1. Conclusão de viabilidade
A adequação é viável. O produto já possui controles relevantes de segurança, isolamento por empresa, autenticação forte, logs e proteção de segredos.
A conformidade completa depende de decisões jurídicas e operacionais: bases legais, papéis de controlador/operador, retenção, subprocessadores, DPA, canal do encarregado e processos de resposta ao titular.
2. Papel na LGPD/GDPR
Para dados importados dos clientes da empresa contratante, a arquitetura tende a posicionar a empresa cliente como controladora e a plataforma como operadora/processadora.
Para dados de gestão do próprio SaaS, suporte, segurança, billing, auditoria master e comunicação comercial, o operador da plataforma pode ser controlador.
3. Bases legais a definir
Execução de contrato, legítimo interesse, cumprimento de obrigação legal/regulatória e consentimento podem aparecer em fluxos diferentes.
Consentimento não deve ser usado como base genérica para tudo; ele deve ficar reservado para situações em que possa ser livremente dado, registrado e revogado.
4. Medidas técnicas planejadas
Inventário de dados por tabela e integração, registro de subprocessadores, retenção por categoria, exportação por titular, anonimização/exclusão assistida e registro de solicitações LGPD.
Revisão dos campos raw JSONB deve reduzir armazenamento excessivo de dados pessoais vindos de IXC e Secullum.
5. Medidas organizacionais planejadas
Formalizar encarregado/DPO, canal de atendimento, procedimento de incidente, política de resposta a titulares, matriz de responsabilidades e termos contratuais com clientes.
Manter histórico de versões dos documentos legais e coletar aceite quando juridicamente necessário.