Consultoria

Privacidade de Dados

Privacidade que funciona no dia a dia e se sustenta em auditoria.

Colocamos a sua empresa em conformidade com a LGPD e o RGPD, com foco prático em governação, processos e controlos. E preparamos a base para um sistema de gestão de privacidade certificável pela ISO/IEC 27701.

LGPD
RGPD
ISO/IEC 27701:2025
ISO/IEC 29100

Pedido de proposta Falar no WhatsApp(abre num novo separador)

O desafio

Privacidade que funciona no dia a dia e se sustenta em auditoria.

Dados que ninguém mapeou

Sem saber onde estão os dados pessoais e por onde circulam, nenhum fundamento de licitude se sustenta.

Conformidade que envelhece

Novos sistemas, fornecedores e finalidades surgem todos os meses. Uma conformidade sem rotina fica rapidamente desatualizada.

Titular, incidente e fiscalização

Pedidos de titulares, incidentes e a ANPD têm prazos. A resposta exige processo, responsável e registo.

Como ajudamos

Frentes de trabalho

Conformidade de empresas

Objetivo

Colocar a empresa em conformidade com os requisitos de Privacidade e Proteção de Dados, reduzindo riscos regulatórios e operacionais e reforçando a confiança do mercado. Estruturamos governação, processos e controlos para a conformidade com a LGPD e o RGPD, e preparamos a base para evoluir para um sistema de gestão de privacidade alinhado com a ISO/IEC 27701.

O que fazemos

LGPD: conformidade e operação

Diagnóstico de maturidade e priorização pelo risco.
Mapeamento de processos e fluxos de dados (inventário e registos).
Fundamentos de licitude, avisos de privacidade e gestão do consentimento, quando aplicável.
Políticas, procedimentos e formações mínimas para a sustentação.
Contratos e gestão de subcontratantes e fornecedores (cláusulas e controlos).
Transferência internacional de dados pessoais.
Apoio a incidentes e plano de resposta com foco em dados pessoais.

RGPD: conformidade e evidências

Análise de lacunas e ajustes quanto a princípios, direitos e responsabilidade (accountability).
Estruturação dos registos e da documentação exigida.
Avaliação das transferências internacionais e dos controlos associados.
Processos de governação e reporte para demonstrar a conformidade.

ISO/IEC 27701: base para a certificação

Definição do âmbito e integração com a ISO 27001, quando existente.
Mapeamento de controlos, responsabilidades (responsável pelo tratamento e subcontratante) e evidências.
Implementação de processos e registos (privacy by design, avaliações e auditabilidade).
Preparação para a auditoria interna e prontidão para a certificação.

Preparação para certificações

Objetivo

Preparar a empresa para obter a certificação ISO/IEC 27701, estruturando um Sistema de Gestão de Privacidade (PIMS) com controlos implementados e evidências auditáveis, reduzindo o retrabalho e aumentando a previsibilidade da auditoria externa. Na edição de 2025, o PIMS pode ser certificado de forma independente ou integrado no SGSI da ISO/IEC 27001.

O que fazemos

Readiness e planeamento

Diagnóstico de maturidade e análise de lacunas face aos requisitos da ISO/IEC 27701.
Definição do âmbito, do contexto, das partes interessadas e das fronteiras do PIMS.
Plano de trabalho com marcos, responsabilidades e priorização pelo risco.

Integração com a ISO/IEC 27001, quando aplicável

Alinhamento do PIMS com o SGSI existente (governação, risco, documentação e evidências).
Mapeamento de sinergias e controlos partilhados para reduzir a duplicação.

Controlos, processos e evidências

Estruturação de papéis, responsabilidades e reuniões de governação.
Políticas, normas e procedimentos de privacidade com trilho de evidências.
Registos e documentação essenciais (processos, fundamentos de licitude, terceiros, incidentes e alterações).
Testes de funcionamento dos controlos e ajustes para garantir a consistência.

Auditoria interna e prontidão final

Auditoria interna (ou pré-auditoria) orientada para evidências e amostragem.
Plano de ações corretivas e verificação da eficácia.
Preparação do "audit pack" e apoio na relação com o auditor externo.

