Transparência em SaaS: por que negar sai mais caro

Um cliente me mandou mensagem no domingo perguntando se o sistema de agendamento dele "mandava dados pra fora". Ele tinha visto uma notícia sobre TVs coletando informação de quem assiste, e a fabricante respondendo em vídeo que aquilo era desinformação. A dúvida dele não era técnica. Era simples: como ele saberia? E essa é a pergunta que mais falta na hora de contratar qualquer coisa. Transparência em SaaS não é um selo bonito no rodapé do site, é a sua capacidade de verificar o que te falaram.

Porque o problema do caso da LG não é a coleta em si. É o formato da resposta.

O que aconteceu, em duas linhas

Reportagens apontaram que os aparelhos coletavam mais dados do usuário do que as pessoas imaginavam. A empresa veio a público dizer que a acusação era falsa.

Só isso. Uma acusação com evidência de um lado, uma negação sem evidência do outro. E o consumidor no meio, tendo que escolher em quem acreditar com base em vibe.

Por que "isso é mentira" é a pior resposta possível

Negar é rápido e barato. Por isso é tentador. Mas negação tem um problema estrutural: ela não fecha o assunto, só empurra.

Quando uma empresa responde a um dado técnico com uma declaração institucional, ela está mudando o terreno. Saiu do "aqui está o que o aparelho envia" e foi para o "confia em mim". Quem acompanha percebe na hora. E quem não acompanha fica com aquela pulga atrás da orelha que nunca mais sai.

A resposta que encerra o assunto é chata e específica. Algo como: o aparelho envia estes campos, para este endereço, nesta frequência, e você desliga aqui. Ninguém aplaude. Mas ninguém duvida também.

Confiança não se declara. Se comprova com documento, versão e data.

Vale para fabricante de TV e vale para o seu fornecedor de CRM.

Isso tem a ver com o seu negócio mais do que parece

Você provavelmente não fabrica eletrônico. Mas você roda o seu negócio em cima de seis, oito, doze ferramentas de terceiros. Cada uma delas com acesso a alguma coisa sua.

O CRM tem o telefone dos seus clientes. A ferramenta de e-mail tem a sua base inteira. O sistema de atendimento tem o histórico de conversa, que é onde as pessoas escrevem CPF, endereço e às vezes coisas bem mais sensíveis. O ERP tem o faturamento. A planilha compartilhada que ninguém lembra quem criou tem sabe-se lá o quê.

Agora a parte desconfortável: pela LGPD, quem responde pelo dado do seu cliente é você. O fornecedor é operador, você é controlador. Se ele vazar, o titular procura você. A ANPD procura você. O fornecedor manda uma nota dizendo que leva a segurança muito a sério.

Já vi empresa descobrir, no meio de um incidente, que não tinha ideia de onde os dados estavam hospedados. Descobriu junto com o cliente irritado no telefone.

Como cobrar transparência de um fornecedor sem virar chato

Você não precisa auditar ninguém. Precisa de respostas por escrito. Se o fornecedor responde rápido e com documento, ótimo sinal. Se responde com adjetivo, sinal amarelo.

Mande essas perguntas por e-mail, não por WhatsApp. Você vai querer o registro depois.

• Onde ficam os dados, fisicamente? País e provedor. "Na nuvem" não é resposta.
• Quem, dentro da sua empresa, consegue ver os dados dos meus clientes? Existe log desse acesso?
• Vocês usam meus dados para treinar modelo, gerar benchmark ou qualquer coisa agregada? Se sim, dá para desligar?
• Se eu cancelar amanhã, como eu exporto tudo e em quanto tempo vocês apagam?
• Qual foi o último incidente de segurança de vocês e o que mudou depois?

Essa última é a minha favorita. Toda empresa com mais de três anos de estrada teve algum susto. Quem diz que nunca teve nada ou é muito nova, ou não está olhando, ou está mentindo. Nenhuma das três é tranquilizadora.

