou comunicação escolhida pelo cliente.
Se o programa usa telefone para login, pedir também e-mail apenas "por garantia" exige uma justificativa própria. O mesmo vale no sentido inverso. Dados duplicados aumentam a superfície de exposição sem necessariamente melhorar o serviço.
CPF e outros documentos
A LGPD não transforma o CPF em um campo automaticamente obrigatório ou proibido para programas de fidelidade. A pergunta correta é se existe uma finalidade específica e proporcional que torne esse identificador necessário no desenho adotado.
Se o objetivo é apenas localizar uma conta simples, pode haver alternativas menos intrusivas, como um identificador interno, telefone ou e-mail. Se houver obrigação fiscal, prevenção de fraude, integração com outro processo ou requisito contratual que dependa do documento, a análise muda. O importante é não usar "todo mundo pede CPF" como fundamento.
Data de nascimento
A data completa só deve ser coletada quando houver uma finalidade clara que realmente dependa dela. Um benefício de aniversário pode, por exemplo, exigir menos informação do que a data completa com ano, se a idade não for relevante para a operação.
Se a idade for usada para elegibilidade, proteção de crianças e adolescentes ou outra regra específica, o tratamento merece análise adicional. Dados de crianças e adolescentes exigem consideração prioritária do melhor interesse e podem impor salvaguardas reforçadas.
Endereço e localização
Endereço residencial, CEP detalhado ou geolocalização não deveriam aparecer no cadastro apenas porque o sistema oferece esses campos. Eles podem fazer sentido quando o benefício envolve entrega, limitação geográfica, prevenção de fraude ou outra função concreta.
Se a finalidade pode ser atendida com uma informação menos precisa, essa alternativa deve ser considerada. Guardar localização detalhada cria um registro comportamental mais intrusivo do que guardar apenas a unidade em que uma transação ocorreu.
Histórico de compras
Para creditar pontos, talvez seja suficiente registrar identificador da transação, data, valor elegível, pontos gerados e situação do crédito. Guardar a lista completa de produtos, marcas, horários e hábitos pode ser necessário em alguns modelos, mas não deve ser pressuposto.
O risco sobe quando o histórico permite inferir aspectos sensíveis. A ANPD destacou essa preocupação em compras de farmácias, nas quais produtos adquiridos podem revelar informações relacionadas à saúde. O mesmo raciocínio de contexto vale para qualquer programa capaz de inferir religião, saúde, vida sexual, biometria ou outras categorias sensíveis.
Biometria e outros dados sensíveis
Biometria é dado pessoal sensível. Usá-la para tornar o cadastro "mais moderno" ou reduzir atrito sem necessidade real pode criar um problema maior do que o que se pretendia resolver.
Dados sensíveis seguem as hipóteses específicas do artigo 11 da LGPD e exigem avaliação mais rigorosa. O legítimo interesse do artigo 7º não é base legal para dados sensíveis. Em qualquer caso, o desenho deve partir da necessidade e considerar alternativas menos invasivas.
Base legal não é uma caixa para marcar depois que o produto ficou pronto
A escolha da base legal deve acompanhar a finalidade desde o desenho da operação. Um programa pode ter tratamentos diferentes sob bases diferentes: a criação e execução da conta, a prevenção de fraude, o envio de marketing, o atendimento a direitos e a retenção para cumprir obrigações podem exigir justificativas distintas.
Por isso, o aviso de privacidade não deve simplesmente dizer "tratamos seus dados com base na LGPD". Ele precisa refletir a operação real. Também é arriscado afirmar que todo tratamento ocorre por consentimento se a empresa, na prática, continuaria precisando de parte dos dados para executar o programa mesmo após uma revogação.
Quando houver legítimo interesse, a ANPD recomenda documentar a análise de finalidade, necessidade e balanceamento, incluindo salvaguardas e a legítima expectativa do titular. Quando houver consentimento, a organização precisa conseguir demonstrar como ele foi obtido e permitir revogação por procedimento facilitado.
A base legal não corrige coleta excessiva. Mesmo um tratamento amparado por hipótese válida continua sujeito aos princípios de finalidade, adequação e necessidade.
O que o cliente precisa saber no momento certo
O artigo 9º da LGPD garante acesso facilitado a informações sobre o tratamento. Para um programa de fidelidade, isso se traduz em uma comunicação que permita entender o que acontece sem obrigar o cliente a decifrar um documento jurídico antes de ganhar o primeiro ponto.
No cadastro, a pessoa deve conseguir identificar quem é o controlador, quais dados são pedidos, quais são obrigatórios e opcionais, para que serão usados, como ocorre o compartilhamento relevante e como acessar informações mais completas. Também deve existir um canal para o exercício de direitos.