Gestão de Riscos de Privacidade

Objetivo

Implementar e operar um processo contínuo de Gestão de Riscos de Privacidade, reduzindo a exposição a sanções e incidentes e reforçando a conformidade com a LGPD e o RGPD. Estruturamos critérios, governação e planos de tratamento para os riscos ligados a dados pessoais em todo o ciclo de vida: recolha, utilização, partilha, armazenamento e eliminação.

O que fazemos

Estrutura e governação

Definição do âmbito, dos papéis (DPO, áreas de negócio, TI e Jurídico) e das reuniões de revisão.
Critérios de risco: impacto no titular, probabilidade, criticidade, apetite e tolerância.
Indicadores e reporte executivo (KPIs e KRIs) para a tomada de decisão.

Identificação e avaliação de riscos

Mapeamento dos tratamentos de dados e dos pontos críticos (internos e de terceiros).
Avaliação de riscos por processo, sistema, projeto e fornecedor.
Priorização por criticidade e definição do backlog de remediação.

Tratamento e monitorização

Planos de tratamento com responsáveis, prazos e evidências.
Gestão de exceções, aceitações e alterações com rastreabilidade.
Revisões periódicas e verificação da eficácia das ações.

Avaliações de impacto: AIPD e LIA

Condução e padronização da AIPD (RIPD) para os tratamentos de maior risco.
LIA, quando aplicável, para fundamentar o interesse legítimo e os controlos de mitigação.
Modelos, critérios e trilho de evidências para auditoria e responsabilidade (accountability).

DPO as a Service

Objetivo

Garantir a sustentação contínua do programa de Privacidade de Dados, com governação, rotinas operacionais e evidências consistentes, atuando como DPO as a Service para reduzir riscos, cumprir as exigências regulatórias e apoiar as áreas de negócio no tratamento correto de dados pessoais.

O que fazemos

Operação e governação

Rotinas, reuniões regulares e reporte executivo (KPIs, KRIs e estado do programa).
Criação e manutenção do Comité de Privacidade de Dados Pessoais.
Orientação às áreas sobre fundamentos de licitude, minimização, conservação e partilhas.
Gestão de pedidos dos titulares (DSAR): fluxo, prazos, registos e resposta.
Apoio a incidentes de privacidade: triagem, evidências, comunicação e lições aprendidas.
AIPD, LIA e privacy by design em novos projetos e alterações.
Gestão de terceiros: due diligence, cláusulas contratuais e controlos operacionais.
Manutenção da documentação e das evidências (inventários, políticas, registos e auditabilidade).
Interlocução com a ANPD (Agência Nacional de Proteção de Dados) e com os titulares dos dados.

Auditorias

Objetivo

Avaliar, com independência e evidências, a aderência da empresa aos requisitos da ISO/IEC 27701, verificando a eficácia dos controlos e a consistência da documentação e das rotinas de privacidade. O foco é identificar lacunas, reduzir riscos e preparar a empresa para auditorias externas, com um plano de ação claro e rastreável.

O que fazemos

Planeamento da auditoria

Definição do âmbito, dos critérios, da amostragem e da agenda.
Revisão do contexto, dos papéis, dos processos e das evidências disponíveis.

Execução e testes de controlos

Entrevistas e validação dos controlos em funcionamento (processos, registos e trilhos).
Verificação da documentação: políticas, procedimentos, inventários, avaliações e contratos.
Verificação das evidências de rotina (terceiros, alterações, incidentes e pedidos dos titulares).

Relatório e priorização

Relatório com não conformidades, observações e oportunidades de melhoria.
Priorização por risco e criticidade, com recomendações práticas de correção.

Ações corretivas e acompanhamento

Plano de ação com responsáveis e prazos.
Verificação da eficácia (novo teste) e apoio à prontidão final para a auditoria externa.

Referências

Normas, leis e frameworks que orientam o trabalho e as evidências.

LGPD: Lei 13.709/2018, a Lei Geral de Proteção de Dados Pessoais do Brasil, e as resoluções da ANPD.
RGPD: Regulamento (UE) 2016/679, para tratamentos ligados à União Europeia.
ISO/IEC 27701:2025: Requisitos do Sistema de Gestão de Privacidade da Informação (PIMS). Certificável, de forma independente ou com a ISO/IEC 27001.
ISO/IEC 29100: Framework de privacidade com os princípios de base.

Formação relacionada