E tem um detalhe que quase ninguém usa: pela LGPD, o titular pode pedir confirmação de tratamento e acesso aos dados dele. A resposta completa tem prazo de 15 dias. Faça esse pedido você mesmo, como se fosse um cliente, para o seu próprio sistema. É o teste mais honesto que existe. Se a sua operação não consegue responder em 15 dias sobre você mesmo, ela não vai conseguir responder sobre ninguém.

O teste do print

Tem um jeito preguiçoso e muito eficiente de avaliar transparência: veja se dá para tirar print.

Uma política clara vira print. "Os dados ficam em São Paulo, no provedor X, com backup diário e retenção de 30 dias" cabe numa imagem e resolve uma discussão. Já "adotamos as melhores práticas de mercado em conformidade com a legislação vigente" não prova nada e não serve nem para você se defender depois.

Aplique isso na sua própria empresa. Abra a sua página de privacidade agora. Ela responde onde estão os dados, por quanto tempo ficam e como a pessoa apaga? Ou é um texto que alguém copiou de outro site em 2021 e ninguém leu desde então?

Se for a segunda opção, você está no mesmo lugar da fabricante do vídeo. Só não teve ainda o jornalista para descobrir.

"Mas eu não tenho tempo para isso"

Tem, e é menos do que parece. Uma tarde resolve a primeira versão.

Faça uma tabela simples com quatro colunas: ferramenta, que dado ela acessa, onde fica hospedada, quem na sua empresa tem login. Preencha com o que você já sabe. Vai faltar coisa, e o buraco em si já é informação valiosa.

Depois mande as cinco perguntas de cima para os três fornecedores que tocam dado de cliente. Não precisa ser todos. Os três mais críticos resolvem 80% do risco.

Por último, marque no calendário uma revisão a cada seis meses. Não porque alguém vai auditar você, mas porque ferramenta entra e sai da operação o tempo todo e ninguém avisa o jurídico.

Isso não é burocracia. É a diferença entre responder um cliente em dez minutos com um documento e responder em três dias com um "estamos apurando".

A parte que dá vantagem competitiva

Aqui vai minha opinião forte: transparência virou argumento de venda e quase ninguém percebeu.

A maioria das empresas ainda trata privacidade como custo, um checkbox para não tomar multa. Enquanto isso, o cliente ficou desconfiado. Ele já viu aplicativo de lanterna pedindo acesso aos contatos, já viu TV ouvindo conversa, já viu assistente de IA aprendendo com documento que não devia. Ele chega na sua proposta com a guarda alta.

Quem coloca na proposta comercial uma página dizendo exatamente onde o dado fica, quem acessa e como sai, ganha uma vantagem que concorrente nenhum copia rápido. Porque copiar exige realmente organizar a casa.

É o mesmo motivo pelo qual restaurante com cozinha de vidro passa mais segurança. Não é que a comida seja melhor. É que ninguém bota vidro na cozinha se tem o que esconder.

Se você quer montar esse mapa de dados e não sabe por onde começar, ou desconfia que sua operação tem mais ferramenta com acesso do que deveria, dá pra resolver isso numa conversa curta. Me conta como funciona sua operação hoje.

Um cliente me perguntou num domingo se o sistema dele "mandava dados pra fora". A dúvida dele não era técnica: era como saber.

Quando uma empresa responde a um dado técnico com "isso é mentira", ela não encerra o assunto. Ela só troca evidência por "confia em mim".

E confiança não se declara. Se comprova com documento, versão e data.

Vale pra fabricante de TV e vale pro seu fornecedor de CRM, porque pela LGPD quem responde pelo dado do seu cliente é você, não ele.

Teste rápido: abra sua página de privacidade agora. Ela diz onde os dados ficam, por quanto tempo e como a pessoa apaga? Se não dá pra tirar print, não serve nem pra sua defesa.

Se você não sabe quantas ferramentas hoje têm acesso aos dados dos seus clientes, esse é um ótimo lugar pra começar a conversa.

#LGPD #SaaS #PrivacidadeDeDados #Tecnologia #GestãoDeRiscos