A política ou aviso completo pode detalhar a forma e a duração do tratamento, os contatos do controlador, o uso compartilhado e suas finalidades, as responsabilidades dos agentes e os direitos previstos na lei. Quando houver mudanças relevantes de finalidade ou de compartilhamento, a comunicação também precisa acompanhar a mudança.
Não confunda regulamento do programa com consentimento de privacidade
O regulamento explica como pontos expiram, como recompensas são resgatadas e quais são as regras comerciais. O aviso de privacidade explica o tratamento de dados. Em alguns casos eles podem se relacionar, mas aceitar o regulamento não transforma automaticamente qualquer uso posterior de dados em consentimento válido.
Se marketing opcional depender de consentimento, apresente essa escolha separadamente. Se outra base legal for utilizada, explique a finalidade de forma compatível com essa base, sem criar um falso botão de "aceite" apenas para parecer mais seguro.
Não prometa que "não compartilhamos dados" se existe uma plataforma
Se o estabelecimento usa uma plataforma de fidelidade, serviço de nuvem, mensageria, antifraude ou suporte técnico que recebe dados pessoais, dizer que "nenhum dado é compartilhado" pode ser enganoso.
A comunicação deve refletir a cadeia real. Nem todo fornecedor decide o que fazer com os dados, e por isso a qualificação jurídica pode variar entre operador, controlador ou outra configuração por operação. Ainda assim, o cliente precisa receber informação clara sobre o uso compartilhado relevante e suas finalidades.
Negócio e plataforma: o contrato não substitui a realidade
Na LGPD, o controlador é quem toma as principais decisões sobre o tratamento e define a finalidade. O operador trata dados em nome do controlador e conforme as finalidades por ele delimitadas. A ANPD ressalta que essa classificação é funcional: o papel real de cada parte importa mais do que o rótulo colocado no contrato.
Em um programa de fidelidade, o estabelecimento pode ser controlador de parte relevante da operação se decide quais dados serão coletados, quais recompensas serão oferecidas, por quanto tempo os registros serão usados e quais campanhas serão executadas. A plataforma pode atuar como operadora em determinadas operações. Mas a mesma empresa pode assumir outro papel em operações diferentes se passar a decidir finalidades próprias e elementos essenciais do tratamento.
O contrato deve refletir essa divisão. É útil definir objeto, duração, finalidade, categorias de dados, instruções, medidas de segurança, subcontratações, suporte aos direitos dos titulares, exportação ou eliminação ao término da relação e procedimentos para incidentes. A ANPD trata esse tipo de definição contratual como boa prática para reduzir incertezas entre controlador e operador.
Acesso da equipe também faz parte da LGPD
Minimizar dados no cadastro e permitir acesso irrestrito a toda a equipe é uma contradição operacional. O princípio da segurança exige medidas técnicas e administrativas compatíveis com o risco.
Na prática, cada função deve acessar apenas o que precisa. Um atendente que valida uma recompensa pode não precisar visualizar endereço, data de nascimento, histórico completo ou identificadores fortes. Contas individuais, controle de permissões, revisão de acessos, remoção de credenciais quando alguém sai da empresa e registro de ações reduzem risco e melhoram a capacidade de investigar problemas.
O guia de segurança da ANPD para agentes de pequeno porte recomenda medidas organizacionais e técnicas, incluindo política de segurança, controle de acesso, proteção dos dados armazenados, gerenciamento de vulnerabilidades e segurança das comunicações. O tamanho do negócio pode mudar a complexidade das medidas, mas não elimina a obrigação de proteger os dados.
Retenção: "guardar para sempre" não é uma estratégia
O programa precisa saber por quanto tempo cada categoria de dado será mantida e por quê. Conta ativa, histórico necessário para contestação de pontos, registros fiscais, evidências de consentimento, logs de segurança e dados de marketing podem ter ciclos diferentes.
Excluir uma conta não significa necessariamente apagar todos os registros no mesmo instante. A LGPD admite conservação em determinadas hipóteses, como cumprimento de obrigação legal ou regulatória e outras situações previstas em lei. Por isso, é melhor informar com precisão que certos dados poderão ser mantidos pelo período necessário à finalidade ou obrigação aplicável do que prometer "apagamento total imediato" e não conseguir cumprir.
Também é inadequado manter dados indefinidamente apenas porque o armazenamento é barato. Prazo, critério de retenção e rotina de eliminação devem fazer parte do desenho do produto.
Incidentes: o plano precisa existir antes do vazamento
Em agosto de 2026, a LATAM informou um incidente envolvendo dados pessoais de uma parcela limitada de membros do LATAM Pass e comunicou os clientes potencialmente afetados e a ANPD. A Agência confirmou o recebimento e informou que faria análise preliminar. Esse fato não equivale a uma conclusão de infração, mas serve como lembrete de que programas de fidelidade concentram dados valiosos para fraude, engenharia social e tomada de contas.
