Engenharia LGPD e GDPR: construímos as medidas técnicas, seu jurídico lê a lei

LGPD artigo 46 §2: as medidas de segurança valem desde a fase de concepção do produto ou do serviço até a sua execução. GDPR artigo 25(1) e (2): medidas apropriadas ao determinar os meios de tratamento e durante o tratamento, e por padrão somente os dados pessoais necessários para cada finalidade, na quantidade recolhida, na extensão do tratamento, no prazo de conservação e em quem pode acessar.

LGPD artigos 46 e 47: medidas técnicas e administrativas contra acessos não autorizados e contra situações acidentais ou ilícitas de destruição, perda, alteração ou comunicação, que continuam valendo depois de encerrado o tratamento. Artigo 49: sistemas estruturados para atender aos requisitos de segurança. GDPR artigo 32(1): pseudonimização e criptografia, capacidade de garantir confidencialidade, integridade, disponibilidade e resiliência, restabelecimento oportuno após um incidente e testes periódicos.

LGPD artigo 48: o controlador comunica à autoridade nacional e ao titular um incidente que possa acarretar risco ou dano relevante, em prazo razoável definido pela autoridade, descrevendo os dados afetados, os titulares envolvidos, as medidas técnicas usadas, os riscos e as medidas adotadas. Ao julgar a gravidade, avalia-se se medidas técnicas tornaram os dados ininteligíveis para terceiros não autorizados (§3). GDPR artigo 33: o controlador notifica a autoridade de controle sem demora injustificada e, quando viável, em 72 horas; o operador avisa o controlador sem demora injustificada; toda violação é documentada.

O artigo 37 da LGPD exige que o controlador e o operador mantenham um registro das suas operações de tratamento, e o artigo 38 permite que a autoridade nacional exija um relatório de impacto. O artigo 30 do GDPR exige registros das atividades de tratamento e o artigo 35 uma avaliação de impacto sobre a proteção de dados quando o tratamento puder implicar um elevado risco.

A engenharia: um inventário de dados por funcionalidade, retenção que apaga conforme um calendário em vez de guardar dados para sempre, mascaramento dos campos que a maioria não precisa ver e padrões que não expõem nada a um público indeterminado (GDPR artigo 25(2)). A base legal de cada finalidade é decisão do seu jurídico.

Nenhum pacote fixo constrói exclusão e retenção sozinhas. Definimos o escopo no Discovery ou com engenheiros por hora.

Os artigos 46, 47 e 49 da LGPD pedem medidas técnicas contra acessos não autorizados, e o artigo 32(1)(a) do GDPR cita a pseudonimização e a criptografia. A engenharia: TLS em trânsito, chaves gerenciadas e criptografia em repouso, caminhos de rede privados até os repositórios de dados, acesso pelo seu SSO com MFA e privilégio mínimo, e segredos em um cofre gerenciado.

Nenhum pacote fixo cobre criptografia e controle de acesso sozinhos. Definimos o escopo no Discovery ou com engenheiros por hora.

O artigo 32(1)(b) e (c) do GDPR pedem resiliência permanente dos sistemas de tratamento e a capacidade de restabelecer a disponibilidade e o acesso em tempo hábil. A engenharia: backups criptografados e agendados, ensaios de restauração e um rollback ensaiado.

Nenhum pacote fixo cobre backups e recuperação sozinhos. Definimos o escopo no Discovery ou com engenheiros por hora.

O artigo 32(1)(d) do GDPR pede um processo para testar, apreciar e avaliar regularmente a eficácia das medidas. A engenharia: varreduras de dependências, segredos e contêineres em cada mudança com exceções que expiram, testes automatizados no pipeline e gates que barram um release.

O artigo 48 §1 da LGPD e o artigo 33(3) do GDPR listam o que um aviso deve descrever: os dados afetados, as pessoas envolvidas, as consequências prováveis e as medidas adotadas. Isso depende de registros que sobrevivam a um incidente. A engenharia: logs e alertas que mostram quem tocou em quê, desenhados para que dados pessoais não caiam nas linhas de log, e um runbook que segue o conteúdo de que o aviso precisa.

O artigo 37 da LGPD e o artigo 30 do GDPR esperam um registro de tratamento. A engenharia: um mapa de fluxo de dados guardado ao lado do código e gerado a partir das definições de infraestrutura, para que o registro coincida com o que realmente roda. As finalidades, a base legal e o julgamento da avaliação de impacto são seus.

Uma construção ou redesenho de 2 semanas dos seus pipelines de CI/CD e da sua infraestrutura como código. Os gates que entram no pipeline, como uma varredura de vulnerabilidades, são combinados no SOW.

Métricas, logs e traces conectados, 3 SLOs definidos, alertas testados até dispararem e um runbook.

Uma suíte de Playwright para os seus 5 fluxos críticos, rodando no seu CI, com verificações de acessibilidade.

O Discovery entende o seu produto e a configuração dele de ponta a ponta e entrega um roadmap com backlog, papéis, mudanças críticas e necessidades. Traga o seu registro de tratamento, a lista do seu jurídico ou o questionário de privacidade de um cliente e os transformamos em trabalho de engenharia.

Para o trabalho que continua depois de um pacote: Sênior US$ 45–⁠50 por hora, Líder ou Arquiteto US$ 55–⁠60, com mínimo de 6 meses, faturado por hora trabalhada. Você entrevista o engenheiro que fará o trabalho.

• Como funciona o staff augmentation
• Segurança e compras