O Regulamento de Comunicação de Incidente de Segurança da ANPD estabelece que, quando um incidente confirmado com dados pessoais puder acarretar risco ou dano relevante aos titulares, o controlador deve comunicar a Agência e os titulares nos termos do regulamento. A orientação vigente informa prazo de três dias úteis, ressalvada legislação específica.
O contrato com a plataforma deve prever comunicação rápida ao controlador quando o incidente ocorrer no ambiente do operador. A própria ANPD recomenda que essas obrigações sejam definidas contratualmente. Sem esse fluxo, o estabelecimento pode descobrir tarde demais que precisa avaliar risco, identificar titulares afetados e preparar uma comunicação clara.
Revisão prática antes de publicar o programa
1. Desenhe o mapa de finalidades
Escreva, em uma frase, cada finalidade real: criar conta, identificar cliente, creditar pontos, permitir resgate, prevenir fraude, atender suporte, enviar marketing, criar segmentação ou cumprir obrigação. Finalidades vagas como "melhorar sua experiência" não substituem a descrição do que será feito.
2. Ligue cada dado a uma finalidade
Para cada campo, pergunte qual função quebra se ele não for coletado. Se nada quebrar, trate o dado como candidato à remoção ou como informação opcional com justificativa própria.
3. Separe obrigatório de opcional
O cliente deve entender o que é indispensável para participar e o que existe para uma função adicional. Marketing e enriquecimento de perfil não devem ser escondidos dentro do cadastro mínimo.
4. Revise a base legal de cada tratamento
Não use uma única base para toda a operação por conveniência. Documente a justificativa e faça revisão jurídica, especialmente quando houver legítimo interesse, dados sensíveis, crianças e adolescentes, perfilamento, biometria ou compartilhamento complexo.
5. Reescreva o aviso de privacidade a partir do fluxo real
O texto deve corresponder ao que o sistema efetivamente faz. Informe finalidades, controlador, contato, compartilhamentos relevantes, duração ou critérios de retenção, direitos e como exercê-los. Evite frases absolutas que o contrato ou a arquitetura não conseguem sustentar.
6. Revise a relação com a plataforma
Confirme quem decide finalidades e elementos essenciais em cada operação. Ajuste o contrato para segurança, suboperadores, suporte a direitos, retenção, retorno ou eliminação de dados e resposta a incidentes.
7. Restrinja o acesso interno
Defina perfis de permissão pelo trabalho de cada pessoa. Revise credenciais, evite contas compartilhadas e mantenha um processo de desligamento para remover acessos rapidamente.
8. Teste o programa como cliente
Faça um cadastro do início ao fim e responda: está claro por que cada dado é pedido? É possível distinguir fidelidade de marketing? O canal de privacidade é encontrável? O titular consegue corrigir dados e entender como pedir acesso ou exclusão quando aplicável? A resposta prática costuma revelar problemas que não aparecem em documentos internos.
O que evitar em textos e telas
Evite dizer que "a LGPD exige consentimento para coletar dados" como regra geral, porque a lei prevê diferentes bases legais. Evite dizer que "aceitar o regulamento autoriza qualquer tratamento". Evite afirmar que "não compartilhamos dados" se fornecedores ou parceiros recebem informações. Evite pedir biometria, CPF, endereço ou data de nascimento apenas porque o software possui o campo. Evite ainda apresentar um único botão de aceite para finalidades independentes quando o tratamento realmente depende de consentimento.
Outra promessa arriscada é declarar que a empresa está "100% em conformidade com a LGPD" como se isso fosse uma característica permanente do software. Conformidade depende de processos, pessoas, contratos, configurações, finalidades e uso real dos dados. A plataforma pode oferecer recursos de segurança e privacidade; quem opera o programa ainda precisa configurá-los e governá-los de forma adequada.
A melhor regra de produto é conseguir explicar cada dado
Antes de adicionar um campo, uma integração ou uma nova campanha, tente explicar ao cliente em uma frase simples por que aquele dado é necessário e o que será feito com ele. Se a explicação exige linguagem vaga ou esconde uma finalidade adicional, o desenho merece revisão.
Um programa de fidelidade mais enxuto tende a ser mais fácil de proteger, mais fácil de explicar e menos arriscado de operar. O objetivo não é eliminar dados úteis, mas impedir que a coleta cresça por hábito e que marketing, segurança, operação e análise se misturem sem governança.
Antes da publicação, faça revisão jurídica humana do fluxo, das bases legais, do aviso de privacidade, do regulamento do programa e dos contratos com fornecedores. A LGPD é aplicada ao tratamento concreto; por isso, o documento correto é aquele que descreve com precisão o que o negócio realmente faz.
